DPA (Data Processing Agreement)

Le Data Processing Agreement (DPA), ou Accord de Traitement des Données en français, est un contrat juridique indispensable dès lors qu'une entreprise confie des données personnelles à un prestataire externe. Ce document vient préciser les modalités techniques et organisationnelles de la protection des données, complétant ainsi le contrat commercial principal. Sur le plan légal, le DPA est une obligation stricte imposée par l'article 28 du RGPD. Il doit définir précisément l'objet, la durée, la nature et la finalité du traitement, ainsi que le type de données concernées. Le contrat doit stipuler que le sous-traitant n'agit que sur instruction documentée du responsable de traitement et qu'il s'engage à garantir la confidentialité des données et la sécurité du système. En pratique, le DPA sert de bouclier juridique. Il oblige le prestataire à notifier toute violation de données, à assister le client dans la réponse aux demandes d'exercice de droits des personnes concernées et à supprimer ou restituer les données à la fin du contrat. Sans ce document, l'entreprise cliente s'expose à des sanctions lourdes de la CNIL, car elle est présumée avoir manqué à son obligation de vigilance dans le choix de son prestataire.