Réponse rapide : Un AVV (Auftragsverarbeitungsvertrag) est un contrat légalement obligatoire en vertu de l'article 28 du RGPD entre un responsable du traitement et un sous-traitant de données. Toute organisation qui traite des données personnelles pour le compte d'une autre partie doit en avoir un en place. Opérer sans AVV expose les deux parties à des amendes pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
Points clés à retenir
- Un AVV est le terme allemand pour un accord de traitement de données (DPA), requis en vertu de l'article 28 du RGPD chaque fois qu'un sous-traitant traite des données personnelles pour un responsable du traitement.
- L'accord doit spécifier l'objet, la finalité, la durée, les types de données, les mesures techniques et organisationnelles (MTO), et les règles relatives aux sous-traitants.
- L'absence d'un AVV valide peut entraîner des amendes réglementaires, qu'une violation de données se soit produite ou non.
- Les petites entreprises ne sont pas exemptées : l'hébergement cloud, les logiciels de paie et les outils de marketing par e-mail déclenchent généralement l'exigence d'un AVV.
- Un AVV est un contrat entre deux parties, pas une politique de confidentialité, et il n'implémente pas lui-même des mesures de sécurité comme le chiffrement.
- Les AVV doivent être révisés chaque fois que les sous-traitants changent, que des transferts de données vers des pays tiers ont lieu, ou que les activités de traitement sont modifiées.
- Dans la région DACH (Allemagne, Autriche, Suisse), les AVV sont une pratique courante avec les fournisseurs SaaS, les hébergeurs et les systèmes ERP.
- Des modèles sont disponibles auprès des organisations de conformité et des fournisseurs, mais une personnalisation pour refléter les activités de traitement réelles est essentielle.
Que signifie AVV dans le traitement des données ?
Un AVV signifie Auftragsverarbeitungsvertrag, un mot composé allemand qui se traduit directement par "accord de traitement de données" en français. C'est l'instrument contractuel exigé par l'article 28 du Règlement général sur la protection des données (RGPD) de l'UE pour régir la relation entre un responsable du traitement et un sous-traitant de données.
Le terme est spécifique aux juridictions germanophones (Allemagne, Autriche et Suisse), mais le concept juridique sous-jacent s'applique universellement dans toute l'UE et l'EEE. Dans les contextes anglophones, le même document est appelé Data Processing Agreement (DPA). Les organisations opérant à l'échelle internationale doivent s'assurer que leurs AVV sont disponibles dans les langues pertinentes pour faciliter la compréhension et la conformité [5].
L'AVV n'est pas une politique de confidentialité ou une bannière de consentement aux cookies. C'est un contrat bilatéral contraignant qui définit comment un sous-traitant peut traiter les données personnelles, dans quelles conditions et avec quelles garanties.
Pourquoi les sous-traitants de données ont-ils besoin d'un AVV ?
Un AVV est obligatoire chaque fois qu'un responsable du traitement engage un sous-traitant pour traiter des données personnelles en son nom. Il ne s'agit pas d'une directive facultative ; c'est une exigence légale stricte en vertu de l'article 28 du RGPD [1].
Les scénarios courants qui déclenchent l'exigence d'un AVV incluent :
- Hébergement cloud et infrastructure (par exemple, serveurs stockant des bases de données clients)
- Traitement de la paie géré par un fournisseur RH tiers
- Plateformes de marketing par e-mail qui stockent des listes d'abonnés
- Fournisseurs ERP SaaS accédant aux données commerciales et des employés
- Outils d'analyse et de suivi traitant les données de comportement des visiteurs
Sans AVV, aucune des parties n'a de base juridique documentée pour la relation de traitement. Les autorités de contrôle considèrent l'absence d'AVV comme une violation de conformité autonome, distincte de toute enquête sur une violation de données [3].
Un AVV est-il la même chose qu'un DPA ?
Oui, un AVV et un DPA désignent le même document juridique. L'AVV est la désignation en langue allemande ; le DPA est l'équivalent anglais utilisé dans la plupart des autres États membres de l'UE et dans les contextes de conformité internationaux [5].
Les deux documents remplissent les exigences de l'article 28 du RGPD et doivent contenir les mêmes éléments obligatoires. Si une entreprise allemande signe un DPA avec un fournisseur SaaS basé aux États-Unis, ce DPA fonctionne comme l'AVV aux fins de la conformité au RGPD, à condition qu'il réponde à toutes les exigences substantielles.
