Votre vivier de 4 000 CV pirate : le sinistre invisible du recruteur freelance
Votre vivier de candidats est votre actif le plus precieux — et votre plus grosse cible. Decryptage du risque d'une fuite de CV et de la couverture cyber.
- Le vivier de CV et l'ATS d'un RPO freelance concentrent des donnees personnelles de milliers de candidats : coordonnees, parcours, parfois donnees sensibles (sante, situation de famille).
- Une fuite vous designe comme responsable de traitement au sens du RGPD, avec une obligation de notification a la CNIL sous 72 heures et d'information des candidats en cas de risque eleve.
- Le risque depasse la sanction : phishing cible des candidats, perte de confiance des clients, paralysie de votre activite si l'ATS est chiffre par un rançongiciel.
- Une assurance cyber prend en charge la gestion de crise, les frais de notification et de defense, la ou la RC Pro classique s'arrete net.
Votre vivier est un actif strategique... et une mine de donnees sensibles
Pour un RPO freelance, le vivier de candidats est le coeur du fonds de commerce. Au fil des missions, vous accumulez des centaines, parfois des milliers de profils dans un ATS, un tableur, une boite mail, un CRM de recrutement. C'est votre actif le plus precieux. C'est aussi votre plus grosse cible.
Car ce vivier ne contient pas des donnees anodines. Un CV, c'est un nom, une adresse, un numero de telephone, un email, un parcours professionnel complet, parfois une photo, une date de naissance, une situation de famille, des elements de remuneration. Certaines candidatures laissent transparaitre des informations protegees : un arret maladie, un handicap, une appartenance syndicale. Vous manipulez donc des donnees personnelles a grande echelle, dont une partie peut etre sensible.
Du point de vue du RGPD, cela fait de vous un responsable de traitement. Le statut de freelance ou de micro-entrepreneur n'y change rien : le reglement s'applique des qu'il y a traitement de donnees de personnes physiques, sans seuil de taille. Beaucoup de recruteurs independants ignorent qu'ils portent, seuls, la responsabilite juridique d'une base de donnees qui ferait l'objet de toutes les attentions dans une grande entreprise.
Le scenario de la fuite : ce qui se declenche en 72 heures
Imaginez le scenario. Votre boite mail est compromise par phishing, votre ordinateur portable est vole, ou un acces a votre ATS est exploite. Le vivier de 4 000 candidats se retrouve dans la nature. La cascade d'obligations et de risques se declenche aussitot :
| Etape apres la fuite | Ce que la situation impose |
|---|---|
| Notification a la CNIL | Sous 72 h si risque pour les personnes (art. 33 RGPD) |
| Information des candidats concernes | Si risque eleve pour leurs droits (art. 34 RGPD) |
| Expertise technique | Identifier la faille, la colmater, securiser |
| Information des clients | Leurs viviers et donnees peuvent etre concernes |
| Gestion reputationnelle | Un metier de confiance fonde sur le bouche-a-oreille |
Le risque concret n'est pas abstrait. Une base de CV volee alimente le phishing cible : des candidats recoivent de fausses offres a leur nom, parfois usurpant le votre. Vos clients apprennent que les profils que vous leur avez presentes ont fuite. Et si l'attaque prend la forme d'un rançongiciel qui chiffre votre ATS, c'est votre outil de travail entier qui est paralyse.
Les 72 heures de la CNIL passent vite. Un freelance seul, sans procedure ni accompagnement, decouvre souvent l'ampleur de ses obligations au pire moment : quand la fuite est deja publique.
Pourquoi votre RC Pro ne couvre pas ce sinistre
C'est une confusion frequente et dangereuse. Beaucoup de recruteurs pensent etre couverts "parce qu'ils ont une RC Pro". Or une RC Professionnelle couvre les consequences d'une faute dans votre prestation de recrutement — un mauvais conseil, une erreur de selection. Elle n'est pas conçue pour gerer un incident de securite informatique.
Une fuite de donnees n'est pas une erreur de conseil : c'est un sinistre d'une autre nature, avec ses obligations propres (notification CNIL), ses frais specifiques (expertise informatique, communication de crise) et ses consequences particulieres (rançongiciel, reconstruction de la base). La RC Pro s'arrete la ou commence ce risque.
C'est exactement le terrain de l'assurance cyber. Adaptee a un independant qui manipule des donnees de candidats a grande echelle, elle prend en charge :
- La gestion de crise apres une violation : expertise pour identifier et colmater la faille, securisation, reconstruction des donnees.
- Les frais de notification a la CNIL et d'information des candidats, avec l'accompagnement juridique pour les formuler correctement.
