Conformité UE 5 min de lecture
GDPR Data Processing Agreement Clauses Requirements For Small Business : Guide Pratique
Un DPA mal rédigé coûte plus cher qu'un audit. CE guide passe en revue les huit mentions minimales de l'article 28 du GDPR, les annexes indispensables, la gestion des sous-traitants ultérieurs et les sanctions applicables, avec des exemples concrets pour les PME.
Un prestataire qui héberge votre CRM, édite vos bulletins de paie ou envoie vos campagnes e-mail traite des données personnelles pour votre compte. L'article 28 du GDPR impose un contrat écrit dans cette relation. Pour une structure de dix à cinquante salariés, la vraie question n'est pas de savoir si un accord est nécessaire, mais quelles clauses résistent à un contrôle. Les GDPR data processing agreement clauses requirements for small business tiennent en une phrase : décrire qui fait quoi, avec quelles garanties, et pouvoir le prouver.
Article 28 du GDPR : CE que le texte exige vraiment
Le paragraphe 1 oblige le responsable de traitement à ne retenir que des sous-traitants présentant des garanties suffisantes. Le paragraphe 2 impose un contrat ou un autre acte juridique, sous forme écrite, y compris électronique. Le paragraphe 3 fixe le contenu minimal, le paragraphe 4 encadre le recours à un sous-traitant ultérieur et le paragraphe 9 autorise l'appui sur des clauses contractuelles types adoptées par la Commission ou une autorité de contrôle. Un DPA n'est donc pas une pièce administrative : c'est le document qui répartit la responsabilité en cas d'incident.
Les huit mentions obligatoires de l'article 28, paragraphe 3
- (a) traiter uniquement sur instruction documentée du responsable de traitement, y compris pour les transferts hors Union européenne ;
- (b) imposer un engagement de confidentialité aux personnes autorisées à traiter les données ;
- (c) appliquer les mesures de sécurité de l'article 32 ;
- (d) respecter les conditions de recours à un sous-traitant ultérieur ;
- (e) aider le responsable de traitement à répondre aux demandes d'exercice des droits ;
- (f) l'assister pour les articles 32 à 36 : sécurité, notification des violations, analyse d'impact, consultation préalable ;
- (g) supprimer ou restituer les données à la fin de la prestation et détruire les copies existantes ;
- (h) fournir les informations nécessaires pour démontrer la conformité et permettre audits et inspections.
Une PME se trouve presque toujours des deux côtés du contrat
Votre entreprise reçoit des DPA de son hébergeur, de son éditeur de facturation, de son cabinet comptable. Elle en signe aussi dès qu'un client lui confie des données : maintenance informatique, paie externalisée, prospection, logistique. Deux conséquences. Un DPA reçu ne se signe pas en aveugle : vérifiez les clauses de sécurité, de sous-traitance ultérieure et de sort des données par rapport à votre usage réel. Et votre propre modèle doit être prêt avant la première demande client, faute de quoi vous signez celui du client, souvent déséquilibré. Le registre des activités de traitement de l'article 30 fournit la matière : finalités, catégories de données, destinataires, durées de conservation.
Clause par clause : la check-list opérationnelle
Un DPA utilisable tient en quatre blocs : objet et durée, instructions, sécurité, sort des données. Les modèles génériques échouent presque toujours sur les deux derniers.
Objet, durée et instructions documentées
Décrivez la nature et la finalité du traitement, les types de données, les catégories de personnes concernées. Une annexe « description des traitements » évite les interprétations : périmètre fonctionnel, systèmes concernés, durées de conservation, localisation des serveurs. Le sous-traitant doit signaler toute instruction qui lui paraît contraire au GDPR. Prévoyez la conduite du changement : nouvelle instruction = avenant ou bon de commande signé.
Sécurité, violations de données et délais
L'article 28, paragraphe 3, point c), renvoie à l'article 32 : chiffrement, pseudonymisation, capacité à rétablir la disponibilité, tests réguliers. Annexez la liste des mesures et rattachez-la à un référentiel reconnu, par exemple ISO/IEC 27001. Sur les violations, le texte n'exige qu'une notification « sans délai indu » du sous-traitant vers le responsable de traitement ; les 72 heures de l'article 33 concernent le responsable vers l'autorité de contrôle. La bonne pratique contractuelle est un délai interne de 24 à 48 heures, un point de contact unique et une fiche d'incident type. CE niveau de détail distingue les GDPR data processing agreement clauses requirements for small business réellement négociées des modèles copiés-collés.
Sous-traitants ultérieurs, transferts et preuve documentaire
Deux sujets cristallisent les tensions. La chaîne de sous-traitance, d'abord : autorisation générale avec droit d'objection, ou autorisation spécifique pour chaque intervenant. L'autorisation générale est plus souple, à condition d'imposer les mêmes obligations par contrat et de notifier tout changement suffisamment tôt. Les transferts hors Union européenne, ensuite : décision d'adéquation, clauses contractuelles types, ou mesures supplémentaires après analyse au cas par cas. Nommez les pays d'hébergement et les mécanismes retenus, sans renvoyer à une politique interne.
