Data Processing Agreement (DPA) : pourquoi ce document est indispensable à la conformité

Un Data Processing Agreement, ou DPA, est le contrat qui encadre le traitement des données personnelles qu'une entreprise confie à un prestataire. Il fixe ce que ce dernier a le droit d'en faire, et ce qu'il doit garantir. Le sigle vient des éditeurs de logiciels : le même document s'appelle aussi contrat de sous-traitance, annexe RGPD ou data processing contract. C'est l'article 28 du RGPD qui le rend obligatoire.

Attention : un accord de confidentialité ne le remplace pas. Il protège vos secrets d'affaires, pas les données des personnes concernées.

Trois rôles structurent la relation.

• Le controller, ou responsable de traitement, décide des finalités et des moyens.
• Le processor, ou sous-traitant, agit pour son compte et sur ses instructions.
• Le sub-processor, ou sous-traitant ultérieur, est le prestataire du prestataire : l'hébergeur cloud de votre éditeur, par exemple.

Les personnes visées sont les data subjects, les informations en jeu des personal data. Les DPA du marché étant rédigés en anglais — y compris ceux de Google, AWS ou Microsoft — ces équivalences évitent des malentendus lors de la lecture.

Le DPA n'est pas le seul contrat prévu par le règlement, et c'est là que naissent les erreurs. Les clauses contractuelles types de transfert encadrent l'envoi de données hors de l'Union européenne, pas la sous-traitance. L'accord de responsabilité conjointe, prévu à l'article 26, vise deux entités qui décident ensemble des finalités : ce n'est plus de la sous-traitance. Chaque montage a son contrat.

Une entreprise est responsable de traitement dès qu'elle décide de collecter des données et de ce qu'elle en fait : fichier clients, paie, recrutement, prospection. Est sous-traitant tout prestataire qui les traite pour son compte : hébergeur, éditeur de logiciel de gestion, fournisseur cloud, cabinet de paie, plateforme de signature.

Depuis 2018, le sous-traitant porte ses propres obligations et répond directement devant la CNIL. Un même acteur cumule souvent les deux casquettes : sous-traitant pour les données de ses clients, responsable de traitement pour ses propres fichiers commerciaux.

Le contrat ne suffit pas à décider qu'un prestataire est sous-traitant. Selon la CNIL, ce sont les faits réels qui doivent être pris en compte, et non le choix contractuel : qui décide de quoi, et qui exécute quoi. En cas de contrôle, la CNIL n'est pas liée par les qualifications retenues entre les parties et peut requalifier les rôles.

Le contrat décrit d'abord le traitement : son objet, sa durée, sa nature et sa finalité, le type de données personnelles traitées, les catégories de personnes concernées, les obligations et les droits du responsable. Il liste ensuite huit engagements du sous-traitant.

Un DPA se juge à ses annexes. Trois sont indispensables :

• La description du traitement, avec sa nature, ses finalités, les catégories de données et de personnes concernées.
• Les mesures de sécurité (security measures dans les DPA anglophones).
• La liste à jour des sous-traitants ultérieurs.

Une annexe générique du type "mesures conformes à l'état de l'art" ne satisfait pas l'article 32 : il faut du vérifiable — chiffrement, authentification forte, journalisation. La précision fait la preuve.

Trois clauses méritent discussion, car le RGPD reste ouvert à certaines adaptations. Il est aussi recommandé de faire figurer les coordonnées du DPO de chaque partie.

• Le délai de notification d'un data breach — l'article 33 du RGPD impose au responsable de notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après avoir pris connaissance de la violation. Si le DPA se contente de "meilleurs délais" pour le sous-traitant, ce délai devient intenable. Fixez contractuellement 24 ou 48 heures.
• Le droit d'audit — fréquence, préavis, prise en charge, et possibilité d'y substituer un rapport indépendant (ISO 27001 ou SOC 2).
• La réversibilité — format et délai de restitution des données, destruction documentée des copies.
• Les plafonds de responsabilité — souvent rabotés dans les DPA proposés par le prestataire ; vérifiez leur étendue réelle.
• La liste des sub-processors — exigez une liste nominative et une notification préalable en cas de changement, pas une simple clause d'information a posteriori.