Distinction clé à retenir : L'intitulé du document importe moins que son contenu. Un document intitulé "Addendum de traitement de données", "Accord de traitement" ou "AVV" est légalement équivalent tant qu'il couvre tous les éléments requis.
Qui a besoin d'un AVV pour la conformité au RGPD ?
Toute organisation qui est un responsable du traitement et qui utilise un service tiers qui traite des données personnelles en son nom a besoin d'un AVV. Cela s'applique aux entreprises de toutes tailles et de tous secteurs [1].
Responsables du traitement qui ont généralement besoin d'AVV :
| Scénario | Responsable du traitement | Sous-traitant |
|---|---|---|
| L'entreprise utilise un CRM cloud | Entreprise | Fournisseur de CRM |
| Le site web utilise des analyses | Propriétaire du site web | Fournisseur d'analyses |
| Les RH externalisent la paie | Employeur | Bureau de paie |
| La boutique en ligne utilise un outil d'e-mail | Détaillant | Plateforme d'e-mail |
| L'agence gère les publicités des clients | Agence | Plateforme Ad tech |
Qui n'est pas un sous-traitant : Une partie qui détermine les finalités et les moyens du traitement de manière indépendante est un responsable du traitement à part entière, et non un sous-traitant. Les responsables conjoints du traitement nécessitent un type d'accord différent en vertu de l'article 26 du RGPD.
Les petites entreprises négligent fréquemment cette exigence, supposant qu'elle ne s'applique qu'aux grandes entreprises. Cette hypothèse est incorrecte. Tout propriétaire de site web utilisant un hébergeur tiers, un service de newsletter ou un système de réservation a probablement besoin d'au moins un AVV en place [5].
Que doit inclure un AVV ?
Un AVV conforme doit contenir des éléments obligatoires spécifiques. L'absence d'un seul peut rendre l'accord insuffisant selon l'examen du RGPD [2].
Composants obligatoires :
- Objet et durée du traitement
- Nature et finalité du traitement
- Type de données personnelles et catégories de personnes concernées
- Obligations et droits du responsable du traitement
- Mesures techniques et organisationnelles (MTO) mises en œuvre par le sous-traitant
- Règles régissant l'engagement de sous-traitants ultérieurs
- Procédures pour les demandes de droits des personnes concernées
- Obligations de notification des violations de données
- Retour ou suppression des données à la fin du contrat
- Droits d'audit pour le responsable du traitement
La section MTO est particulièrement importante. Bien que l'AVV lui-même n'implémente pas de mesures de sécurité, il doit documenter les mesures que le sous-traitant a mises en place, telles que les normes de chiffrement, les contrôles d'accès et les pratiques de pseudonymisation [1].
Que se passe-t-il si vous n'avez pas d'AVV ?
Opérer sans AVV valide expose à la fois le responsable du traitement et le sous-traitant à des sanctions réglementaires importantes. En vertu de l'article 83, paragraphe 4, du RGPD, les amendes pour les violations de l'article 28 peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et en vertu de l'article 83, paragraphe 5, pour les infractions plus graves, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu [3].
Il est crucial de noter que ces amendes peuvent être imposées qu'une violation de données se soit produite ou non. Une autorité de contrôle effectuant un audit de routine ou répondant à une plainte peut identifier l'absence d'AVV et infliger une amende sur cette seule base.
Les conséquences supplémentaires incluent :
- Atteinte à la réputation et perte de confiance des clients
- Responsabilité contractuelle entre le responsable du traitement et le sous-traitant
- Suspension potentielle des activités de traitement en attendant la remédiation
AVV vs. Accord de traitement de données : différences clés
L'AVV et le DPA sont substantiellement le même document sous des noms différents. Cependant, il existe des différences pratiques à noter pour les organisations internationales.
| Dimension | AVV | DPA |
|---|---|---|
| Langue | Allemand | Anglais (ou local) |
| Focus juridictionnel | Région DACH | UE/EEE au sens large |
| Contexte d'utilisation courant | Contrats en langue allemande | Accords SaaS internationaux |
| Base juridique | Article 28 du RGPD | Article 28 du RGPD |
| Exigences de contenu | Identiques | Identiques |
La région DACH (Allemagne, Autriche, Suisse) a une culture d'application particulièrement forte autour des AVV, ce qui en fait une pratique courante dans les contrats avec les fournisseurs d'hébergement, les fournisseurs ERP SaaS et d'autres partenaires de services [1].
