DPA

Accord de traitement des données (Data Processing Agreement). L’article 28, paragraphe 3 du RGPD exige un contrat écrit chaque fois qu’un responsable de traitement recourt à un sous-traitant. Il doit préciser l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes, et les obligations du sous-traitant : n’agir que sur instructions documentées, garantir la confidentialité, mettre en œuvre des mesures de sécurité, ne recourir à des sous-traitants ultérieurs qu’avec autorisation et aux mêmes conditions, aider pour les demandes d’exercice des droits, les notifications de violation et les analyses d’impact, supprimer ou restituer les données à la fin, et permettre les audits. La plupart des fournisseurs publient un DPA standard que le client accepte en ligne. Pour les données qui quittent l’EEE, des clauses contractuelles types ou un autre outil de transfert y sont annexés. Le propriétaire d’un site devrait détenir un DPA avec son hébergeur, sa plateforme de consentement, ses prestataires de mesure d’audience et d’e-mailing, et tout fournisseur qui traite pour lui des données de visiteurs ; les plateformes publicitaires qui agissent comme responsables de traitement proposent plutôt des conditions de responsable à responsable. La LGPD brésilienne et la KVKK turque attendent des contrats similaires, et le CCPA californien exige des clauses précises dans les contrats de service provider, dont l’absence a pesé dans les sanctions Honda et Tractor Supply de 2025.

Autorité de protection des données (Data Protection Authority). Dans l’usage européen, DPA désigne aussi l’autorité de contrôle nationale, comme la CNIL ou la DPC irlandaise. Le contexte indique en général de quel DPA il s’agit.