Conformité UE 4 min de lecture
GDPR Data Processing Agreement Clauses Requirements Audit Preparation : Guide Pratique
Un guide pratique pour structurer un DPA conforme au GDPR, cartographier les clauses de l'article 28 et préparer un audit avec des preuves traçables.
Article 28 du GDPR : le contrat avant l'audit
Le GDPR impose au responsable du traitement et au sous-traitant un accord écrit. L'article 28, paragraphe 3, liste huit clauses minimales. Un DPA signé ne suffit pas : il doit être exact, à jour et applicable aux flux réels. Pour une base pratique, voir GDPR Data Processing Agreement Clauses: A Practical Guide.
Les huit clauses obligatoires de l'article 28(3)
- (a) traiter les données uniquement sur instruction documentée du responsable du traitement ;
- (b) garantir que les personnes autorisées s'engagent à la confidentialité ;
- (c) prendre les mesures de sécurité de l'article 32 ;
- (d) aider le responsable du traitement pour les demandes des personnes concernées ;
- (e) aider le responsable du traitement pour les violations de données, les DPIA et les consultations préalables ;
- (f) supprimer ou renvoyer les données à la fin de la prestation ;
- (g) mettre à disposition toutes les informations nécessaires pour démontrer la conformité ;
- (h) permettre les audits et inspections, y compris sur site.
Ces points sont cumulatifs. Une clause d'audit vague, du type « le sous-traitant coopérera », ne satisfait pas l'article 28(3)(h). Il faut préciser périmètre, préavis, fréquence, confidentialité, coûts et modalités de preuve. Le DPA doit aussi désigner les personnes habilitées à demander un audit et le format des constats.
Exigences opérationnelles au-delà des clauses
L'article 28(2) exige des garanties suffisantes sur la sécurité et la conformité. L'article 28(4) encadre les sous-traitants ultérieurs : autorisation écrite préalable ou autorisation générale avec droit d'opposition. L'article 30 impose un registre des activités de traitement. L'article 33(2) oblige le sous-traitant à notifier toute violation au responsable du traitement sans délai après en avoir pris connaissance. L'article 35 impose une DPIA pour les traitements à risque élevé.
La documentation doit être maîtrisée. Les principes de contrôle documentaire de l'ISO 9001 sont transposables : version, approbation, diffusion, archivage. Voir The ISO 9001 documentation requirements guide: A Practical O. Pour les dossiers techniques produits, la logique rejoint celle du EU CE Marking Technical File: A Practical Guide : une preuve structurée, datée et traçable.
Un point souvent négligé : la chaîne de responsabilité. Le responsable du traitement reste redevable devant les personnes concernées et l'autorité de contrôle. Le sous-traitant répond contractuellement et, dans certains cas, au titre de l'article 82. La préparation d'audit doit donc documenter qui fait quoi, avec quel mandat et quelle preuve.
Préparation d'audit : méthode en six étapes
La séquence GDPR data processing agreement clauses requirements audit preparation se pilote comme un projet. Elle commence par l'inventaire des traitements et se termine par un plan de remédiation.
- Inventaire : listez les traitements, les responsables, les sous-traitants et les transferts hors UE.
- Cartographie contractuelle : rattachez chaque DPA aux articles 28(3)(a)-(h). Identifiez les écarts.
- Matrice de preuves : pour chaque clause, définissez la preuve attendue : contrat, annexe, log, procédure, rapport d'audit.
- Revue des sous-traitants : vérifiez l'autorisation, la liste des sous-traitants ultérieurs et les clauses de flux descendants.
- Transferts : contrôlez les clauses contractuelles types de la décision (UE) 2021/914 et l'analyse des transferts.
- Entretiens et tests : interrogez les équipes, testez la notification de violation et la suppression des données.
Preuves minimales à produire
- DPA signé et annexes à jour.
- Registre des activités de traitement (article 30).
- DPIA et registre des risques.
- Procédure de violation et journal des incidents.
- Liste des sous-traitants ultérieurs et clauses de flux.
- Clauses contractuelles types et analyse des transferts.
- Rapports d'audit, plans d'action et preuves de clôture.
