Comment rédiger et examiner un accord de traitement des données (DPA)

Un outil de rédaction par IA peut produire un accord de traitement des données opérationnel en quelques minutes en générant les clauses de l'Article 28, en renseignant vos informations de traitement et en signalant les points où la version d'un fournisseur s'écarte d'une référence défendable. La valeur ajoutée ne réside pas dans la rapidité. Elle tient au fait que l'outil maintient un standard cohérent pour chaque DPA que vous signez, vous évitant ainsi d'accepter des conditions insuffisantes par manque de temps.

Mais un DPA ne vaut que ce que valent les faits qui le sous-tendent. Les clauses sont en grande partie imposées par l'Article 28 du UK GDPR, ce qui rend leur rédaction relativement simple. La partie difficile consiste à décrire le traitement avec précision, à choisir le bon mécanisme de transfert international et à lire attentivement ce qu'un fournisseur vous envoie pour repérer les clauses relatives aux sous-traitants et aux responsabilités qu'il a discrètement réécrites en sa faveur. Cet article aborde ces trois aspects.

Ce qu'est un DPA et quand vous en avez réellement besoin

Un accord de traitement des données est le contrat qui régit ce qu'un sous-traitant peut faire avec des données personnelles pour le compte d'un responsable du traitement. En vertu de l'Article 28(3) du UK GDPR, le traitement effectué par un sous-traitant doit être régi par un contrat écrit qui lie le sous-traitant au responsable du traitement et énonce des conditions spécifiques. Si vous communiquez des données personnelles à un fournisseur qui les traite pour votre compte, vous êtes légalement tenu d'en avoir un en place.

Déterminez votre rôle avant de rédiger quoi que ce soit, car les clauses en découlent :

• Responsable du traitement vers sous-traitant. Vous décidez pourquoi et comment les données personnelles sont traitées ; le fournisseur les traite selon vos instructions. Il s'agit du DPA classique, celui que vise l'Article 28. Exemple : vous faites appel à un prestataire de paie.
• Responsable du traitement vers responsable du traitement. Les deux parties déterminent leurs propres finalités de manière indépendante. Vous n'avez pas besoin d'un DPA au titre de l'Article 28 ; il vous faut plutôt un accord de partage des données.
• Responsables conjoints du traitement. Vous déterminez conjointement les finalités et les moyens. L'Article 26 s'applique et vous devez conclure un accord précisant les responsabilités respectives de chaque partie.

Se tromper de rôle est l'erreur la plus fréquente en début de processus. Un fournisseur qui se qualifie de sous-traitant mais se réserve le droit d'utiliser vos données pour son propre développement de produits agit en tant que responsable du traitement pour cette activité, et votre DPA ne couvrira pas cette situation. Analysez ce qu'ils font réellement, et non l'étiquette qu'ils utilisent.

Les clauses exigées par l'Article 28 du UK GDPR

L'Article 28(3) fixe un socle obligatoire. Tout DPA conforme doit contenir les éléments suivants, et toute version qui en omettrait un est défectueuse, quelle que soit son apparence soignée :

1. Traitement sur instructions documentées uniquement. Le sous-traitant n'agit que sur vos instructions écrites, y compris pour les transferts internationaux, sauf obligation légale contraire.
2. Confidentialité. Les personnes autorisées à traiter les données sont liées par des obligations de confidentialité.
3. Mesures de sécurité. Le sous-traitant prend toutes les mesures requises en vertu de l'Article 32, à savoir des mesures techniques et organisationnelles adaptées au risque.
4. Contrôle des sous-traitants ultérieurs. Le sous-traitant ne fait pas appel à un autre sous-traitant sans autorisation préalable, et impose les mêmes obligations en matière de protection des données à tout sous-traitant ultérieur qu'il engage.
5. Assistance pour l'exercice des droits des personnes concernées. Le sous-traitant vous aide à répondre aux demandes d'accès, d'effacement, de rectification et autres demandes des personnes concernées.
6. Assistance pour les obligations de conformité. Le sous-traitant vous aide en matière de sécurité, de notification des violations, d'analyses d'impact sur la protection des données et de consultation préalable de l'ICO.
7. Suppression ou restitution en fin de contrat. À la résiliation, le sous-traitant supprime ou restitue les données à votre choix, et supprime les copies existantes sauf obligation légale de les conserver.
8. Droits d'audit et d'information. Le sous-traitant met à disposition toutes les informations nécessaires pour démontrer sa conformité et autorise les audits et inspections.

