Assurance cyber ou RC pro : laquelle choisir ?
Pour une agence web ou un prestataire informatique, les deux contrats ne font pas le même travail. La RC pro couvre les réclamations de vos clients quand une erreur dans votre prestation leur cause un préjudice. L’assurance cyber couvre les conséquences d’une attaque informatique : vos propres pertes et, selon les contrats, votre responsabilité envers les tiers. Dans la plupart des cas, il faut les deux, sans trou de garantie entre elles.
- RC pro : vos erreurs, retards ou manquements qui causent un préjudice à un client (responsabilité contractuelle, article 1231-1 du Code civil).
- Assurance cyber : l’attaque elle-même — cellule de crise, restauration, pertes d’exploitation, extorsion — et la responsabilité liée aux données.
- Attention aux exclusions : beaucoup de RC pro excluent désormais les sinistres d’origine cyber.
- RGPD : le prestataire qui traite des données pour ses clients est sous-traitant (article 28) et peut devoir indemniser (article 82).
- Plainte sous 72 heures après une cyberattaque, condition d’indemnisation (article L12-10-1 du Code des assurances).
La différence en un coup d’œil
La RC pro regarde vers vos clients ; l’assurance cyber protège d’abord votre propre activité, puis vos clients quand l’attaque les touche par votre intermédiaire.
| Situation | RC pro | Assurance cyber |
|---|---|---|
| Erreur de développement qui bloque le site d’un client | ✓ Réclamation du client | — Hors champ |
| Rançongiciel sur vos propres serveurs | — Vos pertes ne sont pas couvertes | ✓ Crise, restauration, pertes d’exploitation |
| Fuite de données clients hébergées chez vous | Souvent exclu | ✓ Notification, responsabilité, gestion de crise |
| Virus transmis à un client | Souvent exclu | ✓ Selon la garantie responsabilité |
| Fraude au virement sur votre compte | — Non couvert | Option cyber-fraude |
Tableau indicatif : la couverture réelle dépend de la rédaction de chaque contrat et de ses exclusions.
Trois situations fréquentes
Les sinistres des métiers du numérique se rangent presque toujours dans l’un de ces trois cas. C’est ce qui permet de savoir quel contrat répond.
Le piège : les exclusions cyber de la RC pro
Beaucoup de contrats de RC pro excluent aujourd’hui expressément les dommages d’origine cyber. Les assureurs veulent que ce risque soit traité dans un contrat dédié, avec ses propres plafonds.
Une clause de limitation de responsabilité, une obligation de moyens clairement rédigée et une attestation d’assurance à jour réduisent les litiges. Votre assureur peut demander à les voir lors de la souscription.
Prestataire informatique : sous-traitant au sens du RGPD
Dès que vous traitez des données personnelles pour le compte d’un client, vous êtes sous-traitant au sens de l’article 28 du RGPD. Hébergement, maintenance d’un site marchand, gestion d’une base clients : la plupart des agences sont concernées.
Le contrat avec votre client doit encadrer ce traitement, et l’article 82 du RGPD prévoit qu’un sous-traitant peut devoir indemniser le préjudice subi s’il n’a pas respecté ses obligations ou les instructions du client. En cas de fuite de données, la garantie responsabilité d’une assurance cyber prend en charge ce type de réclamation, ainsi que les frais de notification.
Faut-il les deux ?
Pour une agence web, un développeur indépendant ou un prestataire informatique, oui dans la plupart des cas. La RC pro répond de vos erreurs ; l’assurance cyber, des attaques. L’enjeu n’est pas d’empiler les contrats, mais de vérifier qu’ils s’emboîtent : ce que l’un exclut, l’autre doit le reprendre.
En tant que courtier, nous lisons les deux contrats ensemble, repérons les trous de garantie et comparons les assureurs qui acceptent les métiers du numérique.
Faites vérifier votre couverture
RC pro, assurance cyber ou les deux : nous étudions vos contrats actuels et votre activité, puis comparons les offres adaptées aux métiers du numérique.
- Code civil, article 1231-1 — responsabilité contractuelle : réparation du préjudice causé par l’inexécution ou le retard d’exécution d’une obligation.
- Règlement (UE) 2016/679 (RGPD), article 28 — obligations du sous-traitant qui traite des données pour le compte d’un client.
- Règlement (UE) 2016/679 (RGPD), article 82 — droit à réparation et responsabilité du responsable de traitement et du sous-traitant.
- Article L12-10-1 du Code des assurances, créé par la loi n° 2023-22 du 24 janvier 2023 — plainte sous 72 heures, condition d’indemnisation des cyberattaques.
Questions fréquentes
Une agence web doit-elle avoir une RC pro ?
La RC pro couvre-t-elle une cyberattaque ?
Quelle est la différence entre RC pro et assurance cyber ?
Le site d’un client est piraté à cause d’une mise à jour non faite : qui paie ?
Un prestataire informatique est-il concerné par le RGPD ?
Faut-il souscrire les deux assurances ?
