Dossiers médicaux, comptes, secrets : l'expert et ses données

Quand on pense aux risques de l'expert judiciaire, on imagine d'abord l'erreur de rapport ou le vice de procédure. On oublie une exposition plus discrète mais tout aussi lourde : la masse de données sensibles qui transite par vos mains.

Selon votre spécialité, vous détenez :

• Des dossiers médicaux complets en expertise corporelle : antécédents, diagnostics, séquelles, données de santé protégées au plus haut niveau par le RGPD.
• Des comptes et documents financiers d'entreprises en expertise comptable : bilans, contrats, données stratégiques.
• Des secrets d'affaires en expertise industrielle ou en propriété intellectuelle : brevets, procédés, savoir-faire.
• Des situations familiales et patrimoniales en expertise successorale.

Contrairement à un magistrat ou à un greffe, vous traitez ces données hors de l'enceinte sécurisée d'une institution : sur votre ordinateur, dans votre messagerie, sur vos sauvegardes, parfois sur l'ordinateur portable que vous emmenez en réunion d'expertise ou en déplacement chez les parties. Vous en êtes le gardien — et le responsable.

S'ajoute une particularité propre à l'expertise : vous ne choisissez pas la sensibilité des données que vous recevez. Une expertise médicale vous fait entrer de plain-pied dans l'intimité corporelle d'une personne ; une expertise comptable vous ouvre les comptes d'une entreprise et, par ricochet, ceux de ses fournisseurs, salariés et clients. Le périmètre des personnes concernées dépasse largement les parties au litige. Une fuite ne touche donc pas que « votre client » : elle peut exposer des tiers qui ignoraient jusqu'à votre existence.

Le point souvent ignoré : dans le cadre de votre mission, vous déterminez les moyens du traitement des données que vous collectez et analysez. À ce titre, vous êtes responsable de traitement au sens du Règlement général sur la protection des données (RGPD), avec les obligations qui en découlent.

Concrètement, cela signifie que vous devez :

• Assurer la sécurité et la confidentialité des données (article 32 du RGPD) par des mesures techniques adaptées à leur sensibilité.
• Ne conserver les données que le temps nécessaire à votre mission et à la conservation légale de votre dossier.
• Notifier la CNIL sous 72 heures en cas de violation de données présentant un risque, et informer les personnes concernées si le risque est élevé (articles 33 et 34).

Les données de santé relèvent en outre d'une catégorie particulière, soumise à des exigences renforcées. Un manquement n'est pas anodin : la CNIL dispose d'un pouvoir de sanction pouvant atteindre des montants significatifs, et les personnes concernées peuvent réclamer réparation de leur préjudice.

Un point mérite votre attention : le secret de l'expertise et le secret professionnel auquel vous êtes tenu ne se confondent pas avec le RGPD, mais s'y ajoutent. Vous pouvez parfaitement respecter votre obligation de confidentialité vis-à-vis des parties tout en violant le RGPD par une sécurité défaillante de vos supports. Les deux régimes se cumulent, et une même négligence — un disque non chiffré, par exemple — peut vous exposer simultanément sur les deux terrains. C'est cette accumulation d'obligations, propre à votre statut, qui justifie une vigilance supérieure à celle d'un professionnel ordinaire.

Le vol ou la perte d'un support

Votre ordinateur portable contenant un dossier médical d'expertise est volé dans votre voiture, ou une clé USB non chiffrée s'égare. Si les données n'étaient pas chiffrées, c'est une violation caractérisée, à notifier. Le simple chiffrement du disque aurait transformé l'incident en non-événement.

Le rançongiciel

Un logiciel malveillant chiffre l'ensemble de vos fichiers et réclame une rançon. Vous perdez l'accès à vos dossiers en cours, certains à échéance imminente, et la confidentialité des données est compromise. Sans sauvegarde déconnectée, vous êtes face à un choix impossible.

L'erreur d'envoi

Vous adressez par courriel un rapport médical à la mauvaise partie, ou vous laissez en copie ouverte des destinataires qui n'auraient pas dû voir des données nominatives. Ce type d'incident, banal, constitue pourtant une violation de données.

Dans chacun de ces cas, l'incident déclenche une chaîne de conséquences : gestion technique de la crise, notification réglementaire, information des personnes, et parfois réclamations. Notre garantie cyber prend en charge cette chaîne, de l'assistance d'urgence jusqu'à l'indemnisation des tiers.

Sécuriser un dossier d'expertise ne demande pas une infrastructure d'entreprise. Quelques mesures bien choisies réduisent considérablement le risque.

1. Chiffrez vos supports. Activez le chiffrement intégral du disque sur vos ordinateurs et n'utilisez que des supports amovibles chiffrés. C'est la mesure la plus rentable : un support chiffré perdu n'est, en pratique, plus une violation à risque.
2. Cloisonnez les dossiers. Évitez de stocker l'ensemble de vos expertises au même endroit, en clair. Un accès compromis ne doit pas exposer toute votre activité.
3. Sauvegardez hors ligne. Une sauvegarde régulière et déconnectée est votre meilleure défense contre un rançongiciel.
4. Sécurisez vos échanges. Privilégiez des canaux de transmission chiffrés pour les pièces sensibles plutôt que la messagerie ordinaire, et vérifiez systématiquement vos destinataires.
5. Purgez à l'échéance. Détruisez ou archivez les données selon une politique définie, sans conservation indéfinie « au cas où ».
6. Préparez la réaction. Sachez à l'avance qui appeler en cas d'incident. C'est précisément ce qu'apporte une assistance cyber.

Un mot sur l'erreur humaine, qui reste la première cause d'incident. La plupart des fuites ne viennent pas d'un pirate sophistiqué mais d'un geste banal : un mauvais destinataire en copie, un fichier déposé sur un cloud personnel non sécurisé, un mot de passe réutilisé. Pour un expert qui travaille seul, sans service informatique pour rattraper la faute, la vigilance individuelle est la première ligne de défense. Quelques minutes de vérification avant chaque envoi de pièce sensible valent mieux que des heures de gestion de crise.

Une question revient souvent : « ma RC Professionnelle ne couvre-t-elle pas déjà ça ? ». La réponse est non, pas entièrement. La RC Professionnelle couvre les conséquences de vos fautes dans la conduite de l'expertise — un rapport erroné, un manquement au contradictoire. Elle n'est pas conçue pour gérer un incident de sécurité informatique.

La garantie cyber répond, elle, à une logique différente. Elle couvre :

• L'assistance d'urgence : intervention technique pour contenir l'incident, identifier l'origine et restaurer vos systèmes.
• Les frais de notification à la CNIL et aux personnes concernées, avec un accompagnement juridique.
• La restauration des données et la reconstitution de vos dossiers.
• Les réclamations des tiers dont les données ont été compromises.

Pour un expert judiciaire, les deux couvertures sont complémentaires : l'une protège la qualité de votre travail, l'autre la sécurité des données qui le rendent possible. Pour mieux cerner votre exposition à la responsabilité technique, lisez aussi notre analyse du coût d'une erreur de rapport.