Au-delà de ces huit points, un DPA utilisable doit également contenir les informations sur le traitement requises par l'Article 28(3) : l'objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées. Ces éléments figurent généralement dans une annexe. Si cette annexe est vide ou générique, le DPA ne remplit pas son office, car il ne définit pas ce que le sous-traitant est réellement autorisé à faire.

Un outil conçu pour générer des premiers jets de contrats à partir de vos propres standards est ici particulièrement utile, précisément parce que ces huit points sont non négociables dans leur substance. Vous souhaitez qu'ils soient présents et correctement formulés à chaque fois, sans dépendre de la mémoire de quelqu'un.

Les clauses qui font réellement l'objet de négociations

Le socle de l'Article 28 est rarement le cœur du débat. Les fournisseurs acceptent les obligations obligatoires puis contestent leur caractère contraignant en pratique. Voici les clauses qui méritent votre attention, présentées approximativement par ordre de fréquence de contestation :

Autorisation des sous-traitants ultérieurs

Il existe deux modèles. L'autorisation spécifique signifie que le sous-traitant nomme chaque sous-traitant ultérieur et doit obtenir votre consentement pour en ajouter un. L'autorisation générale signifie que vous consentez à une liste et que le sous-traitant peut en ajouter de nouveaux à condition de vous en informer et de vous laisser la possibilité de vous y opposer. La plupart des fournisseurs souhaitent une autorisation générale assortie d'un court délai d'opposition. Négociez le délai de préavis et précisez clairement ce qui se passe en cas d'opposition de votre part : le fournisseur trouve-t-il une alternative, ou peut-il résilier le contrat et vous laisser migrer ?

Droits d'audit

Vous disposez d'un droit d'audit en vertu de l'Article 28, mais les fournisseurs s'opposent aux inspections sur site à la demande. Un compromis courant : le fournisseur fournit annuellement un rapport d'audit ou une certification reconnus par un tiers, et les audits sur site ne sont autorisés que lorsque cela s'avère insuffisant, moyennant un préavis raisonnable, à vos frais, et au maximum une fois par an en l'absence de violation. Cela est généralement acceptable. Ce qui n'est pas acceptable, c'est une clause vous limitant à l'examen d'un questionnaire d'auto-évaluation.

Responsabilité et indemnités

C'est là que se jouent les véritables enjeux financiers. Méfiez-vous d'un plafond de responsabilité en matière de protection des données fixé à un montant dérisoire, ou d'un DPA intégralement soumis à un plafond de responsabilité général dans le contrat-cadre trop bas pour une violation de données. Les violations de données entraînent des amendes réglementaires et des réclamations de tiers qui dépassent largement les valeurs contractuelles habituelles. Exigez un plafond distinct et plus élevé pour les violations liées à la protection des données, ou à tout le moins une exclusion non plafonnée pour les manquements du fournisseur à ses obligations de confidentialité et de sécurité.

Délai de notification des violations

Vous devez notifier l'ICO dans les 72 heures suivant la prise de connaissance d'une violation à déclarer. Vous ne pouvez pas respecter ce délai si votre sous-traitant met une semaine à vous en informer. Insistez pour une notification « sans délai indu et en tout état de cause dans les 24 à 48 heures » suivant la prise de connaissance par le sous-traitant, avec suffisamment de détails pour que vous puissiez évaluer vos propres obligations.

Coût de l'assistance

Les fournisseurs tentent de plus en plus de facturer l'assistance apportée pour les demandes des personnes concernées et les analyses d'impact. Une facturation partielle de l'assistance est raisonnable pour les demandes volumineuses ou complexes. En revanche, un droit général de facturation couvrant tout, y compris la coopération courante en cas de violation, n'est pas acceptable.

