Dossiers de transition : vos données bénéficiaires, une bombe RGPD

On imagine l'outplacement comme un service RH classique. En réalité, vous manipulez une concentration de données rarement réunies ailleurs. Au fil de l'accompagnement, votre dossier rassemble : la rémunération précise et les prétentions, le motif réel du départ (souvent un conflit ou une rupture difficile), les résultats d'un bilan de compétences, les hésitations de carrière, les échecs passés, et parfois — lors d'un coaching de transition — des éléments touchant à l'état psychologique ou de santé du bénéficiaire.

Or, sous le RGPD, certaines de ces informations relèvent des catégories particulières (données de santé notamment), soumises à un régime renforcé. Même hors de ces catégories, l'ensemble constitue un profil intime dont la divulgation peut nuire gravement à la personne — typiquement, ruiner sa prochaine candidature si un futur employeur apprenait le motif réel de son départ.

Cette sensibilité est précisément ce qui fait votre valeur : le bénéficiaire se confie parce qu'il vous fait confiance. C'est aussi ce qui fait votre exposition.

Dès lors que vous décidez des finalités et des moyens du traitement — ce qui est le cas pour votre accompagnement —, vous êtes responsable de traitement au sens du RGPD. Cela impose un socle d'obligations concrètes :

• Information et base légale : le bénéficiaire doit savoir quelles données vous collectez, pourquoi, et combien de temps vous les conservez. La base légale repose généralement sur l'exécution du contrat d'accompagnement, et sur le consentement pour les données les plus sensibles.
• Minimisation : ne collectez que ce qui est utile à la mission. Un détail médical noté "pour comprendre le contexte" mais inutile au reclassement n'a pas sa place dans le dossier.
• Durée de conservation limitée : une fois la mission close et le délai de prescription écoulé, le dossier doit être archivé puis supprimé. Conserver indéfiniment des bilans "au cas où" est une faute.
• Sécurité : accès restreint, chiffrement, mots de passe robustes, sauvegardes. Un poste partagé ou un cloud mal configuré suffit à créer la faille.
• Droits des personnes : accès, rectification, effacement. Le bénéficiaire peut demander à voir son dossier.

Le manquement à ces obligations n'est pas qu'un risque d'image : la CNIL peut sanctionner, et le bénéficiaire lésé peut demander réparation.

Trois points de vigilance reviennent souvent dans les cabinets d'outplacement. D'abord, le recours à des outils tiers — plateformes de coaching, tests de personnalité en ligne, CRM de suivi : chacun devient un sous-traitant au sens du RGPD, qui doit présenter des garanties et faire l'objet d'un contrat encadrant le traitement. Ensuite, l'hébergement des données hors de l'Union européenne, fréquent avec des outils américains, qui suppose des garanties supplémentaires. Enfin, les échanges informels par e-mail ou messagerie, où des informations sensibles circulent sans chiffrement ni traçabilité. Cartographier ces flux est le premier pas d'une mise en conformité crédible.

Voici la tension la plus délicate de votre métier. L'entreprise cliente finance la prestation et veut, légitimement, savoir si le bénéficiaire "joue le jeu". Mais le bénéficiaire s'est confié à vous, pas à son ancien employeur.

La règle juridique et déontologique est stricte : vous pouvez communiquer à l'entreprise des éléments de suivi factuels et globaux (la mission a démarré, le bénéficiaire est assidu, le projet avance), mais jamais le contenu intime de l'accompagnement — ses doutes, son bilan psychologique, ses négociations salariales avec un futur employeur, ses confidences sur l'ancien manager.

Le bénéficiaire n'a pas consenti à ce que ses confidences remontent à la DRH. Divulguer ces éléments, même de bonne foi, est à la fois une violation RGPD et un manquement déontologique engageant votre responsabilité.

La bonne pratique : clarifier dès le départ, par écrit, le périmètre exact des informations transmises à l'entreprise, et le faire savoir au bénéficiaire. Cette transparence vous protège des deux côtés et désamorce le litige bénéficiaire le plus fréquent — celui de la confidentialité trahie.

Pour outiller ce principe, distinguez physiquement deux niveaux d'information. Le reporting destiné à l'entreprise ne contient que des indicateurs factuels et anonymisables : nombre d'entretiens réalisés, état d'avancement, assiduité. Le dossier d'accompagnement, lui, reste strictement confidentiel et n'est jamais communiqué tel quel. Cette séparation, simple à mettre en place, évite la fuite involontaire — un copier-coller malheureux dans un mail à la DRH, un compte rendu trop détaillé — qui est à l'origine de bien des contentieux.

Gardez aussi en tête que ce reproche relève autant du manquement professionnel que de la violation RGPD. Un bénéficiaire dont une confidence a remonté à son ancien employeur pourra invoquer un préjudice (perte de chance sur une candidature en cours, atteinte à sa réputation). C'est alors votre responsabilité civile professionnelle qui est mobilisée, indépendamment de toute sanction administrative.

Imaginez un cabinet d'outplacement de trois consultants. Un e-mail piégé, un clic, et un rançongiciel chiffre l'ensemble des dossiers. Les attaquants exfiltrent les fichiers avant de réclamer une rançon, et menacent de publier les dossiers bénéficiaires si elle n'est pas payée.

Les conséquences s'enchaînent vite :

• Notification CNIL sous 72 heures obligatoire, puisqu'il s'agit d'une violation de données personnelles à risque.
• Information individuelle des bénéficiaires dont les données ont fuité — démarche lourde et anxiogène.
• Activité paralysée le temps de restaurer les systèmes, avec des missions en cours bloquées.
• Réclamations des bénéficiaires dont le motif de départ ou le bilan se retrouverait exposé, avec préjudice de réputation à la clé.

La facture cumulée — expertise informatique, frais juridiques, notification, perte d'exploitation, éventuelles indemnisations — dépasse facilement plusieurs dizaines de milliers d'euros pour une petite structure. C'est précisément ce que finance une assurance cyber : la cellule de crise, la restauration, les obligations légales et les conséquences vis-à-vis des tiers.

Aucune mesure ne réduit le risque à zéro, mais la combinaison prévention + assurance le rend gérable. Côté prévention :

1. Chiffrez les dossiers et limitez les accès au strict nécessaire au sein du cabinet.
2. Activez la double authentification sur la messagerie et les outils cloud.
3. Sauvegardez régulièrement, hors ligne, pour pouvoir restaurer sans payer de rançon.
4. Formez les consultants au repérage des e-mails piégés — la faille est presque toujours humaine.
5. Formalisez une politique de conservation et purgez les dossiers échus.

Côté couverture, deux briques se complètent. L'assurance cyber traite l'incident technique et ses suites (notification, restauration, perte d'exploitation, réclamations de tiers). La RC Professionnelle, elle, intervient sur la dimension "faute de prestation" — par exemple un partage d'information indu avec l'entreprise cliente, qui relève du manquement professionnel plus que de l'attaque externe.

Pensez aussi à désigner, même de façon informelle dans une petite structure, un référent en charge de la protection des données. Son rôle : tenir à jour le registre des traitements, gérer les demandes d'accès des bénéficiaires, et déclencher la procédure de notification en cas d'incident. Cette responsabilité clairement attribuée évite la paralysie au moment où chaque heure compte — les 72 heures de notification à la CNIL passent vite quand personne ne sait qui pilote.

Pour un métier dont la matière première est la confiance, protéger les données du bénéficiaire n'est pas une option technique : c'est le cœur de votre crédibilité.