Données du client pendant l'analyse : le risque RGPD oublié du business analyst

On présente souvent le business analyst comme un métier d'abstraction : des processus, des flux, des exigences. La réalité du terrain est plus charnelle. Pour comprendre un processus, le modéliser et le critiquer, vous avez besoin de matière concrète. Et cette matière, ce sont des données.

Combien de missions commencent par cette demande au client : « pouvez-vous m'envoyer un extrait de la base pour que je comprenne la structure ? », « avez-vous un échantillon de dossiers pour analyser les cas réels ? », « j'aurais besoin du fichier des anomalies du dernier trimestre ». Ces demandes sont légitimes : sans elles, l'analyse reste théorique. Mais elles ont une conséquence rarement anticipée : des données de production, parfois personnelles, parfois sensibles, atterrissent sur le poste de travail d'un freelance.

Un extrait de base clients, un export de dossiers RH, un fichier de transactions, un échantillon de données de santé selon le secteur : tout cela devient un fichier d'analyse qui dort dans votre dossier de mission, votre boîte mail, votre espace de stockage. C'est l'angle mort RGPD du business analyst.

Quand vous traitez des données personnelles pour le compte d'un client, sur ses instructions, le Règlement général sur la protection des données vous qualifie de sous-traitant. Le client, lui, est le responsable de traitement. Cette qualification n'est pas anodine : elle fait peser sur vous des obligations propres.

Concrètement, en tant que sous-traitant, vous devez notamment :

• ne traiter les données que sur instruction documentée du responsable de traitement ;
• garantir la confidentialité et la sécurité des données auxquelles vous accédez ;
• mettre en place des mesures techniques adaptées (chiffrement du poste, accès protégés) ;
• supprimer ou restituer les données à la fin de la mission ;
• notifier sans délai le responsable de traitement en cas de violation de données.

La théorie est claire. La pratique l'est beaucoup moins. Combien de missions de business analyst sont encadrées par un contrat de sous-traitance RGPD formalisant ces obligations ? Combien d'extraits de production sont effectivement supprimés à la fin du projet, plutôt que d'être oubliés dans un dossier ? L'écart entre la règle et l'usage est précisément la zone où le risque se concentre.

Imaginons l'enchaînement. Vous avez reçu, six mois plus tôt, un extrait de la base clients pour une mission d'analyse. La mission est terminée, le fichier est resté dans votre dossier. Votre ordinateur portable est volé, ou votre boîte mail est compromise par un hameçonnage. L'extrait fuite.

Les conséquences ne sont pas que techniques :

• Obligation de notification. La violation doit être signalée au client, qui peut devoir la déclarer à la CNIL sous 72 heures et, selon la gravité, informer les personnes concernées.
• Mise en cause de votre responsabilité. En tant que sous-traitant, vous pouvez être tenu responsable si vous n'aviez pas mis en place les mesures de sécurité adéquates — un poste non chiffré, des données conservées au-delà du nécessaire.
• Préjudice du client. Atteinte à l'image, frais de gestion de crise, éventuelles réclamations des personnes dont les données ont fuité.

Ce qui rend ce risque insidieux, c'est qu'il survient souvent après la fin de la mission, sur des données que vous aviez oublié de détenir. Le projet est livré, facturé, classé — et la fuite ressurgit du passé.

Deux garanties se répartissent ce risque, et leur complémentarité est essentielle à comprendre.

L'assurance cyber-risques intervient sur l'incident lui-même et sa gestion. Concrètement, elle prend en charge l'assistance en cas de violation de données : experts en réponse à incident, accompagnement juridique pour les obligations de notification, gestion de crise et communication, et selon les contrats, les frais de reconstitution de données et les conséquences financières d'une fuite. C'est la garantie taillée pour le scénario du poste volé ou de la boîte compromise.

L'assurance responsabilité civile professionnelle, elle, intervient sur le versant responsabilité : si votre client, ou un tiers, vous réclame réparation d'un préjudice lié à un manquement dans le traitement des données. Beaucoup de contrats RC Pro modernes intègrent d'ailleurs un volet cyber et données, ce qui crée une couverture cohérente pour les métiers du numérique.

Pour un business analyst, le bon réflexe est de vérifier que ces deux dimensions — l'incident (cyber) et la responsabilité (RC Pro) — sont bien couvertes, et que la garantie s'étend aux données auxquelles vous accédez en mission, pas seulement à vos propres systèmes. La couverture adaptée au métier est détaillée sur la page business analyst.

L'assurance traite les conséquences ; votre hygiène de données réduit la probabilité. Ces sept règles, simples, font la différence pour un business analyst.

1. Exigez un cadre contractuel. Réclamez à votre client un contrat de sous-traitance RGPD précisant la finalité, la durée et les obligations de sécurité.
2. Préférez des données anonymisées. Quand l'analyse le permet, demandez des jeux de données pseudonymisés ou anonymisés plutôt que des extraits de production bruts.
3. Chiffrez votre poste. Le chiffrement du disque transforme un vol de matériel en non-événement RGPD.
4. Cloisonnez par mission. Un espace de travail par client évite la contamination et facilite la suppression en fin de projet.
5. Datez la fin de vie des données. Inscrivez dans votre méthode la suppression des extraits à la clôture de chaque mission.
6. Bannissez les canaux non maîtrisés. Évitez de recevoir des extraits de production par e-mail non chiffré ou messagerie grand public.
7. Soyez assurable. Maintenir une hygiène minimale est souvent une condition de votre couverture cyber : la négliger peut fragiliser la prise en charge.