La valeur probante vient de la traçabilité. Comme pour un dossier technique CE, où chaque exigence renvoie à une preuve datée, un DPA vivant suppose une gestion documentaire : version en vigueur, avenants, annexes à jour, journal des audits. Les principes de maîtrise des documents décrits dans le guide sur les exigences documentaires de l'ISO 9001 s'appliquent presque tels quels, et la logique d'assemblage des preuves rejoint celle du dossier technique CE. Pour le détail des clauses, voir notre guide sur les clauses des accords de traitement des données.
Erreurs fréquentes et sanctions
Les manquements observés : aucun contrat écrit avec un outil « gratuit » (analytics, réservation en ligne), DPA signé mais liste des sous-traitants ultérieurs jamais mise à jour, clause d'audit inapplicable faute de périmètre, silence sur la restitution des données en fin de contrat. L'article 83, paragraphe 4, point a), rend ces manquements passibles d'une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Le risque immédiat reste commercial : un donneur d'ordre qui exige une preuve de conformité avant de signer, un client qui réclame la liste de vos sous-traitants.
Retenez l'essentiel des GDPR data processing agreement clauses requirements for small business : un écrit, huit mentions minimales, des annexes à jour, et un délai de notification interne plus court que celui de la loi.
Faits clés
Affirmations lisibles par machine extraites des sources ci-dessus. Chaque fait conserve le même identifiant dans les six versions linguistiques.
Article 28.3 GDPR
El artículo 28.3 GDPR enumera las cláusulas mínimas que debe incluir un contrato de encargo del tratamiento.
Identifiant du fait:
GDPR_article_28_3_clauses72 hours
El responsable debe notificar a la autoridad de control en un plazo máximo de 72 horas desde que tenga conocimiento de una brecha.
Identifiant du fait:
breach_notification_hoursArticle 28.2 GDPR
El encargado no puede subcontratar sin autorización previa por escrito del responsable.
Identifiant du fait:
subprocessor_authorization250 employees
La exención del registro de actividades para organizaciones con menos de 250 empleados no es absoluta.
Identifiant du fait:
record_processing_thresholdChapter V GDPR
Las transferencias internacionales se regulan en el Capítulo V GDPR y requieren un mecanismo válido.
Identifiant du fait:
international_transfer_chapterAnnual review
Se recomienda revisar los DPA al menos una vez al año o cuando cambie el proveedor, el servicio o la normativa.
Identifiant du fait:
dpa_review_frequency
Questions fréquentes
Un DPA est-il obligatoire pour une PME ?
Oui, dès qu'un prestataire traite des données personnelles pour votre compte. L'article 28, paragraphe 2, du GDPR impose un contrat ou un acte juridique écrit, y compris électronique. Cela vaut aussi pour un outil « gratuit » financé par la publicité et pour un prestataire établi hors Union européenne.
Peut-on signer le DPA fourni par le client sans le négocier ?
C'est risqué. Vérifiez au minimum les mesures de sécurité, la liste des sous-traitants ultérieurs, le périmètre des audits, le délai de notification des violations et le sort des données en fin de contrat. Un engagement d'audit illimité ou une clause de restitution impossible à tenir crée plus de risque que l'absence de clause.
Quel délai de notification prévoir en cas de violation de données ?
Le GDPR n'impose au sous-traitant qu'une notification « sans délai indu » vers le responsable de traitement. Les 72 heures de l'article 33 concernent le responsable de traitement vers l'autorité de contrôle. En pratique, fixez contractuellement 24 à 48 heures, avec un contact unique et une fiche d'incident type.
Faut-il un contrat avec chaque sous-traitant ultérieur ?
Oui. L'article 28, paragraphe 4, impose d'imposer au sous-traitant ultérieur les mêmes obligations que celles figurant dans le contrat initial. Si vous fonctionnez par autorisation générale, vous devez aussi informer le responsable de traitement de tout ajout ou remplacement et lui laisser un droit d'objection.
Quelles sanctions en cas de DPA absent ou incomplet ?
L'article 83, paragraphe 4, point a), prévoit une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Pour une PME, le risque commercial — perte de marché, refus d'un donneur d'ordre — arrive souvent avant le risque financier.
Le DPA doit-il être rédigé en français ?
Aucune exigence linguistique n'existe dans le GDPR. Le document doit toutefois être compréhensible par les équipes qui l'appliquent, et la version signée doit être conservée avec ses annexes et avenants pour servir de preuve en cas de contrôle.
Sources et licences
Chaque affirmation de cet article renvoie aux sources listées ci-dessous. Les liens ouvrent directement le site de l’éditeur.
