Tester avec les données de la prod : ce que le RGPD interdit (vraiment) au QA
"On a importé un dump de la prod sur l'environnement de recette, c'est plus simple pour reproduire les bugs." Cette phrase, vous l'avez entendue, peut-être dite. Elle peut coûter une amende CNIL et engager votre responsabilité personnelle.
- Utiliser des données réelles en environnement de test sans base légale est un traitement non conforme au RGPD.
- La CNIL sanctionne régulièrement les copies de prod en recette (jusqu'à 4 % du CA mondial du responsable de traitement).
- Le testeur QA peut être co-responsable ou sous-traitant au sens RGPD selon son contrat — avec des obligations distinctes.
- L'anonymisation irréversible et la pseudonymisation tracée sont les deux alternatives sérieuses, à distinguer juridiquement.
La pratique invisible que tout le monde fait
Dans la vraie vie des équipes produit, le dump de production sur l'environnement de recette est un classique. C'est la solution la plus rapide pour reproduire un bug client, valider une migration, ou tester un nouveau parcours avec des données réalistes. La table users, la table orders, parfois la table payments : tout y passe.
Le problème, c'est que cette copie constitue un traitement de données personnelles au sens de l'article 4 du RGPD. Et ce traitement doit reposer sur une base légale (art. 6 RGPD), respecter le principe de minimisation (art. 5.1.c), et faire l'objet de mesures de sécurité appropriées (art. 32). Trois conditions rarement remplies dans un environnement de recette "vite fait".
Ce que la CNIL sanctionne réellement
La CNIL ne fait pas la chasse aux QA individuels, mais elle sanctionne lourdement les entreprises qui copient leur prod en environnement de test sans précaution. Quelques exemples instructifs :
- Délibération CNIL n°SAN-2019-006 (Sergic) : 400 000 € d'amende. Parmi les manquements relevés, des données de candidats à la location accessibles via des URL prévisibles, héritage d'environnements de test mal cloisonnés.
- Délibération SAN-2020-008 (Spartoo) : 250 000 €. Conservation excessive de données et défaut de chiffrement — incluant des bases de recette qui contenaient des CVV de cartes bancaires.
- Mises en demeure publiques répétées sur des éditeurs SaaS pour des bases de pré-production exposées sur Internet sans authentification, contenant des données réelles.
Le motif récurrent est toujours le même : défaut de sécurité par défaut et absence de séparation environnement / production. Le QA n'est pas nommément cité, mais c'est son périmètre opérationnel.
Êtes-vous responsable de traitement, sous-traitant, ou simple exécutant ?
La qualification RGPD de votre rôle change radicalement vos obligations. Trois cas typiques :
QA salarié de l'éditeur
Vous agissez sous l'autorité du responsable de traitement (votre employeur). Vous n'êtes pas personnellement responsable au sens RGPD, mais une faute manifeste peut justifier une sanction disciplinaire interne, voire un recours civil.
QA freelance ou consultant en régie
Si vous traitez des données personnelles pour le compte du client, vous êtes sous-traitant RGPD (art. 28). Un contrat de sous-traitance écrit est obligatoire. Sans contrat, vous êtes en infraction — et vous engagez votre responsabilité personnelle, qui peut aller jusqu'à 10 millions d'euros ou 2 % du CA mondial.
QA d'un cabinet de conseil
Le cabinet est sous-traitant, vous êtes son préposé. Mais si vous décidez seul des moyens (par exemple, copier la prod sans validation), vous pouvez devenir co-responsable de traitement de fait.
Dans 90 % des missions QA freelance, le contrat de sous-traitance RGPD prévu par l'article 28 est absent. C'est le premier point à régulariser.
