{"id":22612,"date":"2026-05-13T10:00:00","date_gmt":"2026-05-13T10:00:00","guid":{"rendered":"https:\/\/atiasavocats.com\/?p=22612"},"modified":"2026-05-11T09:33:12","modified_gmt":"2026-05-11T09:33:12","slug":"refus-dpa-rgpd-recours-responsable-traitement","status":"publish","type":"post","link":"https:\/\/atiasavocats.com\/en\/refus-dpa-rgpd-recours-responsable-traitement\/","title":{"rendered":"Refus de signer un DPA : les recours pour le responsable de traitement"},"content":{"rendered":"<p><em><em><em><em><em>Par\u00a0<a href=\"https:\/\/www.malt.fr\/profile\/josephdavidatias\" target=\"_blank\" rel=\"noreferrer noopener\">Joseph David Atias<\/a>, avocat au Barreau de Paris \u00b7\u00a0<a href=\"https:\/\/www.linkedin.com\/in\/david-joseph-atias-b04a7153\" target=\"_blank\" rel=\"noreferrer noopener\">LinkedIn<\/a>\u00a0\u00b7 Mai 2026<\/em><\/em><\/em><\/em><\/em><\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p>La situation est plus fr\u00e9quente qu&rsquo;on ne l&rsquo;imagine : un sous-traitant essentiel refuse purement et simplement de signer le Data Processing Agreement que vous lui pr\u00e9sentez. Le contrat est en cours, l&rsquo;activit\u00e9 d\u00e9pend de ce fournisseur, et l&rsquo;absence de DPA conforme vous expose \u00e0 des sanctions CNIL pouvant atteindre 10 millions d&rsquo;euros. Cette impasse n&rsquo;est pourtant ni inhabituelle ni juridiquement insurmontable. Cet article d\u00e9taille les recours dont dispose le responsable de traitement face \u00e0 un refus DPA et propose une m\u00e9thodologie progressive pour aboutir, dans tous les cas, \u00e0 une situation conforme au RGPD.<\/p>\n<\/blockquote>\n\n\n\n<p>SOMMAIRE<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><a href=\"#section-1\">Le cadre juridique : pourquoi un DPA est obligatoire<\/a><\/li>\n\n\n\n<li><a href=\"#section-2\">Qualifier la situation : vrai refus ou n\u00e9gociation l\u00e9gitime ?<\/a><\/li>\n\n\n\n<li><a href=\"#section-3\">Les 5 recours du responsable de traitement<\/a><\/li>\n\n\n\n<li><a href=\"#section-4\">Tableau r\u00e9capitulatif : recours, d\u00e9lais et niveaux d&rsquo;escalade<\/a><\/li>\n\n\n\n<li><a href=\"#section-5\">La strat\u00e9gie de sortie : changer de sous-traitant<\/a><\/li>\n\n\n\n<li><a href=\"#section-6\">Pourquoi faire appel \u00e0 Atias Avocats<\/a><\/li>\n\n\n\n<li><a href=\"#faq\">FAQ \u2014 Questions fr\u00e9quentes<\/a><\/li>\n<\/ol>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"section-1\">1. Le cadre juridique : pourquoi un DPA est obligatoire<\/h2>\n\n\n\n<p>Comprendre les recours possibles face \u00e0 un refus DPA suppose d&rsquo;abord d&rsquo;avoir une vision claire des obligations juridiques en pr\u00e9sence. Le DPA n&rsquo;est pas une formalit\u00e9 administrative : c&rsquo;est un acte juridique exig\u00e9 par le r\u00e8glement europ\u00e9en, dont l&rsquo;absence expose le responsable de traitement \u00e0 des sanctions directes et substantielles.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1.1 L&rsquo;obligation pos\u00e9e par l&rsquo;article 28 du RGPD<\/h3>\n\n\n\n<p>L&rsquo;article 28 du RGPD impose une obligation claire : tout traitement effectu\u00e9 pour le compte d&rsquo;un responsable de traitement doit \u00eatre r\u00e9gi par un contrat ou un autre acte juridique \u00e9crit et juridiquement contraignant. Ce contrat doit comporter des mentions pr\u00e9cises : nature et finalit\u00e9 du traitement, type de donn\u00e9es trait\u00e9es, dur\u00e9e, obligations du sous-traitant, s\u00e9curit\u00e9, sous-traitance ult\u00e9rieure, transferts hors UE, notification des incidents. L&rsquo;absence de ces mentions rend le DPA non conforme et expose les deux parties \u00e0 des sanctions.