Quand le consultant délivrabilité devient sous-traitant RGPD : la fuite de la liste client qui vous expose à la CNIL
Importer la base d'envoi d'un client vous transforme en sous-traitant RGPD. En cas de fuite, la responsabilité et la sanction CNIL vous suivent.
- Dès que vous importez ou nettoyez la base de contacts d'un client, vous êtes sous-traitant au sens du RGPD (art. 28).
- Une fuite de cette base déclenche une obligation de notification CNIL sous 72 h et une possible action récursoire du client.
- Les sanctions CNIL et le coût de gestion d'une violation de données ne relèvent pas de la RC Pro classique mais d'une assurance cyber.
- Un contrat de sous-traitance écrit (DPA) et une assurance cyber sont les deux protections indissociables.
Pourquoi vous êtes sous-traitant RGPD sans le savoir
Le consultant en délivrabilité ne se contente pas de régler des enregistrements DNS. Très souvent, il importe la liste de contacts du client dans un outil de validation, nettoie les adresses (hard bounces, spam traps, doublons), segmente, voire pilote des campagnes de réchauffe. Toutes ces opérations sont des traitements de données à caractère personnel.
Juridiquement, le client reste responsable de traitement ; le consultant qui traite ces données pour son compte devient sous-traitant au sens de l'article 28 du RGPD. Cette qualification n'est pas optionnelle : elle découle de la nature de l'activité, pas de ce qui est écrit (ou pas) dans le devis.
Conséquence directe : le consultant doit présenter des « garanties suffisantes » de sécurité, signer un acte de sous-traitance (DPA) et n'agir que sur instruction documentée du client.
Dans les faits, une grande partie des indépendants du secteur travaillent sans DPA signé et avec des exports CSV qui traînent sur un poste de travail. C'est précisément là que le risque se matérialise.
Le scénario de fuite et son coût réel
Cas type : un consultant stocke l'export d'une base de 120 000 contacts dans un dossier cloud partagé, sans chiffrement, lien d'accès trop large. Le lien fuite — partage mal configuré, compte compromis par phishing. La base se retrouve dans la nature.
Les coûts s'empilent rapidement :
- Investigation et confinement : forensic pour déterminer l'étendue de la fuite (5 000 à 15 000 €).
- Notification : la violation doit être notifiée à la CNIL sous 72 heures, et potentiellement aux personnes concernées si le risque est élevé.
- Action du client : le responsable de traitement, mis en cause par la CNIL, se retourne contre son sous-traitant fautif.
- Sanction administrative : la CNIL peut prononcer une amende, le défaut de sécurité de l'article 32 étant l'un des manquements les plus sanctionnés.
Pour un indépendant, l'addition — gestion de crise, défense, indemnisation du client — peut dépasser plusieurs dizaines de milliers d'euros, hors amende.
RC Pro ou cyber : qui paie quoi ?
C'est la confusion la plus coûteuse du métier. La RC Pro couvre les conséquences d'une erreur professionnelle (un mauvais conseil, une prestation défaillante). Mais une violation de données personnelles mobilise des garanties spécifiques que seule une assurance cyber apporte :
- Frais de gestion de crise : forensic, notification CNIL, information des personnes, communication.
- Responsabilité civile « données » : indemnisation des tiers et du client lésés par la fuite.
- Prise en charge de certains frais liés à une procédure de sanction (selon les contrats, les amendes elles-mêmes restant souvent non assurables par nature).
Sans volet cyber, le consultant découvre au pire moment que sa RC Pro classique exclut ou plafonne très bas le risque de violation de données.
Les enjeux propres à cette activité sont détaillés sur la fiche consultant en délivrabilité email.
Les 4 réflexes qui réduisent votre exposition
Au-delà de l'assurance, quelques pratiques font baisser la probabilité et le coût d'un sinistre :
- Signer un DPA avec chaque client avant tout import de base : périmètre, durée de conservation, mesures de sécurité, sort des données en fin de mission.
- Minimiser et chiffrer : ne jamais télécharger plus que nécessaire, chiffrer les exports, supprimer les fichiers après usage, bannir les dossiers cloud à partage ouvert.
- Tracer les instructions : agir uniquement sur demande écrite du client, conserver les échanges.
- Documenter votre conformité : registre des traitements de sous-traitant, mesures de l'article 32. C'est aussi ce qui rassure un assureur cyber et fait baisser la prime.
Ces réflexes transforment une exposition diffuse en risque maîtrisé — et démontrent, en cas de contrôle, la diligence attendue d'un professionnel.
Questions fréquentes
Oui. Dès qu'il traite des données personnelles (importer, valider, segmenter, supprimer des adresses) pour le compte d'un client, il est sous-traitant au sens de l'article 28 du RGPD, avec les obligations de sécurité et l'acte de sous-traitance qui en découlent.
Les amendes administratives sont généralement considérées comme non assurables par nature en droit français. En revanche, l'assurance cyber couvre les frais de gestion de la violation, la défense et l'indemnisation du client ou des tiers lésés.
Non, dans la plupart des cas. Une RC Pro classique couvre l'erreur professionnelle mais exclut ou plafonne fortement la violation de données. Le risque RGPD relève d'une assurance cyber, à souscrire en complément de la RC Pro.
Le responsable de traitement dispose de 72 heures après en avoir pris connaissance. En tant que sous-traitant, le consultant doit alerter son client sans délai injustifié pour lui permettre de respecter ce délai.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant en délivrabilité email — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant en délivrabilité email →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.