Un Data Processing Agreement (DPA) est le contrat que l'article 28 du RGPD impose entre un responsable de traitement et chacun de ses sous-traitants. Ce n'est pas une annexe de confort : sans lui, les deux parties sont en manquement, et c'est souvent la première pièce qu'un auditeur ou un prospect demande. Ce guide fait le point sur la définition du DPA, les cas où il est obligatoire, les mentions exigées par l'article 28, les modèles disponibles, les points à vérifier chez un fournisseur d'IA ou de SaaS, et la façon de suivre ses DPA dans la durée.
Points clés
- Un Data Processing Agreement (DPA) répartit les responsabilités entre un responsable du traitement et un sous-traitant. Il est exigé par l'article 28, paragraphe 3, du RGPD.
- Le DPA doit contenir des mentions précises : objet, durée, nature et finalité du traitement, types de données, instructions documentées, confidentialité, sécurité, sous-traitance ultérieure, assistance, sort des données en fin de contrat et audits.
- Les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision d'exécution (UE) 2021/915) offrent une base de rédaction reconnue.
- Un DPA ne se signe pas une fois pour toutes : sous-traitants ultérieurs, fonctionnalités d'IA et transferts hors UE évoluent, et le responsable de traitement doit pouvoir le démontrer.
Qu'est-ce qu'un Data Processing Agreement (DPA) ?
Un Data Processing Agreement (DPA), ou accord de traitement des données, est le contrat qui lie un responsable du traitement à un sous-traitant qui traite des données personnelles pour son compte. Il précise qui fait quoi : le responsable décide des finalités et des moyens, le sous-traitant exécute ses instructions. Le terme « DPA » vient de la pratique anglo-saxonne ; le RGPD parle simplement de « contrat ou autre acte juridique » (article 28, paragraphe 3).
La signature d'un DPA n'est pas une formalité : elle découle directement du Règlement Général sur la Protection des Données (RGPD). L'article 28, paragraphe 9, exige que ce contrat soit écrit, y compris sous forme électronique. Les obligations de l'article 28 pèsent sur les deux parties, et leur non-respect relève de l'article 83, paragraphe 4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
Le DPA sert aussi les personnes concernées : il oblige le sous-traitant à aider le responsable à répondre à leurs demandes d'accès, de rectification ou d'effacement. Les lignes directrices 07/2020 du Comité européen de la protection des données (EDPB) sur les notions de responsable du traitement et de sous-traitant, adoptées dans leur version 2.0 le 7 juillet 2021, restent la référence pour qualifier les rôles avant de rédiger.
Quand avez-vous besoin d'un DPA ?
En tant que responsable de traitement, un DPA est nécessaire chaque fois qu'un prestataire traite des données personnelles en votre nom et sur vos instructions. Exemples courants : CRM, logiciel de paie, outil d'emailing, hébergeur cloud, support client externalisé, outil de signature électronique, et de plus en plus un assistant d'IA générative branché sur vos données.
À l'inverse, un prestataire qui détermine lui-même les finalités de ce qu'il fait des données n'est pas sous-traitant : il est responsable de traitement, parfois conjoint. Dans ce cas, ce n'est pas un DPA qu'il faut signer, mais un accord de responsabilité conjointe (article 26) ou une simple information des personnes. D'où l'intérêt de qualifier la relation avant de choisir le contrat.
Le DPA protège également le sous-traitant : en fixant par écrit les instructions reçues, il délimite ce qui peut lui être reproché.
Éléments essentiels d'un DPA
Le contenu minimal d'un DPA est fixé par l'article 28 du RGPD. Le paragraphe 3 exige d'abord que le contrat décrive l'objet et la durée du traitement, sa nature et sa finalité, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable. Il impose ensuite huit engagements du sous-traitant :
- ne traiter les données que sur instruction documentée du responsable, y compris pour les transferts hors UE (a) ;
- garantir la confidentialité des personnes autorisées à traiter les données (b) ;
- prendre les mesures de sécurité exigées par l'article 32 (c) ;
- respecter les conditions de recours à un sous-traitant ultérieur des paragraphes 2 et 4 (d) ;
- aider le responsable à répondre aux demandes d'exercice des droits (e) ;
- l'aider à respecter les obligations des articles 32 à 36 : sécurité, violations de données, analyse d'impact, consultation préalable (f) ;
- supprimer ou restituer les données au terme de la prestation, selon le choix du responsable (g) ;
- mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits, y compris des inspections (h).
