Le DPA, ou accord de traitement de données à caractère personnel, est le contrat qui encadre la relation entre un responsable de traitement et un sous-traitant lorsque ce dernier traite des données personnelles pour le compte du premier. Il est rendu obligatoire par l'article 28 du Règlement général sur la protection des données (Règlement (UE) 2016/679, dit « RGPD »).

Dès qu'un prestataire manipule des données personnelles selon vos instructions — héberger votre application, gérer votre paie, envoyer vos campagnes d'emailing, assurer un support client — il agit comme votre sous-traitant. Le RGPD vous interdit de lui confier ce traitement sans un acte juridique écrit qui fixe précisément ce qu'il a le droit de faire de ces données, et ce qu'il doit garantir en retour. Cet acte, c'est le DPA.

Le DPA n'est pas un simple paragraphe noyé dans des conditions générales : c'est un cadre contraignant qui détaille l'objet et la durée du traitement, la nature et les finalités, le type de données et de personnes concernées, les obligations de sécurité du sous-traitant, le sort des données en fin de prestation et les conditions d'audit. Il protège les personnes concernées, mais aussi votre propre responsabilité.

Le DPA répond à une obligation légale claire : l'article 28 du RGPD impose que toute relation de sous-traitance soit régie par un contrat liant le sous-traitant au responsable de traitement. Sans cet écrit, vous êtes en infraction, indépendamment du sérieux réel du prestataire. Mais au-delà de la conformité, le DPA répartit les rôles, organise la sécurité et trace une frontière nette entre ce que le prestataire peut et ne peut pas faire.

Les parties au DPA

Concrètement, presque toute entreprise utilisant des outils numériques externalisés est concernée des deux côtés : vous êtes responsable de traitement face à vos fournisseurs, et potentiellement sous-traitant face à vos propres clients si vous traitez leurs données. Le DPA s'inscrit alors dans une chaîne contractuelle où chaque maillon doit être couvert.

La règle est simple : un DPA est nécessaire chaque fois qu'un tiers traite des données personnelles pour votre compte. Voici les situations les plus fréquentes où il s'impose.

• Vous hébergez votre site, votre application ou votre base de données chez un prestataire (cloud, serveur dédié, SaaS).
• Vous confiez votre emailing, votre CRM, votre support client ou votre marketing à un outil ou une agence externe.
• Vous externalisez la paie, la comptabilité, le recrutement ou la gestion des notes de frais.
• Vous faites appel à un centre d'appels, un service de modération ou un prestataire de back-office.
• Vous intégrez un sous-traitant qui interviendra sur des données de vos salariés, clients ou prospects.

Un point souvent négligé : le DPA n'est pas un document figé. Il doit être révisé lorsque le périmètre du traitement évolue (nouvelles finalités, nouvelles catégories de données), lorsque le prestataire change ses sous-traitants ultérieurs, ou lorsqu'un transfert hors Union européenne devient nécessaire. Prévoir un avenant écrit dans ces cas évite de retomber dans la non-conformité.

L'article 28, paragraphe 3, du RGPD énumère précisément ce qu'un DPA doit contenir. Ces mentions ne sont pas optionnelles : leur absence rend l'accord incomplet et expose le responsable comme le sous-traitant. Voici les piliers à faire figurer.

Deux obligations structurent la confiance accordée au sous-traitant : garantir la sécurité des données (article 32) et alerter sans délai en cas de violation (articles 33 et 34). Le DPA doit les organiser concrètement.

Les mesures techniques et organisationnelles (art. 32)

L'article 32 du RGPD impose des mesures de sécurité adaptées au risque, et vous devez pouvoir en prouver la réalité. Le DPA liste donc des mesures vérifiables plutôt qu'une formule générique. Visez au minimum : chiffrement des données en transit et au repos, contrôle d'accès fondé sur le besoin d'en connaître avec authentification forte, journalisation des accès, sauvegardes chiffrées testées régulièrement, et formation des équipes. En cas de contrôle de la CNIL ou de violation, c'est cette liste qui démontre votre diligence.

