Articulation RGPD, DORA
RGPD et DORA : aligner contrats, sécurité et incidents
Une entité financière applique les deux textes aux mêmes prestataires, aux mêmes systèmes et souvent aux mêmes incidents. Les traiter séparément conduit à rouvrir chaque contrat deux fois et à tenir deux procédures qui se contredisent.
Par Younes Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Trois zones de recouvrement
| Sujet | RGPD | DORA | Source |
|---|---|---|---|
| Contrats prestataires | Article 28.3 : clauses de sous-traitance | Article 30 : clauses obligatoires des accords TIC | Règlement (UE) 2022/2554, article 30 |
| Inventaire | Article 30 : registre des traitements | Article 28.3 : registre d'information des accords TIC | Règlement (UE) 2016/679, article 30 |
| Sécurité | Article 32 : mesures techniques et organisationnelles | Articles 5 à 15 : cadre de gestion du risque TIC | Règlement (UE) 2016/679, article 32 |
| Incidents | Articles 33 et 34 : violation de données | Articles 17 à 19 : incidents majeurs liés aux TIC | Règlement (UE) 2022/2554, article 19 |
La méthode : un avenant, deux textes
Le registre DORA et le registre des traitements recensent souvent les mêmes prestataires. Les rapprocher permet d'identifier, contrat par contrat, les clauses manquantes au titre des deux textes et de les négocier dans un seul avenant.
Pour la sécurité, le cadre de DORA est plus détaillé que l'article 32 du RGPD. Une entité qui le respecte documente l'essentiel de ce que l'article 32 attend ; reste à vérifier les mesures propres aux données personnelles, comme la minimisation et la pseudonymisation.
Ce que ça change pour vous
- Rapprocher les deux registres avant de renégocier.
- Un avenant unique par prestataire.
- Une procédure d'incident qui déclenche les deux notifications.
Aligner vos contrats TIC
Un premier échange permet de mesurer le nombre de contrats à reprendre au titre des deux textes.
Prendre rendez-vousQuestions fréquentes
Les clauses de l'article 30 de DORA suffisent-elles pour le RGPD ?
Non. Elles ne reprennent pas toutes les mentions de l'article 28.3 du RGPD, comme le traitement sur instruction documentée ou l'assistance pour les droits des personnes. Les deux jeux de clauses sont nécessaires.
Le DPO a-t-il un rôle dans DORA ?
DORA ne lui confie aucune mission. En pratique, son inventaire des traitements et des sous-traitants alimente le registre d'information de l'article 28.3.
Ce que ce régime déclenche ailleurs
Les délais comparés pour un même incident.
Notification d'incident : RGPD, NIS2 et DORARegistre de l'article 28.3 et clauses de l'article 30.
Le pilier DORALe DPO tient déjà l'inventaire des flux que DORA demande de cartographier.
DPO externalisé pour fintechL'auteur
Younes Lahrach est le fondateur et directeur de Sila International Advisory. Juriste RGPD et délégué à la protection des données externe depuis juillet 2025, il est titulaire d'un master 2 de droit de l'Union européenne, spécialité protection des données, de l'Université de Lille, et d'un MBA International Finance de Middlesex University. Il intervient comme legal consultant : il n'est pas avocat.
Son parcours →Textes de référence
Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.