- La prise en charge d'une attaque par rançongiciel et de la remise en route de votre activite.
- Les frais de defense et l'accompagnement reputationnel, determinants pour un metier qui vit de la confiance.
Pour un RPO freelance, le couple pertinent n'est donc pas "RC Pro ou cyber", mais "RC Pro et cyber".
Reduire le risque : l'hygiene numerique minimale du recruteur
L'assurance est la seconde ligne. La premiere, c'est l'hygiene numerique, et elle est largement a votre portee, meme sans competences techniques.
- Securisez vos acces. Mots de passe robustes et uniques, gestionnaire de mots de passe, et surtout double authentification sur votre boite mail, votre ATS et vos outils. Le phishing reste la premiere porte d'entree.
- Chiffrez vos supports. Disque de l'ordinateur portable chiffre, telephone verrouille : un vol de materiel ne doit pas signifier une fuite de donnees.
- Minimisez et purgez. Ne conservez pas indefiniment les CV. Le RGPD impose une duree de conservation limitee (souvent deux ans apres le dernier contact). Moins vous stockez, moins vous etes expose.
- Sauvegardez regulierement. Une sauvegarde recente et isolee est votre meilleure parade contre un rançongiciel : vous restaurez plutot que de payer.
- Informez les candidats. Une mention claire sur la collecte, la finalite, la duree de conservation et leurs droits est une obligation RGPD — et un gage de serieux.
- Preparez votre reaction. Sachez a l'avance qui contacter et quoi faire en cas de fuite : les 72 heures ne se decouvrent pas le jour J.
Ces reflexes reduisent a la fois la probabilite d'une violation et votre exposition en cas de controle ou de sinistre.
Faire de la protection des donnees un argument de confiance
Il y a un retournement a operer. Le RGPD et la cybersecurite ne sont pas seulement des contraintes : maitrises, ils deviennent un signe de professionnalisme. Vos clients vous confient leurs recrutements strategiques et l'acces a des candidats sensibles ; vos candidats vous confient leur parcours et leur vie professionnelle. Savoir que ces donnees sont protegees est un argument commercial reel.
La demarche complete tient en deux volets indissociables. En amont, vous appliquez une hygiene numerique proportionnee : double authentification, chiffrement, minimisation, sauvegardes, information des candidats. En aval, vous adossez votre activite a une couverture cyber qui prend en charge la gestion d'une violation de donnees et ses frais, la ou votre RC Pro s'arrete.
Pour visualiser comment ces protections s'articulent avec l'ensemble des risques de votre activite — faute de recrutement, discrimination alleguee, donnees candidats — consultez notre page assurance recruteur embarque et RPO freelance. Vous y verrez comment construire une couverture qui suit la realite d'un metier devenu, presque sans qu'on s'en aperçoive, un metier de donnees autant qu'un metier de relation.
Questions fréquentes
Oui, sans exception liee a la taille. Des qu'il y a traitement de donnees personnelles de personnes physiques, le RGPD s'applique. Constituer et conserver un vivier de CV fait de vous un responsable de traitement, avec des obligations precises : information des candidats, duree de conservation limitee, securisation des donnees, et notification en cas de violation. Le statut d'independant ou de micro-entrepreneur ne vous exonere d'aucune de ces obligations.
Si la fuite presente un risque pour les personnes, vous devez notifier la violation a la CNIL dans les 72 heures (article 33 du RGPD) et, en cas de risque eleve, informer les candidats concernes (article 34). Il faut aussi securiser le systeme, analyser la faille, et souvent informer vos clients. Une assurance cyber prend en charge ces demarches, l'expertise technique et leurs frais, generalement hors de portee d'un independant seul.
Non, pas dans son perimetre classique. La RC Pro couvre les consequences d'une faute dans votre prestation de recrutement, pas un incident de securite informatique. Une violation de donnees releve de l'assurance cyber, qui prend en charge la gestion de crise, les frais de notification CNIL, la reponse a un rançongiciel, la defense et l'accompagnement reputationnel. Pour un metier qui manipule des viviers de CV, les deux couvertures sont complementaires.
Le RGPD impose une duree de conservation limitee et proportionnee a la finalite. En pratique, pour un vivier de recrutement, la conservation est souvent admise pendant environ deux ans apres le dernier contact avec le candidat, sous reserve de l'avoir informe. Au-dela, vous devez purger les profils. Moins vous conservez de donnees inutiles, moins votre exposition est forte en cas de fuite ou de controle.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Recruteur embarqué et RPO freelance — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Recruteur embarqué et RPO freelance →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.