Accord de Protection des Données (DPA) : Le Contrat Essentiel pour se Conformer au RGPD – Mon Expert RGPD

La relation entre un responsable de traitement et ses prestataires ne se limite pas à une simple convention commerciale. Dès lors qu’un fournisseur accède à des données personnelles pour exécuter une mission, le cadre juridique européen impose une formalisation précise de cette relation. L’Accord de Protection des Données, communément désigné par son acronyme anglais DPA (Data Processing Agreement), constitue le mécanisme contractuel central de cette exigence. Fondé sur l’article 28 du Règlement Général sur la Protection des Données, ce document structure les droits et obligations de chaque partie sur le plan de la protection des données, indépendamment de la localisation géographique des acteurs concernés. La pratique révèle pourtant que de nombreuses organisations sous-estiment encore l’étendue réelle de cette obligation, la cantonnant à tort aux seuls transferts internationaux ou aux traitements de données sensibles.

En bref :

• Le DPA est un contrat obligatoire dès qu’un prestataire traite des données personnelles pour le compte d’un responsable de traitement, même au sein de l’UE
• Son fondement juridique est l’article 28 du RGPD, qui liste neuf clauses impératives devant figurer dans tout accord de sous-traitance
• Le critère déclencheur est la relation de sous-traitance, non la localisation géographique des parties
• L’absence de DPA expose le responsable de traitement et le sous-traitant à des sanctions administratives au titre des articles 83 et 84 du RGPD
• Le DPA se distingue des Clauses Contractuelles Types, qui répondent à une logique de transfert hors EEE, et non d’encadrement de la sous-traitance intra-européenne
• Les récentes violations de données impliquant des prestataires tiers illustrent les conséquences concrètes d’un encadrement contractuel insuffisant

Le fondement réglementaire du DPA : article 28 RGPD et champ d’application

L’obligation de conclure un Accord de Protection des Données trouve son origine directe dans l’article 28 du RGPD. Ce texte conditionne le recours à un sous-traitant à la mise en place d’un contrat écrit — ou d’un autre acte juridique au titre du droit de l’Union ou d’un État membre — qui lie formellement le prestataire au responsable de traitement. La forme électronique est expressément admise (RGPD, art. 28 §9).

Le champ d’application de l’article 28 est déterminé par la qualité des parties, et non par leur localisation. Un responsable de traitement établi en France qui confie la gestion de sa paie à un éditeur SaaS allemand doit conclure un DPA, quand bien même les deux entités relèvent directement du RGPD. La localisation intra-européenne ne dispense d’aucune obligation contractuelle : c’est l’existence d’une relation de sous-traitance au sens du RGPD qui déclenche l’obligation, c’est-à-dire le fait qu’un tiers traite des données pour le compte d’un autre organisme, sur ses instructions.

La notion de sous-traitant au sens du RGPD ne coïncide pas nécessairement avec celle retenue en droit des contrats. Un avocat, un expert-comptable ou un médecin traitant des données dans le cadre de leur mission propre agissent en principe comme responsables de traitement distincts, et non comme sous-traitants. À l’inverse, un prestataire informatique bénéficiant d’un accès distant aux postes d’une organisation pour en assurer la maintenance traite des données personnelles sur instruction de son client : la qualification de sous-traitant s’impose, et le DPA devient obligatoire.

L’article 28 §1 impose par ailleurs une obligation préalable à la contractualisation : le responsable de traitement ne peut recourir qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Cette évaluation préalable, souvent formalisée par un questionnaire adressé au prestataire, conditionne la licéité du recours à ce dernier. Un sous-traitant certifié au titre de l’article 42 ou adhérant à un code de conduite approuvé au titre de l’article 40 peut utiliser ces éléments pour démontrer lesdites garanties (RGPD, art. 28 §5).

Pour approfondir les implications pratiques de cette disposition, l’analyse détaillée de l’article 28 du RGPD constitue une référence utile pour identifier l’ensemble des obligations incombant aux deux parties. La conformité au titre de cet article suppose une démarche structurée en trois étapes : identification des prestataires concernés, évaluation de leurs garanties, puis signature du DPA.

Les 9 mentions obligatoires du DPA selon l’article 28 §3 RGPD

L’article 28 §3 dresse une liste exhaustive des mentions que doit contenir tout Accord de Protection des Données. Ces clauses ne sont pas supplétives : leur absence expose les deux parties à des sanctions au titre de l’article 83 du RGPD. Le DPA doit a minima préciser l’objet et la durée du traitement, sa nature et sa finalité, le type de données traitées et les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement.