Clauses générales
Un DPA doit comporter une description claire de la portée et des objectifs du traitement. En pratique, cette description prend la forme d'une annexe par traitement : finalité, catégories de données, catégories de personnes, durée, localisation des données. Plus elle est précise, plus les instructions sont opposables.
Les clauses générales doivent également contenir des définitions claires des termes utilisés, les modalités de modification et de résiliation du contrat, et l'ordre de priorité entre le DPA et le contrat principal. Ce dernier point évite qu'une clause des conditions générales du fournisseur vienne contredire le DPA.
Droits et obligations des parties
En cas de violation de données, le sous-traitant doit en informer le responsable du traitement dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2). Le DPA a tout intérêt à fixer un délai chiffré, puisque le responsable n'a lui-même que 72 heures pour notifier l'autorité de contrôle. À la fin de la prestation, le sous-traitant supprime ou restitue les données, sauf obligation légale de conservation.
Le DPA doit inclure des dispositions pour la coopération du sous-traitant concernant les demandes d'exercice des droits des personnes concernées. Les audits doivent être facilités par le sous-traitant pour prouver le respect de ses obligations.
Le responsable du traitement doit aussi indiquer au sous-traitant s'il lui confie des données sensibles : le niveau de sécurité attendu et, le cas échéant, les exigences d'hébergement en dépendent.
Mesures techniques et organisationnelles
Le DPA doit stipuler que le sous-traitant met en œuvre des mesures de sécurité adaptées aux risques, comme l'exige l'article 32 : chiffrement, pseudonymisation, gestion des accès, sauvegardes, tests réguliers de l'efficacité des mesures. Ces mesures garantissent la confidentialité, l'intégrité et la disponibilité des données.
La bonne pratique est de les décrire dans une annexe dédiée plutôt que par un renvoi général à « l'état de l'art ». C'est cette annexe qui sera relue en cas d'incident ou de contrôle.
Comment rédiger un DPA efficace
Un DPA efficace est d'abord un DPA lisible par ceux qui l'appliquent. Il doit stipuler que le sous-traitant n'agit que sur instruction documentée du responsable et qu'il l'informe si une instruction lui paraît contraire au RGPD, comme le prévoit le dernier alinéa de l'article 28, paragraphe 3.
Le DPA doit également fixer les modalités de recours à un sous-traitant ultérieur : autorisation écrite spécifique, ou autorisation générale assortie d'une information préalable et d'un droit d'opposition (article 28, paragraphe 2). Le sous-traitant reste pleinement responsable de ses propres sous-traitants (article 28, paragraphe 4).
Ce guide pose le cadre. Quand vous recevez le DPA standard d'un fournisseur, la question change : il ne s'agit plus de savoir ce qu'il doit contenir, mais de repérer ce qui vous dessert. Notre guide sur les 12 clauses pièges d'un DPA à vérifier avant de signer traite cette phase de négociation, clause par clause.
Modèle de DPA disponible
Le point de départ le plus solide reste les clauses contractuelles types entre responsables du traitement et sous-traitants, adoptées par la Commission européenne sur le fondement de l'article 28, paragraphe 7 (décision d'exécution (UE) 2021/915 du 4 juin 2021). La CNIL les présente et en explique l'usage sur sa page Clauses contractuelles types entre responsable de traitement et sous-traitant. Elles peuvent être intégrées à un contrat plus large, à condition de ne pas les contredire.
Leto propose également un modèle de DPA qui peut servir de base. Quel que soit le modèle retenu, les annexes (description des traitements, mesures de sécurité, liste des sous-traitants ultérieurs) restent à remplir pour chaque prestataire, et il est recommandé de faire relire le résultat par un conseil juridique.