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1.2 La responsabilit\u00e9 directe du responsable de traitement<\/h3>\n\n\n\n<p>Une jurisprudence CNIL constante rappelle que la responsabilit\u00e9 du responsable de traitement ne peut \u00eatre transf\u00e9r\u00e9e au sous-traitant par voie contractuelle. Le responsable de traitement reste responsable de la conformit\u00e9 globale du traitement, y compris de l&rsquo;existence d&rsquo;un DPA op\u00e9rationnel. Cette r\u00e8gle explique pourquoi les sanctions CNIL pour d\u00e9faut de DPA visent presque toujours directement le client final \u2014 pas le sous-traitant r\u00e9calcitrant.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1.3 Les sanctions encourues<\/h3>\n\n\n\n<p>L&rsquo;article 83.4 du RGPD pr\u00e9voit que la violation des obligations relatives \u00e0 la sous-traitance peut donner lieu \u00e0 une sanction administrative pouvant atteindre 10 millions d&rsquo;euros ou 2 % du chiffre d&rsquo;affaires mondial total de l&rsquo;exercice pr\u00e9c\u00e9dent \u2014 le montant le plus \u00e9lev\u00e9 \u00e9tant retenu. \u00c0 ces sanctions administratives s&rsquo;ajoute la responsabilit\u00e9 civile \u00e9ventuelle envers les personnes concern\u00e9es en cas d&rsquo;incident li\u00e9 au traitement non encadr\u00e9.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"section-2\">2. Qualifier la situation : vrai refus ou n\u00e9gociation l\u00e9gitime ?<\/h2>\n\n\n\n<p>Avant tout d\u00e9clenchement de recours, il faut qualifier pr\u00e9cis\u00e9ment la situation de refus DPA. Le terme g\u00e9n\u00e9rique de refus DPA recouvre en r\u00e9alit\u00e9 plusieurs configurations tr\u00e8s diff\u00e9rentes, chacune appelant une r\u00e9ponse adapt\u00e9e. Cette qualification pr\u00e9alable conditionne l&rsquo;efficacit\u00e9 de la suite de la d\u00e9marche.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2.1 Le refus total de tout DPA<\/h3>\n\n\n\n<p>Le refus total est la situation la plus simple \u00e0 qualifier juridiquement, et la plus grave. Le sous-traitant nie l&rsquo;existence m\u00eame de l&rsquo;obligation, refuse tout document \u00e9crit, ou propose une simple clause g\u00e9n\u00e9rique dans ses CGU sans engagement pr\u00e9cis. Cette posture est juridiquement intenable : aucune n\u00e9gociation n&rsquo;est possible sur l&rsquo;existence du DPA, seulement sur son contenu. C&rsquo;est dans cette configuration que les recours les plus fermes doivent \u00eatre d\u00e9ploy\u00e9s rapidement.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2.2 Le refus de la version propos\u00e9e par le client<\/h3>\n\n\n\n<p>Beaucoup plus fr\u00e9quente, cette situation correspond \u00e0 un sous-traitant qui accepte le principe d&rsquo;un DPA mais refuse la version propos\u00e9e par le responsable de traitement. Cette posture peut \u00eatre l\u00e9gitime si la version impos\u00e9e exc\u00e8de l&rsquo;article 28 RGPD : audits trop fr\u00e9quents, garanties contractuelles disproportionn\u00e9es, indemnisations exorbitantes, p\u00e9rim\u00e8tre de responsabilit\u00e9 \u00e9largi au-del\u00e0 du raisonnable. Dans ce cas, il s&rsquo;agit d&rsquo;une n\u00e9gociation classique \u2014 pas d&rsquo;un v\u00e9ritable refus.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2.3 Le DPA propos\u00e9 par le sous-traitant et jug\u00e9 insuffisant<\/h3>\n\n\n\n<p>Sym\u00e9triquement, le sous-traitant peut proposer son propre mod\u00e8le de DPA, jug\u00e9 insuffisant par le responsable de traitement : absence de notification des incidents dans un d\u00e9lai raisonnable, sous-traitance ult\u00e9rieure non encadr\u00e9e, transferts internationaux flous, s\u00e9curit\u00e9 document\u00e9e de mani\u00e8re trop g\u00e9n\u00e9rique. Cette situation appelle une analyse comparative entre les exigences de l&rsquo;article 28 et le mod\u00e8le propos\u00e9. Elle peut justifier un refus partiel motiv\u00e9.