{"id":3838,"date":"2026-05-28T11:29:09","date_gmt":"2026-05-28T11:29:09","guid":{"rendered":"https:\/\/www.nonzerosum.be\/responsabilite-en-matiere-de-traitement-des-donnees-importance-dun-dpa\/"},"modified":"2026-10-27T16:11:47","modified_gmt":"2026-10-27T16:11:47","slug":"responsabilite-en-matiere-de-traitement-des-donnees-importance-dun-dpa","status":"publish","type":"post","link":"https:\/\/www.nonzerosum.be\/fr\/responsabilite-en-matiere-de-traitement-des-donnees-importance-dun-dpa\/","title":{"rendered":"Responsabilit\u00e9 en mati\u00e8re de traitement des donn\u00e9es : l\u2019importance d\u2019un DPA"},"content":{"rendered":"
\n
\n
\n \n\n

Lorsqu\u2019une entreprise fait traiter des donn\u00e9es \u00e0 caract\u00e8re personnel par une partie externe, un DPA (Data Processing Agreement)<\/strong> n\u2019est pas une formalit\u00e9 facultative. En vertu du GDPR, le traitement par un sous-traitant doit \u00eatre r\u00e9gi par un contrat contraignant ou un autre acte juridique lorsque cette partie traite des donn\u00e9es \u00e0 caract\u00e8re personnel pour le compte du<\/strong> responsable du traitement. <\/p>\n\n\n\n

<\/h4>\n\n\n\n

Pensez par exemple \u00e0 un prestataire payroll externe, un fournisseur cloud, une plateforme CRM, un prestataire IT ou un partenaire marketing qui traite des donn\u00e9es \u00e0 caract\u00e8re personnel selon les instructions de votre entreprise.<\/p>\n\n\n\n

<\/h4>\n\n\n\n

La premi\u00e8re question n\u2019est donc pas : \u201cTravaillons-nous avec des donn\u00e9es \u00e0 caract\u00e8re personnel ?\u201d<\/em>, mais bien : \u201cQuel r\u00f4le a chaque partie ?\u201d<\/strong><\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

\n
\n
\n \n\n

\u00c9tablir les responsabilit\u00e9s<\/h2>\n\n\n\n

Tout fournisseur externe n\u2019est pas automatiquement un sous-traitant. Un responsable du traitement<\/strong> d\u00e9termine pourquoi et de quelle mani\u00e8re les donn\u00e9es \u00e0 caract\u00e8re personnel sont trait\u00e9es. Un sous-traitant<\/strong> traite en revanche ces donn\u00e9es pour le compte du responsable.<\/p>\n\n\n\n

<\/h4>\n\n\n\n

Cette distinction est cruciale, car ce n\u2019est que lorsqu\u2019il existe r\u00e9ellement une relation de sous-traitance que l\u2019article 28 GDPR s\u2019applique et qu\u2019un DPA doit \u00eatre conclu. Un fournisseur qui d\u00e9termine lui-m\u00eame les finalit\u00e9s et les moyens essentiels du traitement peut lui-m\u00eame \u00eatre responsable du traitement. <\/p>\n\n\n\n

<\/h4>\n\n\n\n

Appeler un contrat \u00ab DPA \u00bb ne change pas cette qualification juridique. Mieux encore : lorsqu\u2019un sous-traitant commence lui-m\u00eame \u00e0 d\u00e9terminer les finalit\u00e9s et les moyens d\u2019un traitement, le GDPR le consid\u00e8re, pour ce traitement, comme responsable du traitement. <\/p>\n\n\n\n

Un DPA doit \u00eatre bien plus concret que \u00ab respecter le GDPR \u00bb<\/h3>\n\n\n\n

Un DPA correct ne se limite pas \u00e0 indiquer que les parties respecteront la l\u00e9gislation en mati\u00e8re de vie priv\u00e9e. L\u2019article 28 GDPR<\/strong> exige notamment que soient consign\u00e9s :<\/p>\n\n\n\n

