Quand votre salon devient un bureau : la frontière invisible entre vie privée et données clients

On imagine le RGPD réservé aux grandes entreprises et à leurs bases de données massives. C'est une erreur de cadrage. Le règlement s'applique à tout traitement de données personnelles mis en œuvre dans le cadre d'une activité professionnelle, quelle qu'en soit la taille. Le moment où vous notez le nom, le téléphone et le motif de rendez-vous d'un client, vous constituez un traitement de données, et vous en devenez le responsable.

Le fait d'exercer à domicile ne change rien à cette qualification. Au contraire, il la complique, car votre espace professionnel et votre espace privé se confondent. Le carnet posé dans l'entrée, l'agenda partagé sur le téléphone familial, le fichier de suivi sur l'ordinateur du foyer : ces supports anodins contiennent des données de tiers que la loi vous impose de protéger. Et selon votre activité, ces données peuvent être sensibles — un motif de consultation bien-être ou de soutien peut révéler des informations sur la santé, soumises à une protection renforcée.

La spécificité du travail chez soi tient à un mot : le partage. À domicile, l'infrastructure numérique n'est pas dédiée à l'activité, elle est mutualisée avec la vie de famille. Cela crée des points de fragilité que ne connaît pas un cabinet équipé d'un réseau professionnel cloisonné :

• Un réseau wifi unique sur lequel se connectent les ordinateurs des enfants, la console de jeu, les objets connectés — autant de portes d'entrée potentielles vers vos fichiers clients.
• Un ordinateur personnel qui sert à la fois aux loisirs et au suivi clientèle, exposé aux téléchargements et aux logiciels non vérifiés.
• Des outils cloud grand public où documents privés et fiches clients cohabitent dans le même espace.

À domicile, la frontière entre vos données et celles de vos clients n'est pas une porte fermée à clé : c'est une ligne invisible que la moindre négligence efface.

Quelques gestes simples relèvent fortement le niveau : un compte utilisateur dédié à l'activité, un mot de passe robuste et unique, des sauvegardes chiffrées et, idéalement, un réseau wifi invité séparé pour les objets connectés. Ces mesures ne suppriment pas le risque mais réduisent la surface d'attaque. Pour aller plus loin sur la protection du poste de travail, la page assurance du matériel informatique détaille la prise en charge des équipements eux-mêmes.

Beaucoup de personnes recevant des clients chez elles installent une caméra ou une sonnette connectée, par souci de sécurité. Légitime, mais juridiquement délicat dès que le dispositif filme l'espace d'accueil où passent les clients. Filmer des tiers, même dans votre logement, déclenche les règles du RGPD : information des personnes filmées, finalité précise, durée de conservation limitée, accès restreint aux images.

La nuance avec l'usage purement domestique est essentielle. Une caméra qui surveille votre seul espace privé relève de l'exception domestique et échappe largement au RGPD. Mais dès qu'elle capte les allées et venues de votre clientèle, vous sortez de cette exception : le dispositif devient un traitement professionnel, qu'il faut pouvoir justifier et encadrer. Un client qui découvre qu'il a été filmé sans information préalable peut légitimement contester, voire saisir l'autorité de contrôle.

La règle de prudence : limiter le champ des caméras aux abords strictement nécessaires, informer clairement les visiteurs de leur présence, ne pas filmer l'intérieur de l'espace de prestation, et ne conserver les images que le temps utile.

Le scénario redouté n'est pas hypothétique. Un ordinateur familial infecté par un logiciel malveillant, un cloud personnel piraté faute de double authentification, un téléphone perdu contenant l'agenda clients : la violation de données à domicile suit les mêmes obligations qu'en entreprise. Dès lors qu'une fuite présente un risque pour les personnes concernées, le responsable de traitement doit notifier l'autorité de contrôle dans un délai de 72 heures et, dans les cas graves, informer les clients touchés.

Au-delà de l'amende théorique, ce sont les frais concrets qui pèsent : expertise technique pour identifier la faille, restauration des systèmes, notification des clients, gestion de la réputation, et défense en cas de réclamation d'une personne dont les données ont fuité. Pour une activité individuelle exercée à domicile, ces coûts cumulés peuvent représenter plusieurs milliers d'euros qui tombent au pire moment.

C'est exactement la vocation d'une assurance cyber : prendre en charge la gestion de crise, les frais d'expertise et de notification, l'assistance juridique et les pertes consécutives à une atteinte aux données. Pour une personne seule, sans service informatique ni juriste, cet accompagnement fait la différence entre un incident maîtrisé et une situation ingérable.

Recevoir des clients chez soi impose de reconstruire, au sein du foyer, une frontière que l'on n'a pas spontanément. Voici les habitudes qui structurent durablement cette séparation :

1. Dédier un support à l'activité : un compte utilisateur ou, mieux, un appareil distinct pour les données clients, jamais mélangé avec les usages familiaux.
2. Cloisonner le réseau : un wifi invité pour les objets connectés et les visiteurs, le réseau principal réservé au travail.
3. Minimiser la collecte : ne demander aux clients que les informations strictement nécessaires, et purger régulièrement les données obsolètes.
4. Sécuriser les accès : mots de passe uniques, double authentification, sauvegardes chiffrées et mises à jour régulières.
5. Tracer et informer : savoir où sont stockées les données, informer les clients de leurs droits et de la présence d'éventuelles caméras.

Ces réflexes ne transforment pas votre domicile en forteresse numérique, mais ils rétablissent la séparation que l'exercice à domicile efface. Couplés à une cyber-assurance, ils permettent de faire entrer des clients — et leurs données — chez vous sans faire entrer le risque dans votre vie privée.