À ne pas confondre : les clauses contractuelles types de la décision (UE) 2021/914 encadrent les transferts hors de l'Union (article 46). Un contrat avec un fournisseur établi hors UE peut donc nécessiter à la fois un DPA et ces clauses de transfert.
DPA des fournisseurs d'IA et de SaaS : ce qu'il faut vérifier
La plupart des DPA qu'un DPO signe aujourd'hui ne sont pas rédigés par lui : ce sont les DPA standard des éditeurs SaaS et, de plus en plus, des fournisseurs d'IA générative. Ils sont proposés à prendre ou à laisser, et renvoient souvent vers des pages web qui évoluent sans avenant. Cinq points méritent une lecture attentive.
- Réutilisation des données : le DPA doit exclure l'usage de vos données, prompts et contenus générés pour entraîner ou améliorer les modèles du fournisseur. Vérifiez que cet engagement couvre l'offre réellement souscrite (API, offre entreprise, offre grand public).
- Sous-traitants ultérieurs : hébergeur, fournisseur du modèle de fondation, prestataire de modération. La liste doit être accessible, datée, et assortie d'un mécanisme de notification préalable avec droit d'opposition.
- Localisation et transferts : où sont traités les prompts, où sont stockés les journaux, et sur quel outil de l'article 46 reposent les transferts hors UE.
- Conservation : durée de rétention des prompts et des journaux, y compris pour la surveillance des abus, et possibilité de la réduire.
- Frontière avec l'AI Act : le DPA encadre le traitement de données personnelles, pas les obligations du règlement (UE) 2024/1689 sur l'intelligence artificielle. Documentation, notice d'utilisation et transparence se vérifient à part.
Pour les trois fournisseurs les plus demandés, nos guides détaillent ce que prévoient leurs conditions : Claude (Anthropic) et le RGPD, ChatGPT et le RGPD et Gemini (Google) et le RGPD. Pour passer en revue l'ensemble de vos prestataires qui embarquent de l'IA, voir notre méthode d'audit IA des sous-traitants, avec sa checklist DPA IA dédiée.
Signer et gérer votre DPA
Le DPA doit être signé par des personnes habilitées à engager chaque partie. L'article 28, paragraphe 9, admet la forme électronique, et l'acceptation en ligne du DPA d'un fournisseur est courante. Dans ce cas, conservez la version acceptée et sa date : l'URL du DPA ne suffit pas, puisque son contenu peut changer.
Conservez les versions signées au même endroit que la fiche du traitement concerné. C'est ce rapprochement qui permet, lors d'un contrôle, de montrer en quelques minutes quel contrat encadre quel traitement.
Suivre ses DPA dans la durée
Un DPA signé ne reste pas conforme tout seul. Le fournisseur ajoute un sous-traitant ultérieur, active une fonctionnalité d'IA, déplace un hébergement : chaque changement peut modifier le traitement que vous avez autorisé. Dans son avis 22/2024 adopté le 7 octobre 2024, l'EDPB rappelle que le responsable doit pouvoir identifier et vérifier toute la chaîne de sous-traitance, pas seulement son sous-traitant direct (EDPB, avis 22/2024).
Côté ops, trois réflexes suffisent à tenir le sujet :
- Un registre des sous-traitants relié au registre des traitements : pour chaque prestataire, le DPA en vigueur, sa date, les sous-traitants ultérieurs déclarés et les pays de traitement.
- Des échéances : revue du DPA au renouvellement du contrat, et à chaque notification de changement de sous-traitant ultérieur, avec la décision prise (accord ou opposition) tracée.
- Des preuves : versions signées, questionnaires de sécurité, rapports d'audit ou certifications, réponses du fournisseur. Ce sont elles qu'on vous demandera en contrôle ou dans un questionnaire de due diligence client.
