Consultant CRM et RGPD : êtes-vous sous-traitant sans le savoir ?
Dès que vous touchez à une base clients, le RGPD vous range parmi les sous-traitants. Une qualification lourde de conséquences, souvent ignorée des freelances CRM.
- Le consultant CRM qui accède aux données clients de son client est, dans la quasi-totalité des cas, sous-traitant au sens de l'article 28 du RGPD.
- Cette qualification impose un contrat écrit spécifique, des mesures de sécurité documentées et une obligation de confidentialité formalisée.
- En cas de violation de données, le sous-traitant peut être tenu directement responsable et sanctionné par la CNIL, pas seulement le responsable de traitement.
- Une garantie cyber couvre les frais de notification, d'expertise forensique et les réclamations consécutives à une fuite de données dont vous seriez à l'origine.
La qualification que personne ne vous explique
Le RGPD distingue deux acteurs principaux : le responsable de traitement, qui décide pourquoi et comment des données personnelles sont traitées, et le sous-traitant, qui traite ces données pour le compte du premier, selon ses instructions.
Quand vous intervenez sur le CRM d'un client, ce dernier est responsable de traitement : c'est lui qui décide de gérer ses prospects et clients dans cet outil. Mais dès que vous accédez effectivement aux données — pour les migrer, les nettoyer, paramétrer des champs personnels, tester des automatisations sur de vraies fiches — vous traitez des données personnelles pour son compte. Le RGPD vous qualifie alors de sous-traitant, quelle que soit l'étiquette posée dans le devis.
Cette qualification ne dépend pas de votre volonté ni d'une case cochée. Elle découle de la réalité de votre activité. Et beaucoup de freelances CRM la découvrent au pire moment : lors d'un audit client ou après un incident.
Vous n'avez pas besoin de stocker les données pour être sous-traitant. Y accéder, même temporairement, suffit à déclencher les obligations de l'article 28.
Ce que l'article 28 exige concrètement de vous
L'article 28 du RGPD encadre précisément la relation responsable de traitement / sous-traitant. Il impose un contrat écrit — souvent appelé accord de traitement des données ou DPA — comportant un socle d'obligations. En tant que consultant CRM, vous devez notamment :
- Agir sur instruction documentée du client, sans détourner les données à d'autres fins (vous ne pouvez pas réutiliser un fichier pour tester un autre projet).
- Garantir la confidentialité : toute personne qui accède aux données sous votre responsabilité doit y être engagée.
- Mettre en place des mesures de sécurité techniques et organisationnelles adaptées : chiffrement des exports, postes protégés, suppression des copies en fin de mission.
- N'avoir recours à un sous-traitant ultérieur (un développeur que vous missionnez, un service cloud) qu'avec l'autorisation du client et en répercutant les mêmes obligations.
- Assister le client en cas de demande d'exercice de droits ou de violation de données.
- Restituer ou supprimer les données en fin de prestation, et le prouver.
L'absence de contrat conforme est en elle-même une infraction, indépendamment de tout incident. La CNIL a déjà sanctionné des manquements purement contractuels.
Le mythe rassurant : « c'est le client le responsable »
L'idée la plus dangereuse, chez le consultant freelance, est de croire que toute la responsabilité repose sur le client donneur d'ordre. Le RGPD a précisément rompu avec cette logique.
Depuis 2018, le sous-traitant peut être tenu directement responsable et sanctionné. Si une violation de données résulte d'un manquement de votre part — un export client non chiffré laissé sur un poste piraté, un fichier transmis par erreur — la CNIL peut vous sanctionner directement, et la personne concernée peut agir contre vous.
Les conséquences se cumulent :
- une sanction administrative de la CNIL, dont le plafond pour un sous-traitant peut atteindre des montants très élevés rapportés au chiffre d'affaires ;
- une action en responsabilité civile du client, qui se retournera contre vous au titre de votre faute contractuelle ;
- les actions des personnes concernées, dont les données ont fuité.
Pour un indépendant, l'addition de ces postes est hors de proportion avec ses honoraires. C'est exactement le type de risque qu'une assurance est faite pour absorber.
Le scénario de la fuite de données et son coût
Imaginez : pour préparer une migration, vous exportez la base clients de votre donneur d'ordre — 80 000 contacts avec emails, téléphones et historiques d'achat — sur votre ordinateur portable. Celui-ci est compromis par un logiciel malveillant. Les données circulent.
Vous voilà à l'origine d'une violation de données personnelles. Le client doit la notifier à la CNIL sous 72 heures et, selon le risque, informer les personnes concernées. La gestion d'un tel incident mobilise rapidement :
| Poste | Ordre de grandeur |
|---|---|
| Expertise forensique (origine et étendue de la fuite) | 8 000 à 20 000 € |
| Accompagnement juridique et notification CNIL | 5 000 à 12 000 € |
| Information des personnes concernées | variable, parfois lourd |
| Réclamation du client pour préjudice d'image | plusieurs dizaines de milliers d'euros |
Une garantie cyber est conçue pour ces situations : elle finance la cellule de crise, l'expertise, les frais de notification et prend en charge les réclamations consécutives à l'atteinte aux données dont vous êtes responsable. Sans elle, c'est votre structure qui supporte l'intégralité du choc.
Vos réflexes pour rester du bon côté du RGPD
La bonne nouvelle : se conformer à l'article 28 relève surtout de la discipline. Quelques réflexes vous mettent largement à l'abri.
- Signez un DPA avec chaque client avant d'accéder à la moindre donnée réelle. Un modèle adapté à votre activité suffit ; l'essentiel est qu'il existe et soit appliqué.
- Travaillez sur des données minimisées ou anonymisées chaque fois que possible, notamment pour les tests d'automatisation.
- Chiffrez vos exports et ne les conservez que le temps strictement nécessaire. Programmez leur suppression.
- Tracez vos instructions : un échange écrit confirmant ce que le client vous demande de faire vous protège en cas de litige.
- Souscrivez une garantie cyber : aucune procédure n'élimine totalement le risque humain ou l'attaque informatique.
Pour compléter, lisez notre analyse d'une migration CRM ratée et découvrez les garanties détaillées sur la page assurance du consultant CRM. La conformité RGPD et la couverture assurantielle sont les deux faces d'une même protection.
Questions fréquentes
Si vous configurez l'outil sans jamais accéder à des données personnelles réelles, vous pouvez échapper à la qualification. Mais dès que vous testez sur de vraies fiches, migrez ou nettoyez la base, vous devenez sous-traitant. En pratique, la séparation est rare et la prudence impose de se considérer concerné.
Non. L'article 28 exige des clauses spécifiques : instructions documentées, confidentialité, sécurité, gestion des sous-traitants ultérieurs, sort des données en fin de mission. Un devis ou un contrat standard sans ces mentions ne répond pas à l'obligation légale.
Oui. Depuis le RGPD, le sous-traitant est directement assujetti et peut faire l'objet d'une sanction administrative en cas de manquement, indépendamment de la responsabilité du donneur d'ordre.
Les amendes administratives ne sont généralement pas assurables en France. En revanche, la garantie cyber couvre les frais de gestion de l'incident, l'expertise, la notification, l'accompagnement juridique et les réclamations civiles consécutives, qui constituent l'essentiel de la facture.
Conservez une attestation de suppression datée et, idéalement, la trace technique de l'effacement des exports et copies de travail. Cette preuve vous protège si une fuite survient après la fin de votre intervention.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant CRM — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant CRM →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.