Anonymisation et pseudonymisation : la confusion qui coûte cher
Beaucoup d'équipes pensent "anonymiser" leurs jeux de test en remplaçant les noms par user_001, user_002. C'est de la pseudonymisation, pas de l'anonymisation. Et la différence est majeure juridiquement.
| Technique | Statut RGPD | Réversibilité |
|---|---|---|
| Pseudonymisation (hash, table de correspondance) | Reste une donnée personnelle, RGPD applicable | Réversible avec la clé |
| Anonymisation (k-anonymat, généralisation) | Sort du périmètre RGPD si correctement faite | Irréversible |
| Données synthétiques (génération à partir d'un modèle statistique) | Hors RGPD si pas de réidentification possible | N/A |
Le G29 (avis 05/2014) et la CNIL exigent trois critères cumulés pour qu'une donnée soit considérée comme anonyme : impossibilité d'individualiser, impossibilité de corréler avec un autre jeu, impossibilité de déduire. Concrètement, un dump "masqué" qui conserve les dates de naissance et les codes postaux complets n'est pas anonyme.
Le protocole en 5 étapes que tout QA devrait imposer
Voici la marche à suivre quand un client ou un chef de projet vous demande "un dump de la prod pour tester" :
- Demander la base légale. Le responsable de traitement doit pouvoir documenter pourquoi la copie est légale (intérêt légitime, généralement, avec analyse d'impact).
- Exiger un contrat de sous-traitance article 28. Si vous êtes freelance, c'est non négociable. Sans contrat, refusez de manipuler la donnée.
- Minimiser les données. Ne copiez que les tables nécessaires, et seulement les colonnes utiles. Le numéro de Sécurité sociale n'a aucune raison de remonter en recette.
- Anonymiser ou générer. Privilégiez des outils dédiés (Faker, Synthea, Tonic.ai, ARX) plutôt qu'un script maison. Tracez la méthode.
- Cloisonner l'environnement. VPN, authentification forte, pas d'exposition Internet, journalisation des accès, purge automatique après chaque campagne de test.
Documenter ce protocole dans une note de cadrage QA signée par le DPO vous met à l'abri d'une mise en cause personnelle en cas de fuite.
Ce que la garantie Cyber couvre — et ce qu'elle ne couvre pas
Une RC Pro classique ne couvre pas, ou très mal, les sanctions administratives type CNIL et les frais associés à une notification de violation. Pour un testeur QA qui manipule des bases potentiellement sensibles, l'option Cyber est devenue indispensable. Elle prend en charge typiquement :
- Les frais d'expertise forensique pour qualifier une fuite (souvent 15 000 à 40 000 €).
- Les frais de notification aux personnes concernées (envois recommandés, plateforme téléphonique).
- Les frais de défense en cas de procédure CNIL ou de class action.
- Une partie des pertes d'exploitation consécutives à un incident.
Attention : les amendes administratives CNIL ne sont pas assurables en droit français (principe d'ordre public). Aucun contrat ne peut payer votre amende à votre place. La garantie Cyber finance la défense et les conséquences indirectes, pas la sanction elle-même.
Pour comprendre les autres briques utiles à un consultant numérique, voir notre guide de l'assurance cyber pour les freelances IT.
Questions fréquentes
Pas automatiquement. L'instruction du client ne vous exonère pas si elle est manifestement illégale (art. 28.3 RGPD). Vous devez alerter par écrit et refuser si l'instruction reste non conforme. Conservez la trace de votre alerte.
C'est risqué. Toute donnée personnelle réelle attachée à un ticket reste une donnée personnelle, soumise au RGPD. Privilégiez des données synthétiques dans vos tickets, ou anonymisez systématiquement les captures d'écran.
Pas spécifiquement, mais si votre client a un DPO, faites-le valider vos jeux de test. S'il n'y en a pas, demandez à l'éditeur de désigner un référent RGPD pour vos campagnes. C'est une protection mutuelle.
Pour un QA qui manipule potentiellement des données sensibles, la garantie Cyber est fortement recommandée en complément. La RC Pro couvre la faute professionnelle, la Cyber couvre les conséquences techniques et juridiques d'une fuite ou d'une attaque.
Alertez immédiatement par écrit (email avec accusé de lecture) le responsable du projet et le DPO s'il existe. Demandez une mise en quarantaine sous 24h. Conservez la trace de votre alerte : c'est votre meilleure défense en cas d'enquête CNIL.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Testeur QA / consultant qualité logicielle — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Testeur QA / consultant qualité logicielle →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.