DPO externe et sanction CNIL du client : qui paie quoi en cas de faute ?

Le scénario revient régulièrement chez les consultants RGPD indépendants : un client subit un contrôle CNIL, une sanction tombe (avertissement public, mise en demeure ou amende administrative), et quelques semaines plus tard, une lettre recommandée arrive. Le client conteste la qualité de la mission de mise en conformité que vous aviez assurée et demande réparation.

Le point essentiel à comprendre est juridique : la sanction prononcée par la CNIL vise le responsable de traitement (votre client), pas le DPO. L'article 83 du RGPD est clair sur ce point — les amendes administratives sont infligées à l'organisation responsable des données. Le DPO, qu'il soit interne ou externe, n'est pas la cible des sanctions administratives.

Mais cela n'épuise pas le débat. Une fois la sanction tombée, le client peut estimer que cette sanction trouve sa cause dans une défaillance de votre mission de conseil. Il agira alors devant les juridictions civiles, sur le terrain de la responsabilité contractuelle, pour vous faire prendre en charge tout ou partie du préjudice subi : le montant de l'amende, les frais de procédure CNIL, le préjudice d'image, la perte de contrats consécutive.

L'article 24 du RGPD pose une règle structurante : la conformité au règlement incombe au responsable de traitement. Le DPO, lui, a une mission d'information, de conseil et de contrôle (article 39 du RGPD). Il alerte, il documente, il forme, mais il ne décide pas de la politique de traitement. Cette architecture est protectrice : un DPO qui a alerté par écrit sur un risque non traité par la direction est largement à l'abri d'une mise en cause.

Encore faut-il que cette alerte existe. Dans la pratique des contentieux observés depuis l'entrée en vigueur du RGPD, les DPO externes mis en cause partagent presque toujours un point commun : un défaut de traçabilité de leurs préconisations. Pas de compte rendu d'audit horodaté, pas d'e-mail d'alerte sur les risques résiduels, pas de registre des décisions du responsable de traitement contraires aux recommandations.

Trois situations qui caractérisent la faute du DPO externe

• Le diagnostic initial erroné : un registre des traitements incomplet, une base légale mal qualifiée, une analyse d'impact (AIPD) qui passe à côté d'un traitement à risque.
• L'absence d'alerte écrite sur un risque identifié et persistant, en particulier sur les durées de conservation, les transferts hors UE, ou la sécurité des sous-traitants.
• La gestion défaillante d'une violation : conseil de ne pas notifier alors que les seuils étaient atteints, qualification erronée de la gravité, retard dans le traitement de la procédure de notification 72 heures.

La distinction est nette et il faut la comprendre pour éviter les déceptions au moment du sinistre.

Ce qui est assurable

• Les dommages immatériels purs subis par le client : préjudice financier consécutif à votre faute de conseil, frais de remise en conformité d'urgence, perte de chiffre d'affaires causée par votre erreur.
• Le montant de l'amende administrative lorsque le juge civil retient qu'elle constitue un préjudice indirect causé par votre faute. Sur ce point, la jurisprudence est encore en construction mais plusieurs décisions ont admis le principe d'une répercussion sur le conseil défaillant.
• Les frais de défense dès la mise en cause amiable ou judiciaire, y compris devant la CNIL si votre client vous appelle en intervention.
• Les frais de notification aux personnes concernées et les frais d'expertise technique en cas de violation de données imputable à un défaut de votre conseil.

Ce qui reste exclu

Les amendes administratives prononcées contre le DPO lui-même, les sanctions pénales personnelles, et les conséquences de fautes intentionnelles ou lourdes (dissimulation volontaire, complicité de manquement) ne sont pas assurables en droit français.

Ces exclusions ne sont pas spécifiques à Insurio — elles découlent du Code des assurances et du principe selon lequel une peine ne peut pas être transférée à un tiers. En revanche, la RC Pro reste votre meilleure protection sur l'ensemble du champ civil et contractuel.

Au-delà de l'assurance, la défense d'un DPO externe se prépare dès le contrat de mission. Les confrères qui s'en sortent le mieux en cas de mise en cause ont en commun trois pratiques.

1. Le périmètre écrit et limitatif

La lettre de mission doit énumérer précisément ce qui entre dans le périmètre (registre, AIPD, formation, notification, relations CNIL) et ce qui n'y entre pas (sécurité technique, audit infrastructure, traitements RH, traitements marketing). Sans ce cadrage, le client pourra reprocher au DPO un manquement sur des sujets jamais couverts.

2. Le plan d'action signé contradictoirement

Après l'audit initial, faire signer au responsable de traitement un plan d'action priorisé, avec mention explicite des risques que le client accepte de ne pas traiter ou de traiter ultérieurement. Cette signature inverse la charge probatoire en cas de contentieux.

3. Le rapport annuel d'activité du DPO

L'article 39 du RGPD prévoit un rendu compte au plus haut niveau de la direction. Un rapport annuel daté et signé documente votre activité, les alertes émises, les décisions du client. C'est, en cas de procédure, la première pièce que votre avocat produira.

Pour un consultant RGPD indépendant facturant entre 60 000 et 120 000 euros par an, le coût d'une RC Pro spécialisée se situe autour de 12,90 euros par mois en formule de base, et de 25 à 40 euros par mois avec une option cyber renforcée couvrant l'accès aux données clients et les frais de notification.

Sur cette grille, la prime annuelle d'une RC Pro DPO complète (RC Pro + cyber) représente entre 0,2 % et 0,6 % du chiffre d'affaires d'un consultant indépendant — un ratio bien inférieur au risque résiduel d'un seul contentieux. Pour comparer les offres RC Pro ou la garantie cyber adaptée à votre activité, le devis Insurio se fait en quelques minutes.

Le DPO externe vit avec une particularité que peu d'autres consultants connaissent : son conseil engage la conformité légale de son client, dans un domaine où les amendes peuvent atteindre 4 % du chiffre d'affaires mondial. La mise en cause n'est pas hypothétique, elle est systémique dès qu'un contrôle CNIL aboutit à une sanction.

Trois priorités pour sécuriser votre activité :

1. Souscrire une RC Pro qui mentionne explicitement l'activité de DPO et de consultant RGPD dans ses conditions particulières, et non un simple conseil aux entreprises générique.
2. Adjoindre une option cyber dès lors que vous accédez aux données de vos clients (audits, registres, exports de bases).
3. Documenter contractuellement votre mission et vos alertes — l'assurance prend le relais d'une défense bien préparée, elle ne la remplace pas.