Un Data Processing Agreement (DPA) encadre le traitement effectué par un sous-traitant pour le compte d’un responsable. La sanction MOBIUS SOLUTIONS LTD du 11 décembre 2025, d’un million d’euros, rappelle notamment l’importance de supprimer les copies à la fin de la prestation. Cette décision concernant le sous-traitant ne permet pas de déduire à elle seule la responsabilité contractuelle de son client.
Cet article fournit une trame de travail à adapter, accompagnée des points à vérifier avant signature. Il sert à discuter les clauses et à compléter leurs annexes avec le fournisseur ; la rédaction finale doit refléter les choix effectivement retenus. Les délais et mesures proposés sont des choix contractuels : ils ne sont pas tous imposés par le RGPD. Complétez les annexes, vérifiez les rôles et adaptez les clauses au service, aux risques et au droit applicable.
Pour le cadre général de l’article 28, voir notre guide article 28 RGPD. Pour la distinction avec la co-responsabilité, article 28 vs article 26 RGPD.
Points clés
- L’article 28(3) comprend un chapeau descriptif et huit groupes d’obligations, de a) à h), ainsi qu’un devoir d’alerte sur les instructions illicites.
- Le contrat ne décharge ni le responsable ni le sous-traitant de leurs obligations propres.
- Les clauses types de la décision 2021/915 concernent la relation responsable/sous-traitant ; celles de la décision 2021/914 concernent certains transferts internationaux. Elles ne sont pas interchangeables.
- Un rapport ISO 27001 ou SOC 2 peut contribuer à l’évaluation des garanties ; il ne supprime pas les droits d’information et d’audit de l’article 28.
1. Relier chaque exigence à une clause et à une annexe
| Exigence | Référence | Emplacement à vérifier |
|---|---|---|
| Objet, durée, nature, finalités, données, personnes, droits et obligations du responsable | Chapeau de l’article 28(3) | Contrat et description du traitement |
| Instructions, notamment sur les transferts | a) | Article 3 et annexe des flux |
| Confidentialité des personnes autorisées | b) | Article 4 |
| Mesures de sécurité | c) | Article 5 et mesures détaillées |
| Sous-traitants ultérieurs | d), paragraphes 2 et 4 | Article 6, liste et autorisation |
| Assistance pour l’exercice des droits | e) | Article 7 et procédure de transmission |
| Assistance pour les articles 32 à 36 | f) | Article 8, sécurité, AIPD et consultation préalable |
| Restitution ou suppression, y compris copies | g) | Article 11 et calendrier de sortie |
| Informations, audits et inspections | h) | Article 9 |
Le sous-traitant doit aussi informer immédiatement le responsable lorsqu’il estime qu’une instruction enfreint le RGPD ou d’autres dispositions de protection des données de l’Union ou des États membres. Comparez le résultat aux clauses officielles 2021/915 et aux lignes directrices 07/2020 du CEPD.
2. Modèle DPA — clauses à compléter et à négocier
Préambule
Le présent Accord de Traitement de Données (ci-après "DPA") complète
le Contrat de Service signé le [date] entre [Responsable de Traitement,
adresse, n° SIRET] (ci-après "Responsable") et [Sous-traitant, adresse,
n° SIRET] (ci-après "Sous-traitant").
Le présent DPA prévaut sur toute clause contraire du Contrat de Service
en matière de protection des données personnelles.
Article 1 — Définitions
Les termes "données personnelles", "traitement", "violation de données",
"personne concernée", "responsable de traitement", "sous-traitant" ont
le sens qui leur est donné par l'article 4 du Règlement (UE) 2016/679
(RGPD).
Article 2 — Objet, nature et finalité du traitement (Annexe 1)
Le Sous-traitant traite les données personnelles décrites en Annexe 1
("Description du traitement"), pour la seule finalité d'exécution du
Contrat de Service.
Annexe 1 doit contenir :
- Objet du traitement : [exemple : hébergement et traitement des données
clients dans le cadre de l'application X]
- Durée : [durée du Contrat de Service + délai de restitution]
- Nature : [collecte, stockage, consultation, suppression]
- Finalité : [exécution du contrat]
- Type de données : [données d'identification, coordonnées, etc.]
