Accord de Traitement des Données (DPA)

De quoi il s'agit

Un Data Processing Agreement (accord de traitement des données, DPA) est le contrat qui transforme une mission SAP analytics d'un risque en matière de protection des données en un dispositif documenté et défendable. En vertu de l'article 28 du RGPD, tout consultant qui accède à des données personnelles ou les traite pour le compte d'un client — et les données personnelles dans un travail d'analytics SAP sont bien plus larges que ne le suppose la plupart des consultants, couvrant les données maîtresses des employés, les fiches clients, les entrées du pipeline commercial, les tickets de support, essentiellement tout champ susceptible d'identifier une personne physique — est juridiquement un sous-traitant, et un sous-traitant opérant sans DPA signé se trouve hors la loi. L'exposition n'est pas théorique : les amendes administratives du RGPD atteignent quatre pour cent du chiffre d'affaires mondial annuel ou vingt millions d'euros, le montant le plus élevé étant retenu, et ce plafond s'applique au responsable de traitement, ce qui explique précisément pourquoi les responsables de traitement refusent désormais d'intégrer un consultant incapable de produire un DPA avant tout accès aux données.

Pourquoi c'est important

• L'article 28 impose huit mentions obligatoires dans chaque DPA, de l'objet du traitement à l'autorisation des sous-traitants ultérieurs et la conformité des transferts internationaux.
• Le délai de notification des violations se calcule à rebours de l'obligation RGPD de 72 heures envers l'autorité — les contrats B2B exigent typiquement 24-48h du sous-traitant.
• Le périmètre des sous-traitants ultérieurs est un point de friction vivant — les cabinets Tier-1 y incluent généralement les consultants juniors, les solos souvent non, mais le point doit être clarifié.

Points clés

• RGPD Art. 28 impose un DPA pour toute relation responsable-sous-traitant touchant des données personnelles UE.
• Huit contenus obligatoires : objet/durée · nature/finalité · types de données · obligations du responsable · obligations du sous-traitant · droits d'audit · autorisation de sous-traitant ultérieur · conformité des transferts.
• Cinq clauses les plus disputées : périmètre du sous-traitant ultérieur · droits d'audit · notification de violation · Schrems-II · cessation.
• Schrems-II exige des CCT 2021 + une TIA + des mesures techniques supplémentaires pour les transferts hors EEE.
• Chaîne de notification de violation : sous-traitant → responsable 24-48h, ce qui déclenche l'obligation à 72h de l'Art. 33 du responsable.
• Droits d'audit typiques : préavis 3-5 jours sur site / 24h à distance ; un refus total fait échouer l'appel d'offres.
• Les clients FR > €100k attendent un bilingue FR/EN + un vocabulaire aligné CNIL (responsable / sous-traitant).
• Un modèle réutilisable propre (€500-1k de frais d'avocat) fait gagner 4-6 semaines par mission vs sur-mesure.
• Le Data Processing Agreement (DPA) n'est maîtrisé que lorsqu'il change une décision d'acheteur nommée.
• Commencer par le contrat sémantique et le modèle de contrôle avant de démontrer l'outil.

Termes employés sur cette page

Data Processing Agreement (DPA)

Contrat régissant la manière dont un sous-traitant traite des données personnelles pour le compte d'un responsable de traitement. Imposé par l'article 28 du RGPD.

Controller / Responsable du traitement

Entité déterminant les finalités et les moyens du traitement de données personnelles. Généralement le client.

Processor / Sous-traitant

Entité traitant les données pour le compte du responsable de traitement. Généralement le consultant.

Sub-processor

Entité engagée par le sous-traitant pour réaliser des activités de traitement. Requiert l'autorisation du responsable de traitement.

Schrems-II

Arrêt de la CJUE de 2020 invalidant le Privacy Shield UE-US ; exige une TIA au cas par cas + des SCC pour les transferts hors EEE.

SCCs (Standard Contractual Clauses)

Mécanisme contractuel approuvé par la Commission européenne pour les transferts de données personnelles hors EEE. La version 2021 est en vigueur.

TIA (Transfer Impact Assessment)

Évaluation au cas par cas imposée par Schrems-II, déterminant si la destination du transfert offre une protection des données essentiellement équivalente au niveau UE.

TOMs (Technical and Organisational Measures)

Annexe des mesures de sécurité de l'article 32 du RGPD ; typiquement alignée sur l'ISO 27001:2022.

Sources

1. GDPR Article 28 (eur-lex)
2. CNIL — Commission Nationale Informatique et Libertés
3. EU Commission Standard Contractual Clauses 2021
4. EDPB Schrems-II supplementary measures guidance
5. Eursap freelance contracting patterns + DPA templates
6. SAP News Center — Accelerate the Autonomous Enterprise with SAP Business Data Cloud
7. SAP News Center — SAP Unveils the Autonomous Enterprise
8. SAP News Center — The Future of the Enterprise Is Autonomous
9. SAP Datasphere — Help Portal
10. SAP Datasphere — official product page
11. SAP Analytics Cloud — Help Portal
12. SAP Analytics Cloud — official product page
13. SAP BW/4HANA — Help Portal
14. SAP S/4HANA — Help Portal
15. SAP News Center
16. SAP Community
17. SAP — industries overview
18. EFRAG — CSRD/ESRS standards
19. Gartner — research & analyst site
20. BARC — BI & Analytics research
21. TDWI — data & analytics research
22. DSAG — German-speaking SAP user group
23. ASUG — Americas' SAP User Group
24. Databricks — official site
25. EU AI Act Service Desk — implementation timeline