Imprimeur publipostage : pourquoi vous êtes sous-traitant RGPD (et ce que l'article 28 vous impose)

Vous vous percevez comme un industriel de l'impression : presses, mise sous pli, dépôt postal. Aux yeux du Règlement général sur la protection des données (RGPD), vous êtes d'abord un sous-traitant de traitement de données personnelles. Dès l'instant où un donneur d'ordre vous transmet un fichier de noms, d'adresses, de montants ou de civilités pour produire un mailing, vous "traitez des données pour le compte d'un responsable de traitement". C'est la définition littérale du sous-traitant à l'article 4-8 du RGPD.

La conséquence est lourde : vous n'êtes pas un prestataire neutre qui imprime du papier. Vous entrez dans la chaîne de responsabilité juridique de chaque banque, assureur, mutuelle ou e-commerçant qui vous confie sa base. Et cette chaîne est encadrée par un article précis, l'article 28, que beaucoup d'ateliers de routage découvrent le jour d'un contrôle ou d'un incident.

Un imprimeur publipostage qui ne formalise pas son statut de sous-traitant n'est pas "en zone grise" : il est, comme son client, en situation d'infraction caractérisée.

L'article 28 exige que la relation entre le responsable de traitement (votre client) et le sous-traitant (vous) soit régie par un contrat écrit, couramment appelé DPA (Data Processing Agreement) ou "contrat de sous-traitance RGPD". Ce document n'est pas une formalité de juriste : il liste noir sur blanc ce que vous avez le droit de faire du fichier, et ce que vous devez garantir.

Un DPA conforme précise au minimum :

• L'objet et la durée du traitement (une campagne ponctuelle ou un flux récurrent de relances).
• La nature des données : adresses postales, montants dus, données de santé pour une mutuelle, RIB pour une banque.
• Les instructions documentées : vous ne traitez le fichier que selon les consignes écrites du client, jamais pour votre propre prospection.
• La confidentialité de vos salariés et opérateurs ayant accès aux données.
• Les mesures de sécurité techniques (chiffrement, cloisonnement des bases, traçabilité des accès).
• Le sort des données en fin de campagne : suppression ou restitution, et destruction des supports résiduels (épreuves, fichiers de calage).

Sans DPA signé, ce n'est pas seulement votre client qui s'expose : la CNIL peut sanctionner directement le sous-traitant qui accepte de traiter un fichier hors cadre contractuel.

Un atelier de publipostage traite rarement un seul client. Vous enchaînez la base d'un assureur le lundi, celle d'une collectivité le mardi, un e-commerçant le mercredi. Le risque le plus sous-estimé n'est pas le piratage externe : c'est le défaut de cloisonnement interne.

Concrètement, l'article 28 vous impose de garantir qu'aucune donnée d'un client ne se retrouve dans un envoi destiné à un autre. Cela suppose :

• Des répertoires de production strictement séparés par donneur d'ordre.
• Une purge des fichiers de fusion après chaque tirage.
• Des contrôles d'épreuve qui vérifient la cohérence base / document avant le lancement presse.
• Une gestion des accès limitant chaque opérateur aux seules campagnes dont il a la charge.

Une inversion entre deux bases qui aboutit à envoyer le relevé d'un client A dans l'enveloppe d'un client B constitue une violation de données personnelles au sens du RGPD, déclenchant des obligations de notification dans les 72 heures. C'est précisément ce type d'incident que la garantie Cyber et la RC Pro prennent en charge.

En tant que sous-traitant, vous n'êtes pas celui qui notifie la CNIL : c'est le responsable de traitement (votre client) qui le fait. Mais l'article 33 vous impose une obligation cruciale : alerter votre donneur d'ordre sans délai injustifié dès que vous avez connaissance d'une violation.

Une violation, ce n'est pas uniquement une cyberattaque. C'est aussi :

• Une erreur de fusion variable affichant le mauvais nom ou le mauvais montant.
• Un lot d'enveloppes inversées entre destinataires.
• La perte ou le vol d'un support contenant un fichier.
• Un accès non autorisé d'un salarié à une base sensible.

Le délai de 72 heures court pour votre client à partir du moment où vous l'informez. Tarder à signaler l'incident, c'est exposer votre donneur d'ordre à une sanction aggravée et engager votre propre responsabilité contractuelle. Documenter chaque incident dans un registre interne est donc autant une exigence légale qu'une protection.

L'article 32 du RGPD impose au sous-traitant des mesures techniques et organisationnelles appropriées. Pour un atelier de publipostage, cette exigence abstraite se traduit par des dispositifs très concrets que la CNIL vérifie en cas de contrôle ou d'incident.

Sur le plan technique, on attend de vous :

• Le chiffrement des fichiers reçus, qu'ils transitent par un portail sécurisé ou qu'ils soient stockés sur votre serveur de production.
• La traçabilité des accès : qui a ouvert quelle base, à quelle heure, pour quelle campagne. Un journal d'accès est souvent la première pièce réclamée lors d'un audit.
• La gestion des comptes : un opérateur qui quitte l'entreprise doit perdre immédiatement ses droits d'accès aux fichiers clients.
• La sauvegarde et la destruction sécurisée : les supports résiduels (épreuves, fichiers de calage, disques en fin de vie) doivent être détruits, pas simplement effacés.

Sur le plan organisationnel, la CNIL valorise l'existence d'un registre des traitements, de procédures écrites et d'une sensibilisation documentée des opérateurs. Ces éléments ne sont pas de la paperasse : ils constituent la preuve de votre diligence et atténuent une sanction le jour où un incident survient malgré tout. Un atelier qui peut démontrer un cloisonnement strict et une traçabilité fine se trouve dans une position de défense bien plus solide qu'un atelier qui improvise.

La responsabilité d'un sous-traitant peut être engagée sur deux fronts : la voie administrative (sanction CNIL pouvant atteindre des montants significatifs) et la voie civile (action des personnes concernées ou recours de votre donneur d'ordre qui se retourne contre vous après avoir été lui-même sanctionné).

Pour un imprimeur publipostage, la couverture pertinente combine deux briques :

• La RC Pro prend en charge les dommages immatériels causés au client (préjudice commercial, atteinte à l'image) et vos frais de défense en cas de mise en cause.
• La garantie Cyber couvre les coûts spécifiques d'une violation de données : frais de notification, communication aux personnes concernées, expertise forensique, remédiation et accompagnement en cas de procédure CNIL.

Attention au piège classique : un contrat d'assurance d'entreprise généraliste exclut très souvent les dommages immatériels non consécutifs et les sanctions administratives. Vous pourriez donc être assuré pour un incendie de vos presses, mais pas pour la conséquence financière d'une fuite de données, qui est précisément votre risque numéro un. Vous pouvez consulter notre page dédiée au métier d'imprimeur publipostage pour comprendre comment ces garanties s'articulent avec votre activité. L'enjeu : ne pas découvrir le jour d'un incident que votre couverture classique laissait justement à nu le cœur de votre exposition.