La sanction de la CNIL contre Dedalus Biologie montre que le sujet touche aussi les sous-traitants : le 15 avril 2022, la formation restreinte lui a infligé 1,5 million d'euros d'amende, notamment parce que ses contrats avec les laboratoires clients ne contenaient pas toutes les mentions de l'article 28, paragraphe 3 (délibération SAN-2022-009). Si vous êtes vous-même prestataire, notre guide RGPD du sous-traitant B2B détaille ce que vos clients attendent de vous, et notre guide sur l'audit des sous-traitants décrit la démarche côté responsable.
Dans Leto, la gestion des sous-traitants est reliée au registre des traitements, l'audit IA des sous-traitants repère les prestataires qui embarquent de l'IA, et Hari, l'IA de Leto, automatise les réponses aux questionnaires de sécurité. Pour voir à quoi cela ressemble sur votre périmètre, demandez une démo.
Pour conclure
Le DPA est la traduction contractuelle de l'article 28 du RGPD. Bien rédigé, il fixe les instructions, la sécurité, la sous-traitance ultérieure et le sort des données ; bien suivi, il devient une preuve de conformité que vous pouvez produire à la demande.
Partir des clauses contractuelles types de la Commission, relire avec attention les DPA standard des fournisseurs de SaaS et d'IA, et tenir un registre des sous-traitants à jour : ce sont les trois gestes qui font la différence. Dans le cadre de la certification RGPD pour les sous-traitants, ce document est central.
Pour aller plus loin, découvrez notre logiciel RGPD qui vous aide à rédiger et suivre vos DPA.
Questions fréquemment posées
Qu'est-ce qu'un DPA (Data Processing Agreement) ?
Un DPA (Data Processing Agreement), ou accord de traitement des données, est un contrat obligatoire prévu par l'article 28 du RGPD. Il encadre la relation entre un responsable de traitement et un sous-traitant qui traite des données personnelles pour son compte. Il définit la nature du traitement, les obligations de chaque partie, les mesures de sécurité et les droits des personnes concernées.
Quand est-il obligatoire de signer un DPA ?
Un DPA est obligatoire dès lors qu'un prestataire (sous-traitant) traite des données personnelles pour le compte de votre entreprise. Cela inclut les logiciels SaaS, hébergeurs cloud, prestataires RH, outils marketing, etc. Les manquements aux obligations de l'article 28 relèvent de l'article 83, paragraphe 4, du RGPD : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, pour le responsable comme pour le sous-traitant.
Quelles sont les clauses obligatoires d'un DPA ?
L'article 28 du RGPD impose au minimum : la description des traitements effectués, les instructions documentées du responsable, les obligations de confidentialité, les mesures de sécurité techniques et organisationnelles, les règles sur le recours aux sous-traitants ultérieurs, l'assistance pour les droits des personnes, la durée et la restitution des données, et la possibilité d'audit.
Un DPA standard suffit-il ou faut-il le négocier ?
Les grands fournisseurs (Google, Microsoft, AWS) proposent des DPA standard. Ces documents sont juridiquement valables mais peuvent contenir des clauses défavorables (sous-traitants ultérieurs non limités, absence d'engagement sur les délais de notification de violation). Il est recommandé de les analyser et, si possible, d'ajouter des clauses spécifiques selon votre contexte.
Quelle est la différence entre un DPA et une clause contractuelle type (CCT) ?
Le DPA régit la relation sous-traitant/responsable au sein de l'UE ou pour tout traitement soumis au RGPD. Les clauses contractuelles types (CCT) sont spécifiquement conçues pour encadrer les transferts de données vers des pays tiers à l'Union européenne. Un contrat avec un fournisseur américain peut donc nécessiter à la fois un DPA et des CCT.
Faut-il un DPA avec un fournisseur d'IA générative ?
Oui, dès que le fournisseur traite des données personnelles pour votre compte, par exemple quand des collaborateurs saisissent des données clients dans un assistant ou quand un modèle est appelé par API sur vos données. Vérifiez en priorité l'exclusion de l'entraînement sur vos données, la liste des sous-traitants ultérieurs, la localisation des traitements et la durée de conservation des prompts.