Au-delà de ces éléments descriptifs, l’article 28 §3 impose au sous-traitant une série d’engagements substantiels. Leur articulation mérite d’être présentée de manière structurée :

• Traitement sur instruction documentée uniquement (art. 28 §3, a) : le sous-traitant ne peut agir sur les données qu’en exécution des instructions du responsable de traitement. Toute obligation légale contraire doit être signalée avant exécution, sauf si le droit applicable l’interdit.
• Confidentialité des personnes autorisées (art. 28 §3, b) : les membres du personnel habilités à accéder aux données doivent être soumis à une obligation de confidentialité, contractuelle ou légale.
• Mesures de sécurité (art. 28 §3, c) : le sous-traitant s’engage à mettre en œuvre les mesures requises par l’article 32, proportionnées aux risques.
• Encadrement de la sous-traitance ultérieure (art. 28 §3, d) : tout recours à un sous-traitant de second rang requiert l’autorisation écrite préalable, spécifique ou générale, du responsable de traitement.
• Assistance aux droits des personnes (art. 28 §3, e) : le sous-traitant aide le responsable à répondre aux demandes d’exercice de droits (accès, rectification, effacement, etc.).
• Assistance à la conformité (art. 28 §3, f) : le sous-traitant contribue au respect des obligations des articles 32 à 36 (sécurité, notification de violations, AIPD, consultation préalable).
• Sort des données en fin de contrat (art. 28 §3, g) : à l’issue de la prestation, le sous-traitant supprime ou restitue les données, sauf obligation légale de conservation.
• Droit d’audit (art. 28 §3, h) : le sous-traitant met à disposition du responsable toutes les informations nécessaires pour démontrer sa conformité et contribue aux audits.
• Obligation d’alerte (art. 28 §3, al. 2) : si le sous-traitant estime qu’une instruction viole le RGPD, il en informe immédiatement le responsable de traitement.

La pratique contractuelle révèle que les clauses relatives au droit d’audit et au sort des données en fin de contrat sont fréquemment rédigées de façon trop vague pour être opposables. Un DPA qui se contente d’énoncer que « le sous-traitant coopérera aux audits » sans préciser les modalités concrètes (délais, périmètre, coût) offre une protection très limitée en cas de litige. La sécurité des données impose une rédaction précise de chacune de ces clauses.

DPA et Clauses Contractuelles Types : deux mécanismes distincts

Une confusion récurrente en pratique consiste à assimiler le DPA aux Clauses Contractuelles Types (CCT). Ces deux instruments répondent à des logiques juridiques distinctes, même s’ils peuvent coexister dans un même document contractuel.

Critère	DPA (art. 28 RGPD)	Clauses Contractuelles Types (art. 46 RGPD)
Fondement juridique	Article 28 RGPD	Article 46 §2, c) et d) RGPD
Objet	Encadrement de la relation de sous-traitance	Garantie des transferts de données hors EEE
Déclencheur	Relation de sous-traitance, quelle que soit la localisation	Transfert vers un pays tiers sans décision d’adéquation
Parties concernées	Responsable de traitement + sous-traitant	Exportateur + importateur de données (intra ou extra-UE)
Contenu imposé	Clauses listées à l’art. 28 §3	Clauses standardisées adoptées par la Commission européenne
Modifiabilité	Librement négociable dans le respect du RGPD	Non modifiable dans leur substance (décision 2021/914)
Obligation d’utilisation	Obligatoire dès qu’il y a sous-traitance	Obligatoire uniquement en l’absence d’adéquation ou d’autre garantie

Lorsqu’un responsable de traitement français confie un traitement à un sous-traitant américain, deux instruments doivent en principe être mobilisés : un DPA pour encadrer la relation de sous-traitance (art. 28), et des CCT pour encadrer le transfert hors EEE (art. 46). Ces deux couches contractuelles peuvent être intégrées dans un seul document, à condition que leurs objets respectifs soient clairement distingués.

La décision d’adéquation concernant les États-Unis adoptée en 2023 (Data Privacy Framework) a modifié ce paysage pour les prestataires américains certifiés. Pour ces derniers, les CCT ne sont plus techniquement requises au titre du transfert, mais le DPA reste obligatoire au titre de la sous-traitance. Cette distinction, souvent mal appréhendée, conduit certaines organisations à omettre le DPA dès lors qu’elles estiment la question du transfert réglée.