Clause	Position favorable au fournisseur	Position équilibrée à viser
Sous-traitants ultérieurs	Autorisation générale sans préavis réel	Autorisation générale avec préavis préalable et véritable droit d'opposition
Audit	Questionnaire d'auto-évaluation uniquement	Rapport d'un tiers et audit sur site lorsque cela est justifié
Responsabilité	Réclamations liées aux données soumises à un plafond général bas	Plafond distinct plus élevé ou exclusion pour les violations de sécurité et de confidentialité
Notification de violation	« Sans délai indu », non défini	Délai fixe de 24 à 48 heures avec informations requises
Coûts d'assistance	Facturation systématique	Gratuit pour la coopération courante, facturable uniquement pour un effort disproportionné

Les mécanismes de transfert international à maîtriser

Si des données personnelles quittent le Royaume-Uni, ou si un sous-traitant ultérieur est situé hors du Royaume-Uni, le DPA doit prévoir un mécanisme de transfert licite. C'est la partie que les fournisseurs laissent le plus souvent vide ou traitent incorrectement. Vos options dans le cadre du régime britannique :

• Adéquation. Le gouvernement britannique a décidé que certains pays offrent une protection adéquate. Les transferts vers ces pays ne nécessitent aucun mécanisme supplémentaire. L'UE/EEE est couverte, tout comme les pays figurant sur la liste d'adéquation britannique. Vérifiez la liste actuelle plutôt que de vous fier à des suppositions.
• Addendum britannique aux Clauses Contractuelles Types de l'UE. C'est la voie la plus courante. Vous utilisez les SCCs de l'UE auxquelles vous annexez l'International Data Transfer Addendum du Royaume-Uni publié par l'ICO.
• International Data Transfer Agreement (IDTA). Les clauses types autonomes du Royaume-Uni, utilisées à la place des SCCs de l'UE et de l'Addendum. Les deux sont valides ; le choix dépend souvent de ce que la contrepartie utilise déjà.
• Transferts vers les États-Unis. Il existe une extension britannique au EU-US Data Privacy Framework couvrant les destinataires américains certifiés. Vous devez vérifier qu'un fournisseur américain spécifique est bien couvert en consultant la liste du cadre, et non vous fier à une simple clause contractuelle.

Quel que soit le mécanisme applicable, une évaluation des risques liés au transfert est attendue. Cela implique de vérifier si les lois du pays de destination compromettent la protection que les clauses promettent, et de documenter vos conclusions. Pour la plupart des fournisseurs SaaS courants dans des pays ayant fait l'objet d'une décision d'adéquation, cet exercice est allégé. Pour les données envoyées dans un pays sans adéquation, une réflexion approfondie s'impose. Ne laissez pas un fournisseur vous affirmer que les SCCs seules suffisent ; les clauses constituent le mécanisme, et l'évaluation est une obligation distincte qui vous incombe.

Ce qu'il faut vérifier lorsqu'un fournisseur vous envoie son DPA

La plupart du temps, vous ne rédigerez pas à partir de zéro. Un fournisseur vous envoie son DPA standard et vous demande de le signer. Son projet est rédigé pour le protéger. Suivez cette liste de vérification avant d'accepter :

