Quand un intérimaire emporte le fichier clients : une fuite chiffrée

Dans le tertiaire, l'intérimaire n'est pas cantonné à une tâche périphérique. Dès le premier jour de mission, un assistant commercial reçoit l'accès au CRM, un support comptable ouvre le logiciel de gestion, un opérateur helpdesk obtient les identifiants d'administration. La donnée sensible est entre les mains de l'intérimaire bien avant que sa fiabilité ait pu être éprouvée.

Le sinistre typique : en fin de mission, un assistant copie sur une clé USB ou s'envoie par messagerie personnelle le fichier clients et prospects de l'entreprise utilisatrice — quelques milliers de lignes : noms, e-mails, téléphones, parfois données de santé ou bancaires selon le secteur. Il rejoint un concurrent, ou monte sa propre activité. La fuite est découverte des semaines plus tard, quand des clients signalent un démarchage suspect.

À ce stade, plusieurs responsabilités s'enchevêtrent : celle de l'intérimaire (auteur), celle de l'utilisateur (responsable de traitement) et — c'est le point qu'oublient les dirigeants d'agence — celle de l'ETT, mise en cause pour avoir placé et insuffisamment cadré le profil.

Ce qui rend ce sinistre redoutable, c'est sa latence. Contrairement à un dégât matériel constaté sur l'instant, une exfiltration de fichier reste invisible jusqu'à ce qu'elle produise ses effets : un démarchage concurrent, une plainte client, une alerte d'un partenaire. Entre l'acte et la découverte, plusieurs semaines passent souvent, pendant lesquelles l'intérimaire a quitté la mission et la preuve technique se dégrade. L'agence apprend l'incident alors qu'elle n'a plus aucun lien opérationnel avec l'auteur, mais reste pleinement exposée au recours.

Une exfiltration de données personnelles est une violation de données au sens du RGPD. Elle ouvre des obligations à délai court et à fort enjeu :

• Notification à la CNIL sous 72 heures dès que la violation est susceptible d'engendrer un risque pour les personnes concernées.
• Information des personnes concernées lorsque le risque est élevé — ici, des clients dont les coordonnées circulent.
• Documentation de l'incident et des mesures prises, exigée en cas de contrôle.

Le responsable de traitement de premier rang est l'entreprise utilisatrice. Mais l'agence, qui a recruté et mis à disposition l'auteur, se retrouve happée dans la chaîne des responsabilités, surtout si elle n'a pas encadré l'accès aux données dans le contrat de mise à disposition ni vérifié les antécédents du candidat sur un poste sensible.

Les sanctions administratives du RGPD peuvent atteindre des montants très élevés, et s'ajoutent aux dommages-intérêts réclamés par les personnes et par le client. C'est exactement le terrain d'une assurance cyber conçue pour les ETT.

Au-delà des principes, voici à quoi ressemble l'addition d'un tel sinistre pour une agence mise en cause :

Très vite, on dépasse plusieurs dizaines de milliers d'euros, sans compter le coût réputationnel : une agence dont un intérimaire a volé un fichier client perd la confiance de ses utilisateurs. Pour une structure dont l'assurance coûte à partir de 34,90 €/mois, le rapport entre prime et exposition est sans commune mesure.

Le réflexe naturel du dirigeant d'ETT est de dire : « ce n'est pas moi qui ai volé le fichier, ni même qui détenais l'accès ». Juridiquement, cela ne suffit pas à l'écarter. L'entreprise utilisatrice, qui a subi le préjudice, cherchera à répartir la charge, et trois reproches reviennent systématiquement contre l'agence :

1. Défaut de vérification : avez-vous contrôlé les références d'un candidat que vous placiez sur un poste avec accès à des données confidentielles ?
2. Défaut d'information et de cadrage : avez-vous sensibilisé l'intérimaire à la confidentialité, prévu une clause adaptée ?
3. Défaut de réactivité : avez-vous coopéré une fois l'alerte donnée ?

Même si la part de responsabilité finalement retenue contre l'agence est minoritaire, elle doit financer sa défense dès la mise en cause. Et la violation de confidentialité par un intérimaire figure explicitement parmi les risques métier d'une ETT tertiaire.

Aucune garantie isolée ne couvre l'ensemble de ce sinistre. Le montage cohérent pour une ETT tertiaire combine :

• une garantie cyber qui finance la gestion de crise (forensique, notification CNIL, information des personnes) et les réclamations de tiers liées à la fuite ;
• la RC Pro ETT avec le volet violation de confidentialité et faute de l'intérimaire, qui répond du recours de l'entreprise utilisatrice ;
• la protection juridique pour les contentieux annexes, y compris l'action de l'agence contre l'intérimaire fautif.

Aucune garantie isolée ne couvre l'intégralité du sinistre : c'est l'imbrication qui protège.

La meilleure indemnisation reste celle qu'on n'a pas à mobiliser. Le risque de fuite par un intérimaire se pilote massivement en amont, au moment du placement, pas après l'incident. Voici la checklist à dérouler systématiquement pour les profils placés sur des postes à accès données :

• Vérifier et tracer les références du candidat avant tout placement sur un poste exposé (CRM, comptabilité, RH, helpdesk avec droits d'administration). La traçabilité est à la fois une protection juridique et une dissuasion.
• Insérer une clause de confidentialité explicite dans le contrat de mission, rappelant l'interdiction de copier, transférer ou conserver des données après la mission, et les sanctions encourues.
• Cadrer contractuellement le périmètre d'accès avec l'entreprise utilisatrice : principe du moindre privilège, suppression des accès dès la fin de mission, interdiction des supports amovibles personnels.
• Sensibiliser l'intérimaire à l'enjeu RGPD dès la prise de poste, même brièvement : un rappel formel change le comportement et démontre votre diligence.

Ces mesures ne suppriment pas le risque — un acte malveillant déterminé reste possible — mais elles déplacent radicalement la charge de la preuve. Le jour de la mise en cause, une agence qui exhibe ses vérifications, sa clause et son protocole d'accès n'est plus dans la même position qu'une agence qui a placé un profil sensible sans la moindre traçabilité.

Si la fuite se produit malgré tout, la qualité de votre réaction pèse lourd sur l'issue. Trois priorités dans les premières heures :

1. Alerter et coopérer immédiatement avec l'entreprise utilisatrice et activer votre garantie cyber : l'accompagnement de crise (forensique, juridique) démarre le plus tôt possible.
2. Respecter le calendrier RGPD : le délai de notification à la CNIL est court, et un retard aggrave l'exposition. Votre assureur cyber vous oriente sur le caractère notifiable et la rédaction.
3. Documenter votre diligence : ressortir la trace des vérifications, la clause de confidentialité, le protocole d'accès. C'est ce dossier qui réduit la part de responsabilité finalement retenue contre l'agence.

Pour découvrir l'ensemble des garanties adaptées à votre activité d'agence d'intérim tertiaire, consultez notre page entreprise de travail temporaire.