Pour une analyse opérationnelle des clauses à intégrer dans un tel accord, le guide pratique pour rédiger un DPA conforme détaille les articulations possibles entre ces différents instruments contractuels.

La chaîne de sous-traitance et la responsabilité des sous-traitants ultérieurs

L’article 28 §2 du RGPD encadre strictement le recours à un sous-traitant de second rang, communément désigné comme « sous-traitant ultérieur ». Le sous-traitant principal ne peut déléguer tout ou partie de son traitement à un tiers sans l’autorisation écrite préalable du responsable de traitement, spécifique ou générale.

L’autorisation générale — mécanisme retenu par la quasi-totalité des grands éditeurs SaaS — impose au sous-traitant d’informer le responsable de traitement de tout changement concernant l’ajout ou le remplacement d’un sous-traitant ultérieur. Cette information doit être préalable et laisser au responsable de traitement un délai raisonnable pour formuler des objections. Un DPA qui prévoit une liste annexée de sous-traitants ultérieurs autorisés, assortie d’un mécanisme d’information et d’objection, répond à cette exigence (RGPD, art. 28 §2).

Sur le plan de la responsabilité, l’article 28 §4 pose un principe de responsabilité en cascade : lorsqu’un sous-traitant ultérieur manque à ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement. Cette disposition a des implications pratiques considérables pour les éditeurs SaaS qui s’appuient sur une infrastructure cloud tierce (AWS, Azure, GCP) : leur DPA avec leurs propres sous-traitants ultérieurs doit imposer des obligations équivalentes à celles qu’ils ont contractées envers leur client.

Les incidents récents illustrent concrètement ces enjeux de chaîne de responsabilité. La violation de données affectant Crunchyroll en 2026 — avec 6,8 millions de comptes exposés via un prestataire de support client (Zendesk) — ou l’intrusion dans le logiciel Compas utilisé par l’Éducation nationale, ayant compromis les données de 243 000 agents, démontrent que la faille se situe souvent au niveau d’un prestataire tiers, et non au sein du système central de l’organisation. Dans ces configurations, l’absence d’un DPA rigoureux avec le prestataire concerné aggrave significativement l’exposition juridique du responsable de traitement.

La violation touchant Cerballiance — avec accès non autorisé au serveur d’un prestataire informatique exposant des numéros de sécurité sociale et des comptes-rendus d’analyses médicales — illustre par ailleurs les risques spécifiques liés aux données de santé, catégorie particulière au sens de l’article 9 du RGPD, dont le traitement par un sous-traitant requiert des garanties renforcées dans le DPA. Pour aller plus loin sur le rôle du délégué à la protection des données dans la supervision de ces relations contractuelles, les obligations du DPO en matière de contrôle des sous-traitants méritent une attention particulière.

Mise en œuvre opérationnelle : recensement, évaluation et signature du DPA

La conformité à l’article 28 suppose une démarche structurée qui ne se limite pas à la signature d’un document type. Elle implique trois étapes séquentielles dont la rigueur conditionne l’effectivité de la protection.

Recensement exhaustif des sous-traitants au sens du RGPD

La première étape consiste à identifier l’ensemble des prestataires ayant accès à des données personnelles traitées par l’organisation. Cette cartographie doit couvrir aussi bien les relations directes (éditeurs SaaS, prestataires de maintenance informatique, cabinets de paie externalisée) que les relations indirectes résultant de l’activité du sous-traitant lui-même. Un CRM hébergé en SaaS implique non seulement l’éditeur de la solution, mais potentiellement l’hébergeur sous-jacent, le prestataire d’envoi d’emails transactionnels ou l’outil d’analytics intégré.

Cette cartographie peut révéler des angles morts significatifs : des outils adoptés sans validation de la direction juridique, des accès accordés ponctuellement à des prestataires externes lors d’une migration, ou des intégrations tierces activées directement par les équipes métier. Le registre des activités de traitement prévu à l’article 30 constitue un point de départ utile, mais ne suffit généralement pas à couvrir l’ensemble de la chaîne de sous-traitance.

