Conformité UE 5 min de lecture
GDPR Data Processing Agreement Clauses Requirements Common Mistakes: Guide Pratique
L'article 28 du RGPD fixe huit points obligatoires, mais les non-conformités se logent surtout dans les annexes vides, les délais non chiffrés et les modèles recopiés. CE guide passe en revue les clauses exigibles, les erreurs récurrentes constatées en audit et l'articulation avec les clauses contractuelles types pour les transferts hors Union européenne.
Un accord de traitement des données (DPA, pour data processing agreement) n'est pas une pièce administrative : c'est le contrat qui fixe qui fait quoi entre un responsable du traitement et son sous-traitant. L'article 28 du RGPD en impose le contenu, mais les non-conformités relevées en audit se nichent rarement dans le corps du texte. Elles se nichent dans les annexes vides, les délais non chiffrés et les modèles recopiés d'un client à l'autre. La formule « GDPR data processing agreement clauses requirements common mistakes » résume bien l'enjeu : distinguer les clauses obligatoires des clauses simplement utiles, puis éviter les oublis qui coûtent.
Le socle juridique : article 28 du RGPD, point par point
L'article 28(3) énumère huit points (a) à (h) que le contrat doit couvrir : traitement uniquement sur instructions documentées du responsable ; confidentialité des personnes autorisées ; mesures de sécurité au sens de l'article 32 ; encadrement de la sous-traitance ultérieure ; assistance pour les droits des personnes (articles 12 à 23) ; assistance pour les obligations des articles 32 à 36 ; suppression ou restitution des données en fin de prestation ; mise à disposition des informations nécessaires et droit d'audit.
Deux précisions de forme comptent autant que le fond. L'article 28(9) exige un contrat écrit, la forme électronique étant admise. L'article 28(4) étend les mêmes obligations au sous-traitant ultérieur, CE qui suppose une chaîne contractuelle descendante et non un simple accord bilatéral.
CE que l'article 28 ne chiffre pas
Le texte ne fixe aucun délai de notification de violation au responsable : l'article 33(2) parle de « sans délai », là où le responsable dispose de 72 heures vis-à-vis de l'autorité de contrôle (article 33(1)). Il ne fixe pas davantage de durée de conservation, de montant de pénalité, ni de fréquence d'audit. Ces éléments relèvent de la négociation — et c'est précisément là que les contrats deviennent inapplicables.
Les clauses à annexer, pas seulement à signer
Un DPA signé sans annexes est un DPA inexploitable. Trois annexes conditionnent la conformité opérationnelle :
- la description du traitement : finalités, catégories de données, catégories de personnes concernées, durées ;
- les mesures techniques et organisationnelles (MTO), assez précises pour être vérifiables — chiffrement, gestion des accès, journalisation, sauvegardes, tests d'intrusion ;
- la liste des sous-traitants ultérieurs, avec la procédure d'ajout ou de remplacement (autorisation écrite préalable, droit d'objection, délai de préavis).
Ajoutez les clauses de transfert du chapitre V lorsque des données sortent de l'Union européenne, la répartition des responsabilités en cas de violation, et les modalités d'audit. Sur CE dernier point, la pratique contractuelle des clauses DPA montre que les clauses d'audit trop restrictives sont souvent écartées en négociation, CE qui prive le responsable de son principal levier de contrôle.
GDPR data processing agreement clauses requirements common mistakes : les erreurs récurrentes
Les mêmes défauts reviennent d'un audit à l'autre.
Confondre les rôles. Un éditeur SaaS qui détermine lui-même les finalités et les moyens essentiels n'est pas un sous-traitant, même si son contrat l'affirme. La qualification précède la rédaction : article 4(7) pour le responsable, article 4(8) pour le sous-traitant, article 26 pour la responsabilité conjointe.
Recopier un modèle sans contextualiser. Un DPA générique rédigé pour un client néerlandais ne couvre pas un traitement de données de santé en France. Les annexes doivent décrire le traitement réel, pas un traitement type.
Omettre le délai de notification de violation. Sans délai contractuel, le responsable ne peut pas tenir ses 72 heures. La pratique courante retient 24 à 48 heures après la prise de connaissance.
Prévoir un droit d'audit inutilisable. Une clause limitée à une visite annuelle, avec 30 jours de préavis et aux frais exclusifs du client, ne permet aucune vérification en cas d'incident.
Oublier le sort des données. Restitution ou suppression ? Dans quel format ? Quid des sauvegardes et des environnements de test ? L'article 28(3)(g) impose une réponse explicite.
Négliger la traçabilité des instructions. L'article 28(3)(a) suppose des instructions documentées : une validation par courriel vaut mieux qu'un accord oral.
Laisser vieillir le contrat. Un changement de sous-traitant, un transfert vers un nouveau pays ou une nouvelle version des clauses contractuelles types imposent une mise à jour.
