L’art. 28, al. 2, 2e phrase, RGPD confère au responsable du traitement un droit d’opposition à l’égard de tout nouveau sous-traitant ultérieur. La Commission a elle-même chiffré ce que cela coûte dans son propre modèle : selon la clause 7.7, option 2, de la décision (UE) 2021/915, le sous-traitant doit notifier tout changement envisagé de la liste convenue « au moins [INDIQUER LE DÉLAI] à l’avance, de manière expresse et par écrit ». Un assistant qui choisit son outil pendant l’inférence ne dispose d’aucun délai de prévenance. La voie de l’autorisation générale est donc fermée pour cette opération, et le contrat doit comporter un registre d’outils fermé : ce qui doit être encadré, ce n’est pas le modèle, mais l’espace de sélection de l’agent.

Ce qu’exige la clause

L’art. 28, al. 2, 1re phrase, RGPD connaît deux voies : l’autorisation préalable spécifique pour chaque sous-traitant ultérieur, ou une autorisation écrite générale portant sur une liste convenue dans le contrat. Le Comité européen de la protection des données a détaillé les deux dans ses lignes directrices 07/2020. La liste autorisée doit figurer dans le contrat ou dans une annexe (pt 154). En cas d’autorisation spécifique, le silence du responsable du traitement vaut refus (pt 155) ; en cas d’autorisation générale, il vaut acceptation (pt 157) — la différence entre les deux voies tient uniquement à la portée de ce silence. Le délai d’opposition doit être raisonnable, apprécié au regard de la nature et de la complexité du traitement (pt 158). Pour un prestataire dont le catalogue compte des centaines d’outils, l’autorisation spécifique est en pratique exclue — chaque nouvelle intégration déclencherait une nouvelle négociation contractuelle. Ne reste que la seconde voie, qui suppose une liste déjà arrêtée au moment de l’autorisation.

La note de bas de page 54 des mêmes lignes directrices ferme la porte que le marché s’était employé à laisser ouverte. Il ne suffit pas d’accorder au responsable du traitement « a generalized access to a list of the sub-processors which might be updated from time to time » ; le sous-traitant doit notifier activement chaque changement. La page des sous-traitants ultérieurs à actualisation automatique, vers laquelle renvoie pratiquement tout contrat cloud ou IA, ne satisfait déjà pas, sur cette lecture, à l’art. 28, al. 2, 2e phrase, RGPD — et ce dès le stade d’un service purement statique.

Le cercle des destinataires est un moyen essentiel

Le pt 40 des lignes directrices 07/2020 distingue les moyens essentiels des moyens non essentiels. Parmi les moyens essentiels, réservés au responsable du traitement, le Comité range expressément « the categories of recipients (“who shall have access to them?”) ». Ce n’est pas les poids du modèle qui décident du cercle des destinataires, mais le registre d’outils. Qui configure l’espace de sélection détermine un moyen essentiel ; qui le laisse ouvert en abandonne la détermination au sous-traitant.

Un exemple rend le mécanisme concret. Un agent de support disposant d’un accès à quarante serveurs d’outils connectés choisit de façon autonome, pour répondre à une demande client, un nouveau service de traduction, parce que sa description correspond le mieux à la tâche. L’exploitant de ce service ne figurait pas sur la liste que le responsable du traitement avait autorisée, et aucune possibilité d’opposition n’a existé, puisque le choix ne s’est arrêté qu’au moment de l’exécution. C’est exactement ce cas de figure que vise l’art. 28, al. 10, RGPD : quiconque détermine, en violation du règlement, les finalités et les moyens du traitement, « est considéré comme un responsable du traitement pour ce qui concerne ce traitement » — avec une obligation de reddition de comptes propre, que le contrat initial n’avait pas prévue.

Le plafond de l’amende encourue diffère d’ailleurs de ce que laisse entendre le discours ambiant. Les violations de l’art. 28 relèvent, selon l’art. 83, al. 4, let. a, RGPD, du plafond le plus bas — 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent. Le taux double prévu à l’art. 83, al. 5, let. a, ne s’applique que lorsque la divulgation à l’outil choisi ne repose plus sur aucune base de licéité au sens de l’art. 6 RGPD.

Ce que doit contenir l’annexe

Un prestataire qui prend au sérieux l’art. 28, al. 2, RGPD ne recopie pas la clause — il la reconstruit. L’annexe relative à la sous-traitance ne liste pas des catégories comme « services de traduction » ou « outils de recherche », mais des exploitants individuels, avec nom, siège et finalité, comme l’exige d’ailleurs le pt 31 de l’avis 22/2024 pour l’ensemble de la chaîne de sous-traitance. Toute extension de cette liste déclenche le délai prévu par la clause 7.7, option 2 — pas une mise à jour silencieuse de la page web. L’espace d’habilitation technique de l’agent — l’ensemble des outils qu’il est effectivement autorisé à appeler pendant l’exécution — est limité côté logiciel à cette liste précise, selon une logique de refus par défaut plutôt que d’autorisation par défaut. La différence avec une page de sous-traitants classique n’est pas une question de forme : elle détermine si le prestataire garde le contrôle du cercle des destinataires ou le délègue au modèle.

Le protocole connaît la notification, pas le destinataire

La spécification MCP décrit expressément les outils comme « model-controlled » : c’est le modèle de langage qui les découvre et les appelle de façon autonome. Pour le cas où la liste d’outils changerait, le protocole prévoit même sa propre notification, notifications/tools/list_changed. Elle est adressée au client. L’art. 28, al. 2, 2e phrase, RGPD exige qu’elle soit adressée au responsable du traitement, avec un délai. La version finale de la spécification, publiée le 28 juillet 2026, rend le mouvement plus visible encore : les réponses tools/list portent désormais des champs ttlMs et cacheScope, calqués sur l’en-tête HTTP Cache-Control, pour que les clients sachent « how long a tools/list response is fresh » — un flux SSE permanent n’étant plus le seul moyen d’apprendre ne serait-ce qu’un changement de liste. Le protocole est conçu pour des changements continus et imprévisibles de la liste d’outils. L’art. 28, al. 2, RGPD est conçu pour une liste arrêtée à la conclusion du contrat. Les deux architectures sont, chacune, cohérentes en elles-mêmes ; elles ne sont simplement pas compatibles entre elles.

