Réponse rapide : AVV (Auftragsverarbeitungsvertrag) et DPA (Data Processing Agreement) désignent le même contrat légalement requis en vertu de l'article 28 du RGPD. Le terme allemand AVV est utilisé dans les juridictions de la région DACH, tandis que DPA est l'équivalent anglophone utilisé dans la plupart des autres États membres de l'UE et à l'échelle internationale. Tous deux régissent la manière dont un sous-traitant traite les données personnelles pour le compte d'un responsable du traitement. Choisir le mauvais cadre, ou omettre complètement l'accord, peut exposer votre organisation à des sanctions réglementaires importantes.
Points clés à retenir
- AVV est l'abréviation allemande de Auftragsverarbeitungsvertrag ; DPA signifie Data Processing Agreement. Ils sont fonctionnellement le même instrument en vertu du RGPD.
- Les deux accords sont obligatoires en vertu de l'article 28 du RGPD chaque fois qu'un responsable du traitement engage un sous-traitant pour traiter des données personnelles.
- La différence de terminologie est régionale : AVV est standard en Allemagne, en Autriche et en Suisse ; DPA est utilisé dans les contextes anglophones et la plupart des autres contextes de l'UE.
- Un accord valide doit couvrir l'objet, la durée du traitement, les catégories de données, les droits des personnes concernées, les conditions relatives aux sous-traitants, les mesures de sécurité et les dispositions d'audit. [1]
- L'absence d'accord correct peut entraîner des enquêtes des autorités de contrôle, des amendes et des litiges contractuels.
- Le coût de mise en œuvre varie de zéro (en utilisant le modèle standard d'un fournisseur) à plusieurs milliers d'euros pour une rédaction juridique personnalisée.
- Certaines entreprises opérant sur les marchés DACH et non-DACH utilisent légitimement les deux termes dans le même accord pour plus de clarté.
- Une plateforme de gestion du consentement telle que Biscotti CMP peut soutenir votre posture de conformité RGPD plus large, mais ne remplace pas un AVV ou un DPA correctement exécuté.
Que signifie AVV en matière de protection des données, et est-ce la même chose qu'un DPA ?
AVV signifie Auftragsverarbeitungsvertrag, le terme allemand pour un accord de traitement de données (Data Processing Agreement). En termes juridiques pratiques, un AVV et un DPA sont le même document, tous deux satisfaisant à l'exigence énoncée à l'article 28 du RGPD concernant un contrat écrit entre un responsable du traitement des données et un sous-traitant des données. [1]
La distinction est purement linguistique et juridictionnelle. Les praticiens de la protection des données allemands, autrichiens et suisses utilisent AVV comme terme standard dans les contrats, les politiques de confidentialité et la correspondance réglementaire. Les praticiens anglophones et la plupart des autres États membres de l'UE utilisent DPA. Lorsqu'un fournisseur de SaaS allemand vous propose un "AVV", il vous propose le même instrument juridique qu'un fournisseur basé au Royaume-Uni appellerait un "DPA".
Clarification clé : Aucun des deux termes n'implique une norme juridique différente. Les deux doivent satisfaire aux mêmes exigences de contenu de l'article 28, paragraphe 3, du RGPD pour être valides. [1]
Quelle est la différence entre AVV et DPA ?
La différence entre AVV et DPA est terminologique, non substantielle. Tous deux décrivent le contrat imposé par l'article 28 du RGPD entre un responsable du traitement des données (l'entité qui détermine la finalité et les moyens du traitement) et un sous-traitant des données (l'entité qui traite les données pour le compte du responsable du traitement).
Des différences réelles peuvent apparaître dans le style de rédaction et les directives réglementaires locales :
- Les autorités de contrôle allemandes (Datenschutzbehörden) ont publié des clauses types spécifiques et des notes d'orientation que les documents AVV intègrent souvent.
- Les DPA en anglais rédigés pour les juridictions britanniques ou irlandaises peuvent faire référence à la législation nationale d'application en plus du RGPD.
