Contrat de sous-traitance de traitement de données (AVV) : quand en avez-vous besoin ?

Une entreprise qui utilise un hébergeur, un outil de newsletter ou un logiciel cloud transmet des données personnelles de clients à un prestataire externe. Sans un contrat de sous-traitance de traitement de données (Auftragsverarbeitungsvertrag, AVV) valable, ce traitement de données n'est pas licite.

En bref : un contrat de sous-traitance de traitement de données (AVV) est un accord écrit entre vous, en tant que responsable du traitement, et chaque prestataire qui traite des données personnelles pour votre compte – par exemple les hébergeurs, les fournisseurs de newsletters ou de services cloud. Toutes les entreprises qui utilisent de tels services sont concernées. En l'absence d'AVV, le traitement de données est illicite, et des amendes sont encourues au titre de l'art. 28 RGPD.

Qui doit conclure un AVV ?

Toute entreprise qui transmet des données personnelles de clients à un prestataire externe pour traitement doit conclure un AVV avec ce prestataire. Cela concerne typiquement les hébergeurs, les outils de newsletter, les systèmes CRM et les fournisseurs de cloud – donc pratiquement toute entreprise qui utilise des services numériques standard sur lesquels se trouvent des données de clients. Les petites entreprises et les indépendants sont eux aussi concernés dès qu'ils font traiter des adresses e-mail, des données de commande ou d'autres informations personnelles par un service externe. La responsabilité de la conclusion vous incombe en tant que responsable du traitement au sens du RGPD, et non au prestataire – l'initiative et la vérification vous reviennent donc.

Que doit concrètement régler un AVV ?

L'art. 28 RGPD prescrit que l'AVV fixe les obligations du sous-traitant ainsi que vos droits de contrôle en tant que responsable du traitement. Cela comprend notamment l'objet et la durée du traitement, la nature et la finalité, les catégories de données concernées ainsi que les droits d'instruction et les obligations de suppression. Le contrat garantit que le prestataire ne traite les données que selon vos instructions, prend des mesures de sécurité appropriées et vous offre des possibilités de contrôle et de preuve. Si le prestataire traite des données en dehors de l'UE, l'AVV seul ne suffit pas – un mécanisme de transfert tel que les clauses contractuelles types de l'UE est en outre nécessaire, afin que le niveau de protection des données soit préservé aussi en dehors de l'UE.

Comment procéder pour conclure un AVV ?

La conclusion peut se structurer en quelques étapes. Au début se trouve une vue d'ensemble complète de tous les prestataires utilisés, à la fin la mise à jour continue de cette vue d'ensemble :

1. Identifier tous les prestataires qui traitent des données de clients pour votre compte (hébergement, e-mail marketing, CRM, cloud …).
2. Vérifier si le fournisseur propose un AVV selon l'art. 28 RGPD (pour les logiciels standard, il est le plus souvent disponible dans le portail client).
3. Signer l'AVV et le classer de manière centralisée.
4. Pour les fournisseurs en dehors de l'UE, vérifier en outre le mécanisme de transfert (par ex. clauses contractuelles types).
5. Tenir à jour la liste des AVV lors de l'arrivée de nouveaux prestataires ou d'un changement de prestataire.

Surtout lorsque de nombreux outils et fournisseurs se sont ajoutés au fil des ans, on perd vite la vue d'ensemble des contrats qui manquent encore. Quels prestataires et quelles obligations sont concrètement pertinents dans votre entreprise, un outil tel que Company Audit vous l'indique en un coup d'œil.

Que risque-t-on si l'AVV fait défaut ?

Si l'AVV fait défaut, le traitement de données par le prestataire n'est pas licite – indépendamment de la rigueur avec laquelle le fournisseur lui-même traite les données. L'absence du contrat constitue à elle seule une violation de l'art. 28 RGPD, même si aucun incident de protection des données ne survient jamais. Selon l'art. 28 RGPD, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial sont encourues, le montant le plus élevé étant retenu.

À quoi faut-il veiller en pratique ?

Les grands fournisseurs tels que Google, Microsoft ou Stripe mettent le plus souvent leur AVV à disposition sous forme de document standard à accepter en ligne, qui peut être conclu sans négociation. Chez les fournisseurs plus petits ou spécialisés, il vaut la peine de consulter activement le portail client ou de poser directement la question si aucun AVV n'est trouvable. Même pour les outils gratuits, un AVV est impératif – sans lui, la sous-traitance de traitement n'est pas licite, même si aucun argent ne circule. Une liste centrale et à jour de tous les AVV conclus permet de fournir rapidement la preuve lors de contrôles ou de demandes de clients.

Questions fréquentes

Ai-je besoin d'un AVV aussi pour les outils gratuits ?

Oui. Que le service soit payant ou non ne joue aucun rôle. Dès qu'un prestataire externe traite des données personnelles pour votre compte, un AVV selon l'art. 28 RGPD est nécessaire.

Suffit-il que le prestataire stocke les données de manière sécurisée ?

Non. La sécurité technique seule ne rend pas le traitement licite. Sans l'AVV écrit, la base contractuelle que l'art. 28 RGPD prescrit pour la sous-traitance de traitement fait défaut.

Où trouver l'AVV d'un fournisseur ?

Pour les logiciels standard, l'AVV est en général disponible dans le portail client du fournisseur et peut y être accepté directement en ligne, par exemple chez de grands fournisseurs comme Google, Microsoft ou Stripe.

À quoi faut-il veiller en plus lorsque le prestataire est établi en dehors de l'UE ?

En cas de transfert de données vers des pays tiers en dehors de l'UE, un mécanisme de transfert est nécessaire en plus de l'AVV, par exemple les clauses contractuelles types de l'UE.

Qui porte la responsabilité si l'AVV fait défaut ?

En tant que responsable du traitement au sens du RGPD, vous devez garantir la conclusion de l'AVV. S'il fait défaut, vous encourez des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel selon l'art. 28 RGPD.

Source : art. 28 RGPD. Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. Mise à jour : juillet 2026.