Qu'est-ce qu'un DPA ?
Un Data Processing Agreement (DPA) est un contrat signé entre les responsables du traitement et les sous-traitants qui traiteront leurs données.
Le Règlement Général sur la Protection des Données (RGPD) implique, en son article 28.3, la réalisation d'un tel acte et précise qu'il s'agit d'un :
"contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement."
Quel est l'objectif du DPA ?
Cet accord de traitement des données va venir préciser :
- les détails,
- les règles,
- les droits
- et les obligations associés aux activités de traitement de données.
Le DPA aide à garantir la conformité de l'entreprise, à sécuriser les données et à assurer la protection et la satisfaction des personnes concernées.
Ainsi, ce contrat permet aux parties :
- d’organiser leurs rapports et leurs obligations respectives au regard de la protection des données personnelles ;
- d’intégrer l’ensemble des mentions listées à l’article 28.3 du RGPD, en les adaptant à leur situation, et mettre en œuvre les obligations ainsi définies.
Est-on obligé d'établir un DPA ?
Lorsqu'un responsable de traitement fait appel à un sous-traitant au sens du RGPD, il est nécessaire d'établir un contrat entre les deux acteurs, cette exigence est requise à titre de validité du traitement.
Son absence sera sanctionnée sur le fondement de l’article 83 du RGPD par une amende administrative pouvant aller jusqu’à 10 millions d’euros ou 2% du CA annuel mondial de l’entreprise.
Voici les 5 points incontournables dans la réalisation d'un contrat de sous-traitance RGPD (DPA)