Vérifier le DPA : les points qui coincent en pratique
Comment vérifier efficacement un contrat de sous-traitance (DPA) sur les sous-prestataires, le droit de donner des instructions et les clauses d'audit, pour éviter de lourdes amendes.
Martin Semmele
Points clés
- Un DPA absent ou lacunaire peut entraîner des amendes, dans un cadre légal allant jusqu'à 10 millions d'euros.
- Quand le fournisseur fait appel à de nouveaux sous-prestataires, il te faut un véritable droit d'opposition dans le contrat.
- Pour tenir le délai de notification de 72 heures en cas de violation de données, le DPA doit contraindre le prestataire de services à t'informer vite.
- Après la fin du contrat, il doit être clairement réglé comment et quand tes données sont intégralement supprimées.
Pourquoi la vérification du DPA coince souvent au quotidien
Quand tu réserves un logiciel pour ton entreprise, les outils externes traitent presque toujours des données à caractère personnel de ta clientèle. Selon l'article 28 du RGPD, un contrat de sous-traitance est une obligation légale. Si ce contrat manque ou présente des lacunes, des amendes au titre de l'article 83, paragraphe 4, du RGPD allant jusqu'à 10 millions d'euros ou 2 pour cent du chiffre d'affaires annuel mondial sont encourues1. Une affaire hambourgeoise montre que même de petites infractions sont sanctionnées : une entreprise de vente par correspondance a reçu une amende de 5 000 euros majorée de 250 euros de frais parce qu'elle n'avait conclu aucun contrat de sous-traitance avec un prestataire mandaté2.
Le chaos de papier au quotidien de l'entreprise.
La réalité dans les petites et moyennes entreprises ressemble rarement au manuel. Les contrats standard des éditeurs de logiciels comptent souvent des dizaines de pages de clauses juridiques. Sans service juridique interne, un temps précieux se perd au quotidien. Les dirigeants et les responsables d'équipe doivent évaluer des risques sans passer des heures dans les textes de loi.
Une vérification structurée protège ton entreprise des mauvaises surprises. Plutôt que de négocier chaque phrase avec un avocat, tu te concentres sur les points critiques où les contrats échouent en pratique. Ce guide ne constitue pas un conseil juridique, il sert de repère opérationnel. Si une clause laisse place au doute, mieux vaut la renvoyer à un examen juridique.
- Sous-prestataires : qui traite tes données en arrière-plan ?
- Droit de donner des instructions : gardes-tu le contrôle complet du logiciel ?
- Droits d'audit : dans quelle mesure les mesures de protection sont-elles démontrables ?
- Délais de notification : reçois-tu l'information à temps en cas de coup dur ?
- Suppression : qu'advient-il de tes données après la résiliation ?
La liste des sous-traitants ultérieurs : qui lit tes données au juste ?
Aucun service cloud moderne n'exploite seul toute son infrastructure. Les fournisseurs SaaS utilisent des centres de données externes pour l'hébergement, des tiers pour l'envoi d'e-mails ou des moteurs de recherche spécialisés pour l'analyse de données. En droit de la protection des données, ces prestataires s'appellent sous-processeurs ou sous-traitants ultérieurs.
La transparence l'emporte sur les promesses globales.
Un contrat solide nomme tous les sous-prestataires utilisés avec leur nom, leur fonction et leur siège. Le point critique se situe dans les modifications de cette liste. Si le contrat autorise le fournisseur à faire appel à de nouveaux sous-prestataires sans ton accord exprès, tu perds le contrôle du chemin des données.
Il te faut une information garantie par contrat avant chaque changement. Le contrat doit t'accorder un délai raisonnable d'au moins 14 jours pour t'opposer à l'intégration d'un nouveau sous-prestataire. S'il ne prévoit aucun droit d'opposition ou si l'information passe seulement par une page web cachée, la règle ne répond pas aux exigences d'un traitement de données sûr.
| Règle dans le DPA | Effet en pratique | Évaluation |
|---|---|---|
| Autorisation préalable globale | Le fournisseur peut faire appel à de nouveaux prestataires à tout moment. | Critique |
| Information par e-mail avec un délai de 14 jours | Tu reçois un message actif et peux t'opposer en cas de réserve. | Conforme au RGPD |
| Liste transparente avec localisation dans l'UE | Clarté sur tous les lieux de traitement et tous les prestataires. | Optimal |
Le droit de donner des instructions : les limites du contrôle au quotidien SaaS
En tant que client, tu restes le propriétaire juridique des données traitées et le responsable du traitement. Le prestataire de services ne peut traiter tes données que comme tu le lui prescris. Ce droit de donner des instructions est le cœur de la sous-traitance au sens de l'article 28 du RGPD.
