DPA : les neuf mentions obligatoires de l'article 28, et celles qu'on oublie

L'article 28 du RGPD énumère ce qu'un contrat entre responsable de traitement et sous-traitant doit prévoir. Ce n'est pas une recommandation : l'absence de ces mentions rend le contrat non conforme, et la non-conformité est imputée au responsable de traitement, c'est-à-dire à vous.

Les mentions obligatoires

1. L'objet et la durée du traitement. Pas « pendant la durée du contrat » : la durée effective de conservation, et ce qui se passe ensuite.

2. La nature et la finalité du traitement. Ce que le sous-traitant fait concrètement avec les données, dans un langage compréhensible par quelqu'un qui n'a pas écrit le contrat.

3. Le type de données et les catégories de personnes concernées. Salariés, clients, prospects, patients. Les catégories particulières — santé, données biométriques, infractions — doivent être identifiées explicitement, car elles entraînent des obligations renforcées.

4. L'obligation de n'agir que sur instruction documentée. Y compris pour les transferts hors Union européenne.

5. L'engagement de confidentialité des personnes autorisées. Il doit couvrir nommément le personnel du sous-traitant, par clause contractuelle ou obligation légale.

6. Les mesures de sécurité de l'article 32. Décrites, pas seulement mentionnées. Un DPA qui dit « des mesures appropriées sont mises en œuvre » sans les énumérer ne remplit pas cette exigence.

7. Le régime des sous-traitants ultérieurs. Autorisation écrite préalable ou autorisation générale avec information préalable des changements et droit d'opposition. La liste nominative doit être annexée.

8. L'assistance au responsable de traitement. Pour répondre aux demandes d'exercice de droits, pour les analyses d'impact, et pour les notifications de violation.

9. Le sort des données en fin de contrat. Suppression ou restitution, au choix du responsable de traitement, avec attestation écrite.

Les trois clauses qui manquent presque toujours

Elles ne sont pas exigées par le texte mais elles font la différence en pratique.

Le délai de notification d'une violation. L'article 33 vous impose de notifier l'autorité sous soixante-douze heures. Si votre sous-traitant vous prévient au bout de cinq jours, vous êtes en faute et vous n'y pouvez rien. Exigez un délai de vingt-quatre heures maximum, écrit.

Le droit d'audit, avec ses modalités. Le principe est prévu par le texte, mais un droit d'audit sans modalités est inutilisable. Précisez la fréquence, le préavis, qui supporte les coûts, et si un rapport d'audit tiers peut se substituer à un audit sur site.

La communication des journaux d'accès. C'est la seule vérification réellement praticable au quotidien. Prévoyez que la liste nominative des personnes ayant accédé à vos données vous est communicable sur demande, et transmise spontanément à chaque revue trimestrielle.

Le test rapide

Ouvrez le DPA qu'on vous propose et cherchez trois choses : la liste nominative des sous-traitants ultérieurs, l'énumération des mesures de sécurité, le délai de notification d'une violation. Si l'un des trois manque, le document est un modèle générique qui n'a pas été adapté à votre relation, et il ne vous protégera pas.