Vous annotez des visages et des dossiers médicaux : ce que le RGPD exige de vous
Étiqueter des images de personnes ou des données de santé n'est pas anodin : le RGPD vous range parmi les sous-traitants, avec des obligations contractuelles précises.
- Annoter des données personnelles vous donne le statut de sous-traitant au sens de l'article 28 du RGPD.
- Ce statut impose un contrat écrit (DPA), des mesures de sécurité et une obligation de notification au client.
- Les données biométriques (visages, voix) et de santé sont des données sensibles à régime renforcé.
- En cas de fuite, l'option Cyber finance la remédiation et la notification ; la RC Pro couvre le préjudice du client.
Annoter des données personnelles fait de vous un sous-traitant RGPD
Beaucoup de data labellers freelances ignorent leur statut réel au regard du RGPD. Pourtant, dès lors que vous traitez des données à caractère personnel pour le compte d'un client — visages identifiables, plaques d'immatriculation, voix, noms, dossiers — vous entrez dans la définition de l'article 28 du RGPD : vous êtes un sous-traitant.
Le client (l'entreprise qui collecte les données et décide de leur finalité) est le responsable de traitement. Vous, qui traitez ces données sur ses instructions, êtes son sous-traitant. Cette qualification n'est pas optionnelle : elle découle de la nature de l'activité, pas d'un choix contractuel.
La conséquence est immédiate : vous héritez d'obligations légales propres, et votre responsabilité peut être engagée directement par la CNIL ou par les personnes concernées, et non plus seulement par votre client.
Le DPA : le contrat sans lequel vous travaillez dans l'illégalité
L'article 28 impose qu'un contrat écrit encadre la relation entre responsable et sous-traitant. C'est l'accord de traitement des données, ou DPA (Data Processing Agreement). En l'absence de DPA, le traitement lui-même est irrégulier — pour vous comme pour votre client.
Ce contrat doit notamment préciser :
- L'objet, la durée et la finalité du traitement que vous réalisez.
- L'obligation de n'agir que sur instruction documentée du client.
- Les mesures de sécurité techniques et organisationnelles que vous mettez en œuvre.
- Votre obligation d'assister le client en cas de demande d'exercice de droits ou de violation.
- Le sort des données en fin de mission : suppression ou restitution.
Accepter une mission d'annotation de données personnelles sans DPA, c'est accepter un risque juridique non couvert. Exiger ce document avant de démarrer fait partie de votre devoir professionnel.
Données biométriques et de santé : le régime renforcé
Une part croissante des projets d'annotation porte sur des données sensibles au sens de l'article 9 du RGPD. C'est le cas dès que vous étiquetez :
- Des visages dans le cadre d'un système de reconnaissance (donnée biométrique).
- Des empreintes vocales pour de la reconnaissance du locuteur.
- Des imageries médicales, des comptes rendus, des données de patients.
Ces catégories bénéficient d'une protection renforcée. Une fuite y est jugée plus grave, les sanctions plus lourdes, et l'obligation de sécurité plus exigeante. Concrètement, cela vous interdit de manipuler ces données sur un poste personnel mal sécurisé, de les copier hors de l'environnement du client, ou de les conserver après la mission.
Sortir un seul fichier de données de santé de l'environnement sécurisé du client pour "finir l'annotation chez soi" peut suffire à caractériser une violation de données.
Une fuite survient : qui paie quoi ?
Imaginons le scénario : votre poste est compromis, ou vous transférez par erreur un échantillon de données personnelles via un canal non chiffré. La violation est avérée. Plusieurs lignes de coûts s'ouvrent simultanément :
| Conséquence | Qui la supporte |
|---|---|
| Notification CNIL sous 72 h | Responsable de traitement, avec votre assistance |
| Information des personnes concernées | Coût de remédiation |
| Analyse forensique de l'incident | Coût technique |
| Préjudice commercial du client | Réclamation contre vous |
La RC Pro indemnise le préjudice subi par votre client du fait de la fuite. Mais elle ne couvre pas les frais propres à la gestion de l'incident cyber. C'est le rôle de l'assurance Cyber, qui finance l'expertise forensique, les frais de notification et la remédiation. Pour un annotateur manipulant des données sensibles, les deux garanties sont complémentaires, pas substituables.
Réduire le risque avant qu'il ne se réalise
Au-delà de l'assurance, votre meilleure protection reste l'hygiène de travail. Quelques principes structurants :
- Travaillez dans l'environnement du client quand il le fournit (plateforme hébergée, VDI, accès distant). Ne rapatriez jamais les données localement.
- Chiffrez et cloisonnez si vous devez stocker temporairement des données : disque chiffré, session dédiée, pas de synchronisation cloud personnelle.
- Supprimez à la fin de la mission et conservez une preuve de suppression, conformément au DPA.
- Ne sous-traitez pas sans accord : faire annoter par un tiers sans autorisation écrite du client est une violation contractuelle classique.
Ces réflexes réduisent drastiquement la probabilité d'une violation. L'assurance, elle, traite la part de risque résiduel — celle qu'aucune précaution n'élimine totalement, comme une compromission de poste ou une erreur humaine. Le métier d'annotateur et ses garanties dédiées sont détaillés sur notre fiche assurance data labeller.
Questions fréquentes
Oui, dès que vous traitez des données personnelles pour le compte d'un client. Le statut découle de la nature de l'activité, pas d'un choix. Le client est responsable de traitement, vous êtes son sous-traitant au sens de l'article 28, avec des obligations légales propres.
Le DPA (accord de traitement des données) est le contrat écrit imposé par l'article 28 entre responsable et sous-traitant. Il est obligatoire : sans lui, le traitement est irrégulier. Il fixe la finalité, les mesures de sécurité, vos obligations d'assistance et le sort des données en fin de mission.
Oui. Ce sont des données sensibles au sens de l'article 9, à régime renforcé. L'obligation de sécurité est plus exigeante, les sanctions plus lourdes en cas de fuite, et il vous est notamment interdit de sortir ces données de l'environnement sécurisé du client.
Non. La RC Pro couvre le préjudice subi par votre client à cause de la fuite, mais pas les frais propres de gestion de l'incident. L'option Cyber finance l'expertise forensique, la notification CNIL et la remédiation. Les deux sont complémentaires pour un annotateur de données sensibles.
C'est fortement déconseillé et souvent contractuellement interdit. Privilégiez l'environnement fourni par le client. Si vous devez stocker localement, chiffrez, cloisonnez et supprimez en fin de mission avec preuve. Sortir des données sensibles de l'environnement sécurisé peut caractériser une violation.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Data labeller — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Data labeller →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.