- Les AVV suisses doivent également tenir compte de la loi fédérale révisée sur la protection des données (revFADP), qui diverge du RGPD à certains égards.
En résumé : Si un fournisseur vous envoie un AVV et que vous avez besoin d'un DPA, vous avez reçu ce dont vous avez besoin, à condition que le contenu réponde aux exigences de l'article 28, paragraphe 3. [1]
Quand avez-vous besoin d'un AVV ou d'un DPA ?
Vous avez besoin de l'un de ces accords chaque fois que votre organisation partage des données personnelles avec un fournisseur de services tiers qui traite ces données selon vos instructions. Le déclencheur est la relation responsable du traitement-sous-traitant, et non la langue du contrat.
Utilisez un AVV lorsque :
- Votre cocontractant est basé en Allemagne, en Autriche ou en Suisse et que son contrat standard utilise cette terminologie.
- Votre propre organisation opère sous la loi allemande sur la protection des données et vos modèles internes suivent les directives du BfDI ou des DPA des États.
Utilisez un DPA lorsque :
- Votre cocontractant opère dans une juridiction anglophone ou utilise l'anglais comme langue contractuelle.
- Vous contractez avec un fournisseur de cloud basé aux États-Unis, un fournisseur de SaaS britannique ou tout sous-traitant international dont les modèles par défaut sont "DPA".
Erreur courante : Supposer que parce qu'un fournisseur appelle son document un AVV plutôt qu'un DPA, des règles juridiques différentes s'appliquent. Les exigences de contenu sont identiques en vertu du RGPD. Ce qui compte, c'est la substance, pas l'étiquette sur la page de couverture.
Qui a besoin d'un AVV et qui a besoin d'un DPA ?
Toute organisation qui se qualifie de responsable du traitement des données en vertu du RGPD et qui engage un tiers pour traiter des données personnelles en son nom a besoin de l'un de ces accords. Cela s'applique à :
- Les entreprises de commerce électronique utilisant des processeurs de paiement tiers ou des plateformes de marketing par e-mail.
- Les entreprises utilisant des fournisseurs d'infrastructure cloud (IaaS, PaaS, SaaS).
- Les agences de marketing en ligne traitant les données clients de leurs clients.
- Les développeurs créant des applications qui traitent les données personnelles des utilisateurs finaux via des API externes.
- Les propriétaires de sites web utilisant des outils d'analyse, des CDN ou des systèmes CRM qui traitent les données des visiteurs.
Les organisations basées sur les marchés DACH rencontreront généralement l'étiquette AVV ; celles opérant à l'échelle internationale traiteront plus souvent des DPA. Les deux catégories d'organisations sont soumises à la même obligation légale.
Que doit inclure un AVV ou un DPA ?
Un AVV et un DPA doivent tous deux contenir les mêmes éléments obligatoires en vertu de l'article 28, paragraphe 3, du RGPD. L'absence de l'une de ces clauses rend l'accord non conforme. [1]
| Clause requise | Description |
|---|---|
| Objet et durée | Quelles données sont traitées et pendant combien de temps |
| Nature et finalité | Pourquoi et comment le traitement a lieu |
| Types de données et personnes concernées | Catégories de données personnelles et personnes concernées |
| Droits et obligations du responsable du traitement | Instructions que le sous-traitant doit suivre |
| Mesures de sécurité | Mesures techniques et organisationnelles (MTO) |
| Conditions relatives aux sous-traitants | Règles pour l'engagement de sous-traitants ultérieurs |
| Assistance aux droits des personnes concernées | Soutien pour les demandes d'accès, d'effacement, de portabilité |
| Notification de violation | Obligation du sous-traitant de notifier le responsable du traitement des incidents |
| Restitution ou suppression des données | Ce qu'il advient des données à la fin du contrat |
| Droits d'audit | Droit du responsable du traitement de vérifier la conformité |
Cas limite : Si le modèle d'un fournisseur omet les droits d'audit ou les conditions relatives aux sous-traitants, ne le signez pas tel quel. Ceux-ci sont non négociables en vertu de l'article 28, paragraphe 3. [1]
Combien coûte la mise en place d'un AVV ou d'un DPA ?
