RGPD : le conseil en SI est-il sous-traitant des données du client ?
Concevoir l'architecture data d'un client peut faire de vous un sous-traitant RGPD, avec des obligations propres et une responsabilité directe devant la CNIL.
- Le RGPD vous qualifie de sous-traitant dès lors que vous traitez des données personnelles pour le compte du client : un accès aux bases de production en phase de conception ou de recette suffit souvent à vous faire basculer dans ce statut.
- Le statut de sous-traitant déclenche des obligations propres (article 28) : contrat de sous-traitance, registre, sécurité, notification des violations, et une responsabilité directe pouvant être engagée par la CNIL ou par les personnes concernées.
- Recommander une architecture qui transfère des données hors UE sans encadrement, ou un hébergeur non conforme, peut engager votre responsabilité de conseil même si vous ne traitez aucune donnée vous-même.
- L'option cyber de votre assurance protège votre propre infrastructure ; la RC Pro couvre la faute de conseil en matière de conformité. Sur un sujet RGPD, les deux dimensions doivent être couvertes.
Responsable de traitement, sous-traitant : la frontière qui change tout
Le RGPD distingue deux statuts aux obligations très différentes. Le responsable de traitement détermine les finalités et les moyens du traitement : c'est votre client. Le sous-traitant traite des données personnelles pour le compte du responsable. La question décisive pour un consultant en systèmes d'information est : votre mission vous fait-elle franchir cette frontière ?
Beaucoup de consultants croient n'être que des « conseillers » extérieurs au traitement. C'est souvent inexact. Dès lors que votre mission vous conduit à manipuler des données réelles — accès à une base de production pour calibrer une migration, recette sur des jeux de données non anonymisés, paramétrage d'un CRM contenant des clients existants —, vous traitez des données personnelles pour le compte du client. Vous devenez sous-traitant.
Quand votre mission vous fait basculer dans le statut de sous-traitant
Voici une grille de lecture concrète des situations courantes du conseil en SI :
| Situation de mission | Statut probable |
|---|---|
| Rédaction d'un schéma directeur sans accès aux données | Ni l'un ni l'autre (conseil pur) |
| Choix d'un ERP/CRM sur cahier des charges, sans données réelles | Conseil pur, mais responsabilité de conseil RGPD |
| Migration avec accès à la base de production | Sous-traitant |
| Recette/tests sur données réelles non anonymisées | Sous-traitant |
| Paramétrage et administration d'un outil hébergeant des données clients | Sous-traitant |
Le basculement n'est pas anecdotique : il déclenche des obligations légales qui s'imposent à vous personnellement, indépendamment de celles de votre client.
Les obligations propres au sous-traitant (article 28 du RGPD)
Si votre mission vous qualifie de sous-traitant, l'article 28 du RGPD vous impose un socle d'obligations dont le non-respect est directement sanctionnable :
- Un contrat de sous-traitance écrit (ou « accord de traitement des données »), encadrant l'objet, la durée, la nature du traitement, et vos engagements.
- Ne traiter les données que sur instruction documentée du responsable de traitement.
- Garantir la confidentialité des personnes habilitées à traiter les données.
- Mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées (article 32).
- Notifier toute violation de données au responsable de traitement dans les meilleurs délais.
- Tenir un registre des catégories de traitements effectués pour le compte du responsable.
- Encadrer la sous-traitance ultérieure si vous faites appel à un tiers (hébergeur, prestataire offshore).
En cas de violation, la CNIL peut sanctionner directement le sous-traitant, et les personnes concernées peuvent agir contre lui. Le statut n'est pas une simple formalité : il crée une responsabilité autonome.
La responsabilité de conseil : quand vous ne traitez rien mais recommandez mal
Il existe une seconde source de risque, distincte du statut de sous-traitant : votre devoir de conseil en matière de conformité. Même si vous ne touchez aucune donnée, vos recommandations d'architecture engagent votre responsabilité professionnelle.
Exemples de fautes de conseil sanctionnables :
- Recommander un hébergeur ou une solution SaaS transférant des données hors Union européenne sans mécanisme d'encadrement valable (clauses contractuelles types, etc.), exposant le client à une non-conformité.
- Concevoir une architecture data sans minimisation ni cloisonnement, alors que le principe de minimisation et la sécurité sont des exigences du RGPD.
- Omettre d'intégrer la protection des données dès la conception (privacy by design) dans le schéma d'urbanisation que vous livrez.
Si le client subit une sanction CNIL ou une fuite de données imputable à une architecture que vous avez préconisée, il peut rechercher votre responsabilité au titre de votre faute de conseil. C'est le terrain de la RC Pro.
Deux risques, deux couvertures : RC Pro et cyber
Le sujet RGPD oppose deux risques de nature différente, qui appellent deux garanties complémentaires :
- Le risque de conseil : vous avez mal conseillé l'architecture, le client subit un préjudice de conformité. C'est la RC Pro qui couvre la faute professionnelle et la défense.
