Consultant M365 et RGPD : êtes-vous sous-traitant des données de vos clients ?
Quand vous administrez les boîtes mail et les fichiers de vos clients, le droit considère que vous traitez leurs données personnelles. Ce statut emporte des obligations précises — et un risque réel.
- Administrer Exchange, SharePoint, OneDrive ou Entra ID vous fait presque toujours endosser le statut de sous-traitant au sens de l'article 28 du RGPD.
- Ce statut impose un accord de sous-traitance (DPA) écrit, une obligation de confidentialité et de sécurité, et une chaîne de responsabilité jusqu'à Microsoft (sous-traitant ultérieur).
- En cas de fuite imputable à votre paramétrage, vous pouvez être tenu de notifier le responsable de traitement et exposé à une action récursoire après une sanction CNIL.
- Le coût RGPD d'un incident (notification, expertise, défense, sanction) relève de la frontière RC Pro / cyber : il faut vérifier que ce volet est explicitement couvert.
Responsable de traitement ou sous-traitant : la ligne de partage
Le RGPD distingue deux rôles fondamentaux. Le responsable de traitement détermine les finalités et les moyens : c'est votre client, qui décide pourquoi et comment il traite les données de ses salariés et de ses propres clients. Le sous-traitant (article 28) traite ces données pour le compte du responsable, en suivant ses instructions.
La question n'est pas théorique pour vous. Dès lors que vous disposez d'un accès administrateur à un tenant Microsoft 365 — boîtes Exchange, documents SharePoint, OneDrive, comptes Entra ID — vous avez la capacité technique d'accéder à des données personnelles : adresses, échanges, pièces RH, données clients. Le simple fait de pouvoir y accéder dans le cadre de votre prestation suffit, dans la lecture dominante, à vous qualifier de sous-traitant.
Le critère décisif n'est pas « est-ce que je lis les e-mails de mon client ? » mais « est-ce que ma prestation me donne accès à des données personnelles que je traite pour son compte ? ». Pour un administrateur M365, la réponse est presque toujours oui.
Ce que le statut de sous-traitant vous impose concrètement
Endosser ce statut n'est pas qu'une formalité déclarative. L'article 28 du RGPD fait peser sur vous des obligations précises :
- Un contrat écrit (DPA). Un accord de sous-traitance doit encadrer la nature et la finalité du traitement, la durée, les catégories de données et les obligations de chacun. Sans DPA, vous et votre client êtes tous deux en infraction.
- Une obligation de confidentialité et de sécurité. Vous devez mettre en œuvre des mesures techniques et organisationnelles appropriées : MFA, principe du moindre privilège, journalisation des accès admin.
- Ne traiter que sur instruction documentée. Vous ne pouvez pas exploiter les données à d'autres fins que la mission confiée.
- Encadrer la sous-traitance ultérieure. Microsoft est lui-même un sous-traitant ultérieur ; vous devez tracer cette chaîne et la rendre transparente.
- Assister le responsable de traitement pour répondre aux demandes des personnes (droit d'accès, d'effacement) et pour gérer les violations de données.
Documenter précisément votre périmètre d'intervention sur votre page métier aide à clarifier, auprès du client comme de l'assureur, l'étendue exacte de vos accès.
Le moment critique : la violation de données
Imaginez un partage SharePoint que vous avez configuré « accessible à toute personne disposant du lien » pour faciliter une collaboration urgente. Trois mois plus tard, ce lien circule, et un dossier RH contenant des bulletins de paie devient accessible à l'extérieur. C'est une violation de données à caractère personnel.
La mécanique RGPD se met alors en route :
- En tant que sous-traitant, vous avez l'obligation de notifier le responsable de traitement dans les meilleurs délais dès que vous avez connaissance de la violation.
- Le responsable de traitement dispose, lui, de 72 heures pour notifier la CNIL si la violation présente un risque pour les personnes.
- Si le risque est élevé, les personnes concernées doivent être informées.
Un retard ou une absence de notification de votre part aggrave la situation et peut être retenu contre vous. Et si l'origine de la fuite est votre paramètre de partage, votre faute est directement en cause.
