Analyse d'écriture et RGPD : le graphologue face aux données personnelles

Beaucoup de graphologues pensent manipuler de simples feuilles d'écriture. Juridiquement, ils traitent des données à caractère personnel. Un texte manuscrit identifie ou permet d'identifier son auteur ; le profil de personnalité que vous en tirez décrit, lui, des traits intimes : tendances comportementales, équilibre émotionnel, mode de relation aux autres.

Le Règlement général sur la protection des données (RGPD) s'applique dès lors que vous collectez, analysez, stockez ou transmettez ces éléments. Vous êtes, au sens du texte, responsable de traitement pour les analyses que vous menez en votre nom, ou sous-traitant lorsque vous intervenez pour le compte d'un employeur ou d'un cabinet de recrutement. Cette qualification n'est pas une formalité : elle conditionne vos obligations et votre exposition.

Le RGPD interdit tout traitement sans base légale. Pour un graphologue, deux fondements reviennent le plus souvent :

• Le consentement de la personne concernée : libre, spécifique, éclairé et révocable. C'est la voie la plus protectrice, notamment en recrutement où le candidat doit savoir que son écriture sera analysée.
• L'intérêt légitime du responsable de traitement, qui suppose un équilibre démontré entre la finalité poursuivie et les droits de la personne — un fondement plus fragile, à manier avec prudence.

Le profil de personnalité touchant à l'intime, la rigueur est de mise. Documentez la base sur laquelle vous opérez et, lorsque c'est pertinent, recueillez un consentement écrit. Cette traçabilité est votre meilleure défense en cas de contrôle ou de réclamation.

Le principe de limitation de la conservation impose de ne garder les données que le temps nécessaire à la finalité. Or beaucoup de praticiens accumulent années après années des cartons de manuscrits originaux et de profils, « au cas où ». C'est une faute RGPD doublée d'un risque opérationnel.

Chaque document conservé sans raison est un risque inutile : il peut fuiter, être réclamé, ou devenir la preuve d'un manquement à la durée de conservation.

Définissez une durée de conservation explicite selon la mission (par exemple, le temps de la procédure de recrutement plus une période raisonnable), puis détruisez ou restituez. Tenez un registre simple de vos traitements : nature des données, finalité, durée, destinataires. Pour un indépendant, ce registre tient sur quelques lignes mais change tout face à la CNIL.

Les profils graphologiques voyagent aujourd'hui par e-mail, sont stockés dans des dossiers cloud, parfois sur un ordinateur portable partagé. Chacun de ces canaux est une porte d'entrée. Une fuite de profils de personnalité ou de documents manuscrits identifiables peut avoir des conséquences lourdes : exposition de la vie privée des personnes, atteinte à votre réputation, et obligation de notification.

En cas de violation susceptible d'engendrer un risque pour les personnes, vous devez notifier la CNIL sous 72 heures et, le cas échéant, informer les personnes concernées. Une négligence — boîte mail piratée, rançongiciel, vol d'ordinateur — peut entraîner réclamations et sanctions.

C'est l'objet d'une assurance cyber : elle prend en charge la gestion de crise (expertise technique, notification, communication) et les conséquences financières d'une fuite, là où la RC Pro classique s'arrête.

Une situation prend de plus en plus de graphologues au dépourvu : la demande d'accès. Toute personne ayant fait l'objet d'une analyse peut, au titre de l'article 15 du RGPD, exiger de connaître les données traitées la concernant. Un candidat évincé est en droit de réclamer le profil graphologique établi à son sujet, et l'employeur comme le graphologue doivent pouvoir y répondre dans un délai d'un mois.

Cette perspective doit influencer votre manière même de rédiger. Un profil truffé de jugements à l'emporte-pièce, rédigé dans l'idée qu'il restera confidentiel, devient embarrassant le jour où son sujet le lit. La bonne pratique consiste à écrire chaque analyse comme si la personne concernée allait la consulter : factuelle, nuancée, professionnelle, exempte d'appréciations gratuites sur la personne.

Anticipez aussi le droit de rectification et le droit à l'effacement. Sachez retrouver rapidement les analyses liées à une personne, et soyez en mesure de les supprimer si la demande est fondée. Un classement clair de vos missions n'est pas seulement une commodité : c'est une obligation de conformité.

Pour mettre votre pratique en conformité sans vous noyer, quelques actions suffisent à couvrir l'essentiel :

1. Informez la personne concernée de l'analyse, de sa finalité et de ses droits (accès, rectification, effacement).
2. Recueillez une base légale claire, idéalement un consentement écrit en recrutement.
3. Sécurisez le stockage : mots de passe robustes, chiffrement des supports, envois protégés.
4. Limitez la conservation et détruisez les documents devenus inutiles.
5. Tenez un registre de vos traitements, même minimal.

Cette conformité, associée à une couverture cyber et à une protection adaptée à votre métier de graphologue, fait de la donnée non plus une menace, mais un actif maîtrisé.