Dois-je signer une clause contractuelle de traitement de données que mon client m'envoie ?

La signature n'est pas une obligation, la vérification l'est

Non, il n'existe pas d'obligation légale de signer un accord de traitement de données simplement parce qu'un client le fournit. Un accord de traitement de données est un accord entre deux parties, et comme pour tout contrat : vous vérifiez d'abord ce qu'il contient avant de signer. Le client qui envoie l'accord ne détermine pas automatiquement le contenu — ce contenu doit satisfaire à certaines exigences, ce qui est différent de « dois-je accepter ce document ».

Ce qui est pertinent en revanche : si vous agissez en tant que responsable du traitement traitant des données à caractère personnel sur instruction de ce client, le RGPD prescrit qu'un accord de traitement de données doit exister, contenant un certain nombre d'éléments obligatoires. Il ne s'agit donc pas de savoir si vous signez, mais si le texte que vous recevez couvre ces éléments et correspond à ce qui se passe réellement en pratique. Un concept formulé trop largement, qui règle des questions qui ne correspondent pas à la prestation de services réelle, ou qui omet des éléments, est une raison de demander des ajustements ou de proposer votre propre version — non de signer sans autre forme de procès.

Ce que l'article 28 du RGPD prévoit à ce sujet

L'article 28 du RGPD prescrit que le traitement par un responsable du traitement doit être réglementé par un contrat ou un autre acte juridique, et énumère les sujets qui doivent y être couverts — notamment le sujet et la durée du traitement, la nature et l'objet, le type de données à caractère personnel et les catégories de personnes concernées, ainsi que les obligations et droits du contrôleur de données. Cet article ne dit rien sur qui rédige ou fournit le document ; il dit seulement ce qu'il doit contenir. Le texte complet du règlement est la source officielle, et en cas de doute sur un texte spécifique, la base de connaissances de l'Autorité néerlandaise pour la protection des données peut servir de référence — bien que cette autorité ne soit pas compétente pour évaluer des contrats individuels.