Ce qu'il faut retenir
- Le DPA doit décrire précisément l'objet, la durée, la nature, la finalité, les catégories de données et de personnes concernées : une description trop générale est insuffisante.
- Les obligations de sécurité doivent référencer des mesures concrètes (chiffrement, contrôle d'accès, journalisation) plutôt qu'une simple conformité aux bonnes pratiques.
- L'accord précise les conditions de sous-traitance ultérieure : autorisation générale ou spécifique, liste à jour, droit d'opposition et report des obligations aux sous-traitants suivants.
- Le sous-traitant doit s'engager à aider le responsable à répondre aux demandes d'exercice des droits et à lui notifier les violations dans les meilleurs délais ; le DPA peut fixer un délai plus précis, par exemple 24 à 48 heures.
- À la fin du contrat, le DPA doit prévoir la restitution ou la suppression des données (format, délai, attestation), point souvent négligé dans les contrats SaaS.
Votre prestataire vous a soumis un accord de traitement des données (DPA) à signer. Ou vous avez reçu un contrat standard qui intègre une section sur la sous-traitance des données personnelles. Comment vérifier que ce document est conforme aux exigences de l'article 28 du RGPD et qu'il vous protège réellement en tant que responsable de traitement ?
Les DPA proposés par les prestataires, notamment les éditeurs de logiciels, les hébergeurs et les fournisseurs de services cloud, sont souvent rédigés dans leur intérêt propre. Ils peuvent être incomplets, excessivement favorables au sous-traitant ou insuffisamment précis sur les obligations qui importent le plus.
Vérifier que les mentions descriptives sont complètes
Le DPA doit décrire précisément l'objet du traitement, sa durée, sa nature, sa finalité, les catégories de données traitées et les catégories de personnes concernées. Ces éléments ne sont pas de simples formalités : ils délimitent le périmètre de l'accord et permettent de vérifier que le traitement réel correspond à ce qui est décrit.
Un DPA qui décrit l'objet du traitement en termes très généraux (« fourniture du service ») ou qui ne liste pas les catégories de données traitées est insuffisant. En cas d'incident, il sera difficile de démontrer que le traitement était encadré dans les conditions requises.
Vérifier les obligations de sécurité
Le DPA doit prévoir que le sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. La formule générique ne suffit pas : le document devrait idéalement référencer des mesures spécifiques (chiffrement, contrôle d'accès, journalisation, tests de sécurité) ou renvoyer à une politique de sécurité documentée. Un DPA qui ne contient qu'une affirmation générale de « conformité aux bonnes pratiques » sans précision est difficile à opposer en cas d'incident.
Vérifier les conditions de sous-traitance ultérieure
Le DPA doit préciser si le sous-traitant peut avoir recours à des sous-traitants ultérieurs, selon quelles conditions et avec quelle autorisation de votre part. Vérifiez si l'autorisation est générale (liste disponible, obligation de vous notifier en cas de changement) ou spécifique (accord préalable pour chaque nouveau sous-traitant ultérieur). Vérifiez que le sous-traitant s'engage à imposer les mêmes obligations à ses propres sous-traitants.
Si le DPA prévoit une autorisation générale, assurez-vous que la liste des sous-traitants ultérieurs est accessible et maintenue à jour, et que vous disposez d'un droit d'opposition en cas d'ajout.
Vérifier les dispositions sur les droits des personnes concernées
Le sous-traitant doit s'engager à vous assister dans le traitement des demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition). Cet engagement doit être précisé : délai de réponse aux demandes transmises, modalités d'assistance, coût éventuel. Un DPA qui se contente d'affirmer que le sous-traitant « coopérera » sans préciser comment est insuffisant pour les traitements à volume élevé.
Vérifier les dispositions sur les violations de données
Le RGPD impose au sous-traitant de notifier toute violation de données personnelles au responsable de traitement dans les meilleurs délais après en avoir pris connaissance (article 33 § 2). Le responsable doit lui-même notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33 § 1). Vérifiez que le DPA précise un délai de notification du sous-traitant au responsable (par exemple 24 à 48 heures), le contenu minimal de la notification et les obligations de coopération pour l'investigation et la remédiation.
Vérifier les dispositions sur la restitution ou suppression des données
À la fin du contrat, le sous-traitant doit restituer ou supprimer les données selon les instructions du responsable de traitement. Le DPA doit préciser les modalités (format, délai, attestation de suppression). Cette disposition est particulièrement importante dans les contrats SaaS, où la réversibilité est souvent insuffisamment traitée.
Pour un accompagnement sur l'analyse ou la négociation de votre DPA, consultez notre page dédiée à l'avocat contrat de sous-traitance de données personnelles.
