DPA (Data Processing Agreement)

Définition

Le DPA, pour Data Processing Agreement, est l'accord de traitement des données personnelles conclu entre un responsable de traitement et un sous-traitant, constituant la traduction contractuelle des exigences de l'article 28 du RGPD lorsque des données personnelles européennes sont concernées. Ce document précise l'objet, la durée, la nature et la finalité du traitement confié, les catégories de données et de personnes concernées, ainsi que les obligations de sécurité, de confidentialité et d'assistance du sous-traitant, notamment en cas de violation de données ou d'exercice des droits des personnes. Il encadre également les conditions de recours à des sous-traitants ultérieurs et les modalités de transfert de données hors de l'Union européenne, exigeant dans ce cas des garanties supplémentaires comme les clauses contractuelles types de la Commission européenne. Le DPA est devenu un document contractuel standard proposé systématiquement par les fournisseurs SaaS et cloud sérieux, souvent en complément des conditions générales de service. En pratique de conformité, l'existence d'un DPA à jour et signé pour chaque sous-traitant traitant des données personnelles pour le compte de l'organisation constitue une exigence vérifiée en priorité lors d'un audit RGPD, et son absence expose le responsable de traitement à un risque de sanction en cas de contrôle par une autorité de protection des données comme la CNIL.