Évaluation des garanties présentées par chaque sous-traitant

L’article 28 §1 impose au responsable de traitement de ne recourir qu’à des prestataires présentant des garanties suffisantes. Cette évaluation préalable peut s’appuyer sur plusieurs éléments : réponses à un questionnaire de due diligence RGPD, présentation d’une certification ISO 27001 ou d’une attestation SOC 2, adhésion à un code de conduite approuvé, ou encore fourniture d’un rapport d’audit tiers. La CNIL n’a pas fixé de grille standardisée, mais ses lignes directrices et les travaux du CEPD fournissent des orientations sur le niveau attendu.

Trois profils de sous-traitants se dégagent généralement à l’issue de cette évaluation : ceux dont le niveau de conformité est insuffisant et avec lesquels la collaboration doit être reconsidérée ; ceux dont la démarche est en cours, pouvant être conservés pour des traitements non sensibles sous réserve d’un suivi renforcé ; et ceux présentant un niveau satisfaisant permettant de s’appuyer sur eux sans réserve majeure. Cette segmentation oriente les priorités de contractualisation.

Rédaction et signature du DPA : points de vigilance

La rédaction du DPA lui-même appelle plusieurs points d’attention. Les clauses relatives au droit d’audit doivent être suffisamment précises pour être réellement exercées : un audit « sur simple demande » sans encadrement des délais, du périmètre et de la prise en charge des coûts restera lettre morte. De même, la clause relative au sort des données en fin de contrat doit préciser le délai de suppression, les supports concernés (sauvegardes incluses) et le format de la restitution si elle est choisie.

La gestion des violations de données mérite une attention particulière. L’article 33 §2 impose au sous-traitant de notifier toute violation au responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Le DPA doit traduire cette obligation en délai contractuel précis — généralement 24 à 72 heures — et préciser les informations minimales à communiquer lors de cette notification initiale.

Des modèles de DPA sont disponibles pour structurer cette démarche. Le modèle de DPA conforme à l’article 28 proposé par Legiscope ou les ressources disponibles sur les obligations RGPD du DPO au titre de l’article 28 constituent des bases de travail pertinentes, à adapter impérativement au contexte spécifique de chaque relation de traitement. Un modèle générique non personnalisé présente des lacunes similaires à celles d’un DPA absent : il donne une apparence de conformité sans en offrir la substance.

La conformité au titre du DPA n’est pas un exercice ponctuel. Elle suppose un suivi dans le temps : mise à jour du DPA lorsque les conditions de traitement évoluent, réévaluation des garanties du sous-traitant à intervalles réguliers, et traçabilité des échanges relatifs aux audits et aux violations de données. C’est à cette condition que le DPA remplit sa fonction première : non pas celle d’un document archivé, mais celle d’un instrument vivant de gouvernance des traitements externalisés.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Le DPA est-il obligatoire lorsque le prestataire est situu00e9 dans l’Union europu00e9enne ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui. L’article 28 du RGPD ne conditionne pas l’obligation de conclure un DPA u00e0 la localisation gu00e9ographique des parties. Le critu00e8re du00e9clencheur est l’existence d’une relation de sous-traitance : du00e8s lors qu’un prestataire traite des donnu00e9es personnelles pour le compte d’un responsable de traitement, le DPA est obligatoire, que les deux entitu00e9s soient u00e9tablies en France, en Allemagne ou dans tout autre u00c9tat membre. »}},{« @type »: »Question », »name »: »Quelle est la diffu00e9rence entre un DPA et des Clauses Contractuelles Types ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le DPA encadre la relation de sous-traitance au titre de l’article 28 du RGPD : il s’applique du00e8s qu’un prestataire traite des donnu00e9es pour le compte d’un responsable, quelle que soit la localisation. Les Clauses Contractuelles Types (CCT) sont un mu00e9canisme de garantie appropriu00e9e au titre de l’article 46 du RGPD, destinu00e9 u00e0 encadrer les transferts de donnu00e9es vers des pays tiers sans du00e9cision d’adu00e9quation. Ces deux instruments ru00e9pondent u00e0 des logiques distinctes et peuvent coexister dans un mu00eame contrat lorsque la situation le requiert. »}},{« @type »: »Question », »name »: »Que doit pru00e9voir le DPA concernant les sous-traitants ultu00e9rieurs ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’article 28 u00a72 impose que le sous-traitant obtienne l’autorisation u00e9crite pru00e9alable du responsable de traitement avant de faire appel u00e0 un sous-traitant ultu00e9rieur. Cette autorisation peut u00eatre gu00e9nu00e9rale, auquel cas le sous-traitant doit informer le responsable de tout changement concernant l’ajout ou le remplacement d’un prestataire de second rang, en lui laissant la possibilitu00e9 de s’y opposer. Le DPA doit formaliser ces modalitu00e9s et pru00e9voir que les mu00eames obligations en matiu00e8re de protection des donnu00e9es sont imposu00e9es au sous-traitant ultu00e9rieur. »}},{« @type »: »Question », »name »: »Quelles sanctions encourt-on en l’absence de DPA ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’absence de DPA constitue une violation de l’article 28 du RGPD, susceptible d’u00eatre sanctionnu00e9e au titre de l’article 83 u00a74, qui pru00e9voit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice pru00e9cu00e9dent, le montant le plus u00e9levu00e9 u00e9tant retenu. La CNIL peut constater cette violation lors d’un contru00f4le et prononcer une mise en demeure ou une sanction pu00e9cuniaire, y compris en l’absence de violation de donnu00e9es avu00e9ru00e9e. »}},{« @type »: »Question », »name »: »Un modu00e8le standard de DPA fourni par le prestataire est-il suffisant ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Un modu00e8le standard peut constituer un point de du00e9part valable u00e0 condition qu’il couvre l’ensemble des mentions obligatoires de l’article 28 u00a73 et qu’il soit adaptu00e9 au contexte spu00e9cifique du traitement concernu00e9. En pratique, les modu00e8les gu00e9nu00e9riques comportent souvent des clauses trop vagues sur le droit d’audit, le sort des donnu00e9es en fin de contrat ou la notification des violations. Le responsable de traitement doit s’assurer que le DPA, quelle qu’en soit l’origine, reflu00e8te pru00e9cisu00e9ment les conditions ru00e9elles du traitement et les garanties effectivement mises en u0153uvre par le prestataire. »}}]}