Combien coûte un AVV ?
Le coût d'un AVV varie en fonction de la manière dont il est créé et examiné.
- AVV basé sur un modèle : De nombreux fournisseurs proposent leur propre AVV dans le cadre de leurs conditions de service, généralement sans frais supplémentaires. Des organisations comme NexDeck proposent des modèles d'AVV détaillés, y compris des listes de sous-traitants [4].
- Examen par un conseiller juridique : Faire rédiger ou examiner un AVV personnalisé par un avocat spécialisé dans la protection des données coûte généralement entre 300 et 2 000 euros, selon la complexité et la juridiction.
- Rédaction assistée par un DPO : Les organisations disposant d'un Délégué à la Protection des Données (DPO) interne ou externe peuvent souvent utiliser cette ressource pour rédiger des AVV sans coût marginal au-delà de la rémunération du DPO.
Pour les petites entreprises, l'approche la plus pratique consiste à commencer par un modèle réputé et à le faire examiner par un professionnel qualifié avant de le signer.
Comment créer un modèle d'AVV ?
La création d'un AVV commence par l'identification de toutes les relations de traitement où un tiers traite des données personnelles en votre nom. À partir de là, le processus suit ces étapes :
- Inventoriez vos sous-traitants : Listez chaque fournisseur, outil ou service qui accède aux données personnelles que vous contrôlez.
- Obtenez ou rédigez l'AVV : De nombreux sous-traitants (en particulier les fournisseurs SaaS) fournissent leur propre AVV standard. Examinez-le par rapport aux éléments obligatoires énumérés ci-dessus.
- Personnalisez la section MTO : Assurez-vous que les mesures techniques et organisationnelles reflètent les pratiques de sécurité réelles du sous-traitant.
- Listez les sous-traitants ultérieurs : Incluez une annexe identifiant tous les sous-traitants ultérieurs que le sous-traitant utilise, ainsi que leurs rôles et emplacements.
- Définissez les mécanismes de transfert de données : Si les données sont transférées en dehors de l'UE/EEE, spécifiez le mécanisme de transfert légal (par exemple, les clauses contractuelles types).
- Signez et conservez : Les deux parties doivent signer l'AVV. Conservez une copie avec vos registres de traitement de données.
Les modèles d'organisations axées sur la conformité fournissent une base structurelle solide, mais chaque AVV doit être adapté à l'activité de traitement spécifique qu'il régit [2].
Exigences AVV pour les petites entreprises
Les petites entreprises ne sont pas exemptées de l'exigence d'AVV. Toute organisation soumise au RGPD qui utilise un sous-traitant tiers doit avoir un AVV en place, quelle que soit la taille de l'entreprise ou le nombre d'employés [1].
Pour les petites entreprises, la charge pratique est moins lourde qu'il n'y paraît :
- La plupart des grands fournisseurs SaaS (plateformes d'e-mail, systèmes de réservation, outils d'analyse) fournissent déjà un AVV ou un DPA standard dans le cadre de leurs conditions de service. L'acceptation de ces conditions constitue généralement un accord valide.
- La tâche clé est de s'assurer que vous avez réellement examiné et accepté ces conditions, plutôt que de supposer qu'elles existent.
- Tenez un registre simple de vos sous-traitants et des AVV correspondants.
Erreur courante : Les propriétaires de petites entreprises supposent souvent que, parce qu'un fournisseur est grand et réputé, les formalités juridiques sont automatiquement gérées. L'acceptation d'un AVV doit être une étape active et documentée.
Exigences de piste d'audit AVV
Un AVV doit inclure des dispositions accordant au responsable du traitement le droit d'auditer la conformité du sous-traitant. Ce droit d'audit est un élément obligatoire en vertu de l'article 28, paragraphe 3, point h), du RGPD [2].
En pratique, les exigences de piste d'audit signifient :
- Le sous-traitant doit tenir des registres des activités de traitement en vertu de l'article 30, paragraphe 2, du RGPD.
- Le responsable du traitement a le droit de mener des audits ou de mandater des auditeurs tiers pour vérifier la conformité.
