Accès au CRM client : le risque caché du consultant commercial sur les données
Brancher votre consultant sur le CRM d'un client, c'est lui confier le cœur commercial de son entreprise. Et vous transformer, sans le savoir, en sous-traitant RGPD responsable.
- Dès que vous accédez au fichier prospects ou au CRM d'un client, vous traitez des données personnelles pour son compte : vous devenez sous-traitant au sens du RGPD.
- Ce statut impose un contrat écrit spécifique (article 28) et vous expose à une responsabilité propre en cas de fuite ou de mauvais usage.
- Le fichier clients est aussi protégé par le secret des affaires : l'emporter vers une autre mission peut constituer une faute lourde.
- Une assurance cyber couvre la fuite de données, l'extorsion et les frais de notification — la RC Pro seule ne suffit pas.
Le jour où vous obtenez les identifiants du CRM
C'est un moment banal de la vie d'un business developer : pour structurer la prospection, votre client vous donne un accès à son CRM, exporte son fichier prospects dans un tableur partagé, vous transmet sa base de contacts qualifiés. Vous y voyez un outil de travail. Le droit, lui, y voit un basculement majeur : à cet instant précis, vous commencez à traiter des données à caractère personnel pour le compte d'un tiers. Et cela a un nom dans le RGPD : vous êtes un sous-traitant.
Ce statut n'a rien d'anecdotique. Il vous attribue des obligations propres, une responsabilité distincte de celle de votre client, et il peut vous exposer directement aux sanctions de la CNIL. La plupart des consultants commerciaux ignorent qu'ils sont concernés. C'est précisément cette méconnaissance qui crée le risque.
Sous-traitant RGPD : ce que le statut vous impose vraiment
L'article 28 du RGPD encadre la relation entre le responsable de traitement (votre client) et son sous-traitant (vous). Trois conséquences concrètes pour un consultant en développement commercial :
- Un contrat écrit est obligatoire. Une simple lettre de mission ne suffit pas : il faut une clause ou un avenant détaillant la nature des données traitées, leur finalité, leur durée de conservation et les mesures de sécurité. Beaucoup de consultants travaillent sans ce document — une non-conformité en soi.
- Vous ne pouvez utiliser les données que sur instruction du client. Réutiliser le fichier prospects pour démarcher pour votre propre compte, ou pour un autre client, est interdit.
- Vous êtes tenu à une obligation de sécurité. Stocker la base sur un ordinateur portable non chiffré, dans un cloud personnel ou sur une clé USB perdue dans un train engage votre responsabilité.
En cas de manquement, la CNIL peut sanctionner directement le sous-traitant. Et votre client, s'il est lui-même sanctionné à cause de vous, se retournera contre vous.
Le fichier clients est aussi un secret des affaires
Au-delà du RGPD, le fichier commercial d'une entreprise est l'un de ses actifs les plus précieux. Depuis la loi de 2018 transposant la directive européenne, il bénéficie de la protection du secret des affaires dès lors qu'il n'est pas connu du public, qu'il a une valeur économique et que l'entreprise a pris des mesures pour le protéger. Un fichier de prospects qualifiés, une liste de contacts décideurs, une grille de marges : tout cela peut être protégé.
Pour un consultant qui enchaîne les missions parfois dans le même secteur, le danger est évident. Emporter, même par inadvertance, une liste de contacts d'un client A pour l'exploiter chez un client B concurrent constitue une atteinte au secret des affaires, sanctionnable civilement et pouvant être qualifiée de concurrence déloyale.
La règle d'or : ce qui entre dans une mission ne doit jamais en sortir. Chaque base de données reste cantonnée au client qui vous l'a confiée.
En pratique, cloisonnez vos environnements de travail par client, supprimez les fichiers en fin de mission et conservez une trace de cette suppression.
Le scénario qui coûte cher : la fuite de données
Imaginez : votre ordinateur portable, contenant le CRM exporté de trois clients, est volé. Ou votre boîte e-mail est compromise par un phishing et un attaquant met la main sur les fichiers prospects que vous y aviez stockés. Les conséquences s'enchaînent :
- Vous devez notifier l'incident à chaque client concerné (responsable de traitement).
- Chaque client doit notifier la CNIL sous 72 heures, et parfois informer les personnes concernées.
- Les personnes dont les données ont fuité peuvent réclamer réparation.
- Vos clients, exposés à des amendes et à une perte de réputation, se retournent contre vous, source de la fuite.
Les coûts s'additionnent : expertise informatique pour comprendre l'incident, frais juridiques, notification, gestion de crise, et indemnisation des clients. Pour un consultant indépendant, la facture peut atteindre plusieurs dizaines de milliers d'euros. C'est exactement le périmètre d'une assurance cyber, qui prend en charge la réponse à incident, les frais de notification, l'extorsion et les pertes consécutives.
RC Pro et cyber : deux couvertures complémentaires, pas interchangeables
Beaucoup de consultants pensent que leur RC Professionnelle couvre tout. C'est une erreur fréquente. Les deux contrats interviennent sur des terrains différents :
| Situation | RC Pro | Cyber |
|---|---|---|
| Erreur de conseil ayant causé un préjudice | Oui | Non |
| Vol ou fuite du fichier clients | Partiel ou exclu | Oui |
| Frais de notification CNIL et gestion de crise | Non | Oui |
| Rançongiciel bloquant vos données de mission | Non | Oui |
La RC Pro protège vos décisions et vos conseils ; la cyber-assurance protège les données que vous manipulez. Pour un business developer dont le métier consiste précisément à brancher des bases de prospects et des CRM, les deux sont devenues indissociables. Vous retrouvez l'ensemble des garanties pensées pour votre activité sur la page assurance consultant développement commercial.
Quatre mesures simples pour réduire votre exposition data
La conformité n'exige pas un budget de grand groupe. Quatre gestes suffisent à diviser drastiquement votre risque :
- Chiffrez vos appareils. Un ordinateur portable et un disque chiffrés rendent un vol matériel quasiment sans conséquence sur les données.
- Cloisonnez par client. Un dossier, un espace cloud, des accès distincts par mission. Jamais de mélange entre clients.
- Signez un avenant RGPD article 28. Proposez-le vous-même à vos clients : c'est un signe de professionnalisme qui vous protège tous les deux.
- Activez l'authentification à deux facteurs sur votre messagerie et vos outils, première porte d'entrée des attaques.
Combinées à une assurance cyber, ces mesures font de la gestion des données un atout commercial — et non plus une menace silencieuse.
Questions fréquentes
Oui. Dès lors que vous traitez des données personnelles (prospects, contacts) pour le compte de votre client, vous êtes sous-traitant au sens de l'article 28 du RGPD, avec des obligations et une responsabilité propres.
Non. Le fichier est protégé à la fois par le RGPD (usage limité aux instructions du client) et par le secret des affaires. Le réutiliser ailleurs constitue une faute et peut relever de la concurrence déloyale.
Rarement de façon complète. La RC Pro vise les fautes de conseil, pas la réponse à un incident cyber. Les frais de notification, d'expertise et de gestion de crise relèvent d'une assurance cyber dédiée.
Un contrat ou avenant de sous-traitance conforme à l'article 28 du RGPD, précisant les données traitées, leur finalité, leur durée et les mesures de sécurité. Une simple lettre de mission ne suffit pas.
Entre l'expertise informatique, les frais juridiques, la notification et l'indemnisation éventuelle des clients, la facture atteint vite plusieurs dizaines de milliers d'euros — un montant qu'une assurance cyber prend en charge.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant développement commercial — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant développement commercial →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.