Fonds médical, juridique, R&D : les règles de confidentialité qui s'imposent à la documentaliste
Indexer un fonds médical ou un dossier R&D, ce n'est pas seulement classer des documents : c'est entrer dans le champ de plusieurs secrets protégés par la loi. Tour d'horizon des obligations.
- Selon la nature du fonds, une documentaliste peut être soumise au secret médical, au secret professionnel, au RGPD et au secret des affaires — parfois simultanément.
- Le RGPD s'applique dès qu'un document contient une donnée personnelle, même si vous n'êtes que prestataire : vous devenez sous-traitant au sens de l'article 28.
- Une divulgation involontaire engage votre responsabilité civile, et certains secrets sont assortis de sanctions pénales (article 226-13 du Code pénal).
- La garantie atteinte à la confidentialité de la RC Pro et l'option cyber couvrent le préjudice du client et vos frais de défense.
Un même métier, plusieurs secrets superposés
La confidentialité n'est pas une notion unique en droit français : c'est un empilement de régimes distincts, qui s'activent selon le contenu des documents que vous traitez. Une secrétaire de documentation peut, au cours d'une même semaine, basculer d'un régime à l'autre sans toujours en avoir conscience.
| Type de fonds | Régime applicable | Source |
|---|---|---|
| Dossiers patients, fonds hospitalier | Secret médical | Art. L1110-4 Code de la santé publique |
| Dossiers d'avocat, de notaire, d'expertise | Secret professionnel | Art. 226-13 Code pénal |
| Toute donnée personnelle identifiante | RGPD | Règlement UE 2016/679 |
| Brevets, R&D, données stratégiques | Secret des affaires | Art. L151-1 Code de commerce |
La conséquence pratique est lourde : vous ne pouvez pas appliquer un protocole de confidentialité unique à tous vos fonds. Le niveau de précaution doit être adapté au régime le plus exigeant présent dans le dossier.
Le RGPD : pourquoi vous êtes sous-traitant sans le savoir
C'est le point le plus souvent ignoré. Dès qu'un document que vous indexez contient un nom, une adresse, un numéro de dossier rattachable à une personne, vous traitez une donnée à caractère personnel. Et si vous le faites pour le compte d'un client, le RGPD vous qualifie de sous-traitant au sens de son article 28.
Cette qualification entraîne des obligations concrètes :
- Un contrat de sous-traitance écrit doit encadrer la prestation. Son absence est en soi une non-conformité, opposable autant à vous qu'au client.
- Des mesures de sécurité appropriées doivent protéger les fonds numériques contre l'accès non autorisé : chiffrement, gestion des droits, journalisation.
- Une obligation de notification en cas de violation : si un fonds documentaire fuite, le responsable de traitement doit en être informé sans délai.
Une fuite de base documentaire contenant des données personnelles relève à la fois du RGPD et de votre responsabilité civile. C'est typiquement le périmètre où une assurance cyber prend le relais, en couvrant les frais de notification, d'investigation et de gestion de crise.
La divulgation involontaire : un risque permanent et discret
On imagine la violation de confidentialité comme un acte volontaire. Dans la réalité documentaire, elle est presque toujours involontaire et banale : une pièce sensible glissée dans le mauvais dossier, un export de base envoyé au mauvais destinataire, un fonds confidentiel rangé dans un espace partagé accessible à des tiers.
Le caractère involontaire n'exonère pas. En matière civile, l'absence d'intention n'efface pas la faute : si votre négligence a permis qu'une information protégée parvienne à un tiers non autorisé, le préjudice du client peut vous être imputé.
Une erreur d'indexation qui rattache un document confidentiel au mauvais dossier consultable peut suffire à constituer une atteinte à la confidentialité indemnisable.
Pour certains secrets, le risque dépasse même le civil : la violation du secret professionnel est un délit puni par l'article 226-13 du Code pénal. Même si les poursuites pénales contre un prestataire documentaire restent rares, le risque de mise en cause justifie une protection juridique solide.
Les bonnes pratiques qui tiennent juridiquement
Au-delà de la conformité formelle, quelques réflexes réduisent fortement votre exposition. Ils valent quel que soit le régime applicable :
- Cloisonner les fonds par niveau de sensibilité. Un fonds médical ne se range pas avec de la documentation administrative. Le cloisonnement physique et logique limite mécaniquement les fuites par contamination.
- Tracer les accès. Sur les bases numériques, la journalisation des consultations permet d'identifier l'origine d'une fuite et de démontrer votre diligence.
- Formaliser une charte de confidentialité. Un document signé qui décrit vos engagements rassure le client et constitue une preuve de votre sérieux en cas de contrôle.
- Vérifier le destinataire avant tout envoi. La majorité des fuites documentaires viennent d'un export mal adressé. Une relecture systématique du destinataire est gratuite et redoutablement efficace.
Ces pratiques ne suppriment pas le risque résiduel : c'est là que la garantie atteinte à la confidentialité de votre RC Pro intervient, en prenant en charge le préjudice du client et vos frais de défense.
Articuler couverture cyber et responsabilité civile
Un incident de confidentialité mobilise souvent deux logiques d'assurance complémentaires, qu'il faut comprendre pour ne pas laisser de zone d'ombre.
La RC Pro répond du préjudice subi par le client du fait de votre faute : le dommage immatériel, la perte de chance, les frais de défense. La garantie cyber intervient sur la dimension technique et opérationnelle de l'incident : violation de base de données, frais d'investigation forensique, notification aux personnes concernées, gestion de la communication de crise.
Pour une documentaliste manipulant des fonds numériques sensibles, la combinaison des deux est la configuration la plus protectrice. Vous pouvez consulter le détail des garanties adaptées à votre profil sur la page assurance secrétaire de documentation, et comparer le périmètre d'une couverture cyber selon le volume de données que vous traitez.
Questions fréquentes
Vous n'êtes pas médecin, mais en accédant à des informations couvertes par le secret médical dans le cadre de votre prestation, vous entrez dans le périmètre de protection prévu par l'article L1110-4 du Code de la santé publique. Le client reste responsable de l'organisation du secret, mais votre négligence peut engager votre responsabilité.
Oui. Dès que vous traitez des données personnelles pour le compte d'un client, vous êtes sous-traitant au sens de l'article 28 du RGPD. Cela impose un contrat écrit de sous-traitance, des mesures de sécurité adaptées et une obligation de notification en cas de violation.
En responsabilité civile, l'absence d'intention n'efface pas la faute. Si une négligence (mauvaise indexation, export mal adressé, rangement dans un espace partagé) a permis la fuite, le préjudice du client peut vous être imputé indépendamment de toute intention de nuire.
La RC Pro indemnise le préjudice subi par le client du fait de votre faute et prend en charge vos frais de défense. L'assurance cyber couvre la dimension technique de l'incident : violation de base de données, investigation, notification et gestion de crise. Pour des fonds numériques sensibles, les deux sont complémentaires.
Elle ne supprime pas le risque mais constitue une preuve précieuse de votre diligence en cas de litige ou de contrôle. Associée à un cloisonnement des fonds et à une traçabilité des accès, elle réduit fortement votre exposition et facilite votre défense.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Secrétaire de documentation — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Secrétaire de documentation →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.