E-procurement et données fournisseurs : le risque RGPD que vous portez sans le savoir

Le consultant achats indirects se vit comme un négociateur et un structureur de catégories, pas comme un acteur de la donnée personnelle. Pourtant, son quotidien en est saturé. Une base fournisseurs n'est pas qu'une liste d'entreprises : elle contient des noms de contacts, des adresses e-mail nominatives, des numéros de téléphone directs, parfois des informations sur des dirigeants ou des commerciaux. Or, dès qu'une donnée se rapporte à une personne physique identifiable, elle entre dans le champ du RGPD.

Le constat vaut tout au long de la mission. Quand vous compilez des contacts fournisseurs pour un sourcing, vous traitez des données personnelles. Quand vous paramétrez un outil e-procurement et y importez un annuaire de prestataires, vous en traitez encore. Quand vous exportez des fichiers pour analyser un panel, ces fichiers circulent par e-mail, sur des clés USB, dans des espaces cloud. Chaque maillon est un point de vulnérabilité.

La plupart des consultants n'ont jamais formalisé cette dimension. C'est précisément cette absence de prise de conscience qui crée le risque : on ne protège pas ce qu'on ne sait pas détenir.

Il faut ajouter à cela une particularité des achats indirects : certaines catégories impliquent des données plus sensibles encore. Une mission sur l'intérim ou les prestations de personnel détaché peut vous amener à manipuler des informations sur des travailleurs identifiables. Une mission sur les voyages d'affaires fait circuler des données de déplacement de salariés. Une mission sur les frais de santé collectifs ou la mutuelle d'entreprise touche à des données potentiellement sensibles au sens du RGPD, soumises à des exigences renforcées. Selon la catégorie pilotée, votre exposition n'est donc pas la même, et un consultant qui intervient sur plusieurs familles d'achats doit calibrer ses précautions catégorie par catégorie.

Le RGPD distingue deux rôles principaux. Le responsable de traitement décide des finalités et des moyens : c'est en général l'entreprise cliente. Le sous-traitant traite les données pour le compte du responsable, selon ses instructions. Le consultant achats peut basculer dans la seconde catégorie sans en avoir conscience.

Si vous traitez des données fournisseurs pour le compte de votre client et selon ses instructions (par exemple en gérant pour lui une base dans un outil e-procurement), vous êtes très probablement sous-traitant au sens de l'article 28 du RGPD. Ce statut n'est pas neutre : il impose un contrat écrit encadrant le traitement, des obligations de sécurité, une obligation de confidentialité du personnel, et une obligation de notifier toute violation à votre client dans les meilleurs délais.

Le piège est de croire que la conformité RGPD est uniquement l'affaire du client. En tant que sous-traitant, vous portez une responsabilité propre, et l'absence de contrat de sous-traitance conforme constitue à elle seule un manquement.

Clarifier votre rôle dès le contrat de mission est donc une nécessité juridique, pas une formalité. Préciser noir sur blanc qui est responsable de quoi évite qu'en cas d'incident, tout le monde se retourne vers le maillon le moins protégé : vous.

Au-delà de la donnée que vous manipulez directement, il y a celle que manipule l'outil que vous avez recommandé. Le déploiement d'une solution e-procurement fait souvent partie intégrante de la mission. Vous comparez des éditeurs, vous en sélectionnez un, vous accompagnez son intégration. Ce conseil vous engage.

Imaginez qu'un éditeur que vous avez préconisé subisse une faille de sécurité exposant les données de centaines de fournisseurs de votre client. Le client peut vous reprocher de ne pas avoir vérifié les garanties de sécurité de la solution, de ne pas avoir contrôlé la localisation des données ou l'existence de mesures techniques suffisantes. On quitte alors la simple faute de conseil pour entrer dans un préjudice immatériel potentiellement lourd.

Quelques diligences réduisent ce risque : exiger de l'éditeur ses certifications de sécurité, vérifier la localisation des données et les éventuels transferts hors UE, s'assurer de l'existence d'un contrat de sous-traitance RGPD entre le client et l'éditeur, et tracer par écrit vos recommandations et réserves. Documenter ce que vous avez vérifié est aussi important que la vérification elle-même.

Le risque que nous venons de décrire est double, et il appelle deux réponses assurantielles complémentaires qu'il ne faut pas confondre.

D'un côté, le risque de faute de conseil : vous avez mal cadré un besoin, recommandé un outil inadapté, omis de signaler un point de sécurité. C'est le terrain de la RC Pro, qui couvre votre responsabilité professionnelle et les préjudices immatériels consécutifs subis par votre client.

De l'autre, le risque de violation de données proprement dite : une fuite, une intrusion, un fichier fournisseurs exposé, y compris depuis vos propres systèmes. C'est le terrain de l'assurance cyber, qui prend en charge la gestion de crise, l'expertise informatique, les obligations de notification, l'éventuelle perte d'exploitation et les frais de défense face aux réclamations. Une RC Pro classique ne couvre généralement pas ces postes spécifiques au cyber.

Pour un consultant qui déploie des outils et manipule des bases, ces deux garanties se complètent. La fiche consultant achats indirects détaille comment articuler ces protections selon votre exposition réelle.

Mettre votre activité en conformité ne demande pas un chantier disproportionné. Cinq actions concrètes couvrent l'essentiel du risque :

1. Cartographier vos traitements : recenser quelles données fournisseurs vous détenez, où elles sont stockées et combien de temps vous les conservez.
2. Clarifier votre rôle : déterminer pour chaque mission si vous êtes sous-traitant et, le cas échéant, signer un contrat de sous-traitance conforme à l'article 28.
3. Sécuriser vos propres outils : chiffrement des fichiers sensibles, mots de passe robustes, sauvegardes, et limitation des exports par e-mail non sécurisé.
4. Documenter vos recommandations : conserver la trace de ce que vous avez vérifié sur la sécurité des outils e-procurement que vous préconisez.
5. Prévoir le pire : disposer d'une procédure de réaction en cas de violation et d'une assurance cyber pour absorber le coût d'un incident.

Cette discipline, modeste à l'échelle d'une mission, fait la différence entre un consultant qui subit un incident de données et un consultant qui le gère. À l'heure où l'e-procurement se généralise, c'est un investissement de crédibilité autant que de protection.