Pièges fréquents en audit
Un audit GDPR échoue souvent sur des points simples. Les clauses d'audit trop générales empêchent le responsable du traitement d'exercer son droit. Les sous-traitants ultérieurs non déclarés créent une rupture de chaîne contractuelle. Les transferts hors UE sans analyse documentée sont un risque majeur. L'absence de preuve de formation ou de sensibilisation affaiblit la démonstration de conformité.
La préparation d'audit doit aussi couvrir la suppression ou le retour des données en fin de contrat. L'article 28(3)(f) exige une clause explicite, avec délais et format. Une simple mention « les données seront supprimées » ne suffit pas si aucune preuve n'est conservée.
Une préparation d'audit solide couvre GDPR data processing agreement clauses requirements audit preparation, mais aussi la gouvernance : rôles, responsabilités, comité, indicateurs. Le DPO, lorsqu'il est désigné, doit pouvoir accéder aux contrats et aux journaux. Les écarts doivent être suivis comme des non-conformités, avec responsable, échéance et preuve de clôture.
Articulation avec les référentiels et conclusion
Le GDPR n'exige pas ISO 9001, mais les deux logiques se renforcent. Un système de management de la qualité aide à maîtriser les documents, les enregistrements et les actions correctives. Pour les organisations multi-référentiels, ISO 14001 et ISO 45001 peuvent partager la même gouvernance documentaire, sans remplacer l'analyse GDPR.
En pratique, la conformité tient à trois livrables : un DPA complet, un registre des preuves et un plan d'audit. La formule GDPR data processing agreement clauses requirements audit preparation résume cette discipline. Préparez vos preuves avant la demande, pas pendant l'entretien. Un audit se gagne par la traçabilité, pas par la mémoire.
Faits clés
Affirmations lisibles par machine extraites des sources ci-dessus. Chaque fait conserve le même identifiant dans les six versions linguistiques.
GDPR Article 28
El Artículo 28 del GDPR regula el acuerdo de tratamiento entre responsable y encargado.
Identifiant du fait:
GDPR_dpa_article_28GDPR Article 28.3
El Artículo 28.3 enumera las cláusulas mínimas que debe incluir un DPA.
Identifiant du fait:
GDPR_dpa_minimum_clauses72 hours
El responsable debe notificar una brecha a la autoridad de control en un máximo de 72 horas.
Identifiant du fait:
GDPR_breach_notification_deadlineannual
Se recomienda revisar los acuerdos de tratamiento al menos una vez al año o ante cambios relevantes.
Identifiant du fait:
GDPR_dpa_review_frequencyISO 9001
ISO 9001 exige control de la información documentada para evidenciar conformidad.
Identifiant du fait:
ISO_9001_document_controllifecycle + next review
Las evidencias de auditoría deben conservarse durante el ciclo de vida del acuerdo y hasta la siguiente revisión.
Identifiant du fait:
GDPR_audit_evidence_retention
Questions fréquentes
Quelles clauses sont obligatoires dans un DPA au titre de l'article 28(3) ?
L'article 28(3)(a) à (h) impose : instructions documentées, confidentialité, sécurité de l'article 32, assistance aux personnes concernées, assistance en cas de violation et DPIA, suppression ou retour des données, informations de conformité, et droit d'audit ou d'inspection.
Le sous-traitant peut-il refuser un audit ?
Non. L'article 28(3)(h) prévoit que le sous-traitant permet et contribue aux audits et inspections. Les modalités pratiques — préavis, périmètre, confidentialité, coûts — doivent être encadrées dans le DPA.
Quelle différence entre un DPA et les clauses contractuelles types ?
Le DPA organise la relation responsable du traitement / sous-traitant au titre de l'article 28. Les clauses contractuelles types, adoptées par la décision (UE) 2021/914, encadrent les transferts hors UE et peuvent être annexées au DPA.
Quand faut-il réaliser une DPIA ?
L'article 35 du GDPR impose une DPIA lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La DPIA doit être documentée et mise à jour.
Combien de temps conserver les preuves d'audit ?
Il n'existe pas de durée unique. Alignez la conservation sur les obligations sectorielles, les délais de prescription et le principe de limitation de la conservation. Documentez la règle d'archivage retenue.
Sources et licences
Chaque affirmation de cet article renvoie aux sources listées ci-dessous. Les liens ouvrent directement le site de l’éditeur.
