Questions fréquentes
Quelle est la différence entre un DPA et des SCC ?
Le DPA est le contrat de sous-traitance imposé par l'Article 28 du RGPD pour toute relation de traitement pour compte d'autrui. Les SCC (Standard Contractual Clauses) sont soit un mécanisme de transfert hors UE (décision 2021/914), soit des clauses types pour matérialiser un DPA (décision 2021/915) : ce sont deux usages distincts du même sigle.
Qu'est-ce qu'un BAA et remplace-t-il un DPA ?
Le BAA (Business Associate Agreement) est le contrat de sous-traitance imposé par la loi américaine HIPAA pour les données de santé. Il ne remplace pas le DPA en Europe : un fournisseur américain traitant des données de santé pour un client européen doit généralement signer les deux.
Le MRA est-il un contrat de sous-traitance RGPD ?
Non. Le MRA (Mutual Recognition Agreement) est un concept de reconnaissance mutuelle entre organismes de certification, sans lien avec le RGPD. Le terme est parfois utilisé à tort dans des appels d'offres pour désigner un DPA.
Quand faut-il signer un JCA plutôt qu'un DPA ?
Un JCA (Joint Controller Agreement, Article 26 RGPD) s'impose quand deux entités déterminent conjointement les finalités et moyens d'un traitement. Un DPA s'impose quand une entité traite des données uniquement pour le compte d'une autre, sans déterminer les finalités.
Le DPA remplace-t-il les CGU ou le contrat-cadre (MSA) ?
Non, le DPA est une annexe spécifique à la protection des données, toujours signée en complément des CGU ou du MSA, jamais en remplacement de ceux-ci.