Modèle d'accord de traitement des données (DPA) – Belgique

Présentation

L'accord de traitement des données (DPA — Data Processing Agreement) est le contrat exigé par l'article 28 du RGPD entre un responsable de traitement et un sous-traitant, chaque fois que ce dernier traite des données à caractère personnel pour le compte du premier. Le RGPD étant un règlement européen d'application directe, son socle est identique en Belgique et en France ; en revanche, sa mise en œuvre concrète en Belgique s'appuie sur la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, qui organise notamment les pouvoirs de contrôle et de sanction de l'autorité belge. Autorité de contrôle : en Belgique, l'autorité compétente est l'Autorité de protection des données (APD), établie à Bruxelles — et non la CNIL française. C'est devant l'APD que doivent être adressées les notifications de violation de données concernant des personnes établies en Belgique, et c'est elle qui exerce le pouvoir de sanction en cas de manquement, dans les mêmes plafonds que ceux fixés par le RGPD (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel). Contenu obligatoire du DPA (article 28.3 RGPD) : l'objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et droits du responsable de traitement ; l'engagement du sous-traitant à ne traiter les données que sur instruction documentée du responsable, à garantir la confidentialité de son personnel, à mettre en œuvre les mesures de sécurité appropriées (article 32 RGPD), à assister le responsable pour répondre aux demandes d'exercice des droits des personnes concernées, à l'informer de toute violation de données dans les meilleurs délais, à supprimer ou restituer les données en fin de contrat, et à se soumettre aux audits du responsable. Sous-traitance ultérieure : le sous-traitant ne peut recourir à un autre sous-traitant qu'avec l'autorisation écrite préalable, spécifique ou générale, du responsable de traitement, et doit lui répercuter contractuellement les mêmes obligations de protection des données. Transferts hors Union européenne : tout transfert de données vers un pays tiers non couvert par une décision d'adéquation de la Commission européenne doit être encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne, règles d'entreprise contraignantes) — un point de vigilance identique en Belgique et en France puisqu'il relève directement du RGPD (chapitre V). Quand l'utiliser : chaque fois qu'un prestataire (hébergeur, éditeur SaaS, agence marketing, cabinet comptable, etc.) traite des données à caractère personnel pour le compte d'un client établi en Belgique, en complément du contrat de service principal. Erreurs à éviter : conclure un contrat de service sans DPA distinct dès lors que des données personnelles sont traitées ; omettre de désigner l'APD comme autorité de contrôle compétente ; ne pas prévoir de clause d'audit ou d'assistance en cas de contrôle de l'APD ; et négliger l'encadrement des transferts hors UE si le sous-traitant héberge tout ou partie des données en dehors de l'Espace économique européen.

Informations à personnaliser

• Nom ou raison sociale du responsable de traitement

• Numéro d'entreprise (BCE) du responsable

• Adresse du responsable de traitement

• Nom ou raison sociale du sous-traitant

• Numéro d'entreprise (BCE) du sous-traitant

• Adresse du sous-traitant

• Objet et finalité du traitement

• Catégories de données à caractère personnel traitées

• Catégories de personnes concernées

• Durée du traitement

• Mesures de sécurité techniques et organisationnelles mises en œuvre

• Liste des sous-traitants ultérieurs autorisés (le cas échéant)

• Transferts hors Union européenne prévus (le cas échéant)

• Délai de notification d'une violation de données au responsable

  Recommandé : dans les meilleurs délais, ex. 48 heures.

• Délai de restitution ou suppression des données en fin de contrat

• Date de signature de l'accord

Personnalisez votre modèle

Questions fréquentes

Le DPA belge diffère-t-il du DPA français ?

Sur le fond, non : le RGPD est un règlement européen d'application directe, identique en Belgique et en France. La différence tient à l'autorité de contrôle compétente : l'Autorité de protection des données (APD, Bruxelles) en Belgique, la CNIL en France.

Qui doit notifier une violation de données à l'APD ?

Le responsable de traitement, dans un délai de 72 heures après en avoir eu connaissance. Le sous-traitant doit l'en informer sans délai afin de lui permettre de respecter ce délai.

Le DPA est-il obligatoire pour tout prestataire traitant des données personnelles ?

Oui, dès que le prestataire (sous-traitant) traite des données à caractère personnel pour le compte d'un responsable de traitement, un accord écrit conforme à l'article 28 du RGPD est obligatoire.

Le sous-traitant peut-il recourir à un autre sous-traitant sans autorisation ?

Non, sauf autorisation écrite préalable, spécifique ou générale, du responsable de traitement, à qui il doit répercuter les mêmes obligations de protection des données.

Que se passe-t-il en cas de transfert de données hors de l'Union européenne ?

Le transfert doit être encadré par des garanties appropriées au sens du chapitre V du RGPD : décision d'adéquation, clauses contractuelles types de la Commission européenne, ou règles d'entreprise contraignantes.

Modèles associés