Assurance DPO / Consultant RGPD

Le texte protège votre indépendance : c'est le responsable de traitement qui répond de sa conformité devant la CNIL, pas vous. Mais cette protection ne dit rien de votre contrat de prestation. Un DPO salarié est couvert par l'assurance de son employeur ; en externe, vous êtes un prestataire comme un autre et votre client peut engager votre responsabilité pour une mission mal exécutée. La charte de déontologie de l'AFCDP invite d'ailleurs les DPO externes à s'assurer, et les organismes qui les désignent à vérifier qu'ils le sont.

L'amende frappe le responsable de traitement : votre RC Pro ne la paie pas à sa place, et les contrats excluent en général les amendes et pénalités, qui restent personnelles au sanctionné. En revanche votre client peut vous réclamer la réparation du préjudice que votre erreur lui a causé — remise en conformité, projet à refaire, honoraires d'avocat, perte d'exploitation — et cela relève bien de la garantie. Faites préciser noir sur blanc comment votre contrat traite la répercussion d'une sanction : la rédaction varie beaucoup d'un assureur à l'autre.

Oui, la garantie couvre votre activité, pas chaque désignation. Ce qui compte, c'est l'exactitude de ce que vous déclarez : chiffre d'affaires, nombre et taille des clients, secteurs sensibles (santé, banque, collectivités, éducation), volumes de données auxquels vous accédez réellement. Une déclaration inexacte de bonne foi permet à l'assureur de réduire l'indemnité en proportion de la prime non perçue (L.113-9 du Code des assurances), et une omission de mauvaise foi peut annuler le contrat. Signalez tout changement d'échelle en cours d'année plutôt qu'à l'échéance.

Seules les activités déclarées sont garanties. Conseil, audit, AIPD, rédaction de registre et formation relèvent du consultant ; l'administration de systèmes, le développement, l'hébergement et les tests d'intrusion constituent un autre risque, avec d'autres exclusions, et doivent figurer explicitement au contrat. Surveillez aussi votre statut au sens du RGPD : dès que vous traitez des données pour le compte du client — outil de registre hébergé chez vous, accès permanent en DPO-as-a-service — vous devenez sous-traitant et vous êtes exposé directement, y compris devant la CNIL.

Non. Aucun texte n'impose au consultant RGPD ni au DPO externe d'être assuré : ce n'est pas une profession réglementée à assurance obligatoire, contrairement au médecin ou au constructeur. L'exigence vient du donneur d'ordre — marché public, grand compte, contrat de sous-traitance — et elle est devenue la norme du marché. Vérifiez trois points sur l'attestation : le libellé exact de l'activité, qui doit couvrir la mission vendue, le montant par sinistre et par année d'assurance, et l'étendue territoriale si vous suivez des filiales hors de France.

C'est le point critique du métier : une AIPD bâclée ne se voit qu'au contrôle, deux ou trois ans plus tard. Ces contrats fonctionnent en base réclamation, avec une garantie subséquente qui ne peut être inférieure à cinq ans après la résiliation (L.124-5 du Code des assurances) ; vérifiez aussi la reprise du passé à la souscription. Côté résiliation, vous êtes sur un contrat professionnel : ni rétractation de 14 jours, ni loi Hamon. Vous résiliez à l'échéance annuelle avec deux mois de préavis (L.113-12), ou en cours d'année en cas de changement réel de situation, cessation d'activité comprise (L.113-16).