Nouveautés de la semaine : 4 clauses déclenchées par IQVIA, le plafond ESG et l'échéance GPAI

Quatre actualités convergent cette semaine et appellent chacune une mise à jour contractuelle concrète. Voici les rédactions que nous ajoutons à la bibliothèque.

RGPD — Qualification des données (post-IQVIA)

La CNIL a requalifié en données pseudonymes des données présentées comme anonymes. Toute clause excluant l'application du RGPD au motif de l'« anonymisation » doit être sécurisée par un test documenté de réidentification.

> Les Parties conviennent que des données ne peuvent être qualifiées d'anonymes, au sens du considérant 26 du RGPD, qu'à la condition qu'une analyse documentée démontre l'impossibilité raisonnable de réidentification des personnes concernées, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés. À défaut d'une telle démonstration, tenue à jour et communiquée au Client sur demande, les données sont réputées pseudonymisées et demeurent soumises à la réglementation applicable en matière de protection des données. Toute évolution des jeux de données ou des techniques de croisement déclenche une révision de cette analyse.

RGPD — Information des personnes via partenaires collecteurs

IQVIA a été sanctionnée car les pharmacies chargées d'informer les patients ne le faisaient pas. Si la collecte est indirecte, le contrat doit organiser la vérification effective de l'information délivrée par les partenaires.

> Lorsque l'information des personnes concernées est délivrée pour le compte du Responsable de traitement par un partenaire collecteur, le Responsable de traitement (i) fournit au partenaire des supports d'information conformes aux articles 13 et 14 du RGPD, (ii) vérifie au moins une fois par an, par sondage documenté, la délivrance effective de cette information, et (iii) conserve la preuve de ces vérifications. Le partenaire collecteur s'engage à notifier sans délai toute impossibilité de délivrer l'information et à laisser le Responsable de traitement procéder aux contrôles prévus au présent article.

ESG / CSRD — Plafond chaîne de valeur

Le « value chain cap » des ESRS révisés (consultation clôturée le 3 juin) interdit aux entreprises CSRD d'exiger de leurs partenaires de 1 000 salariés ou moins plus que le standard VSME. À proposer dès maintenant en anticipation de l'adoption des actes délégués.

> Le Fournisseur, dès lors qu'il emploie 1 000 salariés ou moins, ne peut se voir demander par le Client, au titre des obligations de reporting de durabilité de ce dernier, des informations excédant le périmètre du standard volontaire VSME (acte délégué (UE) [référence à compléter à publication]), conformément au plafond d'information de chaîne de valeur prévu par les ESRS révisés. Toute demande excédentaire devra être justifiée par une obligation légale propre du Client, dûment référencée, et les coûts de collecte complémentaires seront supportés par le Client.

Compliance — Conformité GPAI (2 août 2026)

Les obligations des fournisseurs de modèles d'IA à usage général s'appliquent au 2 août 2026 (inchangé par le Digital Omnibus). Les contrats avec des fournisseurs de solutions IA doivent garantir cette conformité et la traçabilité associée.

> Le Prestataire dont la solution intègre ou repose sur un modèle d'IA à usage général garantit qu'à compter du 2 août 2026, ledit modèle satisfait aux obligations du chapitre V du règlement (UE) 2024/1689, notamment : documentation technique à jour, politique de conformité au droit d'auteur, et résumé suffisamment détaillé des contenus d'entraînement. Le Prestataire communique au Client, sur demande et au plus tard dans les quinze (15) jours, les éléments démontrant cette conformité, y compris lorsqu'ils émanent du fournisseur amont du modèle. Tout manquement constitue un manquement contractuel grave ouvrant droit à résiliation dans les conditions de l'article [•].

Les quatre clauses sont disponibles dans la bibliothèque, prêtes à être insérées dans vos modèles.