1. L'annexe sur le traitement est-elle complète et exacte ? Les annexes vides ou génériques constituent le défaut le plus fréquent. Elle doit refléter vos données et vos finalités réelles.
2. Limite-t-il le traitement à vos seules instructions ? Méfiez-vous des formulations permettant au fournisseur d'utiliser des données « anonymisées » ou « agrégées » à ses propres fins. Cela peut être acceptable, mais décidez-en délibérément et vérifiez que l'anonymisation est réelle.
3. Quel est le modèle de sous-traitance et quel est votre droit d'opposition ? Assurez-vous d'être notifié et de pouvoir vous opposer. Demandez la liste actuelle des sous-traitants ultérieurs avant de signer.
4. Dans quel délai doivent-ils vous notifier une violation ? Précisez le délai. « Sans délai indu » seul est insuffisant.
5. Où vos données sont-elles traitées et stockées ? Identifiez tous les pays concernés, y compris les sous-traitants ultérieurs, et confirmez le mécanisme de transfert applicable à chacun.
6. Comment la responsabilité est-elle plafonnée ? Remontez le plafond jusqu'au contrat-cadre. Assurez-vous que les violations de données ne sont pas noyées sous un plafond général trop bas.
7. Que devient la donnée à la fin du contrat ? Confirmez la suppression ou la restitution, le format de toute restitution et le délai.
8. Les mesures de sécurité sont-elles réellement précises ? Une annexe qui liste des contrôles concrets vaut plus qu'une qui se contente de reprendre « mesures techniques et organisationnelles appropriées » sans aller plus loin.

Effectuer cet examen de manière systématique pour des dizaines de DPA entrants est là où les équipes décrochent, car le vingtième projet de fournisseur reçoit moins d'attention que le premier. C'est précisément le type de révision répétitive et à forts enjeux où un outil IA trouve toute sa place : il compare la version de chaque fournisseur à vos positions et met en évidence les écarts, de sorte qu'un être humain examine les exceptions plutôt que de relire le même texte standard. GenieAI prend en charge ce processus de révision et de négociation par rapport à un guide de positions que vous définissez, et comme il fonctionne dans Word, les révisions s'effectuent là où votre équipe travaille déjà. GenieAI est certifié ISO/IEC 27001:2022, ce qui est important lorsque les documents concernent eux-mêmes la protection des données.

Comment l'IA s'intègre réellement dans le travail sur les DPA

Bien utilisé, un outil IA remplit trois fonctions distinctes sur les DPA, et il est utile de les distinguer :

1. Génération. Produire un premier projet contenant déjà les huit obligations de l'Article 28, vos positions négociées préférées et le mécanisme de transfert approprié, renseigné avec les informations sur le traitement que vous fournissez.
2. Révision par rapport à un standard. Prendre un projet de fournisseur entrant et le comparer à votre référence, en signalant les clauses obligatoires manquantes et les termes qui sont en deçà de vos positions sur les sous-traitants, la responsabilité, la notification des violations et l'audit.
3. Cohérence sur l'ensemble du portefeuille. Appliquer le même standard à chaque fois, de sorte que le DPA que vous signez en décembre soit aussi solide que celui que vous avez examiné attentivement en janvier.

L'enjeu est la gestion des risques, pas le délai de traitement. Un DPA signé rapidement mais plafonnant la responsabilité en cas de violation de données à un mois de frais ne vous a rien coûté en temps et vous expose considérablement. Les équipes qui tirent le meilleur parti des outils sont celles qui ont d'abord défini leurs positions négociées, les ont consignées dans un guide, puis laissent l'outil appliquer ce guide à grande échelle. Les secteurs disposant de longues chaînes de fournisseurs et traitant des données sensibles, comme les entreprises du secteur technologique et celles du secteur de l'énergie, ressentent particulièrement ce besoin, car le volume de DPA rend la cohérence manuelle peu praticable. Pour un aperçu de la façon dont cela s'inscrit dans la contractualisation commerciale plus large, consultez la manière dont les équipes commerciales gèrent les accords en volume, ainsi que la posture de sécurité sous-jacente qui rend l'outil approprié pour les documents de protection des données.

Rien de tout cela ne supprime le besoin de jugement. Décider d'accepter un plafond de responsabilité particulier, ou de savoir si un transfert vers un pays donné est défendable, est une décision qui dépend de votre appétit pour le risque et des faits. L'outil s'assure que vous prenez cette décision en connaissance de cause, sur la base d'un document complet et correctement rédigé, plutôt que de découvrir la lacune après un incident.

Questions fréquemment posées

Un outil IA peut-il rédiger un DPA légalement conforme ?