Comment les instructions fonctionnent en pratique.
Avec un logiciel standardisé, tu donnes rarement des instructions par courrier ou par e-mail. La configuration de l'application, l'activation de fonctions ou le réglage de délais de suppression dans l'interface valent comme instruction technique. Le contrat doit retenir que l'utilisation du logiciel vaut comme ton instruction.
Un point souvent oublié est le devoir d'alerte du fournisseur. Le contrat doit obliger le prestataire à t'informer sans délai lorsqu'une instruction que tu as donnée enfreint le droit de la protection des données. Sans cette clause, tout le risque des configurations illicites repose sur toi.
- Détermination claire : les réglages du logiciel valent comme instruction juridiquement valable.
- Forme documentée : la forme textuelle par e-mail ou système de tickets suffit.
- Devoir d'alerte actif : le fournisseur t'informe en cas d'instruction illicite.
- Limites des modifications : le fournisseur ne peut pas adapter les instructions de sa propre initiative.
Droits d'audit : entre le papier et les vérifications réelles
Le RGPD t'oblige à contrôler régulièrement le respect des mesures techniques et organisationnelles chez le prestataire de services. Un audit sur site dans le centre de données du fournisseur est toutefois pratiquement impossible avec les services cloud. Aucun centre de données n'accorde à des visiteurs extérieurs un accès libre aux salles de serveurs.
Les certificats comme voie de vérification pragmatique.
Le contrat doit donc fixer des mesures de remplacement claires pour les audits physiques. Les rapports d'audit reconnus selon ISO 27001, SOC 2 ou BSI C5 attestent la sécurité de l'infrastructure par des tiers indépendants. Il importe que le fournisseur mette ces preuves à ta disposition gratuitement et sans long délai.
Un contrat qui soumet les droits de vérification à des frais élevés ou exclut les audits de manière générale n'est pas acceptable. Tu dois conserver le droit d'exiger des renseignements supplémentaires en cas de doutes fondés ou après des incidents de sécurité.
En pratique, trois voies de vérification s'offrent à toi. Un audit sur site donne l'aperçu le plus direct, mais il suppose un déplacement, une prise de rendez-vous et du personnel spécialisé, et les grands fournisseurs cloud ne l'accordent en règle générale pas du tout. Les certificats et rapports d'audit reconnus selon ISO 27001, SOC 2 ou BSI C5 sont établis par des auditeurs indépendants et peuvent le plus souvent être demandés immédiatement, il ne te reste qu'à les lire au regard de tes propres exigences. Les questionnaires se situent entre les deux : ils répondent à tes questions précises, mais exigent que tu formules toi-même les questions et évalues les réponses, et le fournisseur a besoin de temps pour répondre.
Délais de notification : quand chaque heure compte
Si une faille de sécurité survient chez le prestataire de services, le compte à rebours démarre. Selon l'article 33 du RGPD, tu dois notifier une violation de données à caractère personnel à l'autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance3. Ce délai court sans interruption, y compris les week-ends et les jours fériés3.
Sans délai ne suffit pas comme mot.
Le législateur exige du sous-traitant qu'il informe le responsable du traitement sans délai des incidents de sécurité3. Dans le contrat, ce mot indéterminé devrait être précisé par une indication de temps concrète. Si le fournisseur ne t'informe qu'au bout de deux jours, il ne te reste que quelques heures pour tes propres analyses.
Conviens dans le contrat d'un délai de notification de 24 à 48 heures au maximum à compter de la découverte de l'incident. Le fournisseur doit alors te transmettre toutes les informations disponibles sur l'ampleur de la violation, les catégories de données concernées et les contre-mesures engagées.
- Cadre temporel concret : notification dans un délai maximal de 24 à 48 heures.
- Indications complètes : nature de l'incident, personnes concernées et catégories de données.