- Catégories de personnes concernées : [clients, salariés, prospects]
Article 3 — Instructions documentées
Le Sous-traitant ne traite les données que sur instruction documentée
du Responsable, y compris pour les transferts vers un pays tiers,
sauf obligation résultant du droit de l'Union ou du droit de l'État membre
auquel le Sous-traitant est soumis. Dans ce dernier cas, le Sous-traitant en informe le Responsable
avant le traitement, sauf si le droit applicable interdit cette
information pour des motifs d'intérêt public.
Le Contrat de Service et ses annexes constituent l'instruction initiale
du Responsable. Toute instruction complémentaire est formalisée par
écrit (courriel, ticket de support, avenant).
Le Sous-traitant informe immédiatement le Responsable s'il considère
qu'une instruction constitue une violation du RGPD ou d'autres
dispositions de protection des données.
Article 4 — Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter
les données personnelles s'engagent à respecter la confidentialité ou
soient soumises à une obligation légale appropriée de confidentialité.
Le Sous-traitant tient à jour la liste des personnes autorisées et
limite l'accès au strict nécessaire à l'exécution du Contrat.
Article 5 — Mesures de sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles
appropriées au sens de l'article 32 RGPD, notamment :
a) Chiffrement des données en transit (TLS 1.2 ou supérieur) et au repos
(AES-256 ou équivalent) ;
b) Contrôle d'accès logique avec authentification multifacteur pour les
accès administratifs ;
c) Journalisation des accès aux données sensibles, conservation des logs
pendant [durée] mois ;
d) Sauvegardes régulières et testées ;
e) Procédure documentée de gestion des incidents de sécurité ;
f) Formation annuelle du personnel à la protection des données.
Les mesures détaillées figurent en Annexe 2 ("Mesures de sécurité").
Toute modification substantielle des mesures de sécurité est notifiée
au Responsable.
Article 6 — Sous-traitance ultérieure
Le Responsable accorde une autorisation écrite générale pour les
sous-traitants ultérieurs figurant en Annexe 3. Tout ajout ou remplacement
est soumis aux conditions suivantes :
a) Information préalable du Responsable, par écrit, avec un préavis de
30 jours ;
b) Droit d'opposition motivée du Responsable ;
c) Engagement contractuel du sous-traitant ultérieur dans des termes
au moins équivalents au présent DPA ;
d) Responsabilité pleine et entière du Sous-traitant pour les actions
du sous-traitant ultérieur.
La liste des sous-traitants ultérieurs autorisés à la signature du présent
DPA figure en Annexe 3. Cette annexe est mise à jour par avenant.
Article 7 — Assistance aux demandes des personnes concernées
Le Sous-traitant met à disposition du Responsable, dans la mesure du
possible, les fonctionnalités permettant de répondre aux demandes
d'exercice des droits prévus aux articles 12 à 23 RGPD (accès,
rectification, effacement, opposition, limitation, portabilité).
Si une demande est adressée directement au Sous-traitant, il la transmet
au Responsable dans un délai de 5 jours ouvrés, sans y répondre lui-même
sauf instruction contraire.
Article 8 — Notification de violation
Le Sous-traitant notifie au Responsable toute violation de données
personnelles sans retard injustifié et, en tout état de cause, dans un
délai contractuel maximum de 24 heures à compter de sa prise
de connaissance, par écrit aux contacts définis en Annexe 4.
La notification contient :
- Description de la violation ;
- Catégories et nombre approximatif de personnes concernées ;
- Catégories et nombre approximatif de jeux de données concernés ;
- Conséquences probables ;
- Mesures prises ou envisagées.
Le Sous-traitant assiste le Responsable dans la conduite de l'enquête,
la notification à l'autorité de contrôle (article 33 RGPD) et la
communication aux personnes concernées (article 34 RGPD).
Il assiste également le Responsable pour les obligations des articles
32, 35 et 36, compte tenu de la nature du traitement et des informations
à sa disposition : sécurité, analyse d'impact et consultation préalable.
Article 9 — Audits
Le Responsable peut, à ses frais, conduire un audit de la conformité
du Sous-traitant au présent DPA, sur préavis ordinaire de 30 jours, réduit si
l'urgence, un incident ou une demande de l'autorité le justifie, et sans
perturbation déraisonnable de l'activité du Sous-traitant.
L'audit peut être conduit par le Responsable lui-même ou par un tiers
indépendant qu'il mandate, sous engagement de confidentialité.
Le Sous-traitant met à disposition les informations nécessaires pour
établir le respect de l'article 28 et permet les audits, y compris les
inspections, en y contribuant. Les certificats et rapports indépendants
pertinents peuvent compléter cette évaluation, sans supprimer les droits
d'information et d'audit du Responsable.