Le DPA est-il obligatoire lorsque le prestataire est situé dans l’Union européenne ?

Oui. L’article 28 du RGPD ne conditionne pas l’obligation de conclure un DPA à la localisation géographique des parties. Le critère déclencheur est l’existence d’une relation de sous-traitance : dès lors qu’un prestataire traite des données personnelles pour le compte d’un responsable de traitement, le DPA est obligatoire, que les deux entités soient établies en France, en Allemagne ou dans tout autre État membre.

Quelle est la différence entre un DPA et des Clauses Contractuelles Types ?

Le DPA encadre la relation de sous-traitance au titre de l’article 28 du RGPD : il s’applique dès qu’un prestataire traite des données pour le compte d’un responsable, quelle que soit la localisation. Les Clauses Contractuelles Types (CCT) sont un mécanisme de garantie appropriée au titre de l’article 46 du RGPD, destiné à encadrer les transferts de données vers des pays tiers sans décision d’adéquation. Ces deux instruments répondent à des logiques distinctes et peuvent coexister dans un même contrat lorsque la situation le requiert.

Que doit prévoir le DPA concernant les sous-traitants ultérieurs ?

L’article 28 §2 impose que le sous-traitant obtienne l’autorisation écrite préalable du responsable de traitement avant de faire appel à un sous-traitant ultérieur. Cette autorisation peut être générale, auquel cas le sous-traitant doit informer le responsable de tout changement concernant l’ajout ou le remplacement d’un prestataire de second rang, en lui laissant la possibilité de s’y opposer. Le DPA doit formaliser ces modalités et prévoir que les mêmes obligations en matière de protection des données sont imposées au sous-traitant ultérieur.

Quelles sanctions encourt-on en l’absence de DPA ?

L’absence de DPA constitue une violation de l’article 28 du RGPD, susceptible d’être sanctionnée au titre de l’article 83 §4, qui prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. La CNIL peut constater cette violation lors d’un contrôle et prononcer une mise en demeure ou une sanction pécuniaire, y compris en l’absence de violation de données avérée.

Un modèle standard de DPA fourni par le prestataire est-il suffisant ?

Un modèle standard peut constituer un point de départ valable à condition qu’il couvre l’ensemble des mentions obligatoires de l’article 28 §3 et qu’il soit adapté au contexte spécifique du traitement concerné. En pratique, les modèles génériques comportent souvent des clauses trop vagues sur le droit d’audit, le sort des données en fin de contrat ou la notification des violations. Le responsable de traitement doit s’assurer que le DPA, quelle qu’en soit l’origine, reflète précisément les conditions réelles du traitement et les garanties effectivement mises en œuvre par le prestataire.