Secrétariat et fichiers mutualisés : la SCM, maillon faible du secret professionnel et du RGPD

L'intérêt d'une SCM est évident : un seul secrétariat pour cinq médecins, un logiciel de gestion partagé pour trois avocats, un serveur unique pour quatre experts-comptables. La mutualisation réduit les coûts et fluidifie le quotidien. Mais elle produit un effet collatéral rarement anticipé : elle concentre en un point unique les données de tous les associés.

Or ces données ne sont pas anodines. Dossiers médicaux, secrets d'affaires, données patrimoniales, identités et coordonnées : selon le métier des associés, la SCM héberge ou fait transiter des données sensibles ou couvertes par le secret professionnel. Chaque associé apporte sa patientèle ou sa clientèle, et toutes ces informations finissent traitées par les mêmes outils, les mêmes ordinateurs, le même personnel.

Le gérant, en pilotant ces moyens communs, devient de fait le point névralgique de la sécurité des données de la structure. C'est lui qui choisit le logiciel, paramètre les accès, encadre le personnel partagé, gère les sauvegardes. Une défaillance à ce niveau ne touche pas un associé isolé : elle expose l'ensemble du cabinet d'un seul coup.

Le premier risque, propre aux SCM de professions réglementées, est la confusion entre clientèles ou patientèles distinctes. Chaque associé exerce pour son propre compte : le secret professionnel le lie individuellement à ses patients ou clients. Or, en partageant les moyens, on partage souvent, par commodité, l'accès à l'information.

Quelques situations concrètes illustrent le danger :

• Un secrétaire commun a accès, par un même logiciel, aux dossiers de tous les praticiens : un patient du docteur A voit potentiellement ses informations consultables par le personnel travaillant pour le docteur B.
• Un serveur unique stocke pêle-mêle les dossiers de plusieurs avocats, sans cloisonnement réel : un conflit d'intérêts ou une fuite croisée devient possible.
• Une corbeille de documents, une imprimante partagée, un agenda commun laissent filtrer des informations censées rester confidentielles.

Le gérant a ici une responsabilité d'organisation : il doit veiller à ce que la mutualisation des moyens ne se traduise pas par une mutualisation des secrets. Le cloisonnement des accès, la formation du personnel partagé au secret et la séparation logique des données ne sont pas optionnels : ce sont des obligations dont le défaut peut être reproché à la fois au gérant et aux associés.

La règle d'or : mutualiser le moyen ne doit jamais signifier mutualiser l'accès au dossier. Un secrétariat commun bien organisé cloisonne ce que chaque collaborateur peut voir, métier par métier.

La question du RGPD dans une SCM est plus subtile qu'il n'y paraît. Selon l'organisation retenue, la SCM peut être responsable de traitement pour les données qu'elle gère en propre (paie du personnel, fichiers de gestion communs), ou intervenir comme prestataire de moyens pour le compte de chaque associé, lui-même responsable de ses propres patients ou clients.

Ce qui est certain, c'est que la chaîne de responsabilité est partagée et que personne ne peut s'en exonérer en pointant l'autre. Si une violation de données survient via le système commun, plusieurs acteurs peuvent être recherchés : la SCM en tant que structure, le gérant pour défaut d'organisation de la sécurité, et chaque associé pour les données dont il reste responsable.

Les obligations concrètes que le gérant doit faire vivre au niveau de la SCM incluent :

• la sécurisation des accès (mots de passe individuels, droits limités selon le rôle) ;
• la formalisation des relations avec les prestataires informatiques (contrats de sous-traitance conformes) ;
• la tenue d'un registre des traitements communs ;
• la capacité à notifier une violation à la CNIL sous 72 heures et, le cas échéant, à informer les personnes concernées.

Cette dernière obligation est cruciale : en cas de fuite, ce n'est pas seulement le préjudice technique qui compte, mais la gestion réglementaire de l'incident, sous contrainte de délai, avec un risque de sanction administrative en cas de manquement.

Imaginons le pire, qui est aussi le plus banal. Un poste du secrétariat ouvre une pièce jointe piégée. Un rançongiciel se propage sur le serveur commun et chiffre l'ensemble des dossiers de tous les associés. En quelques heures, plus aucun praticien du cabinet ne peut accéder à ses données. Pire : l'attaquant a exfiltré une partie des fichiers et menace de les diffuser.

Les conséquences se cumulent :

• Paralysie de l'activité de tous les associés simultanément, le temps de restaurer ou de reconstruire les systèmes ;
• Obligation de notifier la CNIL et potentiellement des centaines de patients ou clients dont les données ont fuité ;
• Mise en cause du gérant pour défaut de sécurisation, sauvegardes insuffisantes ou absence de plan de réponse ;
• Atteinte à la réputation du cabinet entier, chaque associé subissant le préjudice d'image collectif ;
• Coûts directs : expert en cybersécurité, restauration des données, conseil juridique, communication de crise.

Face à ce type de sinistre, une assurance cyber est déterminante : elle finance l'intervention d'experts en gestion de crise, prend en charge la notification réglementaire et les frais juridiques, couvre les pertes d'exploitation et, le cas échéant, les réclamations des personnes dont les données ont été compromises. Sans elle, c'est la SCM et ses associés qui absorbent seuls une facture qui se chiffre vite en dizaines de milliers d'euros.

Le gérant n'a pas besoin d'être expert en informatique pour réduire fortement le risque. Quelques mesures structurantes suffisent à transformer une SCM vulnérable en structure raisonnablement protégée.

1. Cloisonnez les accès : chaque membre du personnel et chaque associé n'accède qu'aux données dont il a réellement besoin. Des comptes nominatifs, jamais de compte partagé générique.
2. Imposez des sauvegardes régulières et testées, idéalement déconnectées du réseau, pour pouvoir restaurer après une attaque sans payer de rançon.
3. Maintenez les systèmes à jour et équipez chaque poste d'une protection contre les logiciels malveillants.
4. Formez le personnel partagé : reconnaître un courriel piégé, ne pas brancher de clé inconnue, respecter le secret professionnel propre à chaque associé.
5. Encadrez vos prestataires par des contrats conformes et vérifiez que l'hébergement des données de santé, s'il y en a, respecte les exigences réglementaires.
6. Préparez un plan de réponse à incident : qui prévenir, comment notifier la CNIL sous 72 heures, comment communiquer aux personnes concernées.

Cette hygiène numérique, pilotée par le gérant pour le compte de tous, est le complément indispensable de la couverture assurantielle. La cyberassurance absorbe le choc financier et opérationnel ; les mesures de prévention réduisent la probabilité que le choc survienne. Pour situer ce risque parmi l'ensemble des enjeux de votre fonction, la fiche métier gérant de SCM SCP détaille les couvertures adaptées.