Mineur en danger : le dilemme du secret partagé qui peut coûter 12 000 €

Laetitia est consultante en éducation. Elle accompagne depuis trois mois un garçon de 11 ans en difficulté scolaire. Au fil des séances, l'enfant évoque des violences à la maison. Laetitia consigne ses observations dans un fichier sur son ordinateur portable et, dans le doute, échange par e-mail avec une collègue pour savoir comment réagir.

Deux semaines plus tard, son ordinateur est volé dans sa voiture. Le fichier de suivi, non chiffré, contenait le nom de l'enfant, l'adresse de la famille, et la description détaillée des confidences. Parallèlement, l'échange d'e-mails avec sa collègue, nominatif, a transité par une messagerie personnelle peu sécurisée. Les parents, informés du vol, portent plainte pour atteinte à la vie privée de leur fils et manquement à la confidentialité.

Laetitia se retrouve face à un double front : justifier qu'elle avait le droit (et le devoir) de signaler une suspicion de danger, et répondre d'une fuite de données particulièrement sensibles concernant un mineur.

La première crainte de tout consultant est de violer une obligation de confidentialité en signalant. C'est l'inverse. L'article 226-14 du Code pénal prévoit expressément que le secret n'est pas opposable lorsqu'il s'agit d'informer les autorités d'une privation ou de sévices infligés à un mineur.

Le bon réflexe n'est pas d'enquêter soi-même, mais de transmettre une information préoccupante :

• à la CRIP de votre département (cellule de recueil des informations préoccupantes), qui centralise et évalue ;
• en composant le 119 (Allô Enfance en danger), accessible et gratuit ;
• directement au procureur de la République en cas de danger grave et imminent.

Le consultant qui signale de bonne foi est protégé : l'article 226-14 précise qu'aucune sanction disciplinaire ne peut être prise contre l'auteur d'un signalement effectué dans ce cadre. Le risque juridique ne vient donc pas de l'acte de signaler, mais de la manière dont les données de l'enfant ont été collectées, conservées et, ici, perdues.

Les informations que Laetitia avait consignées relèvent des données les plus sensibles que connaisse le RGPD : santé, vie familiale, situation d'un mineur. Une fuite expose le responsable de traitement à une double obligation.

D'abord, notifier la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque pour les droits des personnes (article 33 du RGPD). Ensuite, informer les personnes concernées, ici les représentants légaux, lorsque le risque est élevé (article 34).

Pour un fichier qui contient le récit de violences subies par un enfant identifiable, le risque est par nature élevé : la notification individuelle n'est pas optionnelle.

Au-delà de la conformité, le préjudice de réputation est immédiat. Dans un métier fondé sur la confiance des familles, la rumeur d'une fuite de données sur un enfant peut détruire une activité bien plus sûrement qu'un litige sur une prestation.

Voici la décomposition réelle d'un sinistre de ce type pour un consultant indépendant.

Pour une consultante facturant à l'heure, une telle somme représente plusieurs mois de chiffre d'affaires. C'est précisément ce que mutualisent une RC Pro bien dimensionnée, qui couvre la mise en cause et la protection juridique, et une assurance cyber, qui prend en charge l'investigation, les frais de notification et la gestion de crise après une fuite de données.

Dans le sinistre de Laetitia, la plainte des parents reposait sur deux griefs distincts : avoir signalé, et avoir laissé fuiter les données. Sur le premier grief, leur action était vouée à l'échec. La protection du signalant de bonne foi est solide en droit français : tant que le consultant n'a pas agi par malveillance ou pour nuire, le simple fait d'avoir transmis une information préoccupante ne peut fonder une condamnation.

Encore faut-il pouvoir démontrer cette bonne foi. C'est là que la traçabilité devient décisive. Une consultante qui conserve la copie datée de son information préoccupante, les notes factuelles ayant motivé son inquiétude et, idéalement, la preuve qu'elle a échangé avec un référent (sans divulguer l'identité de l'enfant) construit un dossier que la protection juridique de son assureur pourra défendre sans difficulté.

Le second grief, en revanche, était fondé : la fuite de données existait bel et bien. C'est pourquoi le centre de gravité du risque, pour un consultant en éducation, s'est déplacé du signalement lui-même vers la sécurité de l'information. On signale beaucoup plus rarement qu'on ne stocke et n'échange des données : la probabilité d'un incident numérique est, statistiquement, bien supérieure à celle d'un contentieux sur un signalement.

Le sinistre de Laetitia était évitable à plusieurs étapes.

1. Chiffrer les supports. Un disque chiffré rend les données illisibles en cas de vol ; la CNIL considère alors souvent que le risque est fortement réduit, parfois au point d'alléger l'obligation de notification individuelle.
2. Cloisonner les canaux. Les échanges sur un mineur ne doivent jamais transiter par une messagerie personnelle. Anonymisez ou pseudonymisez l'enfant dans tout document partagé.
3. Documenter le signalement. Conserver la trace datée de la transmission à la CRIP prouve la bonne foi et la diligence, et désamorce une grande partie de la plainte des parents.

Au-delà de ces réflexes, adoptez une logique de minimisation : ne conservez que les données strictement nécessaires à votre mission, et fixez une durée de conservation au-delà de laquelle vous les supprimez. Moins vous stockez d'informations sensibles, plus faible est l'impact d'un incident. C'est exactement le raisonnement qu'attend la CNIL et que votre assureur cyber valorise lors de l'évaluation du sinistre.

La meilleure assurance reste préventive : une couverture adaptée prend le relais quand, malgré tout, l'incident survient. Les détails de garanties applicables à ce métier figurent sur la page consultant en éducation.