Conformité UE 6 min de lecture
GDPR Data Processing Agreement Clauses Requirements Step by Step: Guide Pratique
Le contrat de sous-traitance n'est pas une pièce administrative : l'article 28 du GDPR en fixe le contenu minimal et conditionne la licéité du traitement. CE guide reprend les dix domaines de clauses obligatoires, la gestion des sous-traitants ultérieurs, les clauses contractuelles types de la décision (UE) 2021/914 et les écarts les plus souvent relevés en audit.
CE que l'article 28 du GDPR exige concrètement
Le contrat de sous-traitance — souvent appelé DPA — n'est pas une pièce administrative. L'article 28(1) du GDPR impose que tout traitement réalisé pour le compte d'un responsable de traitement soit encadré par un contrat ou un autre acte juridique contraignant, conforme au droit de l'Union ou au droit national applicable. Sans cet acte, le traitement est dépourvu de base contractuelle valable, et l'autorité de contrôle peut relever un manquement à l'article 28 indépendamment du respect des autres obligations.
Le même article fixe le contenu minimal : durée du traitement, nature et finalité, type de données personnelles, catégories de personnes concernées, obligations et droits du responsable de traitement. Ces éléments ne sont pas décoratifs : ils délimitent le périmètre de responsabilité du sous-traitant et servent de référence en cas de litige.
Deux prolongements sont fréquemment négligés. D'abord l'article 28(4), qui étend les obligations aux sous-traitants ultérieurs. Ensuite l'article 26, qui traite des responsables conjoints et exige un accord distinct. Pour une lecture détaillée clause par clause, voir GDPR Data Processing Agreement Clauses: A Practical Guide.
Les dix domaines de clauses obligatoires de l'article 28(3)
L'article 28(3) énumère les obligations que le contrat doit imposer au sous-traitant. En pratique, on les regroupe en dix domaines :
- Instruction documentée : le sous-traitant ne traite les données que sur instruction documentée du responsable de traitement, y compris pour les transferts hors UE.
- Confidentialité : les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale.
- Sécurité : application des mesures de l'article 32, proportionnées au risque.
- Sous-traitance ultérieure : respect des conditions des articles 28(2) et 28(4).
- Droits des personnes : assistance au responsable de traitement pour répondre aux demandes fondées sur les articles 12 à 23.
- Conformité : assistance pour les obligations des articles 32 à 36 — sécurité, notification des violations, analyse d'impact (DPIA), consultation préalable.
- Sort des données : suppression ou restitution au terme de la prestation, au choix du responsable de traitement.
- Audit et preuve : mise à disposition des informations nécessaires et droit d'audit, y compris sur site.
- Instructions illégales : information immédiate si une instruction constitue une violation du GDPR ou d'une autre disposition.
- Violations de données : notification au responsable de traitement sans délai injustifié.
Sous-traitants ultérieurs : autorisation générale ou spécifique
L'article 28(2) laisse le choix entre une autorisation générale écrite et une autorisation spécifique. L'autorisation générale est plus souple mais impose deux garde-fous : le responsable de traitement doit être informé de tout changement envisagé, et il doit disposer d'un délai raisonnable pour s'y opposer. Un délai de quinze jours ouvrés, avec notification écrite et liste annexée des sous-traitants, constitue une pratique défendable. Le contrat liant le sous-traitant ultérieur doit imposer les mêmes obligations que celles de l'article 28(3) : c'est le mécanisme de la chaîne de conformité.
GDPR data processing agreement clauses requirements step by step : la séquence en sept étapes
La méthode GDPR data processing agreement clauses requirements step by step s'applique aussi bien à un premier contrat qu'à une remise à niveau. Elle se déroule dans cet ordre.
Étape 1 — Cartographier. Recensez les traitements sous-traités dans le registre de l'article 30 : finalités, catégories de données, destinataires, durées de conservation, localisations.
Étape 2 — Qualifier les rôles. Responsable de traitement, sous-traitant, responsable conjoint : la qualification détermine le module contractuel applicable. Une erreur de qualification invalide toute l'architecture contractuelle.
Étape 3 — Choisir le socle. Pour les transferts hors UE, la décision d'exécution (UE) 2021/914 fournit quatre modules de clauses contractuelles types. Le module 2 couvre la relation responsable-vers-sous-traitant, le module 3 la relation sous-traitant-vers-sous-traitant.
Étape 4 — Rédiger les clauses de l'article 28(3). Reprenez les dix domaines ci-dessus et rattachez chaque clause à sa base légale. Une clause sans référence d'article est difficile à défendre en audit.
Étape 5 — Annexer les mesures techniques et organisationnelles. Chiffrement, gestion des accès, journalisation, tests d'intrusion, plan de continuité. Les annexes génériques copiées d'un modèle sont le premier point relevé par les auditeurs.
Étape 6 — Verrouiller les transferts. Décision d'adéquation au titre de l'article 45, sinon clauses contractuelles types complétées par une analyse des transferts (TIA) et, si nécessaire, des mesures supplémentaires.
Étape 7 — Piloter. Revues annuelles, mise à jour de la liste des sous-traitants, suivi des audits, gestion des écarts. La conformité est un cycle, pas une signature : c'est le socle de toute démarche GDPR data processing agreement clauses requirements step by step durable.