- Interlocuteur : désignation d'un contact direct pour les urgences.
- Obligation de documentation : rapport écrit sur les causes et les contre-mesures.
Suppression après la fin du contrat : la coupe nette
Après la fin de la collaboration, tes données ne doivent pas rester sur les serveurs du prestataire de services. L'article 28, paragraphe 3, première phrase, point g), du RGPD prescrit que toutes les données à caractère personnel soient, au choix du client, soit intégralement supprimées, soit restituées.
Obstacles cachés à la résiliation.
En pratique, certains fournisseurs tentent de facturer les exports de données ou d'imposer de longues durées de conservation. Un contrat correct garantit que l'export de tes données dans un format courant comme JSON ou CSV est possible gratuitement.
Veille à obtenir une confirmation écrite de la suppression. Le prestataire de services doit confirmer par écrit, dans un délai défini, la suppression définitive de toutes les copies, y compris dans les sauvegardes. Les obligations légales de conservation du fournisseur constituent la seule exception.
- Droit de choisir : décision entre suppression intégrale et restitution des données.
- Format courant : export gratuit de toutes les structures de données.
- Suppression des sauvegardes : suppression dans les copies de sauvegarde dans un délai raisonnable.
- Confirmation : preuve écrite de la suppression effectuée.
Un exemple pratique : le support sans mal de tête lié au DPA
ComLayer montre qu'un logiciel de service client moderne et une protection des données fiable vont ensemble. En tant que plateforme de support client assisté par IA, l'outil traite les demandes de la clientèle pour le compte des entreprises. Tous les contenus et toutes les conversations restent dans des régions européennes.
L'automatisation sans zone grise juridique.
Pour le respect de toutes les exigences de confidentialité, ComLayer met à disposition un contrat de sous-traitance vérifié. Les prestataires utilisés sont nommés ouvertement. L'IA n'utilise pas les données clients à ses propres fins d'entraînement. C'est ainsi qu'une IA conforme au RGPD peut être utilisée dans le support sans créer d'insécurité juridique.
Le modèle tarifaire flexible permet à toutes sortes d'équipes de se lancer. L'offre commence par la variante Free à 0 euro par mois pour tester. Pour un support IA en production, le forfait Pro est disponible à partir de 49 euros par mois plus 12 euros par poste, tandis que le forfait Scale couvre des volumes plus importants pour 199 euros par mois.
- Hébergement dans l'UE : tous les contenus restent sur des serveurs européens.
- DPA transparent : modèles de contrat prêts à l'emploi au titre de l'article 28 du RGPD disponibles.
- Aucun entraînement de modèles : ta base de connaissances reste ta propriété protégée.
- Communication ouverte : tous les sous-prestataires sont listés de façon transparente.
Questions fréquentes
Quand ai-je précisément besoin d'un DPA ?
Un DPA est toujours obligatoire au titre de l'article 28 du RGPD dès qu'un prestataire externe, par exemple un fournisseur de logiciel cloud, traite pour toi des données à caractère personnel sur instruction.
Qui doit fournir le DPA ?
En pratique, c'est le plus souvent le prestataire de services qui met le projet de contrat à disposition. En tant que client, tu restes toutefois juridiquement responsable du fait que le DPA remplisse les exigences strictes du RGPD.
Que se passe-t-il si je ne conclus pas de DPA ?
Un DPA manquant est un risque de conformité sérieux. Dans une affaire hambourgeoise, l'autorité de contrôle a infligé à une entreprise de vente par correspondance une amende de 5 000 euros majorée de 250 euros de frais. Le maximum légal se situe à 10 millions d'euros ou 2 pour cent du chiffre d'affaires annuel mondial.
Puis-je faire remplacer les droits d'audit par des certificats ?
Oui. Comme les contrôles sur site sont souvent impossibles chez les grands fournisseurs SaaS, les droits d'audit peuvent être couverts par des certificats reconnus comme l'ISO 27001 ou par des rapports d'auditeurs indépendants.
De combien de temps est-ce que je dispose pour notifier une violation de données chez le prestataire de services ?
Lorsqu'une violation de données à caractère personnel présente un risque pour les personnes concernées, tu dois la notifier à l'autorité de contrôle compétente dans les 72 heures conformément à l'article 33 du RGPD.