Une autorisation générale rédigée de façon généreuse n’y remédie pas, car la chaîne se rompt ailleurs. L’art. 28, al. 4, RGPD exige que le sous-traitant ultérieur se voie imposer, « par contrat ou au moyen d’un autre acte juridique », les mêmes obligations en matière de protection des données ; le pt 160 des lignes directrices le dit sans détour : « The whole chain of processing activities needs to be regulated by written agreements. » Un point d’accès que l’agent atteint au moyen d’un jeton OAuth a des conditions d’utilisation. Un contrat au sens de l’art. 28, al. 4, il n’en a pas. En vertu de la dernière phrase de la même disposition, le premier sous-traitant répond en outre, envers le responsable du traitement, du manquement du sous-traitant ultérieur — une responsabilité qu’aucun prestataire n’assume pour un point d’accès qu’il n’a pas lui-même choisi.

Ce que coûte le droit d’accès

La CJUE a jugé, le 12 janvier 2023 dans l’affaire C-154/21 (RW contre Österreichische Post AG), que le responsable du traitement doit communiquer l’identité des destinataires. Il ne peut se limiter aux catégories que « s’il n’est pas possible » d’identifier les destinataires, ou si la demande est manifestement infondée ou excessive au sens de l’art. 12, al. 5, RGPD. Cette impossibilité n’est pas une propriété de la technique, mais une conséquence de la configuration. Le Comité a déjà établi ce lien au pt 31 de son avis 22/2024 : l’identité de tous les sous-traitants et sous-traitants ultérieurs doit être « readily available at all times » pour le responsable du traitement, notamment afin qu’il puisse répondre aux demandes d’accès formées au titre de l’art. 15 RGPD sans retard injustifié.

La priorité de la semaine prochaine ne se situe donc pas au niveau du contrat. Chaque appel d’outil doit être journalisé avec l’identifiant de l’outil, l’exploitant et le rattachement à la personne concernée, et la durée de conservation de ce journal doit être alignée sur le délai de l’art. 12, al. 3, RGPD : un mois, prorogeable de deux mois au maximum. L’annexe contractuelle vient ensuite, avec nom, adresse et point de contact pour chaque exploitant (pt 31), et la liste d’habilitation technique est fixée en mode refus par défaut et maintenue en stricte correspondance avec cette annexe. Quiconque aborde ces trois étapes dans le mauvais ordre — d’abord l’annexe contractuelle, puis la journalisation — s’aperçoit, au plus tard à la première demande d’accès, qu’il a certes promis contractuellement l’identité des destinataires, mais qu’il est incapable, techniquement, de reconstituer lequel d’entre eux a effectivement traité quelle requête.

Le niveau suisse

L’art. 9, al. 3, DSG n’autorise la sous-traitance ultérieure qu’avec l’autorisation préalable du responsable du traitement ; l’EDÖB admet à cet effet qu’une autorisation générale suffise, assortie d’une obligation d’information et d’une possibilité d’opposition. Le verrou le plus strict se trouve deux alinéas plus haut. L’art. 9, al. 1, let. b, DSG ne permet le traitement pour le compte d’autrui que si aucune obligation légale ou contractuelle de confidentialité n’interdit la transmission — pour une banque au titre de l’art. 47 BankG, ou pour une étude d’avocats au titre de l’art. 321 StGB, il ne s’agit pas d’une pondération d’intérêts, mais d’une condition de licéité. Un espace d’outils ouvert rend cet examen impossible : qui ignore où vont les données ne peut pas déterminer si une obligation de confidentialité s’oppose à leur transmission. Cet examen ne peut pas davantage être rattrapé après coup — il doit précéder la transmission, et non la suivre, car une violation déjà commise de l’art. 47 BankG ou de l’art. 321 StGB n’est plus guérie par une correction contractuelle ultérieure.

Ce qui est acquis, ce qui reste ouvert

Il est acquis que l’art. 28, al. 2 et 4, RGPD exige une liste nommément désignée et une chaîne intégralement formalisée par écrit, et que les pt 154 à 160 des lignes directrices 07/2020 ainsi que le pt 27 de l’avis 22/2024 décrivent à quoi cela ressemble concrètement : une autorisation préalable à l’ajout, non une simple information après coup. Reste ouverte la question de savoir si une autorité de contrôle admettra qu’une liste d’habilitation configurable techniquement vaille « liste convenue » au sens de la clause 7.7, option 2, et si elle lira le choix de l’outil au moment de l’exécution comme la détermination d’un moyen essentiel au sens de l’art. 28, al. 10, RGPD. La première question trouvera réponse plus tôt que ne le laissent supposer les modèles contractuels. L’action coordonnée d’exécution lancée le 19 mars 2026 par le Comité, à laquelle participent 25 autorités de contrôle, porte sur les obligations de transparence et d’information des art. 12, 13 et 14 RGPD, et donc sur l’indication des destinataires prévue à l’art. 13, al. 1, let. e. Les autorités rassembleront leurs constats au second semestre 2026 ; le rapport consolidé sera ensuite soumis au Comité pour adoption. Quiconque continue d’ici là à répondre par des « catégories de destinataires » devrait savoir que c’est précisément cette réponse qui est actuellement examinée dans 25 pays.