Disque chiffré, 6 To de PSD clients perdus : anatomie d'un sinistre de retoucheur

La spécificité juridique du retoucheur photo est souvent ignorée : les fichiers que vous manipulez ne vous appartiennent pas. Les RAW livrés par un photographe, les visuels d'une marque, les images d'une campagne à venir sont des biens confiés. En les recevant, vous devenez juridiquement dépositaire : vous avez l'obligation de les conserver et de les restituer en bon état.

Cette qualité change tout en cas de perte. Quand un boulanger perd son four, il perd son propre outil. Quand un retoucheur perd un disque, il perd potentiellement les actifs irremplaçables de ses clients : un shooting de mode qui a coûté 15 000 €, des images produit d'un catalogue en cours, des visuels d'événement impossibles à refaire.

Le risque n'est donc pas seulement matériel (un disque coûte quelques dizaines d'euros), il est immatériel et contractuel. Et c'est précisément le type de préjudice le plus coûteux, car il se chiffre en valeur de production perdue et en confiance détruite.

Reconstituons un sinistre réaliste. Marc, retoucheur indépendant, travaille sur trois projets en parallèle : une campagne cosmétique, un catalogue mode pour une marque e-commerce, et la post-production d'un mariage haut de gamme. Tout est stocké sur son poste de travail et un NAS connecté en permanence.

Un vendredi, il ouvre une pièce jointe d'un faux client. En quelques heures, un rançongiciel chiffre son poste et le NAS connecté, soit environ 6 To de données : RAW, fichiers PSD multicalques, livrables finaux. Une demande de rançon de 4 000 € en cryptomonnaie s'affiche.

Voici le décompte des conséquences sur les semaines suivantes :

La rançon de 4 000 € est presque l'aspect le plus anecdotique. Le vrai coût est celui de la reconstitution et des conséquences en cascade chez les clients. Et payer la rançon ne garantit jamais la récupération : les autorités déconseillent fermement de payer.

Face à ce type de sinistre, une assurance cyber agit là où la simple RC ne suffit pas. Ses garanties typiques :

• Assistance d'urgence : un expert en réponse à incident intervient pour isoler l'attaque, évaluer le périmètre chiffré et tenter une récupération.
• Frais de reconstitution des données : prise en charge du coût de restauration des fichiers à partir des sauvegardes ou de prestataires spécialisés.
• Pertes d'exploitation : indemnisation du chiffre d'affaires perdu pendant l'immobilisation.
• Responsabilité envers les tiers : si des données personnelles de tiers sont compromises (modèles, par exemple), la dimension RGPD est couverte.
• Gestion de crise et notification : accompagnement pour informer la CNIL et les personnes concernées si nécessaire.

La RC Professionnelle classique couvre votre responsabilité pour la faute de prestation, mais elle n'inclut pas, sauf extension, la gestion technique d'une cyberattaque ni la perte d'exploitation liée. C'est la complémentarité RC Pro + cyber qui offre une protection cohérente à un métier dont la matière première est le fichier numérique.

Aucune assurance ne remplace une bonne hygiène de sauvegarde. La référence du métier est la règle 3-2-1 :

• 3 copies de chaque fichier important.
• 2 supports différents (par exemple le poste de travail et un disque externe).
• 1 copie hors site et idéalement déconnectée (cloud chiffré ou disque stocké ailleurs).

Le point décisif contre les rançongiciels est la copie déconnectée (ou « immuable »). Dans le scénario de Marc, le NAS connecté en permanence a été chiffré avec le poste : il ne constituait pas une vraie sauvegarde, juste un second emplacement vulnérable. Une copie hebdomadaire sur un disque débranché aurait limité la perte à quelques jours de travail.

Quelques pratiques complémentaires :

1. Activez le versionnage sur votre stockage cloud (récupération d'une version antérieure non chiffrée).
2. Méfiez-vous des pièces jointes et liens de prétendus clients : c'est le vecteur d'attaque numéro un.
3. Convenez avec vos clients d'une durée de conservation des fichiers, pour ne pas accumuler indéfiniment des To d'actifs à risque.

La sauvegarde réduit la probabilité et l'ampleur du sinistre ; l'assurance cyber couvre le résiduel quand, malgré tout, l'incident survient. Les deux ne s'opposent pas, ils se complètent.

Revenons au cœur juridique. En tant que dépositaire des fichiers, vous engagez votre responsabilité si vous ne prenez pas les « soins raisonnables » attendus d'un professionnel. Concrètement, un client à qui vous expliquez avoir perdu ses RAW « parce que mon seul disque a planté » est en position de réclamer réparation, car l'absence de sauvegarde sera vue comme une négligence.

À l'inverse, le professionnel qui dispose d'une stratégie de sauvegarde documentée et d'une assurance adaptée démontre sa diligence et limite considérablement son exposition. Pensez à :

• Préciser dans vos CGV la durée de conservation et les modalités de restitution des fichiers.
• Inviter vos clients à conserver eux aussi leurs originaux : vous n'êtes pas leur archive permanente.
• Souscrire une couverture qui reconnaît la valeur des données clients que vous hébergez.

Pour structurer l'ensemble de vos protections, découvrez notre page assurance retoucheur photo, qui détaille les garanties adaptées à la manipulation de fichiers confiés.