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2.4 La temporisation d\u00e9guis\u00e9e en refus<\/h3>\n\n\n\n<p>Enfin, certains sous-traitants pratiquent une temporisation d\u00e9guis\u00e9e : promesses r\u00e9p\u00e9t\u00e9es de transmission du DPA, demandes d&rsquo;informations suppl\u00e9mentaires successives, renvois entre services internes, absence de r\u00e9ponse aux relances. Cette posture est juridiquement \u00e9quivalente \u00e0 un refus, mais elle est plus difficile \u00e0 objectiver. Documenter minutieusement chaque \u00e9change devient alors essentiel pour pr\u00e9parer une \u00e9ventuelle action ult\u00e9rieure.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"section-3\">3. Les 5 recours du responsable de traitement<\/h2>\n\n\n\n<p>Une fois la situation de refus DPA qualifi\u00e9e, cinq recours principaux s&rsquo;offrent au responsable de traitement. Ils peuvent \u00eatre d\u00e9ploy\u00e9s successivement, dans une logique d&rsquo;escalade progressive, ou simultan\u00e9ment selon la gravit\u00e9 de la situation.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3.1 La relance formelle motiv\u00e9e<\/h3>\n\n\n\n<p>Le premier recours face \u00e0 un refus DPA consiste en une relance \u00e9crite formelle, dat\u00e9e et sign\u00e9e, rappelant le cadre juridique applicable (article 28 RGPD), pr\u00e9cisant la version du DPA souhait\u00e9e et fixant un d\u00e9lai raisonnable (typiquement 15 \u00e0 30 jours). Cette relance, souvent n\u00e9glig\u00e9e, joue un double r\u00f4le : elle peut d\u00e9bloquer la situation et constitue surtout une preuve \u00e9crite indispensable pour la suite.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3.2 La mise en demeure<\/h3>\n\n\n\n<p>Si la relance reste sans effet, la mise en demeure constitue le deuxi\u00e8me recours classique face \u00e0 un refus DPA. Adress\u00e9e par lettre recommand\u00e9e avec accus\u00e9 de r\u00e9ception, elle vise \u00e0 constater officiellement l&rsquo;inex\u00e9cution contractuelle et \u00e0 fixer un dernier d\u00e9lai avant l&rsquo;engagement d&rsquo;actions plus fermes. La mise en demeure doit explicitement viser l&rsquo;article 28 RGPD, rappeler les sanctions encourues, et annoncer les cons\u00e9quences en cas de persistance du refus (saisine CNIL, r\u00e9siliation, contentieux).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3.3 La saisine du DPO ou de la direction du sous-traitant<\/h3>\n\n\n\n<p>Saisir directement le d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es (DPO) du sous-traitant, ou \u00e0 d\u00e9faut sa direction g\u00e9n\u00e9rale, contourne fr\u00e9quemment les blocages op\u00e9rationnels. Le DPO du sous-traitant a une obligation d\u00e9ontologique d&rsquo;alerter sa propre direction sur les non-conformit\u00e9s RGPD. Cette saisine, souvent oubli\u00e9e, d\u00e9bloque concr\u00e8tement de nombreuses situations en quelques semaines, sans aucun co\u00fbt juridique.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3.4 La saisine de la CNIL<\/h3>\n\n\n\n<p>En dernier recours pr\u00e9alable au contentieux, la saisine de la CNIL est possible. Le responsable de traitement peut signaler le manquement du sous-traitant, en mobilisant les \u00e9l\u00e9ments documentaires constitu\u00e9s lors des \u00e9tapes pr\u00e9c\u00e9dentes. Cette d\u00e9marche pr\u00e9sente un double int\u00e9r\u00eat : elle d\u00e9clenche \u00e9ventuellement un contr\u00f4le direct de la CNIL sur le sous-traitant, et elle d\u00e9montre la bonne foi du responsable de traitement en cas de contr\u00f4le ult\u00e9rieur le concernant.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">3.5 L&rsquo;action en justice<\/h3>\n\n\n\n<p>L&rsquo;action en justice peut prendre plusieurs formes : action en ex\u00e9cution forc\u00e9e du contrat (article 1221 du Code civil), r\u00e9solution judiciaire pour inex\u00e9cution (article 1227), demande de dommages-int\u00e9r\u00eats si un pr\u00e9judice peut \u00eatre d\u00e9montr\u00e9. Le tribunal comp\u00e9tent d\u00e9pend du contrat \u2014 souvent le tribunal de commerce pour les relations B2B. Cette voie est la plus co\u00fbteuse et la plus longue, mais elle reste indispensable lorsque toutes les autres ont \u00e9chou\u00e9 et que le sous-traitant occupe une position strat\u00e9gique difficile \u00e0 remplacer.