Article 10 — Transferts internationaux
Les transferts vers un pays tiers et les accès depuis ce pays suivent
les instructions documentées du Responsable et le chapitre V du RGPD.
Pour chaque flux, l'annexe identifie l'exportateur, l'importateur,
les pays, les données et le mécanisme applicable.
Lorsque le transfert est couvert par une décision d'adéquation,
les parties en vérifient le champ. Pour les États-Unis, le recours au
EU-U.S. Data Privacy Framework suppose notamment une organisation
participante et un traitement couvert par sa certification active.
À défaut d'adéquation applicable, les parties documentent les garanties
de l'article 46, notamment les CCT de la décision 2021/914 lorsque
leur champ est pertinent, ainsi que l'évaluation du transfert et les
mesures supplémentaires nécessaires. Les dérogations de l'article 49
ne sont utilisées que si leurs conditions propres sont remplies.
Article 11 — Fin du Contrat
À la fin du Contrat de Service, le Sous-traitant, au choix du
Responsable :
a) Restitue les données personnelles dans un format structuré et
couramment utilisé, dans un délai de 30 jours ;
b) Supprime les données personnelles. Dans les deux cas, il détruit les
copies existantes, à l'exception de celles que le
droit de l'Union ou d'un État membre lui impose de conserver, et certifie la suppression
par écrit dans un délai de 60 jours.
Les sauvegardes contenant des données personnelles sont supprimées
selon le cycle de rotation prévu, ne dépassant pas [durée] mois.
Article 12 — Responsabilité
Le Sous-traitant est responsable des dommages causés par un traitement
non conforme au RGPD, en cas de manquement à ses obligations spécifiques
ou lorsqu’il agit en dehors des instructions licites du Responsable
ou contrairement à celles-ci.
Les stipulations de responsabilité entre les parties sont précisées
dans [clause à compléter selon le droit applicable]. Elles ne limitent
ni les droits à réparation des personnes au titre de l'article 82,
ni les pouvoirs des autorités de contrôle.
3. Les points à résoudre avant signature
- Description vague : « exécution du contrat » doit être détaillée en opérations, catégories de données et finalités concrètes. Un renvoi à une annexe vide ne suffit pas.
- Autorisation absente : choisissez une autorisation écrite spécifique ou générale des sous-traitants ultérieurs. Le préavis de trente jours proposé ici est négociable ; l’information préalable et la possibilité d’opposition doivent rester effectives.
- Alerte trop tardive : l’article 33(2) impose l’absence de retard injustifié. Le maximum contractuel de vingt-quatre heures ne constitue pas un droit d’attendre ; prévoyez une alerte initiale puis des compléments.
- Audit neutralisé : un préavis, un coût ou un rapport standard ne doit pas rendre impossible la vérification nécessaire. Distinguez certificat ISO et rapport SOC 2, leur périmètre et leur période.
- Responsabilité mal comprise : le RGPD ne pose pas une interdiction générale de tous les plafonds contractuels entre entreprises. Faites apprécier leur validité selon le droit applicable, sans les opposer aux personnes ou à l’autorité.
- Transfert mal qualifié : le DPF repose sur une décision d’adéquation pour son périmètre, pas sur une certification générique de l’article 46. Un DPA ne suffit pas à encadrer un transfert hors de ce périmètre.
- Sortie inexécutable : fixez qui demande la restitution, le format, les copies à supprimer et la gestion des sauvegardes. Une restauration ultérieure ne doit pas réactiver les données supprimées.
- Mauvais rôle : vérifiez la distinction entre articles 26 et 28. Une finalité propre peut conduire à une responsabilité distincte ; elle ne crée pas automatiquement une responsabilité conjointe.
Les exigences techniques proposées dans l’article 5 sont un exemple à vérifier avec l’équipe sécurité. Le RGPD n’impose pas universellement TLS 1.2, AES-256, une formation annuelle ou une certification ISO particulière.
Compléter les annexes avec le service concerné
Pour un outil de support client, la seule mention « données clients » masque des choix importants. L’annexe 1 peut distinguer les coordonnées de contact, le contenu des tickets et leurs pièces jointes ; préciser que le fournisseur héberge, recherche et restitue ces informations pour résoudre les demandes ; et exclure leur réutilisation pour entraîner son propre modèle sans analyse distincte des rôles et des obligations. Indiquez aussi les catégories de personnes susceptibles de figurer dans les pièces jointes.