Il existe un modèle officiel, gratuit et utilisable tel quel : la décision d'exécution (UE) 2021/915 du 4 juin 2021, adoptée au titre de l'article 28.7. Ses clauses couvrent toutes les mentions obligatoires ; il suffit d'y annexer la description de votre traitement. La CNIL propose de son côté des exemples de clauses de sous-traitance à insérer dans un contrat existant : ce sont des exemples à adapter, et ils ne constituent pas à eux seuls un contrat.

Rien n'interdit au prestataire de proposer son DPA. La CNIL prévient que le contrat de sous-traitance ne doit pas se contenter de reproduire le RGPD : il doit expliquer concrètement comment les obligations seront mises en œuvre, et le niveau de sécurité requis. Un DPA qui paraphrase l'article 28 est vide. Vérifiez les plafonds de responsabilité et l'étendue réelle du droit d'audit, souvent réduits dans les DPA standards de grandes plateformes comme Google, AWS ou Microsoft.

Un manquement à l'article 28 relève de l'article 83.4 du RGPD : dix millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est un manquement autonome : un contrat absent ou incomplet se sanctionne indépendamment de tout incident. Au-delà de l'amende, l'absence de DPA laisse les responsabilités dans le flou, rend la conformité indémontrable faute d'information fiable, et ralentit la gestion de crise.

Le 11 décembre 2025, la CNIL a infligé un million d'euros d'amende à Mobius Solutions Ltd, ancien sous-traitant de Deezer (Délibération SAN-2025-014, Légifrance). La société avait conservé les données de plus de 46 millions d'utilisateurs après la fin du contrat, alors que la clause de suppression existait. Elle les avait ensuite réutilisées pour améliorer ses propres services, sans instruction du responsable de traitement. La CNIL a retenu des manquements aux articles 28, 29 et 30 du RGPD : défaut de respect des instructions, réutilisation non autorisée des données, et absence de registre de traitement conforme. Établie hors de l'Union européenne, elle a néanmoins été sanctionnée — rappelant que le RGPD s'applique dès lors que des données de personnes résidant en UE sont traitées.

Lorsqu'une entreprise utilise les solutions de signature électronique de Youtrust, Youtrust devient sous-traitant au sens de l'article 28 du RGPD. Cette relation est encadrée par des engagements documentés et vérifiables.

Youtrust publie un accord de traitement des données public, qui couvre les instructions, les sous-traitants ultérieurs, les transferts et les droits d'audit. Vous disposez ainsi d'un document opposable, sans avoir à négocier chaque clause depuis zéro.

Les solutions de Youtrust sont exclusivement hébergées en France, avec un chiffrement AES 256 bits et TLS en transit. Une liste exhaustive des sous-traitants ultérieurs est disponible à la demande, dans le respect du RGPD. La politique de sécurité de Youtrust détaille les mesures techniques et organisationnelles mises en œuvre au titre de l'article 32.

Youtrust est tiers de confiance et certifié eIDAS en signature électronique, en cachet électronique et en horodatage. Chaque signature génère un dossier de preuve, archivé chez un tiers archiveur certifié au niveau européen. Pour un DPA lui-même, la signature électronique est un moyen simple et légalement valable de prouver qui a accepté quoi, et quand — comme le prévoit l'article 28.9 du RGPD.

Le DPA est le document qui rend la sous-traitance licite et répartit les responsabilités avant tout incident potentiel. Partez d'un modèle officiel, soignez les annexes, négociez le délai de notification et la réversibilité, documentez la qualification de chaque partie. Méfiez-vous des DPA génériques imposés par de grands prestataires comme Google Cloud, AWS ou Microsoft : lisez-les, négociez ce qui peut l'être, et exigez une liste nominative de leurs sous-traitants ultérieurs. Le reste dépend de vos prestataires : un acteur comme Youtrust, qui publie son accord de traitement et la liste de ses sous-traitants, vous simplifie la tâche.