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"section-4\">4. Tableau r\u00e9capitulatif : recours, d\u00e9lais et niveaux d&rsquo;escalade<\/h2>\n\n\n\n<p>Le tableau suivant pr\u00e9sente une vue synth\u00e9tique des cinq recours face \u00e0 un refus DPA, avec leur d\u00e9lai indicatif, leur co\u00fbt et leur taux de succ\u00e8s observ\u00e9 en pratique sur les missions trait\u00e9es par Atias Avocats.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th class=\"has-text-align-left\" data-align=\"left\">Recours<\/th><th class=\"has-text-align-left\" data-align=\"left\">D\u00e9lai<\/th><th class=\"has-text-align-left\" data-align=\"left\">Co\u00fbt indicatif<\/th><th class=\"has-text-align-left\" data-align=\"left\">Efficacit\u00e9<\/th><\/tr><\/thead><tbody><tr><td>Relance formelle motiv\u00e9e<\/td><td>15-30 jours<\/td><td>Interne<\/td><td>\ud83d\udfe2 30-50 %<\/td><\/tr><tr><td>Mise en demeure LRAR<\/td><td>15-30 jours<\/td><td>500-1 500 \u20ac HT<\/td><td>\ud83d\udfe2 50-70 %<\/td><\/tr><tr><td>Saisine DPO \/ direction<\/td><td>15-45 jours<\/td><td>Interne ou faible<\/td><td>\ud83d\udfe2 60-80 %<\/td><\/tr><tr><td>Saisine CNIL<\/td><td>3-12 mois<\/td><td>800-2 500 \u20ac HT<\/td><td>\ud83d\udfe1 Indirect<\/td><\/tr><tr><td>Action en justice<\/td><td>6-18 mois<\/td><td>3 000-15 000 \u20ac HT<\/td><td>\ud83d\udfe2 \u00c9lev\u00e9e \u00e0 terme<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p><em>Note : les taux d&rsquo;efficacit\u00e9 sont issus d&rsquo;observations terrain. La combinaison s\u00e9quentielle relance + mise en demeure + saisine DPO obtient un taux de r\u00e9solution amiable proche de 85 % dans les missions accompagn\u00e9es par un avocat sp\u00e9cialis\u00e9.<\/em><\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"section-5\">5. La strat\u00e9gie de sortie : changer de sous-traitant<\/h2>\n\n\n\n<p>Lorsque toutes les voies de recours \u00e9chouent et que le refus DPA persiste, la sortie du contrat principal reste la solution juridiquement la plus s\u00fbre pour le responsable de traitement. Cette strat\u00e9gie de sortie doit toutefois \u00eatre pr\u00e9par\u00e9e avec soin pour \u00e9viter d&rsquo;aggraver la situation op\u00e9rationnelle.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5.1 Le choix juridique de la sortie<\/h3>\n\n\n\n<p>Plusieurs fondements juridiques permettent la r\u00e9siliation : inex\u00e9cution contractuelle de l&rsquo;obligation tacite ou expresse de conformit\u00e9 RGPD, manquement aux obligations l\u00e9gales par renvoi de la loi \u00e0 l&rsquo;article 28 RGPD, d\u00e9s\u00e9quilibre significatif si le contrat principal organise un transfert de risque indu vers le client. Le choix du fondement d\u00e9termine les modalit\u00e9s de la sortie : pr\u00e9avis, indemnisation \u00e9ventuelle, restitution des donn\u00e9es.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5.2 La pr\u00e9paration op\u00e9rationnelle de la migration<\/h3>\n\n\n\n<p>Avant tout d\u00e9clenchement de la r\u00e9siliation, identifier un fournisseur alternatif conforme et pr\u00e9parer la migration technique des donn\u00e9es. Cette anticipation conditionne directement la ma\u00eetrise du calendrier \u2014 un responsable de traitement contraint de basculer en urgence se retrouve en position de faiblesse et risque des incidents de conformit\u00e9 pendant la transition.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5.3 La continuit\u00e9 de la conformit\u00e9 pendant la transition<\/h3>\n\n\n\n<p>Pendant la phase de transition, le traitement de donn\u00e9es chez le sous-traitant r\u00e9calcitrant continue. Cette p\u00e9riode doit \u00eatre document\u00e9e pr\u00e9cis\u00e9ment (dur\u00e9e, mesures de mitigation, \u00e9tapes de la migration) pour d\u00e9montrer la bonne foi du responsable de traitement en cas de contr\u00f4le CNIL ult\u00e9rieur. Une documentation rigoureuse r\u00e9duit significativement le risque de sanction.