Nettoyer un cabinet médical ou un cabinet d'avocats : le piège RGPD que vous ignorez

On associe spontanément le RGPD aux entreprises qui gèrent des fichiers clients, des bases de données, des outils numériques. Rarement à une société de nettoyage. Pourtant, vos agents passent leurs journées au cœur d'environnements saturés de données personnelles et confidentielles : dossiers patients étalés sur un bureau de cabinet médical, conclusions et pièces dans un cabinet d'avocats, bulletins de paie chez un expert-comptable, contrats dans une étude notariale.

La particularité du nettoyage, c'est l'accès physique. Vos agents n'ont pas besoin d'un mot de passe pour voir un dossier médical resté ouvert, lire un courrier confidentiel sur une imprimante ou apercevoir un écran non verrouillé. Cette proximité matérielle avec l'information sensible crée un risque juridique que la plupart des sociétés de propreté n'ont jamais identifié.

Le sujet monte en puissance. De plus en plus de clients du secteur de la santé, du droit ou de la finance intègrent des exigences de confidentialité dans leurs appels d'offres de nettoyage. Savoir y répondre n'est plus un détail : c'est une condition d'accès aux marchés les plus rémunérateurs.

Première clarification essentielle : en nettoyant des locaux, vous n'êtes en principe pas sous-traitant au sens de l'article 28 du RGPD, car vous ne « traitez » pas les données pour le compte du client — vous ne les collectez pas, ne les enregistrez pas, ne les exploitez pas. Vous y êtes seulement exposé physiquement.

Mais cette nuance ne vous exonère pas de toute obligation. Le RGPD impose au responsable de traitement (votre client) de garantir la sécurité et la confidentialité des données, y compris vis-à-vis des tiers qui accèdent à ses locaux. Concrètement, votre client peut, et souvent doit, vous faire signer :

• Une clause de confidentialité engageant vos agents à ne pas divulguer ce qu'ils voient.
• Un engagement de sécurité sur l'accès aux locaux et la non-consultation des documents.
• Le cas échéant, si votre prestation touche réellement à des supports de données (destruction de documents, gestion d'archives), une convention de sous-traitance RGPD en bonne et due forme.

Au-delà du RGPD, n'oubliez pas le secret professionnel propre à certaines professions : violer indirectement le secret médical ou le secret de l'avocat en divulguant une information aperçue chez le client peut avoir des conséquences sérieuses. La discrétion n'est pas une option, c'est une obligation contractuelle et parfois pénale.

Le risque n'est pas abstrait. Voici des situations réelles auxquelles une société de nettoyage peut être confrontée :

• La photo malheureuse. Un agent prend une photo des locaux pour montrer un dégât, et un dossier patient nominatif apparaît à l'arrière-plan. La photo circule : voilà une fuite de données de santé.
• Le document jeté. En vidant une corbeille, un agent met au rebut des documents confidentiels sans destruction sécurisée, alors qu'ils auraient dû être broyés. Le client se retrouve en infraction et se retourne vers vous.
• L'indiscrétion. Un agent raconte, même de bonne foi, ce qu'il a vu chez un client connu localement. L'information remonte, le client estime sa confidentialité trahie et rompt le contrat, voire engage votre responsabilité.
• Le poste déverrouillé. Un client accuse vos agents d'avoir consulté un ordinateur laissé allumé. Même infondée, l'accusation déclenche une crise de confiance.

Dans tous ces cas, la frontière entre maladresse et faute est mince, et le préjudice réputationnel pour votre client — donc pour vous — peut être considérable. C'est exactement le type de risque qu'une assurance cyber et de confidentialité est conçue pour absorber, en complément de votre responsabilité civile.

Le risque de confidentialité est hybride : il touche à la fois la responsabilité civile classique (un dommage causé au client) et le champ des données, qui relève plutôt de la cyber-assurance et des garanties de confidentialité. D'où l'importance de bien articuler vos couvertures.

La RC Pro couvre la faute professionnelle de vos agents et les dommages qu'ils causent dans l'exécution de la prestation. Mais elle n'est pas pensée pour les conséquences spécifiques d'une fuite de données : frais de notification à la CNIL et aux personnes concernées, gestion de crise, accompagnement juridique sur le terrain du RGPD, atteinte à la réputation. Ces postes relèvent d'une garantie cyber et atteinte à la confidentialité.

Pour une société de nettoyage qui vise les marchés sensibles — santé, droit, finance, secteur public — combiner RC Pro et volet cyber/confidentialité devient un argument commercial autant qu'une protection. Cela montre au client que vous avez compris ses contraintes réglementaires et que vous les prenez au sérieux.

Concrètement, une garantie cyber et confidentialité adaptée à votre activité intervient sur des postes que la RC Pro ignore : la prise en charge des frais de notification à la CNIL et aux personnes concernées en cas de fuite avérée, l'assistance d'un expert en gestion de crise pour limiter l'impact médiatique, l'accompagnement par un juriste spécialisé RGPD et, selon les contrats, la couverture de l'atteinte à votre propre réputation. Pour un prestataire dont la valeur repose sur la confiance, ce dernier point n'est pas accessoire : un client perdu pour cause d'indiscrétion ne revient jamais, et la rumeur circule vite dans un secteur où les donneurs d'ordre se connaissent.

Le client ne vous demande pas seulement des locaux propres : il vous demande de ne pas devenir une faille dans sa conformité RGPD.

Pas besoin d'une usine à gaz. Une politique de confidentialité crédible pour une société de nettoyage tient en quelques règles claires, formalisées et signées par chaque agent :

1. Interdiction absolue de lire, photographier ou divulguer tout document ou écran rencontré chez un client.
2. Charte photo : aucune photo des locaux sans autorisation, et jamais en présence de documents ou écrans visibles.
3. Procédure déchets sensibles : ne jamais jeter de documents sans consigne explicite du client ; orienter vers les bacs de destruction sécurisée prévus.
4. Devoir de réserve : ne jamais commenter à l'extérieur l'identité des clients ni ce que l'on observe sur site.
5. Signalement : tout incident (document trouvé hors de sa place, écran laissé ouvert) est remonté au responsable, pas exploité ni commenté.

Faites signer cette charte à l'embauche et rappelez-la régulièrement. En cas de litige, elle prouve que votre société a mis en place les mesures raisonnables pour prévenir le risque — un atout déterminant pour votre défense et pour rassurer vos clients exigeants.

La plupart de vos concurrents n'ont jamais pensé au RGPD. C'est précisément pour cela que le sujet est une opportunité. Une société de nettoyage qui sait présenter une charte de confidentialité signée, des procédures de gestion des déchets sensibles et une couverture cyber adaptée se démarque immédiatement sur les marchés où l'information est stratégique.

Le raisonnement du donneur d'ordre est simple : confier ses locaux à un prestataire, c'est lui confier aussi tout ce qu'ils contiennent. Plus ses données sont sensibles, plus il cherchera un partenaire capable de garantir la discrétion. En répondant à ce besoin, vous accédez à des clients plus exigeants, donc à des contrats mieux valorisés.

Le nettoyage courant des bâtiments n'est plus seulement une affaire de sols propres et de sanitaires impeccables. C'est aussi une affaire de confiance et de confidentialité. Anticiper le risque RGPD, c'est protéger votre entreprise — et transformer une contrainte réglementaire en argument de vente.