Anonymiser un DPA sous-traitant (RGPD art. 28) avant revue conformité – Anonymisation conforme au RGPD selon RGPD art. 28 et 32 ; Code civil art. 1101
D'après l'article 28 du RGPD (UE) 2016/679, applicable depuis le 25 mai 2018, le Data Processing Agreement (DPA) B2B est le contrat qui formalise les obligations du sous-traitant ainsi que les mesures de sécurité requises par l'article 32 ; en cas de manquement grave, l'article 83 plafonne les amendes à 20 M€ ou 4 % du chiffre d'affaires annuel mondial. Il identifie le responsable du traitement, le sous-traitant et leurs délégués à la protection des données. anonym.legal pseudonymise ces données pour les revues de conformité et les audits RGPD.
Quand cela s'applique
Ce flux s'applique lorsqu'un DPA doit être soumis à un auditeur de conformité, partagé avec un conseil RGPD externe ou utilisé comme modèle de référence, sans révéler l'identité des parties ou de leurs DPO respectifs.
Comment anonym.legal s'en occupe
- Téléversez le DPA au format PDF ou DOCX.
- Le moteur identifie les noms, fonctions, adresses e-mail et coordonnées du responsable de traitement, du sous-traitant et de leurs DPO.
- Chaque individu reçoit un pseudonyme cohérent sur l'ensemble du document, y compris dans les annexes de mesures de sécurité.
- Les clauses de traitement, finalités, durées de conservation et listes des sous-traitants ultérieurs restent en clair.
- La correspondance réversible est chiffrée et stockée en hébergement UE.
- Exportez le DPA pseudonymisé pour l'audit ou la revue externe.
Ce que vous fournissez
- DPA en PDF ou DOCX
- Annexes de mesures de sécurité et liste des sous-traitants ultérieurs
- Indication des parties et DPO à pseudonymiser
Limites & précautions
- anonym.legal ne vérifie pas la conformité substantielle du DPA avec les exigences de l'article 28 du RGPD — cela reste de la responsabilité du DPO ou d'un conseil spécialisé.
- Les listes de sous-traitants ultérieurs comportant des noms d'entités doivent faire l'objet d'une configuration dédiée si leur masquage est requis.
FAQ
Les finalités du traitement et les durées de conservation sont-elles préservées ?
Oui. Les finalités, catégories de données, durées de conservation et mesures de sécurité restent en clair, y compris l'obligation de notifier toute violation de données dans un délai de 72 heures à l'autorité de contrôle au titre de l'article 33 du RGPD, car ils constituent la substance de conformité du DPA.
Peut-on utiliser ce flux pour auditer plusieurs DPA d'une même chaîne de sous-traitance ?
Oui. Traitez l'ensemble des DPA de la chaîne dans un lot unique. Les pseudonymes des parties communes sont cohérents entre tous les documents, ce qui facilite la vérification du plafond de 20 M€ ou 4 % du chiffre d'affaires mondial encouru en cas de manquement au titre de l'article 83 du RGPD.
Le traitement du DPA par anonym.legal nécessite-t-il lui-même un DPA ?
Oui. anonym.legal agit comme sous-traitant au sens de l'article 28 du RGPD (UE) 2016/679, applicable depuis le 25 mai 2018, et propose un DPA conforme couvrant le traitement de vos documents. Il est signé avant toute activation du service.