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"section-6\">6. Pourquoi faire appel \u00e0 Atias Avocats<\/h2>\n\n\n\n<p>Faire face \u00e0 un refus DPA exige une combinaison de comp\u00e9tences rares : ma\u00eetrise fine du RGPD et de la doctrine CNIL, exp\u00e9rience contentieuse, capacit\u00e9 \u00e0 articuler strat\u00e9gie juridique et continuit\u00e9 op\u00e9rationnelle. Une r\u00e9ponse mal calibr\u00e9e \u2014 trop molle ou trop ferme \u2014 peut soit retarder la r\u00e9solution, soit d\u00e9clencher une rupture commerciale dommageable.<\/p>\n\n\n\n<p>Atias Avocats accompagne entreprises, startups et grands comptes dans la gestion des refus DPA et plus largement des contentieux RGPD avec leurs sous-traitants : audit de la situation, qualification juridique, r\u00e9daction des mises en demeure, saisine CNIL, contentieux civils, accompagnement des strat\u00e9gies de sortie. Pour aller plus loin, consultez nos <a href=\"https:\/\/atiasavocats.com\/en\/services\/personal-data\/\"><strong>services en mati\u00e8re de protection des donn\u00e9es personnelles<\/strong><\/a> et de <a href=\"https:\/\/atiasavocats.com\/en\/services\/it-contracts\/\"><strong>contrats informatiques<\/strong><\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Conclusion<\/h2>\n\n\n\n<p>Un refus DPA n&rsquo;est jamais une fatalit\u00e9. Le responsable de traitement dispose d&rsquo;un arsenal de recours progressifs \u2014 de la relance amiable \u00e0 l&rsquo;action en justice \u2014 qui aboutissent dans la grande majorit\u00e9 des cas \u00e0 une r\u00e9solution conforme au RGPD. La cl\u00e9 est de qualifier pr\u00e9cis\u00e9ment la situation, de documenter chaque \u00e9tape, et de d\u00e9ployer les recours dans le bon ordre.<\/p>\n\n\n\n<p>Au-del\u00e0 de la r\u00e9solution du cas particulier, ces situations doivent inciter \u00e0 renforcer les pratiques contractuelles pr\u00e9ventives : exiger un DPA conforme d\u00e8s la phase de n\u00e9gociation initiale, ne jamais d\u00e9marrer un traitement avant signature, et int\u00e9grer une clause de r\u00e9siliation expresse en cas de non-conformit\u00e9 RGPD. Ces bonnes pratiques \u00e9vitent la quasi-totalit\u00e9 des situations de blocage ult\u00e9rieures \u2014 pour un co\u00fbt juridique sans commune mesure avec celui d&rsquo;une proc\u00e9dure de recours engag\u00e9e a posteriori.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"faq\">FAQ \u2014 Questions fr\u00e9quentes<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Un sous-traitant peut-il refuser de signer un DPA conforme \u00e0 l&rsquo;article 28 RGPD ?<\/h3>\n\n\n\n<p>Juridiquement, le sous-traitant ne peut pas refuser de conclure un acte juridique encadrant le traitement, d\u00e8s lors qu&rsquo;il traite effectivement des donn\u00e9es personnelles pour le compte d&rsquo;un responsable de traitement. L&rsquo;article 28 du RGPD impose l&rsquo;existence d&rsquo;un contrat \u00e9crit entre les deux parties. Toutefois, le sous-traitant peut l\u00e9gitimement refuser une version particuli\u00e8re propos\u00e9e par le client si elle exc\u00e8de le p\u00e9rim\u00e8tre fix\u00e9 par le r\u00e8glement. La distinction entre refus du DPA et n\u00e9gociation du contenu est essentielle pour qualifier la situation.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Quelles sanctions risque le responsable de traitement en cas d&rsquo;absence de DPA ?<\/h3>\n\n\n\n<p>L&rsquo;absence de DPA conforme expose le responsable de traitement \u00e0 des sanctions CNIL substantielles, pouvant atteindre 10 millions d&rsquo;euros ou 2 % du chiffre d&rsquo;affaires mondial (article 83.4 RGPD). Plusieurs sanctions r\u00e9centes ont vis\u00e9 directement le responsable de traitement pour d\u00e9faut de DPA op\u00e9rationnel avec ses sous-traitants. La responsabilit\u00e9 ne peut \u00eatre transf\u00e9r\u00e9e au sous-traitant : c&rsquo;est le responsable de traitement qui doit prouver qu&rsquo;il a mis en place un encadrement contractuel conforme.