Cartographie et registre RGPD : où s'arrête le data steward, où commence le DPO ?
Tenir le registre, cartographier les traitements : ces missions vous rapprochent dangereusement du périmètre du DPO. Voici où la loi place réellement votre responsabilité.
- Le data steward n'est pas le DPO : le RGPD désigne le responsable de traitement et le DPO, jamais le steward, mais une mission mal cadrée peut vous faire endosser leur charge de fait.
- Une cartographie ou un registre incomplet n'expose pas directement la CNIL à vous sanctionner : c'est le client (responsable de traitement) qui est sanctionné, puis qui se retourne contre vous.
- Le risque se cristallise sur les flux oubliés, les sous-traitants non recensés et les durées de conservation mal documentées.
- Déclarez explicitement vos missions RGPD (cartographie, registre, analyse de conformité) à votre RC Pro : non déclarées, elles peuvent être exclues.
Ce que le RGPD attend de vous — et ce qu'il n'attend pas
Le règlement européen ne connaît pas le « data steward ». Il connaît trois rôles : le responsable de traitement (votre client), le sous-traitant et le délégué à la protection des données (DPO). C'est une bonne nouvelle juridique : aucune obligation légale ne pèse directement sur vous au titre du RGPD. La CNIL ne sanctionne pas un data steward freelance.
Mais cette protection théorique s'effondre dès que votre mission vous fait exercer de fait des prérogatives qui relèvent du DPO ou du responsable de traitement : tenir le registre des activités de traitement (article 30), cartographier les flux de données personnelles, rédiger des analyses d'impact. Vous ne devenez pas DPO en droit, mais vous portez la responsabilité contractuelle de ce que vous produisez. Et si le travail est défaillant, c'est sur vous que le client se retourne.
La frontière data steward / DPO, point par point
Confondre les deux rôles est l'erreur la plus coûteuse. Voici la ligne de partage :
| Mission | Data steward | DPO |
|---|---|---|
| Cartographier les données et leurs flux | Oui, c'est son cœur de métier | S'appuie sur cette cartographie |
| Tenir le registre des traitements (art. 30) | Peut le rédiger / l'alimenter | Supervise et conseille |
| Conseiller sur la licéité d'un traitement | Non — hors de son périmètre | Oui, c'est sa mission propre |
| Être point de contact de la CNIL | Non | Oui, désigné officiellement |
| Garantir la conformité globale | Non | Conseille, mais ne garantit pas (le responsable décide) |
Le danger : un client qui n'a pas de DPO, ou un DPO surchargé, peut vous pousser à « faire la conformité ». Si vous acceptez sans cadrage, vous endossez une charge qui n'est ni votre métier ni votre tarif, mais bien votre exposition.
Où le risque se cristallise concrètement
Dans la pratique, les mises en cause d'un data steward sur le terrain RGPD naissent presque toujours d'un de ces trois angles morts :
- Le flux oublié : un export récurrent vers un outil tiers, un fichier Excel manipulé par une équipe, une API non documentée. Votre cartographie est jugée « incomplète », et c'est sur cette base que le client subit un contrôle défavorable.
- Le sous-traitant non recensé : l'article 30 impose de lister les destinataires. Un prestataire cloud ou un service d'e-mailing absent du registre, et la chaîne de conformité présente un trou.
- La durée de conservation mal documentée : vous recopiez une durée « par défaut » sans la rattacher à une base légale, et la CNIL pointe une conservation illimitée de fait.
Aucune de ces erreurs ne fait de vous un délinquant au regard du RGPD. Toutes peuvent fonder une action en responsabilité contractuelle du client qui, sanctionné ou redressé, cherche à reporter sa perte sur l'intervenant qui a produit la cartographie.
Du risque CNIL au préjudice qui vous revient
Le mécanisme est en deux temps, et il faut le comprendre pour saisir ce qui est assurable. Temps 1 : la CNIL sanctionne ou met en demeure le responsable de traitement — votre client. Ce n'est jamais vous. Temps 2 : le client, qui estime que sa défaillance vient d'une cartographie ou d'un registre que vous avez livrés incomplets, engage votre responsabilité pour récupérer tout ou partie de son préjudice (amende, coût de remédiation, atteinte à l'image).
C'est ce second temps que couvre une RC Pro : le dommage immatériel réclamé par le client et vos frais de défense. Encore faut-il que vos missions RGPD soient explicitement déclarées au contrat. Une RC Pro « informatique » générique peut exclure ou limiter les prestations de conformité si elles n'ont pas été annoncées — d'où l'importance de décrire précisément votre activité de cartographie et de tenue de registre lors de la souscription.
Si votre mission vous donne en plus un accès direct à des données personnelles sensibles (santé, finances, données d'identité) que vous manipulez pour cartographier, une option cyber couvre le scénario distinct d'une violation de ces données pendant votre intervention.
Cadrer votre mission pour ne pas devenir DPO de fait
La meilleure prévention est contractuelle. Quatre clauses à exiger dans vos bons de commande :
- Délimiter votre périmètre noir sur blanc : « cartographie et alimentation du registre sous la supervision du DPO / responsable de traitement ». Vous documentez, vous ne décidez pas de la licéité.
- Exiger les intrants du client : la liste des traitements, des sous-traitants et des bases légales relève du responsable. Si le client ne vous les fournit pas, votre cartographie ne peut pas être tenue pour exhaustive — et vous devez l'écrire.
- Réserver les arbitrages de conformité au DPO. Toute question « a-t-on le droit de conserver / partager ceci ? » sort de votre mission et doit être remontée, par écrit.
- Dater vos livrables. Une cartographie est une photographie à l'instant T ; un flux ajouté après votre départ ne peut vous être imputé.
Ces garde-fous, combinés à une RC Pro déclarant vos missions de conformité, vous maintiennent dans votre vrai rôle : celui d'un expert de la donnée, pas d'un garant juridique de la conformité du client.
Questions fréquentes
Non. Le RGPD fait peser ses obligations sur le responsable de traitement, le sous-traitant et le DPO. Le data steward n'est désigné par aucun de ces rôles. La CNIL sanctionne votre client ; c'est ensuite lui qui peut se retourner contre vous en responsabilité contractuelle si votre livrable est défaillant.
Le data steward peut rédiger et alimenter le registre des traitements ; le DPO le supervise, conseille sur la licéité et reste le point de contact de la CNIL. Vous documentez les flux, le DPO porte les arbitrages juridiques. Confondre les deux vous fait endosser une charge qui n'est ni votre métier ni votre tarif.
Oui, à condition de les avoir déclarées. Les missions de cartographie, de tenue de registre et d'analyse de conformité sont couvertes par la RC Pro Insurio dès lors qu'elles figurent dans la description de votre activité. Une RC informatique générique non détaillée peut au contraire les exclure.
C'est une défense essentielle. La liste des traitements, sous-traitants et bases légales relève du responsable de traitement. Si le client ne vous les fournit pas, vous devez écrire que votre cartographie ne peut être exhaustive. Cette réserve documentée déplace la responsabilité de l'incomplétude vers celui qui détenait l'information.
Elle est recommandée si votre mission vous donne un accès direct à des données personnelles sensibles que vous manipulez. La RC Pro couvre l'erreur de cartographie ; l'option cyber couvre le scénario distinct d'une violation de ces données pendant votre intervention. Les deux répondent à des sinistres différents.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Data steward — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Data steward →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.