Réparer un PC, c'est accéder aux données du client : la zone grise juridique

Lorsqu'un client dépose son ordinateur portable pour un changement d'écran ou une récupération de données, il vous remet bien plus qu'un objet : il vous confie ses photos de famille, ses relevés bancaires, ses identifiants, ses correspondances professionnelles et parfois les données de ses propres clients. Un disque dur de particulier contient en moyenne plusieurs dizaines de milliers de fichiers personnels.

La plupart des réparations imposent un accès complet à la machine : démarrer la session, tester le bon fonctionnement après intervention, transférer des données vers un nouveau support. Techniquement, vous pouvez tout voir. Et c'est précisément là que se situe la zone grise : le droit ne distingue pas l'accès volontaire de l'accès technique inévitable. Dès lors que vous êtes en mesure de consulter des données personnelles, vous entrez dans le champ du Règlement général sur la protection des données.

Beaucoup de magasins informatiques fonctionnent depuis des années sans jamais avoir formalisé ce point. Tant qu'aucun incident ne survient, le sujet reste invisible. Mais le jour où un client découvre que ses photos privées ont été copiées, ou qu'une panne de sécurité a exposé ses fichiers, la question de votre responsabilité devient brutalement concrète.

Le statut juridique dépend de ce que vous faites des données. Deux situations se présentent au quotidien dans un magasin informatique :

• Réparation matérielle simple (écran, batterie, clavier) : vous n'avez pas vocation à traiter les données, mais vous y avez accès. Vous êtes tenu à une obligation de confidentialité et de sécurité, comme tout dépositaire d'un bien.
• Récupération ou sauvegarde de données : vous manipulez activement les fichiers du client. Vous devenez alors sous-traitant au sens de l'article 28 du RGPD, agissant pour le compte du client qui reste responsable de traitement.

Dans les deux cas, deux principes s'imposent : la minimisation (n'accéder qu'aux données strictement nécessaires à l'intervention) et la sécurité (protéger les fichiers pendant qu'ils sont sous votre garde). Ouvrir un dossier « Photos » par curiosité, ou laisser un poste de travail accessible à tout le personnel sans traçabilité, constitue un manquement caractérisé.

La CNIL rappelle régulièrement qu'un professionnel qui accède à des données personnelles dans le cadre de sa prestation doit pouvoir démontrer qu'il en a limité l'accès et garanti la sécurité. La charge de la preuve pèse sur vous, pas sur le client.

Imaginez : un poste de votre atelier, sur lequel transitent les disques durs en récupération, est infecté par un rançongiciel. Les fichiers de plusieurs clients sont chiffrés, voire exfiltrés. Vous êtes désormais confronté à une cascade d'obligations et de coûts :

• Notification à la CNIL sous 72 heures si la violation présente un risque pour les personnes concernées ;
• Information des clients dont les données ont été compromises ;
• Réclamations des clients pour le préjudice subi (usurpation d'identité, divulgation de données sensibles) ;
• Coûts techniques d'investigation, de remédiation et de restauration.

Pour un magasin de quartier, l'addition entre l'expertise informatique, l'accompagnement juridique et les éventuelles indemnisations atteint rapidement plusieurs milliers d'euros, sans compter l'atteinte à la réputation. Un commerce de proximité vit de la confiance : un incident public mal géré peut faire fuir une clientèle fidélisée en quelques semaines.

C'est exactement ce type de sinistre que couvre une assurance cyber : prise en charge de la cellule de crise, des frais de notification, de l'assistance juridique et des réclamations de tiers liées à la fuite.

Sécuriser votre activité ne demande pas une infrastructure de banque. Quelques mesures concrètes suffisent à démontrer votre sérieux et à réduire le risque :

1. Une clause de confidentialité au bon de dépôt : le client est informé que ses données peuvent être accessibles pour les besoins de l'intervention, et que vous vous engagez à la confidentialité.
2. Le principe du moindre accès : ne vous connectez à la session du client que lorsque c'est indispensable, et privilégiez les tests qui n'exigent pas d'ouvrir ses fichiers personnels.
3. Un poste atelier sécurisé : antivirus à jour, accès restreint, pas de connexion des disques clients à un poste utilisé pour la navigation web quotidienne.
4. L'effacement sécurisé : lorsque vous reprenez ou recyclez un ancien matériel, effacez les données de manière irréversible et documentez-le.
5. La traçabilité : qui a manipulé quelle machine, et pour quelle opération. En cas de litige, cette traçabilité fait la différence.

Ces réflexes, combinés à une assurance RC Pro qui couvre vos fautes professionnelles et à une garantie cyber dédiée aux données, constituent un socle de protection cohérent pour un magasin informatique.

Une erreur fréquente consiste à penser que la responsabilité civile professionnelle couvre tout. C'est faux pour les données. La RC Pro classique indemnise les dommages matériels et immatériels consécutifs que vous causez à un tiers : un appareil cassé, une mauvaise manipulation. Mais la gestion d'une violation de données – notification réglementaire, cellule de crise, cyber-investigation – relève d'un univers à part.

Le risque numérique appelle des garanties spécifiques qui ne figurent pas dans un contrat de responsabilité standard : prise en charge de l'extorsion en cas de rançongiciel, frais de reconstitution de données, pertes d'exploitation liées à une interruption de votre système. C'est pourquoi un magasin informatique a tout intérêt à associer RC Pro pour ses fautes professionnelles et garantie cyber pour les données et son système d'information.

Pour découvrir le détail de ces protections appliquées à votre commerce, consultez notre page assurance magasin informatique.