DPA (accord de traitement des données)

Définition

Le DPA (Data Processing Agreement, accord de traitement des données) est le contrat, ou l’annexe contractuelle, qui encadre le traitement de données personnelles réalisé par un sous-traitant pour le compte d’un responsable de traitement, conformément à l’article 28 du RGPD. Son contenu minimal est fixé par le règlement lui-même : c’est l’un des rares contrats dont la loi dicte la table des matières.

Enjeux et pratique

Le DPA est obligatoire dès qu’un prestataire traite des données personnelles pour le compte de l’entreprise : hébergeur, éditeur SaaS, agence marketing, paie externalisée, support client. Son contenu imposé couvre l’objet et la durée du traitement, sa nature et sa finalité, les types de données et catégories de personnes, et les obligations du sous-traitant : traiter sur instructions documentées, garantir la confidentialité des personnels, assurer la sécurité, encadrer la sous-traitance ultérieure (autorisation préalable, répercussion des obligations), assister le responsable (droits des personnes, violations, analyses d’impact), supprimer ou restituer les données en fin de contrat, et se soumettre aux audits.

Trois pièges récurrents méritent l’attention. Le DPA standard de l’éditeur : la plupart des prestataires imposent leur propre DPA, souvent équilibré à leur avantage (sous-traitants ultérieurs autorisés en bloc avec simple information, plafonds de responsabilité du contrat principal étendus aux manquements données, audits réduits à la fourniture de certifications) ; ces points se négocient selon le rapport de force, mais doivent au moins être identifiés et acceptés en connaissance. La dérive du périmètre : le traitement réel évolue (nouvelles fonctionnalités, nouveaux sous-traitants, IA ajoutée par mise à jour) sans que le DPA suive ; un DPA exact à la signature devient faux silencieusement. L’articulation avec le contrat principal : hiérarchie entre les deux documents, cohérence des responsabilités et des durées, sort du DPA en cas de cession du contrat.

À l’échelle du portefeuille, le DPA est un objet de gestion comme un autre : savoir quels contrats en ont un, en quelle version, avec quels sous-traitants ultérieurs déclarés, et lesquels n’en ont pas alors qu’ils le devraient. C’est la requête que tout contrôle CNIL déclenche.

Exemple concret

Une entreprise recense ses DPA : sur 60 prestataires identifiés comme traitant des données personnelles, 38 ont un DPA signé, dont 11 dans des versions antérieures aux clauses types actuelles, et 22 n’en ont aucun, principalement des outils SaaS souscrits en ligne. Le plan de remédiation priorise par sensibilité des données : paie et RH d’abord, marketing ensuite. Six mois de travail pour un état que le référentiel aurait dû fournir en continu.

Question fréquente

Le DPA doit-il être un document séparé du contrat principal ?

Non, la forme est libre : annexe du contrat principal, document autonome ou clauses intégrées, pourvu que le contenu de l’article 28 y soit et que l’articulation avec le reste du contrat soit claire (hiérarchie, responsabilité, durée). En pratique, l’annexe dédiée facilite la mise à jour et la production en cas de contrôle.