Le coût dépend entièrement de l'utilisation d'un modèle standard de fournisseur ou de la commande d'une rédaction juridique personnalisée.
- Modèle fourni par le fournisseur (le plus courant) : Gratuit. La plupart des principaux fournisseurs de SaaS et de cloud publient un AVV ou un DPA standard que les responsables du traitement peuvent accepter en ligne ou via un processus de clic.
- Accord personnalisé négocié : Les honoraires d'avocat varient généralement de 500 à 5 000 euros selon la complexité, la juridiction et les tarifs des avocats. Les contrats d'entreprise avec des volumes de données importants ou des catégories de données sensibles se situent dans la fourchette supérieure.
- Développement de modèles internes : Un investissement unique en temps de conseil juridique pour créer un modèle réutilisable ; le coût continu est minime.
Note pratique : Pour la plupart des PME et des propriétaires de sites web, le modèle standard du fournisseur est suffisant. Une négociation personnalisée est justifiée lorsque le traitement implique des données de catégorie spéciale (santé, biométriques, financières) ou lorsque le responsable du traitement est exposé à une responsabilité importante.
Comment les exigences AVV et DPA diffèrent-elles selon les pays ?
En vertu du RGPD, les exigences substantielles sont harmonisées dans tous les États membres de l'UE, de sorte que le contenu essentiel d'un AVV et d'un DPA est identique, que vous soyez à Berlin, Paris ou Varsovie. Cependant, des nuances nationales existent :
- Allemagne : Le BfDI et les DPA au niveau des États ont publié des directives détaillées et des clauses modèles. Les AVV allemands incluent souvent une documentation plus granulaire sur les mesures techniques et organisationnelles (MTO).
- Suisse : La revFADP (effective en septembre 2023) impose des exigences supplémentaires au-delà du RGPD, y compris des dispositions spécifiques pour les transferts de données transfrontaliers et les délais de notification des violations de données.
- Royaume-Uni (post-Brexit) : Le RGPD britannique s'applique ; les DPA doivent faire référence aux directives de l'ICO britannique plutôt qu'aux autorités de contrôle de l'UE. Les clauses contractuelles types diffèrent des CCT de l'UE.
- Autres États membres de l'UE : L'article 28 du RGPD s'applique directement ; les directives locales des DPA peuvent compléter mais ne peuvent pas réduire les exigences minimales.
Choisissez attentivement la clause de droit applicable. Un AVV de droit allemand et un DPA de droit irlandais peuvent sembler similaires, mais seront interprétés par des tribunaux et des autorités de contrôle différents.
Pouvez-vous utiliser un AVV au lieu d'un DPA, ou utiliser les deux en même temps ?
Oui, un AVV peut remplacer un DPA car ce sont des instruments juridiquement équivalents. Une entreprise opérant sur les marchés DACH et non-DACH peut inclure les deux termes dans l'en-tête du même contrat (par exemple, "Data Processing Agreement / Auftragsverarbeitungsvertrag") pour éviter toute confusion. C'est une pratique courante dans les contrats d'entreprise bilingues et c'est tout à fait autorisé.
L'utilisation simultanée des deux étiquettes ne crée pas deux obligations légales distinctes. Elle garantit simplement que les parties germanophones et anglophones comprennent qu'elles examinent le même document.
Quelles sont les erreurs courantes lors du choix entre AVV et DPA ?
Les erreurs les plus importantes ne concernent pas le terme que vous utilisez, mais le contenu de l'accord et son existence même.
- Omettre complètement l'accord parce qu'une relation avec un fournisseur semble informelle ou à faible risque. En vertu du RGPD, l'obligation est déclenchée par l'acte de traitement, et non par le niveau de risque perçu.
- Accepter un modèle incomplet qui omet les clauses relatives aux sous-traitants ou les droits d'audit, en croyant que la version du fournisseur est automatiquement conforme.
