DPA et article 28 : le contrat de sous-traitance indispensable pour la paie

Qu’est-ce qu’un DPA (article 28) ?

Le DPA (Data Processing Agreement), ou contrat de sous-traitance, est le contrat qui encadre le traitement des données lorsque vous agissez pour le compte d’un client — typiquement la gestion de sa paie. Imposé par l’article 28 du RGPD, il définit ce que vous avez le droit de faire avec les données, les mesures de sécurité applicables et les obligations de confidentialité.

Pour savoir si une mission relève bien de la sous-traitance, relisez d’abord sous-traitant ou responsable de traitement ? : le DPA n’est requis que lorsque vous êtes sous-traitant.

Les clauses obligatoires d’un DPA conforme

L’article 28.3 du RGPD énumère les clauses qui doivent figurer dans tout contrat de sous-traitance. Un DPA incomplet est aussi risqué qu’un DPA absent.

• Objet, durée, nature et finalité du traitement.
• Type de données et catégories de personnes concernées.
• Obligation d’agir sur instruction documentée du responsable de traitement.
• Confidentialité des personnes autorisées à traiter les données.
• Mesures de sécurité (article 32) adaptées au risque.
• Encadrement de la sous-traitance ultérieure (vos propres prestataires).
• Assistance au responsable pour les demandes de droits et les violations.
• Sort des données en fin de contrat (restitution ou suppression).
• Mise à disposition des informations nécessaires aux audits.

Le premier document vérifié par la CNIL

En cas de contrôle, le DPA figure parmi les premiers documents demandés par la CNIL. Son absence est un manquement caractérisé : en cas de fuite de données, la responsabilité remonte — vers votre client, et vers vous.

Un cabinet a besoin d’un DPA pour chacun de ses clients dont il traite les données sociales. Rédiger, faire signer et maintenir ces contrats à jour est une charge récurrente, qui s’alourdit à chaque nouveau client.

Pourquoi la paie impose un DPA pour chaque client

La gestion de paie est l’exemple type de la sous-traitance : vous traitez, sur instruction de votre client, des données particulièrement sensibles.

• Salaires, RIB, numéros de sécurité sociale.
• Arrêts maladie et accidents du travail — des données de santé.
• Situations familiales, saisies sur salaire, mutuelles.

La sensibilité de ces données rend le DPA d’autant plus indispensable, et impose des mesures de sécurité renforcées.

Les erreurs fréquentes à éviter

• Penser qu’une clause dans la lettre de mission suffit : un DPA conforme suppose les clauses précises de l’article 28.
• Utiliser un modèle générique non actualisé qui ne reflète pas vos traitements réels.
• Oublier les sous-traitants ultérieurs (éditeurs de logiciels de paie, hébergeurs).
• Ne jamais mettre le DPA à jour alors que les missions évoluent.

Industrialiser vos DPA avec un DPO externalisé

Un DPO externalisé vous fournit des DPA article 28 prêts pour l’ensemble de vos clients, conformes et actualisés, et les tient à jour au fil de l’évolution de vos missions.

C’est l’un des livrables clés de notre DPO externalisé pour experts-comptables. Et si vous n’êtes pas certain d’être tenu de désigner un DPO, commencez par cet article ou par un diagnostic gratuit.

Questions fréquentes

Un DPA peut-il être signé électroniquement ? Oui, la signature électronique est parfaitement valable.

Faut-il un DPA distinct par client ? Oui, chaque relation de sous-traitance doit être encadrée, même si le modèle est commun.