Numerique
Votre client vous impose son DPA, ou vos prestataires traitent vos données sans contrat conforme : un DPA RGPD bien négocié fixe qui répond de quoi le jour d'une violation de données.
Contexte
Dès qu'un prestataire traite des données personnelles pour le compte d'un client, l'article 28 du RGPD exige un contrat écrit, la forme électronique suffisant. Ce DPA (data processing agreement) n'est pas une annexe de confort : son contenu minimal est fixé par le texte. Il décrit l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes, puis engage le sous-traitant sur huit points.
Ces huit engagements sont précis : traiter uniquement sur instruction documentée, transferts hors Union compris ; soumettre son personnel à la confidentialité ; appliquer les mesures de sécurité de l'article 32 ; respecter les règles de recrutement d'un sous-traitant ultérieur ; aider le client à répondre aux demandes des personnes et à remplir ses obligations des articles 32 à 36 ; supprimer ou restituer les données en fin de contrat ; permettre les audits, inspections comprises. L'article 33 ajoute que le sous-traitant notifie toute violation au client dans les meilleurs délais, pour que celui-ci tienne son propre délai de 72 heures devant la CNIL.
La Commission a publié des clauses contractuelles types par la décision d'exécution (UE) 2021/915 du 4 juin 2021. Elles sont facultatives et peuvent s'intégrer dans un contrat plus large, mais elles ne servent pas aux transferts vers un pays tiers, qui relèvent d'autres clauses. Enfin, le sous-traitant qui décide lui-même des finalités et des moyens devient responsable du traitement pour ce traitement, avec toutes les obligations qui suivent : la qualification des rôles précède toujours la rédaction.
Problematique
Le défaut de DPA conforme se sanctionne, et pas seulement chez le client. Le 15 avril 2022 (délibération SAN-2022-009), la CNIL a infligé 1,5 million d'euros à un éditeur de logiciels pour laboratoires dont les conditions générales et les contrats de maintenance ne contenaient aucune des mentions de l'article 28. Elle a jugé que l'obligation partagée avec le client laissait intacte la responsabilité propre du sous-traitant, qui avait en outre extrait plus de données que ses instructions ne le prévoyaient. L'article 83 prévoit pour ces manquements jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
Le DPA mal négocié coûte aussi cher. Le 22 décembre 2025 (SAN-2025-015), la CNIL a sanctionné de 1,7 million d'euros un éditeur hébergeur, sous-traitant d'une administration, en retenant qu'il restait en l'espèce responsable à titre principal de son propre sous-traitant d'hébergement. Côté sous-traitant, le danger vient des clauses que le client glisse dans son modèle : responsabilité illimitée, audits sur place sans préavis, notification en quelques heures, interdiction de changer d'hébergeur. Signées sans relecture, elles annulent en pratique le plafond négocié dans le contrat principal.
Côté client, le risque est symétrique. L'article 82 permet à la personne lésée de réclamer la totalité de son préjudice à chacun des acteurs. Sans clause de recours, de coopération et d'audit exploitable, le client paie seul puis découvre que son prestataire a confié les données à un sous-traitant ultérieur que personne n'a vérifié. En fin de contrat, l'absence de clause de restitution laisse ses données chez un prestataire qu'il ne paie plus.
Solutions
Je commence par qualifier les rôles traitement par traitement, parce qu'un même contrat cache souvent deux qualités : sous-traitant pour la plateforme, responsable pour la facturation ou l'amélioration du produit. Cette analyse fixe ce que le DPA doit couvrir, et ce qu'il ne doit surtout pas couvrir. Elle conditionne aussi votre registre des traitements et vos mentions d'information.
Si vous êtes prestataire, je construis votre modèle de DPA, réutilisable pour tous vos clients, et je négocie celui qu'un grand compte vous impose. L'objectif est de garder le plafond de responsabilité de votre contrat principal, un audit encadré, des délais de notification tenables et une liste de sous-traitants ultérieurs que vous pouvez faire évoluer. Mon expérience de développeur m'aide à vérifier que l'annexe de sécurité décrit votre architecture réelle, pas un catalogue de mesures que vous ne tenez pas. Les éditeurs trouveront mon approche sectorielle sur la page avocat des éditeurs de logiciels et SaaS.
Si vous êtes client, je rédige un DPA qui vous donne prise sur vos prestataires : instructions écrites, preuves de sécurité, droit d'objection effectif, restitution des données et recours en cas de sinistre, le tout articulé avec le contrat de service et ses niveaux d'engagement. Les points de vigilance propres au cloud sont détaillés dans les sept points de vigilance de l'externalisation cloud. Quand le besoin dépasse un contrat, je propose un audit RGPD de vos sous-traitants. Pour soumettre votre dossier, prenez contact avec le cabinet : je vous indique, après lecture du projet, les clauses à traiter en priorité.
J'identifie pour chaque traitement qui décide des finalités et des moyens. Je relis le contrat principal, la documentation produit et les flux de données. Cette étape évite le DPA signé par un prestataire qui, en pratique, agit comme responsable de traitement et en porte alors toutes les obligations. Le livrable est une fiche de qualification par traitement, réutilisable pour vos autres contrats.
Je rédige votre modèle ou j'annote le projet reçu, clause par clause, en distinguant ce que l'article 28 impose de ce qui relève de la négociation. Vous recevez un tableau des écarts classés par risque, avec la rédaction de repli que je propose pour chaque point, et l'annexe de sécurité rédigée avec votre équipe technique à partir de vos mesures réelles.