- Confondre un DPA avec un accord de partage de données. Un DPA régit les relations avec les sous-traitants ; un accord de partage de données régit les échanges de données entre co-responsables du traitement ou de responsable du traitement à responsable du traitement. Ce sont des instruments différents.
- Ne pas mettre à jour les accords lorsqu'un sous-traitant engage de nouveaux sous-traitants ou modifie la nature du traitement.
- Supposer que la conformité au RGPD couvre le droit suisse. Les organisations ayant des personnes concernées suisses doivent s'assurer que leur AVV satisfait également aux exigences de la revFADP.
Quelles sont les conséquences juridiques d'une erreur concernant l'AVV ou le DPA ?
L'absence d'un accord valide et complet expose les responsables du traitement et les sous-traitants à des responsabilités réglementaires et civiles.
En vertu de l'article 83, paragraphe 4, du RGPD, les infractions à l'article 28 (l'exigence DPA/AVV) peuvent entraîner des amendes administratives pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les autorités de contrôle en Allemagne ont montré leur volonté d'enquêter et d'infliger des amendes aux organisations pour des accords de traitement manquants ou déficients.
Outre les amendes, les conséquences incluent :
- Audits des autorités de contrôle et ordres de correction.
- Incapacité à faire respecter les termes contractuels à l'encontre d'un sous-traitant non conforme.
- Exposition à la responsabilité civile si une violation de données se produit sans un accord valide documentant les obligations de sécurité.
- Atteinte à la réputation dans les contextes B2B où les clients d'entreprise effectuent une diligence raisonnable auprès des fournisseurs.
Comment savoir de quel accord votre entreprise a réellement besoin ?
La décision est simple une fois que vous avez identifié la relation et la juridiction.
Étape 1 : Déterminez si votre organisation est le responsable du traitement (vous décidez pourquoi et comment les données sont traitées) ou le sous-traitant (vous traitez les données selon les instructions de quelqu'un d'autre).
Étape 2 : Identifiez la langue et la juridiction de votre cocontractant. S'il se trouve dans la région DACH, attendez-vous à un AVV. S'il se trouve ailleurs, attendez-vous à un DPA.
Étape 3 : Vérifiez que le document que vous recevez contient les dix éléments obligatoires en vertu de l'article 28, paragraphe 3, du RGPD. [1]
Étape 4 : Si votre organisation doit également gérer le consentement des utilisateurs pour les cookies et les technologies de suivi, une plateforme de gestion du consentement comme Biscotti CMP répond à cette couche de conformité RGPD, mais elle fonctionne en parallèle, et non à la place, d'un AVV ou d'un DPA correctement exécuté.
Règle de décision : Si vous traitez des données personnelles pour le compte d'une autre organisation, vous avez besoin d'un DPA ou d'un AVV, quelle que soit la dénomination commerciale de la relation. Si une autre organisation traite des données en votre nom, il vous incombe de vous assurer que cet accord est en place avant que le traitement ne commence.
FAQ
Q : Un AVV est-il légalement valide en dehors de l'Allemagne ? Un AVV est légalement valide partout où le RGPD s'applique, à condition qu'il satisfasse aux exigences de contenu de l'article 28, paragraphe 3. La terminologie allemande ne limite pas son applicabilité dans d'autres juridictions de l'UE.
Q : Un DPA doit-il être signé par les deux parties ? Oui. L'article 28, paragraphe 9, du RGPD exige que l'accord soit écrit, ce qui inclut la forme électronique. Le responsable du traitement et le sous-traitant doivent tous deux être liés par ses termes.
Q : Un DPA en ligne par clic d'un fournisseur peut-il satisfaire aux exigences du RGPD ? Oui, si le contenu satisfait aux exigences de l'article 28, paragraphe 3. De nombreux grands fournisseurs de cloud proposent des DPA par clic conformes qui ont été examinés par les autorités de contrôle.
