Accord de traitement des données (DPA) : Guide RGPD
_FR%20(1).png)
DPO Consulting Rejoint Grant Thornton
Sommaire :
Si votre organisation traite des données personnelles, vous devez être en conformité avec le RGPD. Et pour cela, une seule solution : souscrire à un Data Processing Agreement (DPA).
Dans cet article, le contrat DPA est expliqué en détail, ainsi que ses avantages pour votre organisation. Vous pourrez télécharger et personnaliser le modèle d'accord de traitement des données.
Le DPA RGPD est un contrat. Si votre entreprise fait partie de l’Union européenne et possède des données personnelles, vous devez y souscrire. Cela a été rendu obligatoire par le Règlement Général sur la Protection des Données (RGPD), qui supervise le traitement des données à caractère personnel et leur circulation.
Mais qu'est-ce qu'un accord de traitement des données ?
Le DPA est signé par le responsable du traitement et le sous-traitant des données. Il définit les responsabilités de chacun afin que le traitement des données soit confidentiel et sécurisé. Plus précisément, l’objectif est de :
Toute entreprise qui fait circuler des données personnelles doit signer un contrat DPA RGPD. Cela inclut le traitement des données physiques ainsi que leur analyse et leur stockage.
Mais quand est-ce qu’un accord de traitement des données est-il requis ?
Si votre entreprise traite des données qui ne sont pas personnelles, alors le DPA n’est pas requis. Si vous pensez être exempt d’un DPA, renseignez-vous auprès de professionnels.
Le DPA RGPD est un contrat de sous-traitance des données. Les données ne sont traitées que sur instruction du responsable du traitement : cela inclut les transferts de données vers un pays tiers ou une organisation internationale.
Il est important d’inclure une clause de confidentialité dans le DPA afin de protéger les données contre une éventuelle fuite. La seule exception, c’est si ces données enfreignent un droit de l’Union ou de l’État membre du sous-traitant. Dans ce cas, le sous-traitant doit informer le responsable du traitement (cette étape peut être sautée si l’intérêt public est en cause).
L’établissement d’un contrat est nécessaire dès qu’un responsable de traitement engage un sous-traitant. S’il n’y a pas de DPA, alors les conditions du RGPD ne sont pas respectées.
Qu'est-ce qu'un accord de traitement des données, et comment s’assurer que son entreprise est aux normes RGPD ? Si le sujet vous intéresse, n’hésitez pas à consulter ce guide de conformité au RGPD.
Pour résumer : si votre entreprise traite des données personnelles, vous devez établir un contrat avec un sous-traitant.
Si vous traitez des données personnelles mais n’avez pas signé de DPA, alors vous :
Un DPA RGPD est signé entre deux acteurs : un responsable du traitement et un sous-traitant. Il peut aussi inclure un sous-traitant ultérieur.
Le responsable du traitement est interne à l’entreprise. C’est lui qui décide comment traiter les données personnelles.
C’est le supérieur du sous-traitant, et c’est lui qui fait le lien avec l’organisation.
Le sous-traitant est engagé par l’organisation pour traiter les données. Il doit :
Le sous-traitant peut engager un autre sous-traitant, mais il doit au préalable obtenir l’autorisation du responsable du traitement.
Le sous-traitant ultérieur est soumis aux mêmes obligations que le sous-traitant initial. Si le sous-traitant ultérieur ne les respecte pas, le sous-traitant initial est responsable.
Un contrat DPA doit contenir plusieurs clauses qui dépendent des exigences de l’entreprise et des demandes du sous-traitant.
L’article 28.1 précise les obligations auxquelles les organisations doivent se soumettre pour garantir la protection des données personnelles. Le contrat doit inclure :
Tout traitement de données personnelles effectué par un sous-traitant doit être précédé de la rédaction d’un contrat écrit. Si le sous-traitant n’accepte pas de signer ce contrat, l’organisation doit faire appel à quelqu’un d’autre.
Donc, pour répondre à la question de savoir quand est-ce qu’un accord de traitement des données est requis : dès que vous engagez un sous-traitant.
Le DPA RGPD permet de s’assurer de la sécurité et de la confidentialité des informations personnelles : il met en place des obligations strictes auxquelles le sous-traitant doit obéir. C’est à lui de mettre en œuvre des mesures techniques et organisationnelles pour adapter la sécurité aux risques.
Pour cela, il doit :
Le responsable répond aux personnes qui le contactent pour exercer leur droit. C’est à lui que les clients ont affaire s’ils veulent exercer leur droit d’effacement ou leur droit de modification.
Une fois que le responsable a été informé d’une demande précise, il prévient le sous-traitant qui agit sur les données.