Je négocie directement ou en appui de vos équipes les clauses qui déplacent le risque : plafond de responsabilité, modalités et coût des audits, délai de notification d'une violation, objection aux sous-traitants ultérieurs. Chaque concession est tracée pour rester cohérente avec vos autres contrats et avec la clause de responsabilité du contrat principal.
Un DPA vieillit avec votre architecture. Je structure les annexes, mesures de sécurité, liste des sous-traitants ultérieurs et transferts, pour qu'elles se mettent à jour sans renégocier le contrat, et je les révise à chaque changement d'hébergeur, d'outil ou de réglementation. Vous gardez une trace datée de chaque version, utile en cas d'audit ou de contrôle de la CNIL.
FAQ
Oui, dès qu'un prestataire traite des données personnelles pour le compte d'un client. L'article 28 du RGPD impose un contrat écrit, la forme électronique étant admise, qui contient au minimum l'objet, la durée, la finalité, les types de données et les huit engagements du sous-traitant. L'obligation pèse sur les deux parties : la CNIL l'a rappelé en sanctionnant directement un sous-traitant en 2022. Hébergement, maintenance avec accès aux bases, SaaS, paie, centre d'appels ou agence marketing sont concernés. Un simple renvoi aux conditions générales du prestataire ne suffit pas s'il ne reprend pas ces mentions.
Ce n'est pas obligatoire. Les clauses de la décision d'exécution (UE) 2021/915 couvrent les exigences de l'article 28 et peuvent être reprises dans un contrat plus large, à condition de ne pas les contredire. Elles laissent pourtant des blancs décisifs : le délai de préavis avant l'ajout d'un sous-traitant ultérieur, les annexes de sécurité, et rien sur la responsabilité financière. Elles ne valent pas non plus pour les transferts hors Union. Je les utilise comme socle quand le client les exige, et je rédige les annexes et les clauses de responsabilité qui manquent.
Une sanction administrative d'abord : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements aux articles 28 et 32. La CNIL a prononcé 1,5 million d'euros en 2022 contre un éditeur dont les contrats ignoraient l'article 28, et 1,7 million d'euros en 2025 contre un éditeur hébergeur pour une sécurité insuffisante. Une responsabilité civile ensuite : l'article 82 l'expose envers les personnes lésées s'il a manqué à ses obligations propres ou agi hors instructions. Enfin, des contrats perdus : les acheteurs exigent désormais le DPA avant la signature.
Presque toujours, et c'est souvent indispensable. Le modèle d'un grand compte est écrit pour lui : responsabilité illimitée qui contredit le plafond du contrat principal, audits sur place à volonté, notification dans des délais intenables. Je hiérarchise les points, j'accepte ce que le RGPD impose et je négocie le reste avec des rédactions de repli argumentées. Une clause qui crée un déséquilibre significatif peut aussi être réputée non écrite dans un contrat d'adhésion (article 1171 du Code civil) ou annulée à la demande de la victime (articles L442-1, I, 2° et L442-4 du Code de commerce).
Le RGPD ne tranche pas : il impose un contenu, pas un rédacteur. En pratique, celui qui propose son modèle conserve la main sur la négociation. Un éditeur SaaS a intérêt à disposer d'un DPA standard, aligné sur son architecture et son contrat, qu'il présente dès l'appel d'offres. Un client qui gère de nombreux prestataires a intérêt à imposer le sien. Dans les deux cas, je pars de votre position de négociation. Le point de vue de l'éditeur, qui signe le plus souvent le modèle de son client, est développé dans le DPA, mode d'emploi pour un éditeur SaaS.
Le délai dépend de votre position plus que du texte. Un modèle de DPA pour vos propres clients se rédige vite une fois les rôles qualifiés et l'annexe de sécurité documentée par votre équipe technique. La négociation d'un DPA imposé suit le rythme de l'acheteur et de ses juristes. Pour éviter qu'elle retarde la signature, je vous remets dès la première revue un tableau des écarts priorisé, qui sépare les points bloquants des concessions acceptables. Le plus long reste souvent de réunir les informations techniques exactes : liste des sous-traitants, lieux d'hébergement et mesures de sécurité.
L'article 28 laisse le choix entre une autorisation écrite spécifique, sous-traitant par sous-traitant, et une autorisation générale assortie d'une information préalable et d'un droit d'objection. Pour un prestataire cloud, l'autorisation générale avec une liste tenue à jour est la seule viable. Le sous-traitant initial répond pleinement de ses propres sous-traitants : il doit leur imposer les mêmes obligations et contrôler leurs garanties. La CNIL l'a appliqué en décembre 2025 à un éditeur hébergeur. Le DPA doit aussi régler ce qui se passe si le client s'oppose : résiliation, alternative ou ajustement du prix.
L'instruction du client doit couvrir les transferts, et le DPA doit les décrire : destinataire, pays, finalité, garantie retenue. Pour les États-Unis, le cadre de protection des données UE et États-Unis a été validé par le Tribunal de l'Union le 3 septembre 2025 (affaire T-553/23), mais un pourvoi a été annoncé. Sans décision d'adéquation, ou si l'importateur américain n'est pas certifié, il faut en principe les clauses de transfert de la décision (UE) 2021/914 et une analyse de la législation du pays. Le cas d'un éditeur de SIRH est traité dans RGPD et SIRH : qui est responsable de quoi.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
