puis-je modifier un contrat de traitement des données déjà signé

Oui, c'est possible de modifier à condition que les deux parties soient d'accord

Un contrat de traitement des données signé n'est pas un document figé après signature jusqu'à la fin de la collaboration. Comme pour tout autre contrat, les parties peuvent décider ensemble de modifier certains éléments : ajouter un nouveau sous-traitant, modifier une durée de conservation, ou affiner les modalités parce que quelque chose a changé dans la relation. Tant que les deux parties acceptent la modification, rien n'empêche de réviser le contrat.

Ce qui compte, c'est que le contrat continue à satisfaire aux exigences de l'article 28 du RGPD. Si la façon dont un fournisseur traite les données change, qu'un nouveau tiers intervient en tant que sous-traitant, ou que l'objectif du traitement se modifie, c'est souvent précisément à ce moment que ce qui doit figurer dans un contrat de traitement des données redevient pertinent : le texte existant peut ne plus couvrir la nouvelle situation. Une modification peut être consignée par un avenant, un nouvel appendice, ou en signant à nouveau l'intégralité du contrat — la forme importe moins que le fait que les deux parties documentent par écrit ce qui a été convenu.

Source de cette information : article 28 du RGPD

L'article 28 du RGPD précise les sujets qu'un contrat de traitement des données doit couvrir, mais ne stipule nulle part qu'un texte une fois signé ne peut pas être modifié. Les lignes directrices de l'EDPB soulignent surtout que le contenu du contrat doit rester aligné sur la pratique du traitement — si cette pratique change, il est logique que le contrat évolue aussi. Un contrat qui n'aurait jamais été établi présente un risque différent d'un contrat qui est mis à jour ; ses conséquences possibles sont décrites dans ce qui se passe s'il n'y a pas de contrat de traitement des données avec un fournisseur. Une modification convenue uniquement par courriel soulève d'ailleurs la même question que pour le premier contrat : si cela suffit, c'est décrit dans un contrat de traitement des données peut-il être convenu oralement ou par courriel.