Si le sous-traitant détecte une violation des données, il se doit d’en informer le responsable du traitement le plus rapidement possible (il est possible que la durée d’attente maximale soit précisée dans le contrat). Ce dernier doit ensuite faire remonter l’information à l’autorité de contrôle dans les 72 heures.
Le sous-traitant met à disposition du responsable toutes les informations nécessaires pour la protection des données. Il s’assure qu’il est possible de mettre en place des audits de conformité RGPD.
Ces audits sont réalisés par le responsable du traitement ou par un autre auditeur mandaté à ses soins. Le sous-traitant contribue à ces audits si nécessaire.
C’est le responsable du traitement qui donne l’ordre de restituer ou de supprimer des données. Cet ordre vient de lui ou d’un client. Une fois la demande reçue, le sous-traitant y obéit.
Lorsque le contrat prend fin ou lorsque la prestation relative au traitement se termine, le sous-traitant doit supprimer les données à caractère personnel ou les renvoyer au responsable du traitement.
À moins qu’une obligation légale exige la conservation des données, le sous-traitant doit détruire les copies.
Le sous-traitant peut engager un autre sous-traitant, qui obéit aux mêmes obligations stipulées dans son contrat. Il en est le responsable.
Pour recruter un sous-traitant ultérieur, il y a deux options.
Dans les deux cas, le DPA RGPD doit mentionner la possibilité de faire appel à un autre sous-traitant.
Pour que le sous-traitant puisse engager un sous-traitant ultérieur, il doit obtenir l’autorisation du responsable. Cette autorisation peut être spécifique (le nouveau sous-traitant est approuvé individuellement) ou générale (le sous-traitant est libre de choisir).
Si le sous-traitant effectue un changement qui risque d’affecter les données personnelles, il doit informer le responsable. Cela inclut :
Les sous-traitants ultérieurs sont soumis aux mêmes obligations que le sous-traitant principal. Il est responsable de leurs actions et doit s’assurer du bon déroulement du processus.
Ainsi, les informations sont d’abord transmises par le responsable du traitement aux sous-traitants, puis seulement aux sous-traitants ultérieurs. À l’inverse, les sous-traitants ultérieurs doivent d’abord informer le sous-traitant principal de leurs avancées et découvertes.
Un contrat DPA doit contenir certaines informations essentielles et d’autres qui peuvent être personnalisées. Vous trouverez dans cet article un modèle d'accord de traitement des données à télécharger.
Un DPA RGPD doit préciser la durée du contrat, son objet et les conditions de sous-traitance, entre autres.
Vous pouvez utiliser ce modèle complet et l’adapter selon vos besoins.
Vous pouvez personnaliser ce modèle en indiquant les informations qui sont utiles pour votre DPA. La durée, l’objet et les conditions de sous-traitance dépendent de vos préférences. Vous pouvez également ajouter des clauses facultatives.
Les sections courantes d’un DPA inclues :
L’erreur la plus courante est de signer un contrat de DPA RGPD trop vague, qui ne correspond pas réellement à vos besoins. Il est également possible de ne pas remplir clairement les responsabilités et d’oublier de stipuler comment les sous-traitants ultérieurs peuvent être recrutés.
Il est particulièrement important d’inclure une clause précisant comment le contrat peut être annulé et par qui. C’est nécessaire en cas de conflit.
DPO Consulting est un groupe d’experts qui vous accompagne dans vos démarches pour être conforme au RGPD. Il s’agit de la première solution DPO externalisée en France, à laquelle plus de 800 clients font confiance. Cette organisation a 15 ans d’expertise et saura vous faire gagner du temps durant le processus.
Grâce à leur offre de DPO externalisé, vous pouvez faire appel à des professionnels pour régler les détails de sécurité dont vous n’êtes pas forcément au courant. En leur faisant confiance, vous vous assurez d’être en conformité avec toutes les normes, même celles que vous ne connaissez pas. Cela vous permet d’économiser du temps, et donc de l’argent.
Vous pouvez dès à présent planifier une consultation pour établir un contrat ou simplement demander plus d’informations.
Oui. Un DPA peut être signé électroniquement si les deux parties approuvent.
Si un même contrat concerne plusieurs fournisseurs d’un même groupe, un seul contrat est nécessaire.
Oui, si elles sont clairement définies dans le contrat.
Si un sous-traitant refuse de signer un DPA, il est déconseillé de travailler avec lui, au risque d’exposer son entreprise à des risques juridiques.
Oui, si cette modification est approuvée par les deux parties.
Oui : le contrat a une durée spécifique.
Dr. Thiébaut Devergranne (2026, 10 juillet), Modèle DPA 2026 : accord de sous-traitance article 28 RGPD + template complet. Legiscope.
https://www.legiscope.com/blog/modele-dpa-accord-sous-traitance.html
.svg)
%20(1).png)
.png)