L’annexe 2 doit décrire des mesures vérifiables : quels comptes disposent d’un accès administrateur, comment cet accès est retiré et comment une restauration est testée. Une promesse générale de « sécurité optimale » ne permet pas d’évaluer les garanties. Dans l’annexe 3, rapprochez chaque intervenant de sa fonction, de sa localisation et des accès réellement permis, y compris le support à distance.
Enfin, faites tester l’annexe 4 par les deux équipes : le contact incident répond-il hors des heures ouvrées ? Qui transmet une demande d’accès reçue par erreur ? À la sortie, qui valide l’export et contrôle la suppression des copies ? Consignez les délais opérationnels retenus et leurs responsables. Pour les pièces jointes, décidez également qui retire une information envoyée par erreur et comment le client peut demander sa suppression dans les copies accessibles au support. Ce scénario révèle souvent un écart entre les fonctionnalités promises et les moyens disponibles. Ces vérifications rendent les clauses applicables ; elles ne remplacent pas l’appréciation juridique du contrat.
4. Cas pratique fictif : SaaS RH suisse
Une PME française utilise un SaaS RH hébergé en Suisse. Données traitées : fiches collaborateurs (identité, rémunération, évaluations). Sous-traitant ultérieur : prestataire de notification email en Allemagne.
DPA à rédiger :
- Annexe 1 : finalité = gestion administrative et paie. Données = identité, coordonnées, rémunération, évaluations annuelles. Personnes = salariés et anciens salariés.
- Annexe 2 : chiffrement TLS 1.3, AES-256 au repos, MFA pour accès admin, certification éventuelle vérifiée sur son périmètre.
- Annexe 3 : sous-traitants ultérieurs autorisés (prestataire email DE, hébergeur cloud CH), avec mention explicite.
- Article 10 : transfert FR → CH couvert par décision d’adéquation suisse, dont le fonctionnement a été réexaminé en 2024 (pas de CCT requises). Voir transferts vers la Suisse.
- Article 8 : notification du sous-traitant au responsable sous 24h, format e-mail dédié.
5. Automatiser la gestion des DPA
Pour la méthodologie d’audit, voir notre checklist audit sous-traitants RGPD.
Conclusion
Le contrôle final rapproche le texte du contrat, ses annexes et le fonctionnement réel du service. La trame ci-dessus doit être complétée avant tout traitement : elle ne constitue ni une validation universelle ni une garantie de conformité du fournisseur.
Pour la suite : checklist audit sous-traitants, article 28 vs article 26, guide complet article 28 RGPD.
FAQ
Un DPA est-il obligatoire pour tout sous-traitant ?
Oui. L’article 28 paragraphe 3 RGPD impose un contrat écrit avec tout sous-traitant traitant des données personnelles pour le compte d’un responsable. L’absence de DPA expose le responsable à une sanction administrative, indépendamment du comportement du sous-traitant.
Peut-on utiliser le DPA standard fourni par un fournisseur SaaS ?
Oui, à condition d’examiner le chapeau et toutes les obligations de l’article 28(3), les sous-traitants ultérieurs, les transferts et les annexes. La taille ou la notoriété du fournisseur ne prouve pas l’adéquation de son contrat à votre utilisation.
Quelle est la différence entre un DPA et des clauses contractuelles types (CCT) ?
Le DPA encadre la sous-traitance. Les CCT de la décision 2021/915 peuvent remplir cette fonction dans leur champ ; celles de 2021/914 encadrent certains transferts internationaux. Vérifiez le texte et le module exacts avant de les annexer.
Le DPA doit-il être signé avant le début du traitement ?
Oui. L’article 28 §3 impose le contrat préalable au traitement. Une signature tardive expose le responsable à une sanction et complique la gestion d’une éventuelle violation survenue avant la signature.
Combien de DPA une PME doit-elle gérer ?
Comptez les relations dans lesquelles un fournisseur traite effectivement des données pour votre compte. Il n’existe pas de nombre standard de DPA par taille d’entreprise ni de seuil légal imposant un logiciel. Le suivi doit permettre de retrouver les annexes, les changements et les échéances de sortie.
Sources et trame explicative vérifiées le 26 septembre 2026 ; les clauses chiffrées restent à adapter au service concerné.