Lorsqu’une entreprise fait traiter des données à caractère personnel par une partie externe, un DPA (Data Processing Agreement) n’est pas une formalité facultative. En vertu du GDPR, le traitement par un sous-traitant doit être régi par un contrat contraignant ou un autre acte juridique lorsque cette partie traite des données à caractère personnel pour le compte du responsable du traitement.
Pensez par exemple à un prestataire payroll externe, un fournisseur cloud, une plateforme CRM, un prestataire IT ou un partenaire marketing qui traite des données à caractère personnel selon les instructions de votre entreprise.
La première question n’est donc pas : “Travaillons-nous avec des données à caractère personnel ?”, mais bien : “Quel rôle a chaque partie ?”
Établir les responsabilités
Tout fournisseur externe n’est pas automatiquement un sous-traitant. Un responsable du traitement détermine pourquoi et de quelle manière les données à caractère personnel sont traitées. Un sous-traitant traite en revanche ces données pour le compte du responsable.
Cette distinction est cruciale, car ce n’est que lorsqu’il existe réellement une relation de sous-traitance que l’article 28 GDPR s’applique et qu’un DPA doit être conclu. Un fournisseur qui détermine lui-même les finalités et les moyens essentiels du traitement peut lui-même être responsable du traitement.
Appeler un contrat « DPA » ne change pas cette qualification juridique. Mieux encore : lorsqu’un sous-traitant commence lui-même à déterminer les finalités et les moyens d’un traitement, le GDPR le considère, pour ce traitement, comme responsable du traitement.
Un DPA doit être bien plus concret que « respecter le GDPR »
Un DPA correct ne se limite pas à indiquer que les parties respecteront la législation en matière de vie privée. L’article 28 GDPR exige notamment que soient consignés :
- l’objet et la durée du traitement ;
- la nature et la finalité du traitement ;
- les types de données à caractère personnel qui sont traités ;
- les catégories de personnes concernées ;
- les droits et obligations du responsable du traitement.
En outre, le sous-traitant doit notamment s’engager à ne traiter que sur instructions documentées, à garantir la confidentialité, à prendre des mesures de sécurité appropriées et à assister le responsable pour certaines obligations GDPR.
Un DPA d’une page dont le seul message est “le sous-traitant respecte le GDPR” est donc juridiquement particulièrement maigre.
Violations de données : convenir d’arrangements avant que les choses tournent mal
L’un des éléments les plus critiques d’un DPA est le protocole d’incident. En vertu du GDPR, un sous-traitant doit informer le responsable sans retard injustifié dès qu’une violation de données est découverte. Le responsable ne dispose en effet que de 72 heures pour informer l’autorité de contrôle et doit évaluer si les personnes concernées doivent également être averties.
« Sans retard injustifié » est trop vague dans la pratique. Un bon DPA rend cela opérationnel : dans combien d’heures le fournisseur signale-t-il l’incident (par exemple dans les 24 ou 48 heures) ? Quels détails techniques sont fournis immédiatement ? Qui examine la cause et qui supporte les coûts des mesures de réparation et de la communication externe ? En figeant cela contractuellement à l’avance, vous évitez une perte de temps coûteuse pendant une crise.
Vous ne pouvez pas écarter entièrement la responsabilité GDPR par contrat
Il existe ici une différence importante entre les arrangements commerciaux et la responsabilité légale. Les parties peuvent convenir contractuellement de la responsabilité, des garanties et de la répartition mutuelle des coûts. Mais une telle clause ne peut pas simplement éteindre les droits légaux des personnes concernées en vertu du GDPR.
Le GDPR connaît ses propres règles de responsabilité pour le dommage résultant d’une infraction. La responsabilité concrète dépend notamment du rôle de chaque partie, de la nature de l’infraction et des circonstances du dossier. Cela signifie qu’une entreprise ne peut pas se protéger entièrement en écrivant simplement dans un DPA que « toute la responsabilité incombe au sous-traitant ».
Un bon DPA répartit donc les risques contractuels, mais ne modifie pas automatiquement les responsabilités légales à l’égard des personnes concernées ou des autorités de contrôle.
Sous-traitants ultérieurs : qui se trouve réellement derrière votre fournisseur ?
