CDP, CRM, tracking : quand votre data strategy vous expose au RGPD

Le RGPD distingue deux qualités principales : le responsable de traitement (celui qui décide des finalités et des moyens, généralement votre client) et le sous-traitant (celui qui traite les données pour le compte du responsable, comme un éditeur de CDP ou un hébergeur). Le consultant en stratégie digitale qui se contente de recommander une architecture data n'entre, a priori, dans aucune de ces deux cases : il conseille, il ne traite pas.

Mais cette position confortable est plus fragile qu'il n'y paraît. Dès lors que votre mission consiste à concevoir un plan de tracking, choisir une Customer Data Platform, paramétrer un CRM ou définir une politique de collecte, vous influencez directement la conformité du traitement. Et selon ce que vous faites concrètement, vous pouvez basculer :

• Vers le statut de sous-traitant si vous accédez aux données ou les manipulez (paramétrage en direct, import de fichiers clients, configuration d'audiences).
• Vers une responsabilité conjointe dans les cas où vous codéterminez réellement les finalités avec le client.

Autrement dit, le rôle réel l'emporte sur l'étiquette du contrat. Un consultant qui « met les mains dans la data » ne peut pas se réfugier derrière le seul intitulé « conseil ».

Le risque ne vient pas de votre statut, mais des conséquences de vos recommandations. Voici les pièges les plus fréquents d'une data strategy mal cadrée :

• Le tracking sans base légale : recommander un plan de mesure qui dépose des cookies publicitaires avant le recueil du consentement, en violation des règles sur les traceurs.
• Le CDP gourmand : préconiser une plateforme qui agrège massivement des données comportementales sans respecter le principe de minimisation ni informer les personnes.
• Le transfert hors UE non encadré : conseiller un outil hébergé hors Union européenne sans garantie appropriée, exposant le client à un transfert illicite.
• La rétention illimitée : bâtir une stratégie de réactivation sur des données conservées sans durée définie.
• L'absence d'analyse d'impact : recommander un profilage à grande échelle sans alerter sur l'obligation d'analyse d'impact relative à la protection des données.

Si l'une de ces recommandations conduit le client à une mise en demeure ou une sanction de la CNIL, il pourra se retourner contre vous en invoquant un manquement à votre devoir de conseil de professionnel averti. La sanction administrative, les frais de mise en conformité et l'éventuel préjudice de réputation deviennent alors un préjudice imputable à votre faute.

Le consultant n'est pas le délégué à la protection des données (DPO) de son client, et il n'a pas à se substituer à un juriste spécialisé. Mais en tant que professionnel de la stratégie digitale, il est censé connaître les fondamentaux du RGPD qui structurent toute architecture data moderne. Le devoir de conseil impose, a minima :

D'alerter le client lorsque la stratégie envisagée soulève une question de conformité, et de l'orienter vers une expertise juridique ou un DPO lorsque la complexité le justifie.

Concrètement, vous n'êtes pas tenu de garantir la conformité juridique totale du dispositif — ce n'est pas votre métier. Mais vous ne pouvez pas ignorer un risque manifeste ni recommander une solution dont l'illégalité serait évidente pour un professionnel diligent. La frontière se situe entre le conseil avisé et l'aveuglement.

La parade est, encore une fois, documentaire. Insérez dans vos livrables une réserve RGPD : « la mise en conformité juridique du traitement relève du responsable de traitement et de son DPO ; nous recommandons une validation par un conseil spécialisé avant déploiement ». Cette mention, tracée, démontre que vous avez exercé votre devoir d'alerte.

La data strategy expose le consultant sur deux fronts distincts qu'il faut bien distinguer :

Premier front — la responsabilité envers le client. Vos recommandations conduisent le client à un manquement RGPD. C'est un dommage immatériel causé par votre conseil, qui relève de l'assurance RC Pro : faute professionnelle, erreur de recommandation, défaut de conseil.

Second front — vos propres données. Dans une mission data, vous manipulez souvent des fichiers clients, des exports CRM, des audiences. Si votre poste, votre cloud ou vos outils sont compromis — vol d'un ordinateur, rançongiciel, fuite d'un fichier de prospects de votre client — vous êtes exposé en tant que détenteur de ces données. C'est ici que l'assurance cyber intervient : elle couvre la gestion de l'incident, la notification, les frais de restauration et votre responsabilité liée à la violation de données.

Ces deux risques sont complémentaires et non interchangeables. La RC Pro couvre la qualité de votre conseil ; la cyber couvre la sécurité de votre propre infrastructure et des données qui y transitent. Un consultant data sérieux active les deux.

Pour exercer une mission data en limitant votre exposition, adoptez ces réflexes :

1. Clarifiez votre rôle par écrit : précisez dans le contrat si vous êtes simple conseil ou si vous accédez aux données (auquel cas un accord de sous-traitance s'impose).
2. Intégrez une réserve RGPD dans chaque livrable stratégique, renvoyant la conformité juridique au responsable de traitement et à son DPO.
3. Alertez systématiquement sur les points sensibles : consentement aux traceurs, transferts hors UE, minimisation, durées de conservation, analyse d'impact.
4. Sécurisez vos propres outils : chiffrement des postes, mots de passe robustes, hébergement maîtrisé, suppression des exports clients après mission.
5. Souscrivez les deux garanties : RC Pro pour la qualité du conseil, cyber pour la sécurité de vos données et systèmes.

Le métier de conseil en stratégie digitale est de plus en plus data-centré, donc de plus en plus exposé. Documenter votre devoir de conseil et combiner les bonnes garanties n'est pas une formalité : c'est la condition de la pérennité de votre activité face à un cadre réglementaire qui ne cesse de se durcir.

Pour rendre tout cela concret, déroulons un scénario fréquent. Vous accompagnez un site média sur sa stratégie d'audience. Vous recommandez un plan de tracking ambitieux pour alimenter un CDP et affiner la segmentation publicitaire. Le dispositif est déployé, les revenus publicitaires progressent. Six mois plus tard, le client reçoit une plainte d'un internaute relayée à la CNIL : les traceurs publicitaires se déclenchaient avant tout consentement.

Le client encaisse une mise en demeure, doit refondre en urgence sa bannière de consentement, et invoque une perte de revenus pendant la remise en conformité. Il se retourne vers vous : c'est vous qui aviez conçu le plan de tracking.

Ce que l'expert va examiner

• Aviez-vous prévu le consentement préalable dans votre recommandation, ou avez-vous livré un plan « techniquement parfait » mais juridiquement défaillant ?
• Aviez-vous formulé une réserve renvoyant la conformité au DPO du client ?
• Qui a paramétré la bannière de consentement : vous, le client, un tiers ?

Si vous aviez tracé une alerte (« le déclenchement des traceurs doit être subordonné au consentement, à valider avec votre DPO »), vous êtes largement protégé : la RC Pro finance votre défense pour écarter votre responsabilité. Si vous aviez livré un plan illicite sans alerte, la garantie indemnise le préjudice imputable à votre faute. Et si, lors de cette mission, un export de la base d'audience stocké sur votre poste fuitait, c'est l'assurance cyber qui prendrait le relais. Pour une vue complète des garanties de votre activité, consultez la page assurance du conseil en stratégie digitale.