Agence d'intérim et RGPD : vos fichiers candidats sont une bombe à retardement

On imagine souvent les cyberattaques visant des banques ou de grands groupes industriels. Pourtant, une agence d'intérim coche toutes les cases du fichier idéal pour un attaquant : volume, fraîcheur et richesse des données. À chaque inscription, vous collectez bien plus qu'un CV.

• Données d'identité complètes : nom, date de naissance, adresse, copie de pièce d'identité, parfois titre de séjour.
• Données bancaires : le RIB indispensable au versement des salaires.
• Données sociales : numéro de sécurité sociale, situation familiale, coordonnées d'urgence.
• Données potentiellement sensibles : informations liées à l'aptitude au poste ou à des restrictions médicales.

Multipliez par des centaines, voire des milliers de candidats inscrits sur plusieurs années : vous détenez une base d'une valeur considérable sur le marché noir des données. Et contrairement à un mot de passe, une identité ou un numéro de sécurité sociale ne se « réinitialise » pas. C'est ce qui fait de votre fichier candidats une responsabilité permanente.

Première erreur fréquente : croire qu'en utilisant un logiciel de gestion d'intérim hébergé dans le cloud, ou un ATS de recrutement, vous transférez la responsabilité au prestataire. C'est faux. Au sens du RGPD, vous êtes responsable de traitement : c'est vous qui décidez quelles données vous collectez, pourquoi et combien de temps vous les conservez.

Votre éditeur de logiciel est, lui, un sous-traitant. Il doit présenter des garanties de sécurité, mais cela ne vous exonère pas. Si une fuite survient via son outil, c'est d'abord vous qui devrez en répondre devant l'autorité de contrôle et devant les candidats concernés.

Concrètement : un contrat de sous-traitance conforme avec votre éditeur est obligatoire, mais il ne vous met pas à l'abri. La responsabilité de la donnée reste la vôtre.

Cette responsabilité implique des obligations concrètes : limiter la collecte au strict nécessaire, définir une durée de conservation (on ne garde pas indéfiniment les CV de candidats jamais placés), sécuriser l'accès et tenir un registre des traitements.

Déroulons un sinistre type, malheureusement courant dans le secteur. Un collaborateur ouvre une pièce jointe piégée. Un rançongiciel chiffre vos serveurs et, avant de les verrouiller, l'attaquant exfiltre votre base de données candidats. Quelques jours plus tard, un échantillon de fichiers apparaît sur un forum, avec menace de tout publier.

Les conséquences s'enchaînent vite :

1. Paralysie opérationnelle : impossible d'établir les contrats, de gérer la paie, de répondre aux clients tant que les systèmes sont bloqués.
2. Obligation de notification : une violation de données personnelles doit, dans la plupart des cas, être notifiée à l'autorité de contrôle sous un délai très court, et les personnes concernées doivent être informées si le risque est élevé.
3. Vague de réclamations : des candidats dont l'identité circule peuvent vous demander des comptes, voire réparation.
4. Atteinte à la réputation : dans un métier de confiance, l'annonce d'une fuite peut faire fuir candidats et entreprises utilisatrices.

Le coût n'est pas seulement la rançon (qu'il ne faut d'ailleurs pas payer aveuglément) : c'est l'arrêt d'activité, l'expertise technique, la gestion juridique et la reconstruction de la confiance. C'est précisément ce que prend en charge une assurance cyber.

Une garantie cyber ne se résume pas à un chèque après l'attaque. Sa vraie valeur réside dans l'accompagnement en temps réel au moment où vous êtes le plus démuni. Les volets utiles pour une agence d'intérim sont :

• La cellule de crise : mise à disposition immédiate d'experts en cybersécurité pour contenir l'attaque, identifier la faille et restaurer les systèmes.
• L'accompagnement juridique : aide à la notification réglementaire dans les délais, gestion de la communication avec les personnes concernées.
• La prise en charge des frais : reconstitution des données, frais d'expertise, pertes d'exploitation liées à l'interruption.
• La responsabilité civile : indemnisation des réclamations des candidats ou clients consécutives à la violation de leurs données.

Pour une structure qui n'a pas de service informatique dédié, cet appui opérationnel fait souvent la différence entre une crise maîtrisée en quelques jours et une paralysie de plusieurs semaines. La cyber se conçoit en complément naturel de votre RC Professionnelle, qui couvre, elle, vos fautes de placement et de gestion.

On associe spontanément le risque sur les données à l'attaque externe spectaculaire. Mais pour une agence d'intérim, une part importante des incidents vient de l'intérieur ou d'une simple maladresse. Ces scénarios sont moins médiatisés, tout aussi coûteux et souvent plus probables.

• L'erreur d'envoi : un fichier de candidats adressé par mégarde au mauvais destinataire, ou en copie ouverte au lieu de copie cachée. La violation de données est constituée même sans la moindre intention malveillante.
• Le départ d'un collaborateur : un salarié qui quitte l'agence en emportant une copie du fichier candidats pour un concurrent. C'est à la fois une violation de données et un préjudice concurrentiel.
• La perte d'un matériel : un ordinateur portable ou une clé USB non chiffrés contenant des dossiers, oubliés dans un train ou volés dans une voiture.
• Le partage non maîtrisé : des accès à votre logiciel laissés ouverts à d'anciens utilisateurs ou partagés entre plusieurs collaborateurs.

Ces incidents relèvent du même régime que le piratage : ce sont des violations de données personnelles qui peuvent déclencher une obligation de notification et engager votre responsabilité. Une assurance cyber bien conçue ne se limite donc pas à la cyberattaque : elle accompagne aussi la gestion de ces incidents internes ou accidentels, qui constituent une large part du risque réel d'une agence.

L'assurance intervient quand le mal est fait ; la prévention réduit la probabilité que cela arrive. Voici les mesures qui ont le meilleur rapport effort / protection pour une agence.

1. Trier et purger : définissez une durée de conservation et supprimez les dossiers de candidats inactifs depuis trop longtemps. Moins de données stockées = moins de données exposées.
2. Cloisonner les accès : tout le monde n'a pas besoin d'accéder aux RIB et numéros de sécurité sociale. Limitez les droits selon les fonctions.
3. Activer la double authentification sur votre logiciel de gestion et vos messageries : c'est la barrière la plus efficace contre le vol d'identifiants.
4. Sauvegarder hors ligne : une sauvegarde déconnectée et testée régulièrement permet de redémarrer sans céder à une demande de rançon.
5. Former vos équipes : la majorité des intrusions commencent par un e-mail piégé. Une équipe sensibilisée, capable de repérer une fausse facture ou un faux message d'un client, est votre premier pare-feu — et le moins coûteux.

Ces réflexes ne sont pas seulement de bonnes pratiques : ils sont souvent regardés par l'assureur et conditionnent la qualité de votre couverture cyber. Une agence qui démontre des sauvegardes et une double authentification obtient de meilleures conditions qu'une agence sans aucune mesure.

Aucune de ces mesures ne supprime totalement le risque — c'est précisément la fonction de l'assurance de prendre le relais sur le risque résiduel. Mais elles le réduisent fortement, et surtout elles raccourcissent le temps de reprise le jour où un incident survient. Prévention et assurance ne s'opposent pas : elles se renforcent.

Pour faire le point sur l'ensemble de vos risques — données, placement, garantie financière — la page assurance agence d'intérim rassemble les garanties à envisager selon votre volume d'activité.