    \n
  • l\u2019objet et la dur\u00e9e du traitement ;<\/li>\n\n\n\n
  • la nature et la finalit\u00e9 du traitement ;<\/li>\n\n\n\n
  • les types de donn\u00e9es \u00e0 caract\u00e8re personnel qui sont trait\u00e9s ;<\/li>\n\n\n\n
  • les cat\u00e9gories de personnes concern\u00e9es ;<\/li>\n\n\n\n
  • les droits et obligations du responsable du traitement. <\/li>\n<\/ul>\n\n\n\n

    En outre, le sous-traitant doit notamment s\u2019engager \u00e0 ne traiter que sur instructions document\u00e9es, \u00e0 garantir la confidentialit\u00e9, \u00e0 prendre des mesures de s\u00e9curit\u00e9 appropri\u00e9es et \u00e0 assister le responsable pour certaines obligations GDPR. <\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Un DPA d\u2019une page dont le seul message est \u201cle sous-traitant respecte le GDPR\u201d<\/em> est donc juridiquement particuli\u00e8rement maigre.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    Violations de donn\u00e9es : convenir d\u2019arrangements avant que les choses tournent mal<\/h2>\n\n\n\n

    L\u2019un des \u00e9l\u00e9ments les plus critiques d\u2019un DPA est le protocole d\u2019incident. En vertu du GDPR, un sous-traitant doit informer le responsable\u00a0sans retard injustifi\u00e9<\/em>\u00a0d\u00e8s qu\u2019une violation de donn\u00e9es est d\u00e9couverte. Le responsable ne dispose en effet que de 72 heures pour informer l\u2019autorit\u00e9 de contr\u00f4le et doit \u00e9valuer si les personnes concern\u00e9es doivent \u00e9galement \u00eatre averties.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    \u00ab Sans retard injustifi\u00e9 \u00bb est trop vague dans la pratique. Un bon DPA rend cela op\u00e9rationnel : dans combien d\u2019heures le fournisseur signale-t-il l\u2019incident (par exemple dans les 24 ou 48 heures) ? Quels d\u00e9tails techniques sont fournis imm\u00e9diatement ? Qui examine la cause et qui supporte les co\u00fbts des mesures de r\u00e9paration et de la communication externe ? En figeant cela contractuellement \u00e0 l\u2019avance, vous \u00e9vitez une perte de temps co\u00fbteuse pendant une crise.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    Vous ne pouvez pas \u00e9carter enti\u00e8rement la responsabilit\u00e9 GDPR par contrat<\/h2>\n\n\n\n

    Il existe ici une diff\u00e9rence importante entre les arrangements commerciaux et la responsabilit\u00e9 l\u00e9gale. Les parties peuvent convenir contractuellement de la responsabilit\u00e9, des garanties et de la r\u00e9partition mutuelle des co\u00fbts. Mais une telle clause ne peut pas simplement \u00e9teindre les droits l\u00e9gaux des personnes concern\u00e9es en vertu du GDPR.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Le GDPR conna\u00eet ses propres r\u00e8gles de responsabilit\u00e9 pour le dommage r\u00e9sultant d\u2019une infraction. La responsabilit\u00e9 concr\u00e8te d\u00e9pend notamment du r\u00f4le de chaque partie, de la nature de l\u2019infraction et des circonstances du dossier. Cela signifie qu\u2019une entreprise ne peut pas se prot\u00e9ger enti\u00e8rement en \u00e9crivant simplement dans un DPA que \u00ab toute la responsabilit\u00e9 incombe au sous-traitant \u00bb.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Un bon DPA r\u00e9partit donc les risques contractuels<\/strong>, mais ne modifie pas automatiquement les responsabilit\u00e9s l\u00e9gales \u00e0 l\u2019\u00e9gard des personnes concern\u00e9es ou des autorit\u00e9s de contr\u00f4le.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    Sous-traitants ult\u00e9rieurs : qui se trouve r\u00e9ellement derri\u00e8re votre fournisseur ?<\/h2>\n\n\n\n