Q : Qu'est-ce qu'un sous-traitant, et pourquoi est-ce important dans un DPA ou un AVV ? Un sous-traitant est un tiers engagé par le sous-traitant pour effectuer des activités de traitement. Le DPA ou l'AVV doit spécifier les conditions dans lesquelles les sous-traitants peuvent être engagés, y compris le droit du responsable du traitement de s'y opposer. [1]
Q : Ai-je besoin d'un nouvel AVV ou DPA chaque fois qu'un sous-traitant met à jour sa liste de sous-traitants ? Pas nécessairement. De nombreux accords incluent une autorisation générale pour les changements de sous-traitants, à condition que le sous-traitant notifie le responsable du traitement et que le responsable du traitement conserve le droit de s'y opposer dans un délai spécifié.
Q : Un DPA couvre-t-il les transferts de données en dehors de l'UE ? Un DPA régit la relation de traitement mais n'autorise pas à lui seul les transferts de données transfrontaliers. Des mécanismes de transfert distincts (clauses contractuelles types, décisions d'adéquation) sont requis pour les transferts vers des pays tiers.
Q : Combien de temps un DPA ou un AVV doit-il être conservé ? Conservez l'accord pendant la durée de la relation de traitement et pendant une période raisonnable par la suite, généralement au moins trois à cinq ans, pour démontrer la conformité en cas d'enquête d'une autorité de contrôle.
Q : Quelle est la différence entre un DPA et une DPIA ? Un DPA (Data Processing Agreement) est un contrat entre le responsable du traitement et le sous-traitant. Une DPIA (Data Protection Impact Assessment) est une évaluation interne des risques requise pour les activités de traitement à haut risque. Ils servent des objectifs différents et aucun ne remplace l'autre.
Q : Un freelance ou une petite agence peut-il être tenu de signer un AVV ou un DPA ? Oui. L'obligation s'applique quelle que soit la taille du sous-traitant. Un développeur freelance gérant les données clients est un sous-traitant et doit signer un DPA ou un AVV avec chaque client responsable du traitement.
Q : Biscotti CMP remplace-t-il la nécessité d'un DPA ou d'un AVV ? Non. Biscotti CMP est une plateforme de gestion du consentement qui aide à gérer le consentement des utilisateurs pour les cookies et le suivi, une exigence distincte de conformité au RGPD. Un DPA ou un AVV est toujours requis pour toute relation de sous-traitance impliquant des données personnelles.
Conclusion
La question AVV vs. DPA se résout rapidement une fois que l'on reconnaît que les deux termes décrivent le même instrument légalement requis en vertu de l'article 28 du RGPD. Le véritable défi n'est pas de choisir entre eux, mais de s'assurer que le document qui régit vos relations avec les sous-traitants contient toutes les clauses obligatoires, est correctement exécuté et est tenu à jour à mesure que les activités de traitement évoluent.
Prochaines étapes concrètes :
- Auditez toutes les relations actuelles avec les fournisseurs pour confirmer qu'un DPA ou un AVV valide est en place pour chaque sous-traitant traitant des données personnelles en votre nom.
- Examinez les accords existants par rapport aux dix éléments obligatoires de l'article 28, paragraphe 3, du RGPD et demandez des modifications pour toute lacune. [1]
- Si vous opérez en Suisse, vérifiez que les accords satisfont également aux exigences de la revFADP au-delà de la base du RGPD.
- Établissez un processus interne pour l'intégration de nouveaux sous-traitants ; aucun traitement ne doit commencer avant la signature de l'accord.
- Pour la gestion du consentement et la conformité aux cookies sur votre site web ou votre application, évaluez Biscotti CMP dans le cadre de votre cadre de conformité RGPD plus large.
La conformité en matière de protection des données n'est pas un projet ponctuel. Les accords doivent être révisés lorsque le traitement change, lorsque des sous-traitants sont ajoutés et lorsque les directives réglementaires évoluent. Intégrer cette cadence de révision dans votre programme de conformité est la protection la plus pratique contre l'exposition réglementaire.
Références
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai