Modèle d’accord de traitement des données (DPA) gratuit (Word)

Sommaire

1. Quand utiliser ce contrat, et quand il ne convient pas
2. Ce que dit le droit français
3. Ce que contient ce modèle, article par article
4. Les pièges à éviter
5. Comment adapter ce modèle à votre situation
6. Ce que ce modèle ne remplace pas

Quand utiliser ce contrat, et quand il ne convient pas

Vous confiez des données personnelles à un prestataire. Dès qu’une entreprise fait traiter, pour son compte, des données de clients, de salariés ou de prospects par un tiers, ce tiers devient sous-traitant au sens du RGPD. Un acte de sous-traitance conforme à l’article 28 est alors obligatoire. Le DPA fixe le périmètre exact du traitement autorisé, les mesures de sécurité attendues et le sort des données à la sortie.

Vous traitez des données pour le compte de vos clients. Un éditeur SaaS, un hébergeur, une agence qui gère des campagnes, un prestataire de recouvrement agissent comme sous-traitants. Proposer un DPA à ses clients n’est pas seulement une contrainte : c’est un gage de sérieux qui rassure et accélère les ventes. La vigilance porte alors sur les mesures de sécurité réellement mises en œuvre, que le contrat engage à respecter.

Le DPA est accessoire à un contrat principal. L’accord de traitement des données ne vit pas seul. Il s’adosse à un contrat de service (abonnement SaaS, hébergement, prestation informatique) qui définit la prestation, le prix et la durée. Le DPA vient en annexe encadrer la seule dimension « données personnelles ». Sa durée suit celle du contrat principal, et son objet reste subordonné à la finalité de la prestation.

La sous-traitance en cascade est en jeu. Beaucoup de prestataires s’appuient eux-mêmes sur d’autres fournisseurs (hébergeur cloud, outils tiers). Le DPA doit alors organiser l’autorisation de sous-traitance ultérieure, spécifique ou générale, et la répercussion des mêmes obligations sur chaque maillon de la chaîne.

Quand ce modèle ne convient pas. Si les deux entreprises déterminent conjointement les finalités et les moyens du traitement, elles sont responsables conjoints (article 26 du RGPD), et non responsable et sous-traitant : un accord de responsabilité conjointe s’impose alors, non un DPA. Si aucune donnée personnelle n’est traitée, ou si l’échange se limite à des données strictement anonymes, l’article 28 ne s’applique pas. Si le prestataire fixe lui-même les finalités du traitement, il devient responsable de traitement autonome et le modèle ne correspond plus à la situation. [À VÉRIFIER JURISTE : qualification exacte des rôles selon qui détermine réellement finalités et moyens du traitement.]

Ce que dit le droit français

Le DPA est un contrat imposé par l’article 28 du RGPD. L’article 28.3 du Règlement (UE) 2016/679 exige un acte juridique contraignant liant le sous-traitant au responsable de traitement. La loi n°78-17 du 6 janvier 1978 modifiée (Informatique et Libertés) complète ce cadre en droit interne. La forme écrite est obligatoire, y compris sous forme électronique (article 28.9). Ce n’est donc pas une simple bonne pratique : c’est une obligation dont l’absence est en elle-même une violation sanctionnable.

Les mentions obligatoires conditionnent la validité de l’acte. L’article 28.3 impose de préciser l’objet et la durée du traitement, sa nature et sa finalité, le type de données personnelles, les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement. Un DPA qui reste vague sur ces éléments est insuffisant au regard du texte. La clause RGPD de protection des données structure ces mentions et les huit obligations qui suivent.

Le sous-traitant porte huit obligations précises. L’article 28.3, points a à h, énumère les engagements du sous-traitant : traiter les données sur instructions documentées uniquement ; garantir la confidentialité des personnes autorisées ; prendre les mesures de sécurité de l’article 32 ; encadrer la sous-traitance ultérieure ; aider le responsable à répondre aux demandes d’exercice des droits (articles 12 à 23) ; l’assister pour la sécurité, la notification des violations (articles 33 et 34) et les analyses d’impact (articles 35 et 36) ; organiser le sort des données en fin de contrat ; et se soumettre aux audits.

La sous-traitance ultérieure est strictement encadrée. Le sous-traitant ne peut recruter un autre sous-traitant qu’avec une autorisation écrite, préalable, spécifique ou générale, du responsable (article 28.2). Il doit lui imposer par contrat les mêmes obligations de protection (article 28.4) et reste pleinement responsable devant le responsable si ce fournisseur manque à ses obligations. La clause d’autorisation de sous-traitance organise ce mécanisme et le droit d’opposition du responsable.

Les transferts hors Union européenne obéissent à un régime dédié. Dès que des données sortent de l’Union, les articles 44 et suivants du RGPD imposent un mécanisme de garantie approprié : décision d’adéquation ou clauses contractuelles types de la décision d’exécution (UE) 2021/914. La localisation des données et les transferts hors Union européenne deviennent des points contractuels à part entière, souvent décisifs quand le prestataire s’appuie sur un cloud non européen.

Les obligations propres du sous-traitant et la responsabilité. Le sous-traitant tient son propre registre des activités de traitement (article 30.2). En cas de dommage, une responsabilité solidaire avec le responsable est possible envers les personnes concernées (article 82). Surtout, l’article 28.10 requalifie en responsable de traitement le sous-traitant qui détermine lui-même les finalités et les moyens : une clause d’instruction ne peut donc pas servir à déresponsabiliser un prestataire qui, en pratique, décide seul. Les manquements à l’article 28 exposent à une amende plafonnée à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (article 83.4). [À VÉRIFIER JURISTE : articulation avec les lignes directrices CEPD 07/2020 et les référentiels CNIL applicables au secteur.]

Ce que contient ce modèle, article par article

Article 1. Définitions. Le modèle reprend les définitions du RGPD (responsable de traitement, sous-traitant, données personnelles, traitement, violation) pour aligner le vocabulaire des parties sur celui du règlement et éviter toute ambiguïté d’interprétation.

Article 2. Objet et description du traitement. Le cœur des mentions obligatoires de l’article 28.3 : objet, durée, nature et finalité du traitement, catégories de données et de personnes concernées. Cet article renvoie généralement à une annexe descriptive, plus simple à mettre à jour que le corps du contrat.

Article 3. Instructions documentées. Le sous-traitant s’engage à ne traiter les données que sur instructions documentées du responsable, y compris pour les transferts hors Union européenne, sauf obligation légale contraire qu’il doit alors signaler. Cet article verrouille le rôle de simple exécutant du sous-traitant.

Article 4. Confidentialité du personnel. Le sous-traitant garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale. L’engagement porte sur les équipes, pas seulement sur l’entreprise.

Article 5. Mesures de sécurité. Description des mesures techniques et organisationnelles au sens de l’article 32 : chiffrement, contrôle d’accès, journalisation, sauvegarde des données, tests réguliers. Un renvoi à une politique de sécurité annexée permet de préciser sans alourdir le contrat.

Article 6. Sous-traitance ultérieure. Régime d’autorisation, spécifique ou générale, mécanisme d’information et droit d’opposition du responsable, et engagement de répercuter les mêmes obligations sur chaque sous-traitant ultérieur, conformément aux articles 28.2 et 28.4.

Article 7. Assistance au responsable de traitement. Le sous-traitant aide le responsable à répondre aux demandes d’exercice des droits, à notifier les violations (articles 33 et 34), à conduire les analyses d’impact et à consulter l’autorité de contrôle (articles 35 et 36). Les délais d’assistance méritent d’être chiffrés.

Article 8. Notification des violations de données. Obligation d’informer le responsable dans les meilleurs délais après avoir eu connaissance d’une violation, avec le contenu minimal de la notification, pour permettre au responsable de tenir son propre délai de 72 heures envers la CNIL.

Article 9. Localisation et transferts hors Union européenne. Localisation des données d’hébergement et de traitement, et encadrement de tout transfert hors Union par un mécanisme de garantie approprié (clauses contractuelles types, notamment).

Article 10. Sort des données en fin de contrat. Au choix du responsable, restitution des données dans un format exploitable ou suppression, puis destruction des copies existantes, avec une preuve. Cet article organise aussi la réversibilité pratique de la sortie.

Article 11. Audits et inspections. Le sous-traitant met à disposition les informations nécessaires pour démontrer sa conformité et se soumet aux audits, réalisés par le responsable ou un tiers mandaté, dans des conditions de préavis et de fréquence définies.

Article 12. Durée, registre et responsabilité. Alignement de la durée sur le contrat principal, rappel de l’obligation de tenir un registre (article 30.2) et articulation avec le régime de responsabilité, dans les bornes des articles 82 et 83 du RGPD.

Les pièges à éviter

Se contenter d’une clause vague dans le contrat principal. Une simple ligne « le prestataire respecte le RGPD » ne remplit pas les mentions obligatoires de l’article 28.3 et laisse l’acte insuffisant. Le DPA doit décrire concrètement l’objet, la durée, les catégories de données et les huit obligations du sous-traitant, sous peine d’être réputé lacunaire par l’autorité de contrôle.

Oublier d’encadrer les sous-traitants ultérieurs. Un prestataire qui s’appuie sur un cloud tiers ou des outils externes sans autorisation ni répercussion des obligations viole les articles 28.2 et 28.4. La liste des sous-traitants ultérieurs et le mécanisme d’information doivent figurer noir sur blanc, faute de quoi le responsable perd tout contrôle sur la chaîne de traitement.

Négliger les transferts hors Union européenne. Héberger ou faire transiter les données via un fournisseur non européen sans mécanisme de garantie approprié expose les deux parties. La localisation réelle des données, y compris chez les sous-traitants ultérieurs, doit être connue et les transferts hors Union encadrés par des clauses contractuelles types ou une décision d’adéquation.

Rédiger une clause d’instruction qui déresponsabilise à tort. Prévoir que le sous-traitant n’agit que sur instructions ne suffit pas s’il détermine en réalité les finalités et les moyens : l’article 28.10 le requalifie alors en responsable de traitement. La rédaction doit refléter le rôle réel des parties, pas une répartition de façade destinée à transférer le risque.

Laisser le sort des données dans le flou. Un DPA qui ne prévoit ni restitution, ni suppression, ni preuve de destruction laisse les données du responsable exposées après la fin du contrat. Le format de restitution, le délai et la preuve de suppression doivent être fixés à l’avance, avant que la sortie ne devienne urgente.

Comment adapter ce modèle à votre situation

Quelques éléments se renseignent systématiquement : l’identité des parties et leurs rôles respectifs, la description précise du traitement en annexe (finalités, catégories de données et de personnes), la durée alignée sur le contrat principal, et la liste des sous-traitants ultérieurs déjà connus. Le reste du texte convient à la plupart des relations de sous-traitance courantes.

Le niveau des mesures de sécurité mérite le plus grand soin, car c’est lui qui transforme un engagement général en obligation vérifiable. Pour un traitement de données sensibles ou à grande échelle, détaillez le chiffrement, la journalisation, la gestion des accès et la fréquence des tests ; pour un traitement plus limité, un renvoi à une politique de sécurité proportionnée suffit. Dans tous les cas, n’engagez que des mesures réellement en place.

Le régime de sous-traitance ultérieure s’ajuste selon votre organisation. Une autorisation générale, assortie d’un droit d’opposition, convient à un prestataire qui fait évoluer souvent ses fournisseurs cloud ; une autorisation spécifique, plus contraignante, se justifie quand le responsable veut valider chaque maillon. Si des données quittent l’Union européenne, arrêtez noir sur blanc la localisation et le mécanisme de garantie retenu.

Adaptez enfin les modalités d’audit et le sort des données à la sensibilité du traitement. Un droit d’audit annuel avec préavis convient à la plupart des situations, quand un traitement critique peut appeler des contrôles plus fréquents. Pour la sortie, tranchez à l’avance entre restitution et suppression, et exigez une preuve de destruction des copies.

Ce que ce modèle ne remplace pas

Un modèle est un point de départ, pas un avis. Il ne connaît ni la nature exacte des données que vous traitez, ni votre secteur, ni le rapport de force entre les parties. Trois situations appellent une relecture par un professionnel : un traitement de données sensibles ou à grande échelle, qui appelle une analyse d’impact et un encadrement renforcé ; une chaîne de sous-traitance internationale, où la localisation des données et les transferts hors Union européenne sont eux-mêmes à négocier ; et une activité soumise à un référentiel sectoriel de la CNIL ou à un régime spécifique, comme l’hébergement de données de santé.

C’est la raison pour laquelle ce modèle signale ses propres limites, plutôt que de se présenter comme suffisant en toute circonstance.