    Un point souvent sous-estim\u00e9 est le recours \u00e0 des\u00a0sous-traitants ult\u00e9rieurs<\/strong>. Un sous-traitant ne peut pas simplement faire appel \u00e0 une autre partie pour le traitement. Une autorisation \u00e9crite pr\u00e9alable, sp\u00e9cifique ou g\u00e9n\u00e9rale, du responsable du traitement est requise. En cas d\u2019autorisation g\u00e9n\u00e9rale, le responsable doit en outre \u00eatre inform\u00e9 des modifications pr\u00e9vues, afin de pouvoir s\u2019y opposer.\u00a0<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Cela est surtout pertinent chez les fournisseurs de cloud et de logiciels.<\/strong> Vous contractez par exemple avec un seul prestataire SaaS, mais plusieurs outils d\u2019h\u00e9bergement, de support ou d\u2019analyse peuvent se trouver derri\u00e8re ce service. En outre, le premier sous-traitant reste pleinement responsable vis-\u00e0-vis du responsable de l\u2019ex\u00e9cution des obligations de protection des donn\u00e9es<\/strong> de son sous-traitant ult\u00e9rieur lorsque celui-ci y manque.\u00a0<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    O\u00f9 se trouvent vos donn\u00e9es ?<\/h2>\n\n\n\n

    La localisation g\u00e9ographique du traitement des donn\u00e9es m\u00e9rite \u00e9galement de l\u2019attention.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Lorsque des donn\u00e9es \u00e0 caract\u00e8re personnel sont transmises en dehors de l\u2019Espace \u00e9conomique europ\u00e9en<\/strong>, des r\u00e8gles suppl\u00e9mentaires s\u2019appliquent aux transferts internationaux. Un DPA \u00e0 lui seul ne rend donc pas automatiquement un tel transfert licite. Dans la pratique, il convient d\u00e8s lors d\u2019examiner quelles parties ont acc\u00e8s aux donn\u00e9es, o\u00f9 les syst\u00e8mes sont h\u00e9berg\u00e9s et si des m\u00e9canismes ou garanties compl\u00e9mentaires sont n\u00e9cessaires. Cela rend la liste des sous-traitants ult\u00e9rieurs et de l\u2019infrastructure IT utilis\u00e9e juridiquement bien plus pertinente qu\u2019il n\u2019y para\u00eet \u00e0 premi\u00e8re vue.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    Que se passe-t-il apr\u00e8s la fin de la collaboration ?<\/h2>\n\n\n\n

    Un DPA doit \u00e9galement r\u00e9gler ce qu\u2019il advient des donn\u00e9es \u00e0 caract\u00e8re personnel lorsque le service prend fin.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Le GDPR pr\u00e9voit que le sous-traitant doit, au choix du responsable du traitement, effacer ou restituer<\/strong> les donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 l\u2019issue de la prestation de services, et supprimer les copies existantes, sauf si la loi impose une conservation ult\u00e9rieure. <\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    C\u2019est dans la pratique un point de sortie important. Pouvez-vous r\u00e9cup\u00e9rer techniquement vos donn\u00e9es ? Dans quel format ? Dans quel d\u00e9lai ? Les sauvegardes sont-elles \u00e9galement effac\u00e9es ? Qu\u2019advient-il des donn\u00e9es en cas de conflit ou de faillite du fournisseur ? Un DPA solide ne regarde donc pas seulement la collaboration d\u2019aujourd\u2019hui, mais aussi sa fin.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    Un DPA ne remplace pas une politique de confidentialit\u00e9 ni un NDA<\/h2>\n\n\n\n

