Photos intimes, mots de passe, données bancaires : la zone grise du réparateur face au RGPD

L'idée reçue veut que le RGPD ne concerne que les sites e-commerce et les grandes entreprises. C'est faux. Dès lors qu'un professionnel accède, même brièvement, à des données personnelles dans le cadre de son activité, il devient soit responsable de traitement, soit sous-traitant au sens de l'article 4 du règlement européen 2016/679.

Quand vous allumez un smartphone client pour tester l'écran neuf, vous accédez nécessairement à des données : SMS de notification, photos d'écran d'accueil, contacts récents, applications installées. Le règlement ne fait pas de distinction entre un accès volontaire et un accès incident — il sanctionne tout traitement non conforme.

Concrètement, cela vous impose trois obligations minimales : une information préalable du client (article 13 RGPD), une finalité limitée à la stricte réparation (article 5.1.b), et une obligation de confidentialité de tout collaborateur ayant accès à l'appareil. La CNIL a déjà sanctionné des prestataires informatiques pour absence d'information sur l'accès aux données pendant intervention.

Au-delà du RGPD, le droit pénal trace une seconde frontière, beaucoup plus dure. L'article 226-1 du Code pénal punit d'un an d'emprisonnement et 45 000 euros d'amende le fait de porter atteinte à l'intimité de la vie privée d'autrui en « captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel » ou « en fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l'image d'une personne se trouvant dans un lieu privé ».

Le simple fait de regarder une photo intime trouvée dans la galerie d'un téléphone confié peut, selon les circonstances, être qualifié d'atteinte à la vie privée. La jurisprudence a déjà sanctionné des techniciens informatiques ayant consulté des fichiers personnels au-delà de ce qui était nécessaire à leur intervention. Et la diffusion — même à un seul collègue, même en privé — bascule l'infraction dans le champ de l'article 226-2 (mêmes peines).

L'infraction n'exige pas une intention malveillante : le simple fait de consulter ce qui n'a pas à l'être, dans un cadre où le client a légitimement présumé la confidentialité, peut suffire. La défense « j'ai juste vérifié que la galerie fonctionnait » ne tient pas si la vérification pouvait être faite sans ouvrir le contenu.

Cette dimension pénale est cruciale parce qu'elle n'est pas couverte par l'assurance RC Pro au titre des amendes (les assurances ne peuvent pas garantir une condamnation pénale). Elle ne se prévient que par une procédure interne stricte.

La plupart des réparations matérielles (écran, batterie, connecteur de charge, haut-parleur, vitre arrière) peuvent être réalisées sans déverrouiller l'appareil. Le test fonctionnel se fait en pré-déverrouillage : luminosité, tactile sur l'écran de saisie de code, vibration, son, recharge. C'est la règle d'or à instaurer en boutique.

Quand le déverrouillage est inévitable (test caméra, test micro complet, problème logiciel), il faut basculer en procédure formelle :

1. Demander au client de saisir lui-même son code à l'entrée, ou de désactiver temporairement le verrouillage le temps de l'intervention.
2. Proposer une sauvegarde et une réinitialisation préalables, le client recevant un appareil « vierge » de ses données.
3. À défaut, faire signer une autorisation expresse d'accès aux données mentionnant la finalité et la durée.
4. Activer le « mode invité » ou un compte secondaire quand l'OS le permet (Android propose un mode invité natif depuis plusieurs versions).

Pour les réparations longues nécessitant des allers-retours dans l'OS, certains réparateurs proposent une réinitialisation avec sauvegarde iCloud / Google : l'appareil est vidé pendant la réparation et la restauration se fait au retour. Cette approche élimine 90 % du risque juridique en échange d'un temps client allongé.

Voici trois situations classiques avec leur grille de lecture juridique :

Le cas du téléphone professionnel d'un ex-salarié est piégeux : l'entreprise est propriétaire de l'appareil, mais le salarié garde un droit à la vie privée sur les contenus personnels qui s'y trouvent. La jurisprudence sociale est constante sur ce point depuis l'arrêt Nikon de 2001.

La garantie Cyber dédiée aux réparateurs mobiles n'est pas une assurance « hacker » au sens classique. Elle couvre quatre risques spécifiques au métier :

• Fuite de données client : photos ou fichiers du client qui se retrouvent diffusés à partir de votre matériel, avec recours civil indemnisé.
• Ransomware sur appareil rendu : un appareil qui aurait été infecté pendant la réparation et qui chiffre les données du client au retour, avec frais de restauration pris en charge.
• Perte de données lors de l'intervention : restauration partielle, indemnisation du préjudice client si la restauration est impossible.
• Frais de notification et accompagnement CNIL en cas de violation de données touchant plusieurs clients (par exemple si votre ordinateur de gestion est piraté avec sauvegardes clients).

Cette garantie est généralement plafonnée à 100 000 ou 250 000 euros selon les contrats, avec une franchise modeste (250 à 500 euros). Le coût additionnel se situe entre 8 et 15 euros par mois pour un réparateur seul, ce qui reste très faible au regard des risques évoqués.

Pour clôturer cette cartographie, retenez trois piliers complémentaires et indissociables, qui ne se remplacent jamais l'un l'autre :

1. Information : un paragraphe dédié sur votre ordre de réparation explique l'accès éventuel aux données, sa finalité limitée à la stricte réparation, sa durée, et propose une alternative (sauvegarde + reset préalable, ou pose sans déverrouillage). C'est votre conformité RGPD article 13 et la première ligne de défense en cas de plainte CNIL.
2. Procédure : une règle interne écrite (charte affichée en atelier, point d'accueil dans le contrat des salariés et apprentis) interdit toute consultation de contenu non nécessaire à la réparation. La traçabilité de cette charte démontre la diligence du chef d'entreprise et constitue votre défense contre une mise en cause pénale article 226-1.
3. Assurance : un contrat RC Pro avec extension biens confiés plus une garantie Cyber dédiée. C'est votre filet financier si malgré tout un incident survient, qu'il s'agisse d'une consultation litigieuse ou d'une fuite involontaire de données.

Sans ces trois piliers, vous travaillez dans une zone où une seule maladresse — la vôtre ou celle d'un apprenti — peut déclencher à la fois une plainte CNIL, une plainte pénale et une demande de dommages et intérêts. Et contrairement à un sinistre matériel ponctuel, ce type de dossier laisse des traces durables : la médiatisation locale d'une affaire de photos diffusées suffit à faire fermer une boutique de quartier en quelques semaines.

Avec ces trois piliers en revanche, le métier redevient parfaitement gérable. L'écrasante majorité des réparations restent banales, le risque devient résiduel et l'assurance absorbe ce qui reste. Découvrez notre offre dédiée aux réparateurs de smartphones, conçue exactement autour de cette logique en trois piliers, avec une garantie Cyber spécifique au métier incluse en standard plutôt qu'en option marginale.