Smartphones confiés : ce que la loi vous interdit de faire des données

Quand un client vous tend son téléphone pour un changement d'écran, il ne vous confie pas qu'un objet. Il vous remet ses photos intimes, ses messages, ses identifiants bancaires, sa géolocalisation, parfois des documents professionnels confidentiels. Pour le droit, cet appareil est un traitement de données personnelles ambulant, et vous en devenez le gardien de fait dès qu'il franchit votre comptoir.

Cette réalité a deux conséquences immédiates :

• Vous êtes tenu à une obligation de sécurité et de confidentialité sur ces données pendant toute la durée de la garde.
• Toute consultation excédant le besoin strictement technique de la réparation peut être qualifiée d'atteinte à la vie privée.

Beaucoup de réparateurs sous-estiment ce point parce qu'il n'apparaît jamais sur un devis. Pourtant, c'est l'une des zones de risque les plus mal couvertes du métier, à la croisée du pénal, du RGPD et de la responsabilité civile.

La ligne de partage est plus simple qu'il n'y paraît : vous avez le droit d'accéder à ce qui est nécessaire à la réparation, rien de plus.

Ce qui est légitime

• Allumer l'appareil et tester l'écran, le tactile, l'appareil photo pour vérifier votre intervention.
• Demander le code de déverrouillage si le test l'exige, en l'expliquant au client.
• Effectuer une sauvegarde à la demande expresse et écrite du client, dans le cadre convenu.

Ce qui est interdit

• Ouvrir la galerie photo, les messages ou les applications par curiosité ou pour "vérifier" au-delà du test technique.
• Copier, transférer ou conserver des données du client sur un autre support sans son accord explicite.
• Diffuser, montrer ou commenter un contenu trouvé sur l'appareil, fût-ce à un collègue.

Le simple fait de consulter sans droit les données contenues dans un appareil confié peut relever de l'atteinte au secret des correspondances et de l'atteinte à la vie privée, sanctionnées pénalement. La diffusion d'images intimes sans consentement constitue un délit distinct, plus grave encore.

S'ajoute le volet RGPD : en tant que professionnel manipulant des données pour le compte de vos clients, la CNIL attend de vous des mesures de sécurité proportionnées et peut prononcer des sanctions administratives en cas de manquement avéré, notamment après une fuite.

Une zone grise mérite votre attention : le service de sauvegarde et transfert de données que beaucoup de boutiques proposent en complément. Dès lors que vous copiez les données d'un client sur votre matériel, même temporairement, vous devenez détenteur d'un double de sa vie numérique. Cela impose un cadre : accord écrit, durée de conservation limitée, suppression certaine une fois le transfert effectué, et sécurisation du support intermédiaire. Une sauvegarde "oubliée" sur un disque de boutique qui est ensuite volé, c'est une fuite de données dont vous répondez, alors même que vous pensiez rendre service.

C'est le scénario que tout réparateur redoute et que beaucoup ne savent pas gérer : au cours d'un test, un contenu manifestement illégal apparaît à l'écran. Que faire ?

Deux écueils symétriques vous guettent :

1. Fouiller davantage pour "en avoir le cœur net". Vous aggravez alors votre propre exposition : vous accédez délibérément à des données, vous manipulez potentiellement des contenus illicites, et vous brouillez les pistes pour une éventuelle enquête.
2. Ignorer et rendre l'appareil comme si de rien n'était. Selon la nature du contenu, l'absence de signalement peut, dans certains cas graves, vous être reprochée.

La conduite à tenir est mesurée : ne cherchez pas à constituer des preuves vous-même, n'effacez rien, ne copiez rien, et orientez-vous vers un signalement aux autorités compétentes selon la gravité. Documentez ce que vous avez vu de manière factuelle et conservez la trace de votre démarche. En cas de doute sérieux, une protection juridique professionnelle vous permet d'être conseillé avant d'agir, plutôt que de prendre seul une décision lourde de conséquences.

Il existe aussi un risque inverse, plus insidieux : être accusé à tort d'avoir consulté ou diffusé un contenu. Un client en colère, persuadé que vous avez "vu ses photos", peut porter plainte sur la seule base de sa conviction. Ici encore, votre protection ne repose pas sur des dénégations mais sur la traçabilité de votre intervention : une fiche qui montre que vous n'avez accédé qu'aux fonctions strictement nécessaires au test, un accès limité dans le temps, une absence totale de copie. Sans cette discipline, vous vous retrouvez à devoir prouver une négative, ce qui est juridiquement très inconfortable. La protection juridique de votre contrat prend alors en charge votre défense, les frais d'avocat et l'éventuelle expertise technique destinée à démontrer qu'aucune donnée n'a été extraite.

Tous les sinistres data ne sont pas spectaculaires. Le plus fréquent est silencieux : un client confie son téléphone, vous réalisez un flashage ou une réinitialisation, et ses photos de dix ans disparaissent. Aucun verre brisé, mais un préjudice immatériel bien réel que le client va vous réclamer.

Trois familles de sinistres data dominent :

• La perte de données lors d'une réinitialisation, d'un transfert ou d'une désoxydation. Le préjudice est immatériel mais chiffrable : reconstitution, perte d'éléments irremplaçables.
• La fuite de données consécutive au vol de votre poste de travail, de votre sauvegarde, ou à une intrusion sur vos systèmes.
• La compromission liée à une consultation indue ou à un appareil mal effacé revendu avec les données du précédent propriétaire.

La garantie dommages immatériels de votre RC Pro couvre la perte de données causée à un client lors d'une prestation. Mais dès que le risque touche vos propres systèmes, vos sauvegardes ou vos données de gestion, c'est une assurance cyber qui prend le relais : notification des personnes concernées, frais d'expertise informatique, gestion de crise et défense face aux réclamations. Pour une boutique qui stocke des comptes clients, des sauvegardes et des coordonnées, ces deux couvertures sont complémentaires, pas redondantes.

La meilleure assurance est doublée d'une discipline interne. Quelques mesures simples réduisent drastiquement votre exposition et constituent, en cas de litige, la preuve de votre sérieux.

Les bons réflexes

• Faire signer une décharge data avant toute intervention touchant le contenu : sauvegarde demandée ou non, risque de perte assumé, code de déverrouillage transmis volontairement.
• Limiter l'accès au strict besoin technique et le documenter sur la fiche d'intervention.
• Effacer de façon certaine tout appareil repris ou reconditionné avant revente, et le tracer.
• Sécuriser vos propres outils : poste verrouillé, sauvegardes chiffrées, accès limités.

L'erreur à ne pas commettre

Croire que "je ne touche jamais aux photos" suffit. Le jour où un client vous accuse d'avoir vu, copié ou perdu ses données, c'est votre procédure écrite qui démontre votre bonne foi. Sans elle, c'est parole contre parole, et le professionnel part avec le désavantage de la présomption de compétence.

Pour un spécialiste de la réparation de téléphones, traiter la donnée avec le même soin que le matériel n'est plus une option : c'est une composante centrale du métier et de sa couverture assurantielle.