- De nombreux sous-traitants satisfont à cette exigence par le biais de certifications tierces telles que ISO 27001 ou SOC 2, qui peuvent remplacer les audits sur site dans de nombreux cas.
L'AVV est directement pertinent pour les contrôles de l'annexe A de la norme ISO 27001, A.5.19 à A.5.22, qui régissent les relations avec les fournisseurs et la sécurité de l'information dans les chaînes d'approvisionnement [2]. Les organisations dotées d'un système de management de la sécurité de l'information (SMSI) formel doivent s'assurer que leurs AVV sont intégrés dans leurs processus de gestion des fournisseurs.
AVV pour les transferts internationaux de données
Lorsqu'un sous-traitant est situé en dehors de l'UE/EEE, l'AVV doit aborder le mécanisme juridique de transfert de données personnelles vers ce pays tiers. Les clauses contractuelles types (CCT) sont le mécanisme le plus couramment utilisé et sont généralement incorporées en annexe à l'AVV [2].
Considérations clés pour les AVV internationaux :
- Identifier si le pays du sous-traitant bénéficie d'une décision d'adéquation de l'UE.
- Si ce n'est pas le cas, incorporer les CCT appropriées (responsable du traitement vers sous-traitant ou responsable du traitement vers responsable du traitement, selon la relation).
- Effectuer une évaluation d'impact sur les transferts (TIA) si nécessaire.
- S'assurer que l'AVV est disponible dans les langues des deux parties contractantes [5].
À quelle fréquence devez-vous mettre à jour votre AVV ?
Un AVV doit être examiné et mis à jour chaque fois que des changements importants surviennent dans la relation de traitement. Il n'y a pas d'intervalle de révision légal fixe, mais la bonne pratique indique au moins un examen annuel [2].
Déclencheurs d'une mise à jour immédiate de l'AVV :
- Le sous-traitant engage un nouveau sous-traitant ultérieur ou en supprime un existant
- Les activités de traitement changent de nature, de finalité ou de portée
- Les données sont transférées vers un nouveau pays tiers
- Les MTO du sous-traitant sont considérablement mises à jour
- La loi applicable ou les directives réglementaires changent
L'examen proactif des AVV est une discipline de conformité essentielle. Des accords obsolètes qui ne reflètent plus les activités de traitement réelles créent la même exposition réglementaire que l'absence d'AVV.
Erreurs courantes lors de la mise en place d'un AVV
Même les organisations qui comprennent l'exigence d'AVV commettent fréquemment des erreurs dans la mise en œuvre.
Erreur 1 : Traiter le modèle standard du fournisseur comme automatiquement suffisant. Un modèle d'AVV fourni par un fournisseur peut ne pas couvrir vos activités de traitement spécifiques. Examinez-le toujours par rapport aux éléments obligatoires.
Erreur 2 : Omettre ou décrire vaguement les MTO. Les autorités de contrôle examinent attentivement la section des MTO. Un langage vague comme "mesures de sécurité appropriées" sans spécifications est insuffisant.
Erreur 3 : Oublier les sous-traitants ultérieurs. L'AVV doit lister les sous-traitants ultérieurs. Ne pas mettre à jour cette liste lorsqu'un sous-traitant change ses sous-traitants ultérieurs est une lacune de conformité courante [2].
Erreur 4 : Ne pas conserver les copies signées. Un AVV qui ne peut pas être produit lors d'un audit n'offre aucune protection juridique. Tenez des registres organisés.
Erreur 5 : Confondre l'AVV avec une politique de confidentialité. Ce sont des documents entièrement différents servant des objectifs différents. Une politique de confidentialité informe les personnes concernées ; un AVV régit la relation responsable du traitement-sous-traitant [1].
Conclusion
Le guide ultime des AVV : pourquoi chaque sous-traitant de données en a besoin se résume finalement à une réalité de conformité simple : si des données personnelles sont échangées entre un responsable du traitement et un sous-traitant, un AVV valide doit exister avant que ce traitement ne commence. Il n'y a pas d'exemptions de taille, pas d'exceptions sectorielles et pas de périodes de grâce pour les organisations opérant déjà sous le RGPD.
Prochaines étapes concrètes pour 2026 :
- Auditez chaque fournisseur tiers qui accède aux données personnelles que vous contrôlez et confirmez qu'un AVV est en place pour chacun.
