Questions fréquentes
Quelles sont les 8 clauses obligatoires d'un DPA ?
L'Article 28.3 impose : 1) l'objet, la durée, la nature et la finalité du traitement, 2) le traitement sur instructions documentées, 3) la confidentialité du personnel, 4) les mesures de sécurité, 5) l'encadrement de la sous-traitance ultérieure, 6) l'assistance pour les droits des personnes, 7) l'assistance pour les autres obligations RGPD, 8) le sort des données en fin de contrat.
Une clause d'audit est-elle obligatoire dans un DPA ?
Oui. L'Article 28.3.h, souvent oublié, impose que le sous-traitant tienne à disposition les informations nécessaires pour démontrer sa conformité et permette les audits menés par le responsable de traitement ou un auditeur mandaté.
Un DPA peut-il omettre une de ces clauses ?
Non. Les 8 clauses de l'Article 28.3 sont limitatives et non négociables : l'absence d'une seule rend le DPA non conforme et expose le responsable de traitement comme le sous-traitant à des sanctions.
La clause de confidentialité du personnel suffit-elle avec une mention générale ?
Non, elle doit se traduire concrètement par des clauses dans les contrats de travail, une charte informatique signée et une sensibilisation RGPD documentée, pas par une simple déclaration de principe.
Comment vérifier qu'un DPA couvre bien les 8 clauses ?
La checklist DPA 25 points permet de vérifier systématiquement chaque clause et ses annexes. Un score RGPD basé sur les preuves publiques du fournisseur complète cette vérification en confrontant les clauses écrites aux pratiques réellement documentées.