Notre glossaire, méticuleusement élaboré, est votre boussole dans l’univers complexe et dynamique du marketing, de la communication et du digital. Ici, chaque terme est une clé que nous vous aidons à décrypter pour vous ouvrir a des concepts innovants et des stratégies éprouvées. Plongez dans nos thématiques pour éclairer votre chemin vers l’excellence et la créativité.
Le DPA (Data Processing Agreement), ou contrat de traitement des données, est le contrat par lequel un responsable de traitement confie des données personnelles à un sous-traitant et fixe les conditions dans lesquelles celui-ci les traite pour son compte.
Il répond à l’article 28 du RGPD, qui exige qu’un acte juridique encadre toute sous-traitance. Ce contrat formalise la relation entre le responsable de traitement, l’entité qui détermine les finalités et les moyens du traitement, et le sous-traitant, l’entité qui traite les données personnelles pour le compte du responsable, sur ses instructions. Il prend la forme d’un document autonome ou d’une annexe au contrat de prestation.
Selon le guide du sous-traitant de la CNIL, le contrat décrit l’objet et la durée de la prestation, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable. Il engage le sous-traitant sur plusieurs points : agir sur instructions documentées, garantir la confidentialité et la sécurité, obtenir une autorisation écrite avant de recourir à un autre sous-traitant, aider le responsable à répondre aux demandes des personnes, notifier les violations de données, restituer ou détruire les données en fin de contrat, permettre les audits.
Le DPA se distingue des conditions générales du prestataire, qui organisent la prestation commerciale, même s’il leur est souvent annexé. Il se distingue aussi des clauses contractuelles types de transfert, qui encadrent l’envoi de données hors de l’Union européenne. En anglais, le sigle désigne également une autorité de protection des données (Data Protection Authority), comme la CNIL : le contexte lève l’ambiguïté. En marketing, le DPA se signe avec les agences, les hébergeurs et les éditeurs de logiciels de gestion de la relation client, d’envoi de messages ou de mesure d’audience.
Le DPA suppose une répartition des rôles : un responsable qui décide, un sous-traitant qui exécute. Cette répartition n’est pas toujours exacte. Une agence qui réutilise les données d’une campagne pour ses propres études, ou un éditeur qui enrichit ses modèles avec vos fichiers, n’agit plus seulement pour votre compte sur cette partie. Signer un DPA ne transforme pas un partenaire qui décide en simple exécutant. Nous recommandons de poser la question des rôles traitement par traitement, avant toute relecture des clauses.
Le guide du sous-traitant publié par la CNIL en 2017 rappelle que le sous-traitant engage sa propre responsabilité. Il peut être tenu pour responsable du dommage causé et s’exposer à des amendes administratives. Selon le manquement, celles-ci peuvent atteindre 10 ou 20 millions d’euros, ou 2 % ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le sous-traitant doit présenter des garanties suffisantes quant aux mesures techniques et organisationnelles appropriées. Cela ne dispense pas le responsable de veiller à leur respect.
La Commission européenne a adopté des clauses contractuelles types entre responsables et sous-traitants, par la décision d’exécution (UE) 2021/915 du 4 juin 2021. Selon la CNIL, leur usage n’est pas obligatoire si le contrat contient déjà les éléments exigés par l’article 28. Les parties ne peuvent pas les modifier, hors annexes, mais peuvent les intégrer dans un contrat plus large. Elles ne servent pas aux transferts hors de l’Union, qui relèvent d’autres clauses.
Suivez la part des prestataires qui traitent des données couverts par un DPA signé, et la date de dernière revue de chaque contrat. Croisez cette liste avec le registre des activités de traitement : chaque destinataire externe doit y apparaître. Quatre erreurs sont à éviter :
Advalians vous aide à choisir vos agences et à contractualiser avec elles, avec une attention portée à la sécurisation contractuelle et à la propriété intellectuelle.
Le DPA est le contrat qui encadre une sous-traitance de données. Les clauses contractuelles types sont un modèle adopté par la Commission européenne en 2021, que les parties peuvent utiliser pour rédiger ce contrat. Selon la CNIL, leur usage n’est pas obligatoire si le contrat contient déjà les éléments exigés par l’article 28 du RGPD.
À ne pas confondre avec les clauses types de transfert, qui encadrent l’envoi de données hors de l’Union. Un prestataire situé hors de l’Union peut donc nécessiter les deux documents.
Comparez-le à l’usage réel que vous ferez de l’outil, pas à un modèle idéal. Relisez cinq points.
Archivez la version acceptée, avec sa date.
Tenez une liste unique des prestataires qui traitent des données personnelles, rattachée au registre des activités de traitement. Pour chacun, notez la date de signature du DPA, la version acceptée et la date de dernière revue.
Suivez deux indicateurs : la part des prestataires couverts par un contrat signé, et la part des contrats revus depuis moins d’un an. Ce rythme annuel est un repère que nous proposons, non une obligation. Toute évolution de la prestation déclenche une revue anticipée.
Vous exposez les deux parties à une sanction, car l’article 28 du RGPD exige un acte juridique pour toute sous-traitance. Selon la CNIL, le sous-traitant engage aussi sa propre responsabilité et peut se voir infliger des amendes administratives. Le responsable, lui, doit veiller au respect des mesures de sécurité promises par son prestataire.
L’erreur la plus fréquente est l’outil adopté par une équipe sans passer par les achats. Recensez ces usages, puis régularisez chaque contrat ou arrêtez l’outil.
Oui, dès que l’agence traite pour vous des données personnelles : fichiers de prospects, inscrits à un jeu, audiences publicitaires, avis clients. Le DPA s’ajoute alors au contrat de prestation.
Il est inutile si l’agence ne reçoit aucune donnée personnelle, par exemple pour une création graphique. Il ne suffit pas si l’agence décide elle-même de l’usage des données, par exemple pour ses propres études : elle devient alors responsable de traitement sur cette partie. Qualifiez ce rôle avant de choisir le document.
Par Thomas Bizot – Président du cabinet Advalians