- Le risque de sécurité sur votre propre infrastructure : en tant que sous-traitant, vous détenez des données du client ; une intrusion, un rançongiciel ou une fuite chez vous déclenche des frais de notification, de restauration et une responsabilité. C'est le terrain de l'assurance cyber.
Un consultant qui se limite à la RC Pro est exposé sur sa propre sécurité informatique ; un consultant qui ne souscrit qu'une cyber n'est pas couvert pour ses fautes de conseil. Les missions impliquant un accès aux données réelles justifient les deux dimensions. Le détail des options figure sur la page conseil en systèmes d'information.
Le moment critique : la migration sur données réelles
S'il fallait isoler un moment où le consultant en SI bascule le plus souvent, sans s'en rendre compte, dans le statut de sous-traitant, ce serait la phase de migration. C'est là que les données quittent l'ancien système pour rejoindre le nouveau, et que l'on travaille presque toujours sur des données réelles : impossible de tester un mapping de migration sur des données fictives qui ne reproduisent pas les cas tordus de la production.
Pendant cette phase, vous manipulez potentiellement des fichiers clients complets, des données RH, parfois des données sensibles (santé, situation financière). Trois précautions s'imposent :
- Travaillez sur des copies chiffrées et supprimez-les en fin de mission, en documentant cette suppression.
- Limitez les habilitations aux seules personnes de votre équipe réellement impliquées dans la migration.
- Notifiez immédiatement votre client en cas d'incident : une copie de migration égarée ou exposée constitue une violation de données que vous, sous-traitant, devez signaler sans délai.
Une fuite survenue pendant une migration est l'un des scénarios où votre assurance cyber intervient : frais de notification, analyse forensique, gestion de crise. C'est aussi le scénario où l'absence d'accord de traitement des données signé en amont aggrave considérablement votre exposition.
La check-list RGPD avant de signer une mission data
Avant d'accepter une mission touchant à l'architecture ou à la migration de données, passez ce contrôle :
- Qualifiez votre statut. Allez-vous accéder à des données réelles ? Si oui, vous êtes sous-traitant : exigez un accord de traitement des données avant de commencer.
- Réclamez des données anonymisées pour la recette et les tests chaque fois que possible : c'est le moyen le plus simple de rester hors du périmètre sous-traitant.
- Documentez vos préconisations de conformité. Tracez par écrit vos recommandations sur l'hébergement, les transferts hors UE, la minimisation. C'est votre protection en cas de mise en cause.
- Vérifiez la chaîne de sous-traitance. Si votre architecture recommande un tiers (hébergeur, prestataire offshore), assurez-vous de sa conformité documentée.
- Alignez vos assurances. RC Pro pour la faute de conseil, cyber pour la sécurité de votre propre infrastructure dès que vous détenez des données clients.
Un dernier point mérite votre attention : la durée de conservation des données que vous détenez. En tant que sous-traitant, vous ne devez conserver les données du client que le temps strictement nécessaire à la mission, puis les restituer ou les détruire. Garder « par confort » une copie de la base après la fin de la mission est une faute qui, en cas de fuite ultérieure, vous expose pleinement, alors même que vous n'aviez plus aucune raison légitime de détenir ces données.
Le RGPD ne fait pas du conseil en SI un métier impossible : il fait du statut, de la documentation et de la maîtrise du cycle de vie des données trois réflexes indispensables. Bien outillé, et correctement assuré en RC Pro comme en cyber, vous transformez une contrainte réglementaire en véritable argument de sérieux auprès de vos clients.
Questions fréquentes
Vous le devenez dès que vous traitez des données personnelles pour le compte de votre client : accès à une base de production, recette sur données réelles, paramétrage d'un outil hébergeant des données clients. Un conseil purement méthodologique, sans accès aux données, ne déclenche pas ce statut.
L'article 28 du RGPD impose un contrat de sous-traitance écrit, le traitement sur instruction documentée, la confidentialité, des mesures de sécurité appropriées, la notification des violations, la tenue d'un registre et l'encadrement de toute sous-traitance ultérieure.
Oui, au titre de votre devoir de conseil. Recommander un hébergeur transférant des données hors UE sans encadrement, ou une architecture sans minimisation ni privacy by design, peut engager votre responsabilité professionnelle même si vous ne traitez aucune donnée.
Travaillez sur des données anonymisées pour la recette et les tests, et limitez votre mission au conseil méthodologique sans accès aux bases de production. Lorsque l'accès est inévitable, signez un accord de traitement des données avant de commencer.
Oui dès que vous détenez des données de vos clients. La RC Pro couvre vos fautes de conseil en conformité ; l'assurance cyber couvre une intrusion, un rançongiciel ou une fuite sur votre propre infrastructure. Les deux dimensions sont distinctes et complémentaires.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Conseil en systèmes d'information — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Conseil en systèmes d'information →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.