Numérisation RH : anatomie chiffrée d'une fuite RGPD à 18 000 €

Imaginons un cas représentatif. Une PME de 120 salariés vous confie l'archivage numérique de ses dossiers du personnel : contrats, bulletins de paie, arrêts maladie, RIB, copies de pièces d'identité. Au total, 320 dossiers physiques à scanner, indexer et livrer sur un disque dur externe. Une belle commande, parfaitement dans vos cordes.

Le travail s'étale sur trois semaines. Les fichiers s'accumulent sur le poste de numérisation et sur le disque externe de livraison. Un soir, le disque dur — qui contient l'intégralité des scans — disparaît. Vol pendant une effraction, oubli dans un sac, peu importe : 320 dossiers contenant des données personnelles sensibles ne sont plus sous votre contrôle.

À cet instant précis, vous n'êtes plus seulement un prestataire qui a égaré du matériel. Vous êtes, au sens du RGPD, un sous-traitant de données qui vient de subir une violation de données personnelles. Et le compte à rebours commence.

Beaucoup de reprographes pensent que le RGPD est « le problème du client ». C'est faux. Dès que vous traitez des données pour le compte d'un client (numérisation, archivage, indexation), vous êtes sous-traitant au sens du règlement. À ce titre, vous avez des obligations propres : sécuriser les données, ne les utiliser que pour la prestation convenue, ne pas les conserver au-delà du nécessaire, et surtout notifier sans délai votre client en cas de violation.

Le client, lui (le responsable de traitement), dispose alors de 72 heures pour notifier la CNIL et, si le risque pour les personnes est élevé — ce qui est le cas avec des RIB et des pièces d'identité — pour informer chaque salarié concerné. Votre retard à le prévenir devient sa faute envers la CNIL : c'est une mécanique de responsabilité en cascade qui finira par revenir vers vous. Le client mis en difficulté se retournera contre le maillon qui a failli : vous.

Une convention de sous-traitance écrite avec le client est d'ailleurs obligatoire dès que vous traitez ses données. Ce document précise la nature et la finalité du traitement, la durée de conservation, les mesures de sécurité et le sort des données en fin de prestation. Son absence est en soi un manquement, indépendamment de toute fuite. Si vous numérisez régulièrement pour des entreprises, formaliser cette convention fait partie de vos obligations de base — et c'est aussi un argument de sérieux face à vos clients professionnels, qui sont de plus en plus attentifs à la conformité de leurs prestataires.

Voici le poste par poste de ce que coûte réellement un tel incident. L'amende CNIL, que tout le monde redoute, n'est en pratique pas le plus gros poste pour une petite structure — c'est la gestion de crise qui pèse.

On ne parle même pas ici d'une éventuelle sanction administrative. Pour une boutique de reprographie réalisant un chiffre d'affaires modeste, 18 000 € représentent un coup potentiellement fatal s'ils sortent de la trésorerie.

Votre RC Pro intervient sur le volet « dommage causé au client » : le préjudice que la PME subit du fait de votre manquement peut entrer dans le champ de la responsabilité civile professionnelle, y compris l'atteinte à la confidentialité. C'est une première ligne de défense indispensable.

Mais la RC Pro seule laisse souvent des angles morts coûteux :

• Les frais de gestion de crise (expertise technique, forensic, conseil RGPD) ne sont pas toujours pris en charge.
• Les coûts de notification aux personnes et la cellule d'assistance aux victimes relèvent typiquement d'une garantie cyber.
• La perte d'exploitation liée à l'incident dépasse le cadre de la RC.

C'est exactement le rôle d'une assurance cyber : elle prend en charge la chaîne de gestion de crise que la responsabilité civile classique n'adresse pas. Pour un reprographe qui numérise et archive, l'addition RC Pro + cyber est la combinaison qui couvre l'incident de bout en bout.

La qualité de votre réaction dans les heures qui suivent la découverte de la fuite pèse lourd sur la facture finale. Un incident bien géré coûte une fraction d'un incident subi dans la panique. Voici la chronologie qui fait la différence.

1. Heure 0 — Constater et figer. Vous identifiez ce qui a disparu, quelles données étaient concernées et combien de personnes. Vous documentez tout par écrit : c'est la base de la qualification juridique et de votre déclaration d'assurance.
2. Heure 0 à 24 — Prévenir le client. Vous notifiez immédiatement le responsable de traitement. C'est votre obligation de sous-traitant et c'est ce qui lui permet de tenir son propre délai de 72 heures vis-à-vis de la CNIL.
3. Heure 0 à 24 — Déclarer le sinistre. Vous activez votre garantie : une assurance cyber déclenche alors une cellule de crise (expert technique, conseil juridique) qui prend le pilotage. Vous n'êtes plus seul.
4. Heure 24 à 72 — Accompagner. L'expert établit l'étendue réelle, le client notifie la CNIL si nécessaire, et l'on prépare l'information des personnes concernées.

À l'inverse, le reprographe qui découvre la fuite, attend « de voir », ne prévient personne et espère que rien ne remontera transforme un incident maîtrisable en catastrophe : délais dépassés, client furieux, et aucune prise en charge coordonnée.

Le meilleur sinistre est celui qui n'arrive pas. Quatre mesures simples auraient évité ou neutralisé l'incident décrit :

1. Chiffrer systématiquement les supports de livraison. Un disque dur chiffré perdu n'est pas une violation de données exploitable : pas de fuite, pas de notification.
2. Purger vos postes après livraison. Les fichiers ne doivent pas rester sur la machine de numérisation « au cas où » : ce stock dormant est un risque permanent.
3. Formaliser une convention de sous-traitance avec chaque client professionnel, précisant la durée de conservation et les mesures de sécurité.
4. Cloisonner physiquement les travaux sensibles : poste dédié, accès restreint, support de stockage rangé sous clé.

Ces gestes ne coûtent presque rien et transforment radicalement votre profil de risque. Couplés à une couverture cyber et à votre RC Pro, ils font de la numérisation une activité rentable plutôt qu'un pari sur votre trésorerie.

Un dernier conseil de bon sens : faites de la confidentialité un argument commercial. Une PME qui vous confie ses dossiers du personnel veut être rassurée. Affichez votre politique de sécurité, mentionnez le chiffrement et la purge des données dans votre devis, proposez systématiquement une convention de sous-traitance. Là où un concurrent improvise, vous démontrez le professionnalisme qui justifie votre prix et fidélise les clients sensibles. La conformité n'est pas qu'une contrainte : bien présentée, elle devient un différenciateur qui vous distingue des simples « boutiques de photocopies ».