- Examinez les AVV existants par rapport à la liste de contrôle des éléments obligatoires, en accordant une attention particulière aux MTO et aux listes de sous-traitants ultérieurs.
- Établissez un rappel annuel pour les examens des AVV et les mises à jour déclenchées lorsque les activités de traitement changent.
- Pour les organisations gérant le consentement et la conformité aux cookies en même temps que leurs AVV, envisagez d'associer votre documentation de traitement des données à une plateforme de gestion du consentement conforme telle que Biscotti CMP pour maintenir une posture de conformité complète et défendable.
- Consultez un professionnel qualifié de la protection des données pour tout AVV impliquant des activités de traitement complexes ou des transferts internationaux de données.
Le coût de la bonne mise en place des AVV est minime. Le coût de leur mauvaise mise en place ne l'est pas.
FAQ
Qu'est-ce qu'un AVV en termes simples ? Un AVV est un contrat écrit entre une entreprise qui possède des données personnelles (le responsable du traitement) et une entreprise qui traite ces données en son nom (le sous-traitant). Il spécifie quelles données sont traitées, pourquoi, comment elles sont protégées et ce que les deux parties sont tenues de faire.
Un AVV est-il requis pour chaque relation avec un fournisseur ? Uniquement pour les fournisseurs qui traitent des données personnelles en votre nom. Un fournisseur qui fournit simplement un outil que vous utilisez pour traiter les données vous-même (sans accès aux données) n'est généralement pas un sous-traitant et ne nécessite pas d'AVV.
Un accord verbal peut-il remplacer un AVV ? Non. L'article 28 du RGPD exige explicitement que l'accord de traitement soit écrit, y compris sous forme électronique.
Un AVV protège-t-il contre les amendes du RGPD ? Avoir un AVV valide réduit considérablement le risque réglementaire, mais il n'offre pas une immunité absolue. Des amendes peuvent toujours être infligées pour d'autres violations. Un AVV démontre la conformité à l'article 28 spécifiquement.
Quelle est la différence entre un sous-traitant ultérieur et un sous-traitant ? Un sous-traitant traite les données directement pour le responsable du traitement. Un sous-traitant ultérieur est engagé par le sous-traitant pour l'aider dans ce traitement. Le responsable du traitement doit être informé des sous-traitants ultérieurs, et le sous-traitant doit lier les sous-traitants ultérieurs à des obligations équivalentes.
Combien de temps un AVV doit-il être conservé ? Il n'y a pas de période de conservation explicite spécifiée dans le RGPD pour les AVV, mais ils doivent être conservés pendant la durée de la relation de traitement et pendant une période raisonnable par la suite, généralement alignée sur le délai de prescription pour les actions réglementaires dans la juridiction pertinente.
Un DPA signé avec une entreprise américaine compte-t-il comme un AVV ? Oui, à condition qu'il contienne tous les éléments requis par l'article 28 du RGPD et qu'il intègre des mécanismes de transfert appropriés tels que les clauses contractuelles types.
Le sous-traitant peut-il utiliser les données personnelles à ses propres fins ? Non. Un sous-traitant ne peut traiter des données personnelles que sur les instructions documentées du responsable du traitement. Le traitement à des fins propres au sous-traitant reclasserait cette partie en tant que responsable du traitement, avec des obligations légales distinctes.
Qu'est-ce qu'une MTO dans le contexte d'un AVV ? MTO signifie Mesure Technique et Organisationnelle. Ce sont les pratiques de sécurité qu'un sous-traitant met en œuvre pour protéger les données personnelles, telles que le chiffrement, les contrôles d'accès et la pseudonymisation. L'AVV doit documenter ces mesures.
Les AVV doivent-ils être notariés ? Non. Le RGPD n'exige pas de notarisation. Un accord écrit signé (y compris les signatures électroniques) est suffisant.
Références
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai
[2] Auftragsverarbeitungsvertrag - https://cenedril.net/wiki/en/glossar/auftragsverarbeitungsvertrag/?utm_source=openai
[3] Auftragsverarbeitung Art 28 Dsgvo Avv - https://www.ing-ism.de/magazin/auftragsverarbeitung-art-28-dsgvo-avv/?utm_source=openai
[4] nexdeck.app - https://www.nexdeck.app/avv?utm_source=openai
[5] booking-system.info - https://www.booking-system.info/bookingsystem/avv.html?utm_source=openai