Sanction CNIL et action récursoire : le double risque financier
On retient surtout les amendes spectaculaires du RGPD, mais le risque le plus concret pour un consultant est ailleurs. Deux scénarios financiers vous menacent :
| Scénario | Qui paie d'abord | Votre exposition |
|---|---|---|
| Sanction CNIL contre le client pour défaut de sécurité | Le responsable de traitement | Action récursoire si la faille vient de votre paramétrage |
| Coûts de gestion de crise (forensic, notification, communication) | Le client, puis répartition | Réclamation directe au titre de votre faute |
| Dommages-intérêts réclamés par les personnes lésées | Le responsable de traitement | Recours contre le sous-traitant fautif |
Autrement dit, même si la CNIL ne vous sanctionne pas directement, votre client peut se retourner contre vous pour récupérer ce qu'il a payé. C'est là que se joue la couverture : les frais de défense, l'expertise et la gestion d'une violation de données relèvent typiquement d'une assurance cyber, tandis que la mise en cause de votre faute de paramétrage active votre RC Pro.
Les angles morts assurantiels du sous-traitant numérique
Beaucoup de consultants pensent être couverts « parce qu'ils ont une RC Pro ». Trois angles morts reviennent systématiquement :
- L'exclusion des amendes administratives. En droit français, les sanctions CNIL sont rarement assurables en tant que telles ; en revanche, les frais de défense et les conséquences civiles peuvent l'être. Lisez la clause d'exclusion.
- La sous-couverture des coûts de gestion de crise. Notification, expertise forensic, cellule de crise, communication : ces postes, propres au cyber, sont absents d'une RC Pro classique.
- Le périmètre géographique et la chaîne de sous-traitance. Vos clients peuvent avoir des données dans plusieurs pays ; vérifiez que la couverture suit.
L'enjeu n'est pas d'empiler les contrats, mais d'articuler proprement RC Pro et cyber pour qu'aucun poste de la facture d'une violation ne tombe dans un trou de garantie.
La check-list de conformité du consultant M365
Voici les actions qui vous mettent en règle et, accessoirement, qui rassurent un assureur :
- Signer un DPA avec chaque client dont vous administrez le tenant. C'est non négociable et cela clarifie les responsabilités.
- Tenir un registre des traitements auxquels vous avez accès, même sommaire.
- Appliquer le moindre privilège : un compte admin nominatif, du MFA, des accès temporaires plutôt que permanents.
- Journaliser et auditer les actions d'administration sensibles.
- Formaliser une procédure de notification de violation, pour ne pas improviser sous pression.
- Vérifier l'articulation RC Pro / cyber dans vos contrats, en particulier sur les dommages immatériels et la gestion de crise.
Ce statut de sous-traitant n'est pas une menace en soi : il devient un risque le jour où vous l'ignorez. Bien encadré, il est parfaitement gérable.
Questions fréquentes
Dans la grande majorité des cas, oui. Dès que votre prestation vous donne un accès administrateur à des boîtes mail, des fichiers ou des comptes contenant des données personnelles, vous les traitez pour le compte de votre client : vous endossez le statut de sous-traitant de l'article 28, avec les obligations qui en découlent.
Oui. L'article 28 du RGPD impose un contrat écrit entre le responsable de traitement et son sous-traitant. Sans DPA, vous et votre client êtes tous deux en infraction. Le DPA précise la nature du traitement, les données concernées, la durée et les obligations de sécurité de chacun.
En tant que sous-traitant, vous devez notifier le responsable de traitement dans les meilleurs délais dès que vous avez connaissance de la violation. C'est ensuite à lui de décider d'une notification à la CNIL dans les 72 heures. Un retard de votre part peut être retenu comme une faute aggravante.
Oui, par voie d'action récursoire. Si la faille de sécurité provient de votre paramétrage, votre client peut chercher à récupérer auprès de vous tout ou partie de ce qu'il a payé. Les frais de défense et les conséquences civiles peuvent être couverts par votre RC Pro et votre assurance cyber, contrairement à l'amende elle-même.
Partiellement. La RC Pro répond de votre faute de prestation, mais les coûts spécifiques de gestion de crise (expertise forensic, notification, communication) relèvent d'une assurance cyber. Pour un consultant M365, articuler les deux couvertures est la seule façon de ne laisser aucun poste de la facture sans garantie.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant Microsoft 365 — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant Microsoft 365 →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.