    Un DPA<\/strong>, une politique de confidentialit\u00e9 et un NDA ont chacun une fonction diff\u00e9rente.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Un DPA r\u00e8gle la relation entre un responsable du traitement et un sous-traitant. Une politique ou d\u00e9claration de confidentialit\u00e9 concerne notamment la mani\u00e8re dont les donn\u00e9es \u00e0 caract\u00e8re personnel sont trait\u00e9es et les informations \u00e0 fournir aux personnes concern\u00e9es. Un NDA prot\u00e8ge quant \u00e0 lui les informations confidentielles au sens plus large. Ces documents peuvent se compl\u00e9ter, mais ne sont pas juridiquement interchangeables.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Un contrat de collaboration ou un contrat de management<\/strong> peut \u00e9galement contenir des clauses de vie priv\u00e9e, mais lorsque l\u2019article 28 GDPR s\u2019applique, les \u00e9l\u00e9ments obligatoires de l\u2019accord de sous-traitance doivent \u00eatre pr\u00e9sents. La Commission europ\u00e9enne a m\u00eame \u00e9tabli des clauses contractuelles types que les parties peuvent utiliser en tout ou en partie.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n

    \n
    \n
    \n \n\n

    Un mod\u00e8le standard raconte rarement toute l\u2019histoire<\/h2>\n\n\n\n

    Un DPA g\u00e9n\u00e9rique peut \u00eatre un bon point de d\u00e9part, mais la v\u00e9ritable valeur r\u00e9side dans l\u2019alignement sur le traitement concret. Un prestataire payroll traite d\u2019autres donn\u00e9es et porte d\u2019autres risques qu\u2019un h\u00e9bergeur cloud ou un bureau de marketing. Les mesures de s\u00e9curit\u00e9, les d\u00e9lais de conservation, les sous-traitants ult\u00e9rieurs, les transferts internationaux et le soutien aux demandes des personnes concern\u00e9es peuvent \u00e9galement fortement diff\u00e9rer.<\/p>\n\n\n\n

    <\/h4>\n\n\n\n

    Il est d\u00e8s lors utile de ne pas seulement demander s\u2019il existe \u00ab un DPA \u00bb, mais aussi si cet accord correspond \u00e0 ce qui se passe r\u00e9ellement dans la pratique. Un DPA r\u00e9dig\u00e9 de mani\u00e8re professionnelle n\u2019assure pas seulement la\u00a0compliance<\/strong>, mais rend \u00e9galement clair qui porte quelle responsabilit\u00e9 lorsque des donn\u00e9es \u00e0 caract\u00e8re personnel sont trait\u00e9es, qu\u2019un incident survient ou que la collaboration prend fin. Et c\u2019est pr\u00e9cis\u00e9ment l\u00e0 que r\u00e9side la plus-value juridique : non pas dans le plus grand nombre possible de clauses, mais dans des arrangements qui s\u2019alignent sur les flux de donn\u00e9es et les risques r\u00e9els de l\u2019entreprise.<\/p>\n\n <\/div>\n <\/div>\n<\/section>\n\n\n\n

    <\/p>\n","protected":false},"excerpt":{"rendered":"

    L\u2019externalisation du traitement des donn\u00e9es \u00e0 des partenaires externes entra\u00eene des obligations GDPR strictes que vous ne pouvez pas simplement \u00e9carter par contrat. D\u00e9couvrez pourquoi un Data Processing Agreement (DPA) r\u00e9fl\u00e9chi est indispensable pour figer les r\u00f4les, les obligations de notification en cas de violation de donn\u00e9es et les arrangements relatifs aux sous-traitants ult\u00e9rieurs.<\/p>\n","protected":false},"author":0,"featured_media":515,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","nzs_testimonials_section_type":""},"categories":[42],"tags":[],"class_list":["post-3838","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-non-classe"],"_links":{"self":[{"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/posts\/3838","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/comments?post=3838"}],"version-history":[{"count":1,"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/posts\/3838\/revisions"}],"predecessor-version":[{"id":3868,"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/posts\/3838\/revisions\/3868"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/media\/515"}],"wp:attachment":[{"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/media?parent=3838"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/categories?post=3838"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.nonzerosum.be\/fr\/wp-json\/wp\/v2\/tags?post=3838"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}