GDPR Data Processing Agreement Clauses Requirements Clause by Clause : Guide Pratique

Pourquoi l’article 28 est le socle du DPA

Le RGPD n’impose pas un modèle unique de data processing agreement (DPA). Il impose un contenu minimal. L’article 28 du Règlement (UE) 2016/679 encadre le sous-traitant : le responsable de traitement ne peut confier un traitement qu’à un sous-traitant offrant des garanties suffisantes. Le contrat doit être écrit, y compris sous forme électronique, et lier le sous-traitant au responsable. Pour une vue d’ensemble, voir GDPR Data Processing Agreement Clauses: A Practical Guide.

Le point de départ est simple : sans DPA conforme, le responsable de traitement engage sa responsabilité. Le sous-traitant, lui, risque la requalification de son rôle et une exposition directe au titre de l’article 28(10). Une lecture GDPR data processing agreement clauses requirements clause by clause permet de vérifier chaque mention obligatoire avant signature.

Les clauses obligatoires de l’article 28(3)

L’article 28(3) énumère les mentions qui doivent figurer dans le contrat. Elles ne sont pas optionnelles. Le DPA doit préciser :

• l’objet, la durée, la nature et la finalité du traitement ;
• le type de données à caractère personnel et les catégories de personnes concernées ;
• les obligations et droits du responsable de traitement ;
• la confidentialité des données ;
• la sécurité au sens de l’article 32 ;
• les conditions de recours à un sous-traitant ultérieur ;
• l’assistance pour les droits des personnes concernées ;
• l’assistance en cas de violation de données (articles 33 et 34) ;
• la suppression ou la restitution des données en fin de contrat ;
• la mise à disposition de toutes les informations nécessaires et l’audit.

Ces mentions forment le noyau du DPA. Une clause absente ne se rattrape pas par une annexe vague. Elle doit être opposable, datée et signée par les parties.

Clause par clause : les 10 mentions de l’article 28(3)

Clause	Contenu attendu	Référence
Objet et durée	Finalité, nature, durée, données, personnes	Article 28(3)
Confidentialité	Obligation pour le personnel autorisé	Article 28(3)(b)
Sécurité	Mesures techniques et organisationnelles	Article 32
Sous-traitants ultérieurs	Autorisation écrite préalable ou générale	Article 28(2) et 28(4)
Droits des personnes	Assistance du responsable	Article 28(3)(e)
Violation	Notification et assistance	Articles 33 et 34
Sort des données	Suppression ou restitution	Article 28(3)(g)
Audit	Informations et inspection	Article 28(3)(h)
Transferts	Chapitre V du RGPD	Articles 44 et suivants
Responsabilité	Répartition et preuve	Article 28(10)

CE tableau ne remplace pas la rédaction. Il sert de grille de relecture. Le contrôle GDPR data processing agreement clauses requirements clause by clause doit être documenté, car c’est cette preuve qui sera demandée en cas de contrôle.

Analyse pratique des clauses sensibles

Objet, durée, nature et finalité

La clause doit décrire le traitement réel, pas une formule générique. Si le sous-traitant héberge une base RH, le DPA doit le dire. Si le traitement inclut des données de santé, il faut le mentionner. La finalité détermine les instructions du responsable. Toute instruction hors périmètre doit être refusée ou formalisée par avenant.

Confidentialité et sécurité

L’article 28(3)(b) impose que le sous-traitant veille à CE que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité. L’article 32 ajoute des mesures adaptées au risque : chiffrement, pseudonymisation, résilience, tests réguliers. Le DPA doit renvoyer à une annexe technique précise, avec versions et fréquences de test. Pour la documentation et la traçabilité, le guide The ISO 9001 documentation requirements guide: A Practical O aide à structurer les preuves.

Sous-traitants ultérieurs

Le sous-traitant ne peut pas faire appel à un autre sous-traitant sans autorisation écrite préalable ou autorisation générale. Dans le second cas, il doit informer le responsable de tout changement et permettre d’objecter. Le contrat doit imposer au sous-traitant ultérieur les mêmes obligations que celles du DPA initial. C’est une chaîne de conformité, pas une simple liste de fournisseurs.

Assistance, violation et droits des personnes

Le sous-traitant doit aider le responsable à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Il doit aussi notifier toute violation de données sans délai injustifié. Le DPA doit fixer un délai concret, par exemple 24 ou 48 heures, et préciser le contenu de la notification : nature, catégories, conséquences, mesures prises.

Sort des données et audit

À la fin du contrat, le sous-traitant supprime ou restitue les données, au choix du responsable. Les copies de sauvegarde doivent être traitées. Le droit d’audit peut être exercé par le responsable ou par un auditeur mandaté. Il doit être raisonnable, avec préavis et périmètre défini. Un audit annuel sur pièces peut suffire pour un service standard ; un audit sur site peut être prévu pour des données sensibles.

Clauses souvent négligées : transferts, responsabilité et preuve

Les transferts hors Union européenne ne sont pas réglés par le seul article 28. Ils relèvent du chapitre V du RGPD. Le DPA doit identifier les transferts, la base juridique et les garanties : décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes. Une analyse des risques de transfert doit être jointe lorsque nécessaire.

La responsabilité doit être répartie. Le sous-traitant répond des dommages causés par un traitement non conforme à ses instructions. Le responsable répond de la licéité du traitement. Le DPA doit prévoir les notifications, les coûts d’audit, la durée de conservation des preuves et la loi applicable. Pour les produits ou procédés soumis à marquage, le dossier technique EU CE Marking Technical File: A Practical Guide illustre l’intérêt d’une documentation structurée.

Erreurs fréquentes et points de contrôle

• Recopier un modèle sans adapter les finalités, les données et les durées.
• Omettre l’annexe sécurité ou la lier à une politique interne non contractuelle.
• Prévoir une autorisation générale sans mécanisme d’objection.
• Ne pas encadrer les sous-traitants ultérieurs.
• Confondre notification de violation et information volontaire.
• Oublier la restitution des données et la suppression des copies.
• Ne pas documenter les audits et les actions correctives.

Un DPA signé ne suffit pas. Il faut vérifier l’exécution. Le sous-traitant doit tenir un registre des catégories d’activités de traitement (article 30(2)). Le responsable doit conserver le DPA, les avenants, les instructions et les preuves d’audit. La revue GDPR data processing agreement clauses requirements clause by clause doit être refaite à chaque changement de sous-traitant, de pays d’hébergement ou de finalité.

Mise en œuvre en six étapes

1. Cartographier les traitements et identifier les sous-traitants.
2. Vérifier la qualification : sous-traitant, responsable conjoint ou responsable distinct.
3. Rédiger ou mettre à jour le DPA avec les mentions de l’article 28(3).
4. Joindre les annexes : sécurité, sous-traitants ultérieurs, transferts, durées.
5. Faire signer, versionner et diffuser les instructions.
6. Auditer, documenter et corriger.

Cette méthode transforme une obligation juridique en processus opérationnel. Elle évite les clauses copiées-collées et les angles morts. Pour les équipes techniques, le DPA doit être relié aux mesures réelles : journaux, chiffrement, gestion des accès, sauvegardes, tests d’intrusion. C’est à CE prix que la conformité devient vérifiable.