Les verbatims qui ne devaient jamais sortir : la fuite de données RPS dont vous êtes responsable

Une mission QVCT, et plus encore un diagnostic des risques psychosociaux (RPS), repose sur la collecte de matière humaine extrêmement sensible. Vous recueillez des verbatims d'entretiens, des réponses à des questionnaires sur le stress, le harcèlement, l'épuisement, parfois des témoignages nominatifs sur des conflits hiérarchiques ou des situations de souffrance.

Juridiquement, ces données relèvent souvent des catégories particulières au sens du RGPD : elles touchent à la santé, y compris mentale. Leur traitement impose un niveau de protection renforcé. Et même lorsque vous prétendez les avoir anonymisées, la réalité est plus fragile : dans une équipe de douze personnes, un verbatim qui mentionne « la seule femme du service technique » ou « le manager arrivé en janvier » est en pratique réidentifiant.

Le consultant est, sur ces traitements, soit responsable de traitement, soit sous-traitant au sens du RGPD. Dans les deux cas, il porte des obligations de sécurité et de confidentialité dont le manquement engage sa responsabilité propre.

Fin de mission. Vous préparez la restitution pour le comité de direction. Vous compilez dans un tableur les verbatims bruts, classés par service, avant de produire la version anonymisée destinée au client. Pressé, vous joignez par erreur le fichier brut — celui qui contient les citations identifiantes — à un mail adressé non pas au DRH, mais à une liste de diffusion interne incluant des managers de proximité.

En quelques minutes, plusieurs managers découvrent les propos exacts tenus par leurs propres équipes sur leur management. Un salarié, reconnaissable dans un verbatim qui décrit une situation de harcèlement, est identifié. La situation devient ingérable : tensions internes, salarié qui se sent trahi, climat dégradé.

Trois conséquences se déclenchent en cascade :

• une violation de données personnelles au sens du RGPD, potentiellement notifiable à la CNIL sous 72 heures ;
• une plainte du salarié identifié pour atteinte à sa vie privée et préjudice moral ;
• une mise en cause par le client, qui vous reproche d'avoir compromis la confidentialité contractuelle de la démarche.

La fuite par erreur d'envoi est la plus banale, mais ce n'est pas la seule. Le consultant QVCT concentre sur son ordinateur portable et ses outils cloud une base de données particulièrement convoitée :

• Le vol ou la perte du matériel : un portable non chiffré oublié dans un train expose l'intégralité des verbatims et questionnaires.
• Le rançongiciel : un consultant indépendant est une cible facile. Le chiffrement de vos fichiers vous prive de vos livrables et, si les données sont exfiltrées, le maître-chanteur menace de les publier.
• La compromission d'un outil de questionnaire en ligne : si la plateforme que vous utilisez pour collecter les réponses RPS est piratée, c'est vous, en tant que donneur d'ordre du traitement, qui répondez vis-à-vis des personnes.

La gravité d'une fuite RPS ne se mesure pas au nombre de fichiers, mais à la sensibilité de leur contenu. Cent réponses sur la souffrance au travail valent, en risque réputationnel et juridique, bien plus que des milliers de coordonnées commerciales.

Face à ces scénarios, une assurance cyber joue un rôle déterminant : elle finance la cellule de crise, l'expertise technique pour qualifier la violation, l'accompagnement à la notification CNIL et la prise en charge des recours des personnes concernées.

Le manquement le plus souvent reproché n'est pas la fuite elle-même, mais l'insuffisance des mesures de sécurité en amont. La CNIL et les juges apprécient si vous aviez mis en place des protections proportionnées à la sensibilité des données. Les attendus de base :

1. Le chiffrement des fichiers et du poste de travail, pour qu'un matériel volé ne livre rien d'exploitable.
2. La minimisation : ne collecter que le nécessaire et anonymiser réellement, en tenant compte du risque de réidentification dans les petites équipes.
3. La traçabilité des accès et la séparation stricte entre fichiers bruts et livrables anonymisés.
4. Un contrat clair avec le client définissant qui est responsable de traitement, qui est sous-traitant, et les engagements de confidentialité.
5. Une procédure de réaction en cas de violation, pour respecter le délai de 72 heures.

Démontrer que vous aviez pris ces mesures change radicalement votre position : vous passez d'un manquement caractérisé à un incident maîtrisé. C'est aussi ce que valorise votre assureur cyber pour limiter votre exposition. La fiche consultant QVCT détaille les couvertures adaptées à ces enjeux.

La meilleure protection reste une discipline de traitement irréprochable. Quelques réflexes réduisent fortement le risque et la gravité d'une fuite :

• Chiffrez systématiquement votre poste, vos supports amovibles et vos sauvegardes cloud.
• Séparez physiquement les fichiers bruts identifiants des livrables anonymisés, et supprimez les bruts dès qu'ils ne sont plus nécessaires.
• Vérifiez deux fois le destinataire avant tout envoi contenant des verbatims, et préférez un espace partagé sécurisé à la pièce jointe.
• Anonymisez en pensant réidentification : neutralisez les fonctions, l'ancienneté, le genre dès qu'une équipe est petite.
• Contractualisez la confidentialité et le rôle RGPD de chacun avant de commencer la collecte.

La rigueur sur la donnée est le cœur même de la crédibilité du consultant QVCT : une démarche dont la confidentialité est compromise perd toute valeur. Sécuriser vos traitements et votre couverture, c'est protéger à la fois les salariés, votre client et votre réputation.