Une fuite de données chez mon client à cause de mon code, c'est laquelle ?

La RC professionnelle : le dommage est chez le client, par votre faute. Si la fuite touche vos propres systèmes et vos propres obligations de notification, c'est la cyber. Les deux peuvent jouer sur le même incident, chacune pour sa part.

L'assurance cyber paie-t-elle la rançon ?

Certains contrats le prévoient, sous conditions et plafond, d'autres l'excluent. Avant de souscrire, demandez plutôt ce que le contrat prend en charge pour vous éviter d'en arriver là, comme la reconstitution des données, les experts, la communication ou la perte d'exploitation.

Que dois-je faire dans les 72 heures ?

Si une violation de données personnelles est susceptible d'engendrer un risque pour les personnes, l'article 33 du RGPD impose au responsable de traitement de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance. Un sous-traitant doit en informer son client dans les meilleurs délais. Les contrats cyber incluent souvent l'assistance pour cette étape. Second délai, distinct : pour être indemnisé d'une cyberattaque, un professionnel doit porter plainte au plus tard 72 heures après en avoir eu connaissance (Code des assurances, article L12-10-1).

Quel contrat pour un éditeur SaaS ?

Les deux, presque toujours : une RC professionnelle dimensionnée sur les engagements de service, et une cyber couvrant l'infrastructure, les données hébergées et la perte d'exploitation en cas d'indisponibilité. Les clauses de disponibilité et de pénalités des contrats clients guident les plafonds.

RC pro ou cyber, la différence | Allianz Nogaro & Boetti

Qui subit le dommage : les autres ou vous ?

Toute la distinction entre les deux contrats tient dans cette question.

Les autres — votre client, ses utilisateurs, un tiers : c’est votre responsabilité, fondée sur le contrat ou sur l’article 1240 du Code civil. C’est la RC professionnelle qui l’assure.
Vous — votre système chiffré, vos données perdues, votre activité arrêtée, vos obligations légales déclenchées : c’est l’assurance cyber.

Ce que couvre la cyber, en général

Les frais d’investigation et de remise en état, la perte d’exploitation pendant l’indisponibilité, les frais de notification et de gestion de crise, la défense en cas de réclamation liée aux données, parfois le paiement de la rançon et les pertes par fraude au virement. En contrepartie, le contrat impose souvent des mesures de sécurité : mises à jour, sauvegardes, authentification forte.

L’obligation qui rend la cyber concrète

L’article 33 du RGPD impose au responsable de traitement de notifier toute violation de données personnelles à l’autorité de contrôle dans les 72 heures, sauf si elle ne présente pas de risque pour les personnes. Un sous-traitant doit avertir son client dans les meilleurs délais. Cette obligation a un coût — experts, juristes, communication — que les contrats cyber prennent en général en charge.

Qui a besoin de quoi

Freelance qui code chez le client, sans héberger : RC professionnelle. La cyber protège surtout ceux qui exploitent des systèmes.
Agence qui héberge des sites ou des données clients : les deux.
Éditeur SaaS : les deux, dimensionnés sur les engagements de service.

Voir aussi la RC pro est-elle obligatoire pour un freelance.

Sources

Questions fréquentes

Une fuite de données chez mon client à cause de mon code, c'est laquelle ?: La RC professionnelle : le dommage est chez le client, par votre faute. Si la fuite touche vos propres systèmes et vos propres obligations de notification, c'est la cyber. Les deux peuvent jouer sur le même incident, chacune pour sa part.
L'assurance cyber paie-t-elle la rançon ?: Certains contrats le prévoient, sous conditions et plafond, d'autres l'excluent. Avant de souscrire, demandez plutôt ce que le contrat prend en charge pour vous éviter d'en arriver là, comme la reconstitution des données, les experts, la communication ou la perte d'exploitation.
Que dois-je faire dans les 72 heures ?: Si une violation de données personnelles est susceptible d'engendrer un risque pour les personnes, l'article 33 du RGPD impose au responsable de traitement de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance. Un sous-traitant doit en informer son client dans les meilleurs délais. Les contrats cyber incluent souvent l'assistance pour cette étape. Second délai, distinct : pour être indemnisé d'une cyberattaque, un professionnel doit porter plainte au plus tard 72 heures après en avoir eu connaissance (Code des assurances, article L12-10-1).
Quel contrat pour un éditeur SaaS ?: Les deux, presque toujours : une RC professionnelle dimensionnée sur les engagements de service, et une cyber couvrant l'infrastructure, les données hébergées et la perte d'exploitation en cas d'indisponibilité. Les clauses de disponibilité et de pénalités des contrats clients guident les plafonds.