Contrat de sous-traitance (AVV) : quand vous en avez besoin et ce qu'il doit contenir

Un contrat de sous-traitance (Auftragsverarbeitungsvertrag, AVV) est obligatoire dès lors qu'un prestataire externe – stockage cloud, outil de newsletter, comptabilité des salaires, maintenance informatique ou service d'IA – traite des données personnelles pour le compte de votre entreprise (art. 28 RGPD). Le contrat doit notamment régler l'objet et la durée, la nature et la finalité du traitement, les catégories de données ainsi que les obligations et droits des deux parties (art. 28, par. 3). Sans AVV valide, aucune donnée personnelle réelle ne doit être confiée à un prestataire.

Par la rédaction de Provimedia · Date : juillet 2026 · Cet article est une information générale et ne constitue ni un conseil juridique ni un modèle de contrat prêt à signer.

Qu'est-ce qu'un sous-traitant ?

Selon l'art. 4, point 8 RGPD, un sous-traitant est « une personne physique ou morale, une autorité publique, un service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». Exemples typiques du quotidien des entreprises : le fournisseur de stockage cloud, l'outil d'e-mailing, le bureau de paie externe, le prestataire informatique disposant d'un accès de maintenance à distance – et de plus en plus aussi les services d'IA auxquels des collaborateurs transmettent des textes contenant des données personnelles.

Important : même si le prestataire traite techniquement les données, votre entreprise reste le responsable du traitement au sens juridique et répond vis-à-vis de l'extérieur.

Quand avez-vous besoin d'un AVV ?

Chaque fois que vous confiez à un prestataire externe le traitement de données personnelles et qu'il agit alors sur instruction pour vous, et non sous sa propre responsabilité pour ses propres finalités. Selon l'art. 28, par. 1 RGPD, le responsable du traitement ne peut faire appel qu'à des sous-traitants qui présentent des « garanties suffisantes » quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le choix du prestataire est donc lui-même une décision de protection des données, et pas seulement une question de prix.

Que doit contenir un AVV ? (art. 28, par. 3 RGPD)

Ce tableau reprend la structure de l'art. 28, par. 3 RGPD et sert à s'orienter sur les points qu'un AVV doit régler. Il ne remplace pas l'examen juridique du texte concret du contrat par votre délégué à la protection des données ni un conseil juridique.

AVV ou responsabilité conjointe ? Une confusion fréquente

Toute collaboration avec un partenaire externe n'est pas une sous-traitance. Si deux entités décident conjointement des finalités et des moyens du traitement, c'est l'art. 26 RGPD (« responsables conjoints du traitement ») qui s'applique à la place : une construction contractuelle différente, avec ses propres obligations de transparence. Un AVV ne convient que si le prestataire agit exclusivement sur vos instructions et ne poursuit aucune finalité propre. En cas de doute, votre délégué à la protection des données clarifie la question.

Que se passe-t-il sans AVV valide ?

Les violations des obligations des responsables du traitement et des sous-traitants prévues aux articles 8, 11, 25 à 39, 42 et 43 RGPD – et donc aussi de l'art. 28 – peuvent être sanctionnées par des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, par. 4 RGPD). Concrètement, l'absence d'AVV signifie en outre que la transmission des données au prestataire peut elle-même être illicite.

Liste de contrôle : en cinq étapes vers l'AVV

1. Identifier les prestataires : quels outils et fournisseurs externes ont accès à des données personnelles ?
2. Clarifier le rôle : sous-traitance (art. 28) ou responsabilité conjointe (art. 26) ?
3. Vérifier ou demander le contrat : le fournisseur propose-t-il déjà un AVV (beaucoup de fournisseurs standard le font) ?
4. Recouper les mentions obligatoires : le contrat contient-il tous les points de l'art. 28, par. 3 ?
5. Documenter : consigner l'AVV dans le registre des activités de traitement (art. 30).

L'AVV n'est qu'un élément de l'obligation de responsabilité plus large : en savoir plus dans notre article Responsabilité au sens du RGPD. Qui souhaite en outre sensibiliser ses collaborateurs à un usage correct des prestataires externes trouvera précisément ces bases dans notre formation de base au RGPD, réservable en ligne.

Questions fréquentes (FAQ)

Quand un AVV est-il obligatoire ?

Chaque fois qu'un prestataire externe traite des données personnelles sur instruction, pour le compte de votre entreprise, par exemple pour des services de cloud, d'e-mailing ou de paie (art. 28 RGPD).

Que doit impérativement contenir un AVV ?

Notamment l'objet et la durée du traitement, la nature et la finalité, les catégories de données concernées, des règles sur le respect des instructions, la confidentialité, la sécurité technique, les sous-traitants ultérieurs, les obligations d'assistance ainsi que la suppression à la fin du contrat (art. 28, par. 3 RGPD).

Les CGV du fournisseur suffisent-elles comme AVV ?

Seulement si les CGV contiennent effectivement toutes les mentions obligatoires de l'art. 28, par. 3 RGPD et valent juridiquement comme contrat de sous-traitance. De nombreux fournisseurs sérieux mettent à disposition à cet effet un document AVV distinct, qu'il convient de vérifier.

Que faire si un fournisseur ne propose pas d'AVV ?

Dans ce cas, aucune donnée personnelle réelle ne doit lui être confiée. Soit se tourner vers un autre fournisseur proposant un AVV, soit anonymiser systématiquement les données avant utilisation.

Sources

• Règlement (UE) 2016/679 (RGPD), art. 4, point 8, art. 26, art. 28, par. 1 et par. 3, art. 83, par. 4 – eur-lex.europa.eu