Un point souvent sous-estimé est le recours à des sous-traitants ultérieurs. Un sous-traitant ne peut pas simplement faire appel à une autre partie pour le traitement. Une autorisation écrite préalable, spécifique ou générale, du responsable du traitement est requise. En cas d’autorisation générale, le responsable doit en outre être informé des modifications prévues, afin de pouvoir s’y opposer.
Cela est surtout pertinent chez les fournisseurs de cloud et de logiciels. Vous contractez par exemple avec un seul prestataire SaaS, mais plusieurs outils d’hébergement, de support ou d’analyse peuvent se trouver derrière ce service. En outre, le premier sous-traitant reste pleinement responsable vis-à-vis du responsable de l’exécution des obligations de protection des données de son sous-traitant ultérieur lorsque celui-ci y manque.
Où se trouvent vos données ?
La localisation géographique du traitement des données mérite également de l’attention.
Lorsque des données à caractère personnel sont transmises en dehors de l’Espace économique européen, des règles supplémentaires s’appliquent aux transferts internationaux. Un DPA à lui seul ne rend donc pas automatiquement un tel transfert licite. Dans la pratique, il convient dès lors d’examiner quelles parties ont accès aux données, où les systèmes sont hébergés et si des mécanismes ou garanties complémentaires sont nécessaires. Cela rend la liste des sous-traitants ultérieurs et de l’infrastructure IT utilisée juridiquement bien plus pertinente qu’il n’y paraît à première vue.
Que se passe-t-il après la fin de la collaboration ?
Un DPA doit également régler ce qu’il advient des données à caractère personnel lorsque le service prend fin.
Le GDPR prévoit que le sous-traitant doit, au choix du responsable du traitement, effacer ou restituer les données à caractère personnel à l’issue de la prestation de services, et supprimer les copies existantes, sauf si la loi impose une conservation ultérieure.
C’est dans la pratique un point de sortie important. Pouvez-vous récupérer techniquement vos données ? Dans quel format ? Dans quel délai ? Les sauvegardes sont-elles également effacées ? Qu’advient-il des données en cas de conflit ou de faillite du fournisseur ? Un DPA solide ne regarde donc pas seulement la collaboration d’aujourd’hui, mais aussi sa fin.
Un DPA ne remplace pas une politique de confidentialité ni un NDA
Un DPA, une politique de confidentialité et un NDA ont chacun une fonction différente.
Un DPA règle la relation entre un responsable du traitement et un sous-traitant. Une politique ou déclaration de confidentialité concerne notamment la manière dont les données à caractère personnel sont traitées et les informations à fournir aux personnes concernées. Un NDA protège quant à lui les informations confidentielles au sens plus large. Ces documents peuvent se compléter, mais ne sont pas juridiquement interchangeables.
Un contrat de collaboration ou un contrat de management peut également contenir des clauses de vie privée, mais lorsque l’article 28 GDPR s’applique, les éléments obligatoires de l’accord de sous-traitance doivent être présents. La Commission européenne a même établi des clauses contractuelles types que les parties peuvent utiliser en tout ou en partie.
Un modèle standard raconte rarement toute l’histoire
Un DPA générique peut être un bon point de départ, mais la véritable valeur réside dans l’alignement sur le traitement concret. Un prestataire payroll traite d’autres données et porte d’autres risques qu’un hébergeur cloud ou un bureau de marketing. Les mesures de sécurité, les délais de conservation, les sous-traitants ultérieurs, les transferts internationaux et le soutien aux demandes des personnes concernées peuvent également fortement différer.
Il est dès lors utile de ne pas seulement demander s’il existe « un DPA », mais aussi si cet accord correspond à ce qui se passe réellement dans la pratique. Un DPA rédigé de manière professionnelle n’assure pas seulement la compliance, mais rend également clair qui porte quelle responsabilité lorsque des données à caractère personnel sont traitées, qu’un incident survient ou que la collaboration prend fin. Et c’est précisément là que réside la plus-value juridique : non pas dans le plus grand nombre possible de clauses, mais dans des arrangements qui s’alignent sur les flux de données et les risques réels de l’entreprise.