Transferts hors Union européenne : articuler DPA, CCT et analyse
Le DPA ne suffit jamais à lui seul pour un transfert. Il faut empiler correctement les instruments : décision d'adéquation lorsqu'elle existe, sinon clauses contractuelles types de la décision d'exécution (UE) 2021/914, complétées par une analyse des transferts et, le cas échéant, par des mesures supplémentaires au sens des recommandations 01/2020 du CEPD. Vérifiez que le module des CCT choisi correspond à la relation réelle : responsable vers sous-traitant, ou sous-traitant vers sous-traitant ultérieur.
Gouvernance documentaire : versionner, prouver, revoir
Un DPA est un document vivant. Tenez un inventaire : contrepartie, périmètre, date de signature, date de revue, annexes associées. Cette discipline documentaire s'apparente à celle exigée par l'ISO 9001 sur la maîtrise des informations documentées, et elle rejoint la logique de constitution d'un dossier de preuve technique décrite pour le dossier technique CE. En sécurité de l'information, les contrôles 5.19 à 5.22 de l'ISO/IEC 27001:2022 couvrent la relation fournisseur et son suivi.
Le registre des activités de traitement (article 30) et la cartographie des flux restent la source de vérité : c'est de là que doivent sortir les annexes, pas l'inverse.
En résumé
Un DPA conforme tient en trois exigences : couvrir les huit points de l'article 28(3), annexer des éléments vérifiables, et prévoir des délais exécutables. La question « GDPR data processing agreement clauses requirements common mistakes » n'appelle donc pas une liste de clauses miracles, mais une méthode : qualifier les rôles, documenter le traitement réel, puis réviser à chaque changement.
Faits clés
Affirmations lisibles par machine extraites des sources ci-dessus. Chaque fait conserve le même identifiant dans les six versions linguistiques.
8
L'article 28(3) du RGPD fixe huit points (a) à (h) que l'accord de traitement des données doit couvrir.
Identifiant du fait:
GDPR-art28-3-points72 h
Le responsable notifie une violation à l'autorité de contrôle sous 72 heures (article 33(1)) ; le sous-traitant, lui, informe le responsable « sans délai » (article 33(2)), sans délai chiffré imposé par le texte.
Identifiant du fait:
GDPR-breach-notification-delayArticle 28(9)
Le contrat liant le responsable et le sous-traitant doit être écrit, y compris sous forme électronique (article 28(9)).
Identifiant du fait:
GDPR-art28-9-form2021/914
Les clauses contractuelles types applicables aux transferts hors Union européenne figurent dans la décision d'exécution (UE) 2021/914.
Identifiant du fait:
EU-scc-decision20 000 000 EUR / 4 %
L'article 83(5) permet une amende administrative allant jusqu'à 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu.
Identifiant du fait:
GDPR-maximum-fineISO/IEC 27001:2022
La relation fournisseur et son suivi contractuel relèvent des contrôles 5.19 à 5.22 de l'annexe A de l'ISO/IEC 27001:2022.
Identifiant du fait:
ISO 27001-SUPPLIER-CONTROLS01/2020
Les recommandations 01/2020 du CEPD encadrent les mesures techniques et organisationnelles supplémentaires à envisager pour les transferts.
Identifiant du fait:
edpb-transfer-recommendations
Questions fréquentes
Un accord de traitement des données est-il obligatoire ?
Oui. Dès qu'un sous-traitant traite des données personnelles pour le compte d'un responsable, l'article 28(3) du RGPD impose un contrat ou un acte juridique écrit. L'absence de document signé constitue en soi un manquement, indépendamment de la qualité du traitement.
Quelle différence entre un DPA et les clauses contractuelles types (CCT) ?
Le DPA encadre la relation responsable / sous-traitant au titre de l'article 28. Les CCT encadrent le transfert de données hors Union européenne au titre du chapitre V. Les deux instruments sont cumulables : les CCT ne dispensent pas de rédiger un DPA, et un DPA ne rend pas un transfert licite à lui seul.
Quel délai de notification de violation prévoir dans le contrat ?
Le RGPD n'impose aucun délai chiffré au sous-traitant : l'article 33(2) exige une information « sans délai ». Comme le responsable doit notifier l'autorité sous 72 heures (article 33(1)), la pratique retient 24 à 48 heures, à calibrer selon la capacité réelle de détection du sous-traitant.
Un DPA peut-il être signé sous forme électronique ?
Oui. L'article 28(9) admet expressément la forme électronique. Le point de vigilance porte moins sur la signature que sur la conservation de la version applicable au traitement concerné et sur la traçabilité des avenants.
Que doit-il se passer à la fin du contrat ?
Le sous-traitant supprime ou restitue les données selon les instructions du responsable (article 28(3)(g)). Le contrat doit préciser le choix, le format de restitution, le délai d'exécution et le traitement des copies de sauvegarde et des environnements de test.
Faut-il un contrat avec chaque sous-traitant ultérieur ?
Oui. L'article 28(4) impose d'imposer au sous-traitant ultérieur les mêmes obligations que celles figurant dans le DPA principal, par voie contractuelle. Une autorisation générale de sous-traitance doit s'accompagner d'une information préalable et d'un droit d'objection.
Sources et licences
Chaque affirmation de cet article renvoie aux sources listées ci-dessous. Les liens ouvrent directement le site de l’éditeur.
