DPO externalisé : vous n'êtes pas "protégé" par l'article 38 du RGPD

Il existe une phrase que presque tous les DPO connaissent par cœur et qui sert régulièrement d'oreiller de sécurité : « le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions ». C'est l'article 38, paragraphe 3, du RGPD.

De cette phrase, beaucoup de DPO externalisés tirent une conclusion rassurante : « je suis intouchable, le RGPD m'interdit d'être sanctionné ». C'est une lecture séduisante, et elle est juridiquement dangereuse.

Cet article protège l'indépendance de la fonction. Il empêche un employeur ou un client de licencier, rétrograder ou punir un DPO parce qu'il a rendu un avis qui dérange — par exemple s'il a recommandé de suspendre un traitement non conforme. C'est une garantie d'impartialité, pas un bouclier patrimonial. Confondre les deux, c'est exercer sans filet en croyant porter une armure.

Lorsque vous êtes DPO externalisé, vous cumulez deux statuts juridiques distincts qui ne suivent pas les mêmes règles :

• Le DPO « fonctionnel » : c'est la mission désignée auprès de la CNIL. À ce titre, vous bénéficiez de l'indépendance de l'article 38 et de l'absence de responsabilité directe en cas de non-conformité du client (le responsable de traitement reste seul comptable devant la CNIL).
• Le prestataire de services : c'est le contrat commercial que vous signez avec votre client. À ce titre, vous êtes un professionnel du conseil exactement comme un expert-comptable, un avocat ou un consultant. Vous avez une obligation de moyens, et votre responsabilité civile contractuelle peut être engagée si vous manquez à votre devoir de diligence.

La nuance est capitale. Le RGPD neutralise la première casquette. Il ne dit absolument rien de la seconde. Or c'est la seconde qui vous expose : un client mécontent ne vous attaque pas « en tant que DPO », il vous attaque « en tant que prestataire qui a mal exécuté sa mission ».

Le RGPD vous protège de votre client en tant qu'autorité hiérarchique. Il ne vous protège pas de votre client en tant que créancier d'une prestation mal rendue.

Le mécanisme est presque toujours le même, en trois temps :

1. La CNIL sanctionne le client. Une plainte, un contrôle, une violation de données mal gérée : la CNIL prononce une amende contre le responsable de traitement (jusqu'à 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves). Le DPO n'est pas dans la décision.
2. Le client cherche un responsable. Il a payé un DPO précisément pour éviter cela. Il relit le contrat de mission, les comptes rendus, les avis rendus. Il identifie ce qui n'a pas été fait ou ce qui a été mal conseillé.
3. Le client se retourne contre vous. Pas devant la CNIL — devant le tribunal de commerce ou le tribunal judiciaire, sur le fondement du droit commun de la responsabilité contractuelle. La question posée n'est plus « le DPO est-il sanctionnable au sens du RGPD ? » mais « le prestataire a-t-il commis une faute dans l'exécution de sa mission de conseil ? ».

À ce stade, l'article 38 ne vous est d'aucun secours. Ce qui compte, c'est la traçabilité de vos diligences et votre couverture en responsabilité civile professionnelle.

Toutes les missions de DPO ne se valent pas en termes de risque. Certaines décisions, par leur caractère technique et engageant, concentrent le contentieux :

• La qualification erronée d'une base légale. Avoir validé le « consentement » là où l'intérêt légitime s'imposait (ou l'inverse) est l'une des fautes les plus reprochées, car elle invalide rétroactivement tout un traitement.
• Une analyse d'impact (AIPD) bâclée ou absente. Ne pas avoir alerté le client sur l'obligation de mener une AIPD pour un traitement à risque élevé est un manquement de diligence caractérisé.
• Un mauvais accompagnement face à une violation de données. Conseil de ne pas notifier alors que la notification s'imposait, ou délai dépassé : la sanction qui en découle est directement imputable à votre avis.
• Une durée de conservation contestée. Recommander de garder des données « par sécurité » au-delà du nécessaire expose le client à un grief de minimisation.

Dans chacun de ces cas, le préjudice est immatériel (la sanction, la perte de chiffre d'affaires, l'atteinte à l'image) — précisément le type de dommage que seule une RC Pro adaptée au conseil prend en charge. Une assurance généraliste qui couvre les dommages corporels et matériels ne vous sera d'aucune utilité ici.

Un point mérite d'être souligné : la gravité de la mise en cause ne dépend pas de la taille du dossier RGPD, mais du secteur du client. Accompagner un établissement de santé soumis à l'hébergement de données de santé (HDS), une banque relevant du règlement DORA ou une administration publique multiplie l'exposition, car les volumes, la sensibilité des données et les obligations sectorielles y sont bien plus lourds. C'est précisément pour cela qu'une RC Pro DPO doit être tarifée en fonction de votre portefeuille réel, et non sur une base forfaitaire qui ignorerait ces clients à fort enjeu.

Beaucoup de DPO externalisés pensent se couvrir en insérant une clause limitative de responsabilité dans leur contrat de mission. C'est une bonne pratique, mais c'est insuffisant pour trois raisons.

D'abord, une clause limitative est opposable au client signataire, pas aux tiers. Si une personne concernée (un salarié, un client final dont les données ont fuité) vous met en cause, votre clause ne le lie pas.

Ensuite, les juges écartent les clauses limitatives lorsqu'elles vident l'obligation essentielle de sa substance, ou en cas de faute lourde. Or un manquement de DPO sur un point central de conformité peut être qualifié de faute lourde.

Enfin, même protégée, une clause ne paie pas vos frais de défense. Une expertise, un avocat spécialisé en données personnelles, plusieurs mois de procédure : la facture est lourde, qu'on vous donne tort ou raison. La RC Pro Insurio dédiée au DPO intègre justement la protection juridique et la prise en charge de ces frais, là où le contrat de mission ne fait que répartir les torts une fois le mal fait.

Autre angle mort fréquent : la tenue dans le temps de la couverture. Un conseil RGPD donné aujourd'hui peut être contesté trois ou quatre ans plus tard, lorsqu'un contrôle ou une plainte révèle le manquement. Il est donc essentiel que votre contrat soit en base « réclamation » avec une garantie subséquente solide, faute de quoi un litige né après la fin d'une mission pourrait n'être couvert par personne.

La protection de l'article 38 est réelle, mais elle ne couvre qu'une partie de qui vous êtes juridiquement. Le DPO externalisé est avant tout un prestataire de conseil, et c'est sur ce terrain que se joue le contentieux.

Trois réflexes pour exercer sereinement :

• Tracez tout. Vos avis écrits, vos alertes, vos refus de valider un traitement non conforme. C'est votre meilleure preuve d'avoir rempli votre obligation de moyens.
• Cadrez le périmètre. Distinguez clairement, dans votre contrat, ce qui relève de votre conseil et ce qui relève de la décision du responsable de traitement.
• Assurez le bon risque. Une RC Pro pensée pour le conseil en protection des données, déclarant votre nombre de clients et leurs secteurs sensibles (santé, banque, public). Découvrez aussi la fiche dédiée à votre métier sur notre page DPO certifié CNIL.

Le RGPD protège votre indépendance. C'est à vous de protéger votre patrimoine.