DPA (Data Processing Agreement) : pour une sous-traitance respectueuse du RGPD
Signer un DPA : Qu'est-ce que cela veut dire ? Qu'est-ce que cela implique ?
Le DPA (« Data Processing Agreement » ou « Accord de Traitement ») est un contrat légal entre une structure (entreprise, association ou collectivité) et son sous-traitant. Cet accord définit clairement les modalités de traitement des données personnelles, garantissant que le sous-traitant respecte le RGPD.
Un prospect veut travailler avec vous mais il vous demande de signer un « DPA ». Ce contrat de sous-traitance RGPD vous oblige à remplir certaines obligations concernant la protection des données que vous aurez à traiter pour son compte.
Attention, cet engagement est important et peut avoir des conséquences si vous ne vous y êtes pas préparé.
Savez-vous à quoi vous vous engagez ?
Pourrez-vous tenir les obligations ?
J'aide les structures de Dijon et de Bourgogne Franche-Comté à comprendre ce contrat, à vérifier vos obligations et à vous mettre en règle avant de signer sereinement.
« Un DPA, ça vous engage à quoi ? »
Le DPA (Data Processing Agreement, ou accord de sous-traitance) est un contrat prévu par l'article 28 du RGPD entre un client (responsable des données) et son prestataire (sous-traitant).
En le signant, vous vous engagez notamment à :
- Définir le traitement concerné (objet, durée, nature, finalité) et les données personnelles associées (types, catégories de personnes, ...).
- Ne traiter les données que selon les instructions de votre client
- Garantir la disponibilité, la confidentialité et l'intégrité des données.
- Mettre en place des mesures de sécurité appropriées.
- Encadrer vos propres sous-traitants (si vous en avez : hébergeur, API, cloud, ...).
- Aider votre client en cas de demande d'une personne ou de violation de données.
- Restituer ou supprimer les données en fin de contrat.
Signer, c'est affirmer et démontrer que vous pouvez tenir tout cela. D'où l'importance de vérifier que c'est bien le cas.
☎️ Un premier appel de 30 minutes, sans engagement
En 30 minutes au téléphone, on regarde ensemble le contrat qu'on vous demande de signer et ce que cela implique pour vous.
« Je veux signer avec un prospect d'envergure nationale avec de nombreuses entités et un contrat important à la clé.
Il me demande de signer son DPA mais je ne comprends pas tout ce que cela implique. »
J'ai accompagné plusieurs entreprises sur leurs DPA.
Dans un premier temps, pour répondre à un DPA proposé directement par leur prospect.
Dans un second temps, pour réaliser un DPA à ajouter à tous les contrats (de manière proactive).Je suis accompagné d'une juriste spécialisée dans le numérique, le RGPD et les nouvelles technologies pour valider le contrat et surtout lorsqu'il y a des clauses financières.
Pourquoi faire un DPA ?
D'abord parce que c'est obligatoire : dès qu'une entreprise vous confie des données personnelles à traiter pour son compte (donc que vous êtes son sous-traitant), le RGPD impose un DPA (article 28 du RGPD).
Au-delà du caractère obligatoire, un DPA est utile pour vous et pour votre client. Il protège votre client, qui sait précisément ce que vous faites de ses données et il vous protège, en fixant les limites de votre responsabilité. Vous vous engagez sur ce que vous maîtrisez, pas sur ce qui relève de votre client.
C'est aussi un moyen pour décrocher ou conserver un marché : les entreprises (notamment les plus importantes et surtout celles qui sont soumises à la directive européenne NIS-2) ne signent plus un contrat sans DPA.
Et travailler sur son DPA c'est travailler sur ses (bonnes) pratiques et ses processus. Cela permet souvent de renforcer sa sécurité informatique et, au final, vous gagnez en sérénité.
Comment je vous accompagne sur votre DPA ?
On peut travailler sur le DPA proposé par votre client et dans ce cas :
- On décrypte le contrat ensemble : On fait le point sur ce sur quoi vous vous engagez avec un langage compréhensible.
- On vérifie vos obligations réelles : ce que vous faites déjà (souvent beaucoup), ce qui manque.
- On met en place ce qu'il faut pour être en mesure de signer sans risque (mesures de sécurité, procédures, …).
- Si nécessaire, on identifie les points à discuter avec votre client, pour un contrat équilibré.
On peut aussi travailler sur votre propre DPA que vous aller joindre au contrat et sur lequel vous posez vos conditions et expliquez vos règles du jeu.
L'objectif : que vous signiez en confiance et que ce contrat devienne un atout, pas une menace.
Le plus : je conseille toujours une relecture juridique pour toutes les clauses qui engagent votre responsabilité devant la loi (je travaille avec une juriste spécialisée pour cette partie).
Les questions que vous vous posez...
Combien de temps prend la mise en place d'un DPA ?
Tout dépend s'il s'agit de répondre au DPA de votre client ou de rédiger le vôtre, et de votre niveau de préparation actuel. Si tout est à construire (mesures de sécurité, procédures), comptez davantage.
Pour une petite structure déjà un peu organisée, ce travail peut prendre 1 à 2 jours.
Si tout est à construire (mesures de sécurité, procédures), comptez davantage.
On évalue ça ensemble dès le premier appel.
Que se passe-t-il si je signe mon DPA sans être vraiment conforme ?
Vous vous engagez sur des obligations que vous ne pourriez pas tenir en cas de problème (contrôle, incident, demande de votre client) avec un risque juridique et commercial important.
L'objectif est d'éviter ces risques et de tout vérifier avant la signature du DPA et du contrat avec le client.
Mes données et mes informations sont-elles en sécurité avec vous ?
C'est une question importante qui doit être posée.
Nous allons travailler sur votre organisation et vos données (même si je n'y accède pas directement). A ce titre, j'agis en tant que prestataire (et je suis donc un sous-traitant sur vos données du point de vue du RGPD).
Ma prestation contractualisée avec vous est encadrée par un contrat, signé par vous et moi. Dans ce contrat, je spécifie bien la façon dont je protège toutes les informations auxquelles j'ai accès et le respect de la confidentialité et du RGPD que j'applique auprès de mes clients.