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Combien de temps faut-il pour obtenir la signature d&rsquo;un DPA r\u00e9calcitrant ?<\/h3>\n\n\n\n<p>La phase amiable (relance, mise en demeure) prend g\u00e9n\u00e9ralement 4 \u00e0 8 semaines. Si une saisine de la CNIL ou un contentieux civil devient n\u00e9cessaire, le d\u00e9lai global peut atteindre 6 \u00e0 18 mois. C&rsquo;est pourquoi anticiper la signature du DPA en amont de la mise en service est crucial : exiger un DPA conforme d\u00e8s la phase de n\u00e9gociation contractuelle \u00e9vite la quasi-totalit\u00e9 des situations de blocage ult\u00e9rieures.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Faut-il r\u00e9silier le contrat principal en cas de refus d\u00e9finitif de DPA ?<\/h3>\n\n\n\n<p>C&rsquo;est g\u00e9n\u00e9ralement la d\u00e9cision la plus prudente sur le plan RGPD. Continuer \u00e0 utiliser un sous-traitant sans DPA conforme expose \u00e0 des sanctions CNIL et \u00e0 une responsabilit\u00e9 civile en cas d&rsquo;incident. Toutefois, la r\u00e9siliation doit \u00eatre pr\u00e9par\u00e9e avec soin : analyse des conditions de sortie du contrat principal, \u00e9valuation des co\u00fbts de migration, identification d&rsquo;un fournisseur alternatif conforme. Un avocat sp\u00e9cialis\u00e9 peut articuler la strat\u00e9gie de sortie avec la strat\u00e9gie RGPD.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Le refus partiel de certaines clauses du DPA est-il assimil\u00e9 \u00e0 un refus ?<\/h3>\n\n\n\n<p>Non, pas n\u00e9cessairement. Le sous-traitant peut l\u00e9gitimement contester certaines clauses qui exc\u00e8dent les obligations de l&rsquo;article 28 RGPD : audits trop fr\u00e9quents, garanties contractuelles disproportionn\u00e9es, indemnisations exorbitantes. L&rsquo;analyse doit distinguer ce qui est obligatoire au sens du RGPD (et donc non n\u00e9gociable) de ce qui est n\u00e9gociable contractuellement. Cette qualification est centrale pour d\u00e9terminer si l&rsquo;on est face \u00e0 une n\u00e9gociation l\u00e9gitime ou \u00e0 un v\u00e9ritable refus de DPA.<\/p>\n\n\n\n<p>Contact : <a href=\"mailto:david@atiasavocats.com\">david@atiasavocats.com<\/a> | LinkedIn: <em><em><em><a href=\"https:\/\/www.linkedin.com\/in\/david-joseph-atias-b04a7153\" target=\"_blank\" rel=\"noreferrer noopener\">David Joseph Atias<\/a><\/em><\/em><\/em> | <a href=\"https:\/\/atiasavocats.com\/en\/\">https:\/\/www.atiasavocats.com<\/a> | 42 rue de la Clef, 75005 Paris<\/p>\n\n\n\n<p><em>Atias Avocats \u2014 Droit du num\u00e9rique, RGPD, Contrats IT, Intelligence artificielle<\/em><\/p>","protected":false},"excerpt":{"rendered":"<p>Par\u00a0Joseph David Atias, avocat au Barreau de Paris \u00b7\u00a0LinkedIn\u00a0\u00b7 Mai 2026 La situation est plus fr\u00e9quente qu&rsquo;on ne l&rsquo;imagine : un sous-traitant essentiel refuse purement et simplement de signer le&hellip;<\/p>","protected":false},"author":1,"featured_media":22613,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[186],"tags":[],"class_list":["post-22612","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-legal-services"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/22612","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/comments?post=22612"}],"version-history":[{"count":1,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/22612\/revisions"}],"predecessor-version":[{"id":22614,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/posts\/22612\/revisions\/22614"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media\/22613"}],"wp:attachment":[{"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/media?parent=22612"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/categories?post=22612"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/atiasavocats.com\/en\/wp-json\/wp\/v2\/tags?post=22612"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}