Oui, un outil IA peut générer un DPA contenant toutes les clauses obligatoires de l'Article 28 et renseigner les informations sur le traitement que vous lui fournissez. Ce qu'il ne peut pas faire, c'est vérifier les faits à votre place, par exemple quels pays vos données traversent ou si un plafond de responsabilité donné correspond à votre niveau de risque. Considérez le résultat comme un solide premier projet qu'une personne compétente valide au regard de vos modalités de traitement réelles.

Que doit contenir un DPA en vertu du UK GDPR ?

L'Article 28(3) exige huit conditions essentielles : le traitement sur instructions documentées, la confidentialité du personnel autorisé, les mesures de sécurité au titre de l'Article 32, le contrôle des sous-traitants ultérieurs, l'assistance pour l'exercice des droits des personnes concernées, l'assistance pour les obligations de conformité plus larges, la suppression ou la restitution des données à la fin, et les droits d'audit et d'information. Il doit également mentionner l'objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées.

Ai-je besoin d'un DPA si mon fournisseur est dans un pays adéquat ?

Oui. L'adéquation ne concerne que la nécessité d'un mécanisme de transfert supplémentaire pour les données personnelles quittant le Royaume-Uni. Elle ne supprime pas l'obligation de conclure un contrat écrit au titre de l'Article 28. Si un fournisseur traite des données personnelles pour votre compte, vous avez besoin d'un DPA, quel que soit son lieu d'établissement.

Quelle est la différence entre l'IDTA et l'UK Addendum ?

Les deux sont des mécanismes britanniques valides pour les transferts internationaux restreints. L'IDTA est un accord de transfert autonome britannique. L'UK Addendum est un document court qui se greffe aux Clauses Contractuelles Types de l'UE pour les faire fonctionner dans le cadre du régime britannique. Le choix entre les deux est généralement dicté par ce que la contrepartie a déjà mis en place ; le niveau de protection est comparable.

Quel est le problème le plus courant dans le DPA d'un fournisseur ?

Une annexe sur le traitement vide ou générique, suivie de près par un plafond de responsabilité qui soumet les violations de données à un plafond général bas. L'annexe définit ce que le sous-traitant est réellement autorisé à faire ; une annexe vide rend l'ensemble de l'accord vague. Vérifiez toujours que l'annexe reflète vos données et vos finalités réelles, et remontez le plafond de responsabilité jusqu'au contrat-cadre.

Dans quel délai un sous-traitant doit-il m'informer d'une violation de données ?

La loi ne fixe pas de délai précis pour le sous-traitant, mais vous devez signaler les violations qualifiées à l'ICO dans les 72 heures suivant votre prise de connaissance. Pour respecter ce délai, négociez dans le DPA un délai de notification ferme, généralement 24 à 48 heures à compter de la prise de connaissance par le sous-traitant, avec suffisamment de détails pour que vous puissiez évaluer vos propres obligations de signalement. Une formulation vague du type « sans délai indu » seule ne suffit pas.

GenieAI peut-il examiner un DPA qu'un fournisseur nous a envoyé ?

Oui. De nombreuses équipes utilisent GenieAI uniquement pour la révision, en comparant un DPA entrant d'un fournisseur à leurs positions convenues et en signalant les clauses de l'Article 28 manquantes ainsi que les termes insuffisants concernant les sous-traitants ultérieurs, la responsabilité, l'audit ou la notification des violations. Il fonctionne dans Word, de sorte que les annotations se font là où votre équipe rédige déjà, et il applique le même standard à chaque projet de fournisseur.

Un DPA est-il la même chose qu'un accord de partage des données ?

Non. Un DPA régit une relation responsable du traitement vers sous-traitant en vertu de l'Article 28, dans laquelle le sous-traitant agit selon vos instructions. Un accord de partage des données régit une relation entre deux responsables du traitement, où chaque partie détermine ses propres finalités. Utiliser le mauvais document laisse la relation réelle sans couverture adéquate ; confirmez donc le rôle de chaque partie avant de choisir le document approprié.