Annexes, documentation et preuve de conformité
La valeur probante d'un DPA dépend de sa traçabilité documentaire. La discipline familière aux organismes certifiés ISO 9001 — maîtrise des versions, approbation, diffusion contrôlée — s'applique directement. Les mêmes réflexes de gestion documentaire que ceux exigés par ISO 9001, ISO 14001 ou ISO 45001 réduisent le risque de divergence entre la politique de protection des données et les contrats réellement signés. Le guide The ISO 9001 documentation requirements guide: A Practical O détaille cette mécanique.
Trois pièces complètent utilement le dossier : le registre de l'article 30, la liste datée des sous-traitants ultérieurs, et les rapports d'audit ou certificats (ISO/IEC 27001, SOC 2) lorsque le sous-traitant en dispose. Ces éléments ne remplacent pas le contrat, mais ils alimentent l'analyse de risque. La logique de dossier technique structuré décrite dans EU CE Marking Technical File: A Practical Guide s'applique de la même manière : une revendication de conformité sans preuve documentaire reste une déclaration d'intention.
Transferts hors UE et clauses contractuelles types
Le chapitre V du GDPR encadre les transferts. Une décision d'adéquation au titre de l'article 45 suffit ; à défaut, les clauses contractuelles types de la décision 2021/914 constituent la voie la plus courante. Depuis l'arrêt Schrems II, l'analyse des transferts doit évaluer l'accès des autorités publiques du pays de destination et documenter les mesures compensatoires. Un DPA qui mentionne « clauses contractuelles types » sans module identifié ni annexe d'analyse reste incomplet.
Erreurs fréquentes et points de contrôle en audit
Cinq écarts reviennent systématiquement : un DPA non daté ou signé par une seule partie ; une liste de sous-traitants ultérieurs absente ou obsolète ; un délai de notification de 72 heures confondu avec l'obligation de notification sans délai injustifié de l'article 33 ; une clause de restitution des données muette sur le format et le délai ; des annexes de sécurité identiques pour tous les contrats. Corriger ces points avant un contrôle coûte moins cher qu'une mise en demeure, et beaucoup moins qu'une sanction au titre de l'article 83(5).
Faits clés
Affirmations lisibles par machine extraites des sources ci-dessus. Chaque fait conserve le même identifiant dans les six versions linguistiques.
Article 28(3)
Article 28(3) of the GDPR lists the minimum clauses required in a data processing agreement.
Identifiant du fait:
GDPR_article_28_3Controller-processor relationship
A DPA is required when a processor handles personal data on behalf of a controller.
Identifiant du fait:
dpa_triggerArticle 28(2)
Sub-processors require prior specific or general written authorization under Article 28(2).
Identifiant du fait:
sub_processor_rule72 hours
Controllers must notify supervisory authorities of a personal data breach within 72 hours under Article 33.
Identifiant du fait:
breach_notification_deadlineArticle 32
Security measures must be appropriate to the risk under Article 32.
Identifiant du fait:
security_standardChapter V
International transfers outside the EEA require a Chapter V mechanism such as SCCs or an adequacy decision.
Identifiant du fait:
transfer_mechanismArticle 28(9)
The DPA must be in writing, including electronic form, under Article 28(9).
Identifiant du fait:
dpa_form
Questions fréquentes
Un DPA est-il obligatoire même si le sous-traitant est établi hors de l'Union européenne ?
Oui. L'article 28(1) du GDPR s'applique dès que le traitement entre dans le champ territorial des articles 3(1) ou 3(2), quel que soit le lieu d'établissement du sous-traitant. Le contrat doit en outre couvrir le chapitre V lorsque des données sont transférées hors de l'Espace économique européen.
Quelle différence entre autorisation générale et autorisation spécifique des sous-traitants ultérieurs ?
L'autorisation spécifique exige l'accord du responsable de traitement pour chaque sous-traitant ultérieur. L'autorisation générale permet au sous-traitant d'en désigner librement, à condition d'informer le responsable de traitement de tout changement envisagé et de lui laisser un délai raisonnable pour s'y opposer, conformément à l'article 28(2).
Le sous-traitant doit-il notifier une violation de données dans les 72 heures ?
Non. Le délai de 72 heures de l'article 33 vise la notification à l'autorité de contrôle par le responsable de traitement. Le sous-traitant, lui, doit notifier le responsable de traitement sans délai injustifié après avoir pris connaissance de la violation, comme le prévoit l'article 28(3)(f).
Peut-on réutiliser un modèle de DPA pour tous ses fournisseurs ?
Le squelette contractuel peut être mutualisé, mais les annexes doivent être spécifiques : nature du traitement, catégories de données, durées de conservation, mesures techniques et organisationnelles, localisation des serveurs et liste des sous-traitants ultérieurs. Des annexes identiques pour tous les contrats constituent un signal d'alerte classique en audit.
Quel module de clauses contractuelles types choisir ?
Le module 2 de la décision d'exécution (UE) 2021/914 s'applique aux transferts d'un responsable de traitement vers un sous-traitant ; le module 3, aux transferts d'un sous-traitant vers un sous-traitant ultérieur. Le choix du module découle de la qualification des rôles réalisée à l'étape 2 de la méthode.
Sources et licences
Chaque affirmation de cet article renvoie aux sources listées ci-dessous. Les liens ouvrent directement le site de l’éditeur.
