Collecter les données ESRS S1 sans déclencher un incident RGPD : le guide du consultant CSRD prudent

Quand on parle des risques du consultant CSRD, on pense spontanément à la double matérialité ou aux datapoints climatiques. On oublie un pan entier : pour renseigner les normes sociales ESRS S1 (effectifs propres) à S4 (consommateurs), vous devez collecter et agréger des données d'une sensibilité élevée.

Concrètement, les datapoints S1 exigent des informations sur les rémunérations, l'écart de rémunération femmes-hommes (gender pay gap), la répartition par tranche d'âge, les accidents du travail, le taux de fréquence et de gravité, parfois des éléments touchant à la santé et la sécurité. Pour les chaînes de valeur (S2), on descend jusqu'aux conditions de travail des fournisseurs.

Ces fichiers, agrégés et consolidés, constituent un actif de données particulièrement convoité : ils donnent une photographie salariale et sociale complète d'une entreprise. Et c'est vous, consultant, qui les centralisez souvent dans vos tableurs et vos outils.

Le paradoxe est cruel : le consultant CSRD aide ses clients à publier de la transparence sur leurs pratiques sociales, tout en devenant lui-même un dépositaire de données dont la fuite serait dévastatrice. Une grille de rémunération nominative qui s'échappe, c'est un climat social interne empoisonné et un sujet médiatique immédiat. Pourtant, la sécurité de ces données reçoit souvent bien moins d'attention que la rigueur méthodologique sur la matérialité. Cette dissymétrie d'attention est exactement ce qui crée les incidents.

Première chose à clarifier : dans la quasi-totalité des missions CSRD, vous traitez des données personnelles pour le compte de votre client. Au sens du RGPD, vous êtes donc sous-traitant, et le client est responsable de traitement.

Cette qualification emporte des obligations concrètes que beaucoup de consultants ignorent :

• Un contrat de sous-traitance (article 28 RGPD) doit encadrer le traitement : finalités, durée, mesures de sécurité, sort des données en fin de mission.
• Une obligation de sécurité proportionnée à la sensibilité des données. Un tableur de paie circulant par courriel non chiffré ne la respecte pas.
• Une obligation de minimisation. Vous n'avez pas besoin des salaires nominatifs pour calculer un écart de rémunération : des données agrégées suffisent. Collecter du nominatif inutilement aggrave votre exposition.

Un manquement à ces obligations peut engager votre responsabilité directement, indépendamment de toute fuite. Et en cas de violation de données, la chaîne de responsabilité remonte jusqu'à vous.

Imaginez la séquence suivante, hélas banale. Vous consolidez dans un classeur unique les données sociales de plusieurs entités d'un groupe : rémunérations par poste, accidents, données démographiques. Ce fichier transite par votre boîte mail, votre cloud personnel, peut-être une clé USB.

Un courriel piégé compromet votre poste, ou le fichier est partagé par erreur sur un lien public. Le préjudice cascade :

Sans assurance cyber, ces frais de gestion d'incident — souvent les plus lourds — restent à votre charge avant même toute discussion d'indemnisation.

La bonne nouvelle : la maîtrise du risque tient à des pratiques simples et systématiques.

1. Privilégiez les données agrégées. Demandez des indicateurs déjà consolidés par la DRH plutôt que des fichiers nominatifs bruts.
2. Signez un contrat de sous-traitance article 28 avec chaque client avant toute collecte.
3. Chiffrez les fichiers au repos et en transit. Pas de pièce jointe en clair pour un fichier de paie.
4. Bannissez le cloud personnel et les clés USB. Utilisez un espace de partage sécurisé fourni ou validé par le client.
5. Cloisonnez par mission. Un espace de travail distinct par client, jamais de fichiers mélangés.
6. Définissez une politique d'effacement. Supprimez les données à la fin de la mission et tracez cette suppression.
7. Activez l'authentification forte sur tous vos outils contenant ces données.

Ces réflexes ne sont pas du confort : ils constituent les mesures de sécurité que le RGPD attend du sous-traitant, et la première ligne de défense en cas de contrôle ou de litige.

Beaucoup de consultants pensent que leur RC Pro suffit. C'est une erreur d'articulation. Les deux contrats couvrent des risques distincts :

• La RC Pro couvre les conséquences d'une faute professionnelle : une erreur dans le calcul d'un indicateur S1, un datapoint social omis, un conseil erroné.
• L'assurance cyber couvre les conséquences d'une violation de données ou d'une cyberattaque : frais de notification, gestion de crise, forensic, défense face à la CNIL, voire pertes d'exploitation.

Or une fuite de fichier RH relève typiquement du second registre. Un consultant CSRD qui manipule des données sociales sensibles sans volet cyber a une couverture incomplète au regard de son profil de risque réel.

Les normes ESRS S2 (travailleurs de la chaîne de valeur) introduisent une difficulté supplémentaire trop rarement anticipée. Pour renseigner ces datapoints, vous devez collecter des informations sur les conditions de travail chez les fournisseurs et sous-traitants de votre client. Vous manipulez alors des données qui ne concernent ni votre client, ni vous, mais des tiers parfois situés hors de l'Union européenne.

Cette configuration soulève des questions épineuses :

• Transferts hors UE. Collecter des données auprès de fournisseurs étrangers peut impliquer des transferts internationaux soumis à des garanties spécifiques (clauses contractuelles types, etc.).
• Base légale incertaine. Sur quelle base traitez-vous des données relatives à des salariés d'entreprises tierces avec lesquelles votre client n'a qu'une relation commerciale ?
• Fiabilité et responsabilité. Si une donnée fournisseur est erronée et fausse un indicateur S2, qui en répond face à l'OTI ?

La règle de prudence est de privilégier des données agrégées et anonymisées transmises par le fournisseur lui-même, plutôt que de collecter du nominatif que vous ne pourriez pas sécuriser ni justifier. Documentez systématiquement la provenance de chaque donnée de chaîne de valeur : c'est à la fois une exigence d'audit et une protection juridique. Le terrain S2 est celui où le risque RGPD et le risque de faute professionnelle se rejoignent le plus dangereusement.

Dernier point souvent négligé : votre rigueur RGPD et cyber n'est pas qu'une protection, c'est un argument de vente. Les grands comptes auditent de plus en plus leurs prestataires sur la sécurité des données.

Présenter d'emblée votre contrat de sous-traitance, vos mesures de chiffrement et votre attestation d'assurance cyber vous distingue d'un concurrent moins préparé. Sur un appel d'offres CSRD d'ETI cotée, c'est un différenciateur tangible.

Le consultant CSRD le plus crédible n'est pas seulement celui qui maîtrise les ESRS, c'est celui qui démontre qu'il sait protéger les données qu'on lui confie.

Pour dimensionner une couverture RC Pro et cyber adaptée à votre activité et vos clients, consultez notre offre dédiée au métier de consultant CSRD.