La notification d'une violation de données

En tant que responsable de traitement, vous devez notifier une violation à la CNIL dans les 72 heures suivant sa découverte (article 33, paragraphe 1). Or c'est souvent le sous-traitant qui détecte l'incident le premier. Le DPA lui impose donc de vous alerter sans délai injustifié — généralement dans les 24 ou 48 heures — pour vous laisser le temps de qualifier la violation et de notifier vous-même dans le plafond légal.

Deux situations appellent une vigilance particulière dans un DPA : les transferts de données en dehors de l'Union européenne, et le recours par votre sous-traitant à ses propres sous-traitants.

Les transferts hors Union européenne

Dès que vos données quittent l'Espace économique européen — serveurs, support ou prestataire situés hors UE — le transfert n'est licite que s'il est encadré par le chapitre V du RGPD. Trois bases principales : une décision d'adéquation de la Commission européenne (le pays offre un niveau de protection équivalent), les Clauses Contractuelles Types adoptées par la décision d'exécution (UE) 2021/914, ou d'autres garanties appropriées. Lorsque vous vous appuyez sur les CCT, des mesures supplémentaires (chiffrement renforcé, pseudonymisation, contrôles d'accès stricts) peuvent être nécessaires après une analyse d'impact des transferts.

La sous-traitance ultérieure (sous-traitant en cascade)

Votre sous-traitant ne peut recruter ses propres sous-traitants qu'avec votre autorisation, générale ou spécifique (article 28, paragraphes 2 et 4). Si vous donnez une autorisation générale, exigez une liste tenue à jour et un droit de vous opposer à tout changement pour motif raisonnable, dans un délai donné. Si vous refusez, chaque nouveau sous-traitant ultérieur devra recevoir votre accord écrit préalable au cas par cas. Dans tous les cas, votre sous-traitant principal reste pleinement responsable envers vous des manquements de ses propres prestataires.

Notre assistant vous guide question après question pour produire un DPA complet et conforme à l'article 28. Voici les informations à préparer :

1. 1Identifiez les parties : le responsable de traitement (vous) et le sous-traitant, avec leurs coordonnées et représentants légaux.
2. 2Décrivez précisément le périmètre du traitement : les opérations réelles confiées (héberger, stocker, supporter…), le périmètre applicatif et le volume ou la fréquence.
3. 3Listez les finalités du traitement, les catégories de données traitées et les catégories de personnes concernées.
4. 4Fixez la durée du traitement, généralement alignée sur le contrat principal avec un délai pour la restitution ou la destruction.
5. 5Détaillez les mesures techniques et organisationnelles de sécurité (chiffrement, contrôle d'accès, journalisation, sauvegardes, formation).
6. 6Déterminez le délai de notification d'une violation imposé au sous-traitant (24 ou 48 heures de préférence, jamais plus de 72 heures).
7. 7Précisez si des transferts hors UE sont prévus et le pays concerné, et si la sous-traitance ultérieure est autorisée.
8. 8Indiquez le lieu, la date de signature et le tribunal compétent, puis faites signer les deux parties.

Plusieurs documents gravitent autour de la conformité RGPD. Ils ne se substituent pas les uns aux autres : voici comment les distinguer.

Une fois signé, le DPA produit des effets juridiques précis pour les deux parties. Le sous-traitant est tenu de respecter scrupuleusement les instructions du responsable et ne peut traiter les données pour d'autres finalités. Chaque partie répond des dommages causés par un traitement contraire au RGPD, dans les conditions de l'article 82.

La responsabilité respective

Le responsable de traitement reste le premier interlocuteur des personnes concernées et de la CNIL. Mais le sous-traitant qui sort de son cadre — par exemple en déterminant lui-même les finalités du traitement — est considéré comme responsable de traitement pour ce traitement (article 28, paragraphe 10), avec les obligations et la responsabilité qui en découlent. Le DPA prévoit généralement que le sous-traitant atteste d'une assurance responsabilité civile professionnelle couvrant les conséquences pécuniaires des dommages liés au traitement.

La fin du DPA

Le DPA prend fin avec le contrat principal de prestation. À cette échéance, le sous-traitant doit, au choix du responsable, restituer l'ensemble des données ou les supprimer, ainsi que les copies existantes, et fournir une attestation de destruction signée — sauf si le droit de l'Union ou national exige une conservation. Cette étape de restitution ou de suppression conditionne la sortie propre de la relation et limite les risques résiduels.