RGPD et entreprise 3D : votre registre d'intervention est-il une donnée sensible ?

Sur le papier, votre registre d'intervention paraît anodin. En réalité, il concentre quatre catégories d'informations qui, combinées, en font une cible de choix pour la cybercriminalité et un dossier sensible au regard du RGPD :

• Données d'identification : nom, prénom, adresse, téléphone, parfois date de naissance du donneur d'ordre — y compris pour les particuliers traités à domicile
• Données de géolocalisation fine : plans de caves, sous-sols, locaux techniques, chambres froides, parfois codes d'accès digicode ou badge
• Données économiques : volume de stockage alimentaire, configuration des cuisines professionnelles, équipements industriels — précieuses pour la concurrence
• Données réputationnelles : photos d'infestations, notes de l'opérateur sur l'état d'hygiène d'un restaurant ou d'un commerce

Une fuite de ce registre n'est pas un incident IT banal. C'est un événement qui peut détruire la confiance avec votre clientèle agroalimentaire, déclencher une vague de résiliations et provoquer des actions en justice individuelles de la part de clients dont l'image publique est atteinte.

Toute entreprise 3D, même unipersonnelle, est soumise au RGPD (règlement UE 2016/679) dès lors qu'elle traite des données de personnes physiques identifiables. Les obligations clés :

1. Registre des traitements (article 30 RGPD) — obligatoire si vous avez plus de 250 salariés ou si le traitement présente un risque pour les personnes. Concrètement, dès que vous photographiez l'intérieur d'un domicile, vous tombez dans la deuxième catégorie.
2. Information des personnes (articles 13-14) — votre devis et votre contrat doivent mentionner la finalité, la durée de conservation et les droits des personnes concernées.
3. Durée de conservation justifiée — la CNIL retient 5 ans après la fin de la relation commerciale comme maximum raisonnable, alignée sur la prescription civile.
4. Sécurité technique et organisationnelle (article 32) — chiffrement des sauvegardes, authentification forte, journalisation des accès.
5. Notification d'une violation (article 33) — sous 72 heures à la CNIL, en cas de risque pour les droits des personnes.

Le manquement est lourdement sanctionné : la CNIL peut prononcer une amende administrative jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le plus élevé des deux). Pour une PME 3D, le simple coût de mise en conformité après contrôle dépasse couramment 35 000 €.

Imaginez : votre logiciel métier de planification d'interventions est hébergé chez un éditeur SaaS. Un opérateur clique sur un lien de phishing imitant un mail de votre éditeur. Ses identifiants sont siphonnés. L'attaquant accède à l'intégralité du planning des 18 prochains mois, télécharge le registre clients et chiffre vos sauvegardes locales. La demande de rançon arrive : 28 000 € en cryptomonnaie.

Décortiquons l'addition réelle d'un tel incident, observée sur les sinistres déclarés à l'ANSSI et au panel des assureurs cyber en 2024 :

Et la RC Pro classique ne couvre quasiment rien de tout cela. Elle est calibrée pour les dommages corporels et matériels causés à un tiers, pas pour la reconstruction d'un SI ni pour les notifications réglementaires.

Une assurance cyber dédiée prend le relais là où la RC Pro s'arrête. Les garanties à viser pour une entreprise 3D digitalisée :

• Reconstruction des données et systèmes — prise en charge de la restauration des sauvegardes et des prestations forensiques
• Pertes d'exploitation cyber — indemnisation du chiffre d'affaires manqué pendant l'indisponibilité
• Frais de notification — courrier postal aux personnes concernées, mise en place d'une hotline, communication CNIL
• Cyber-extorsion — accompagnement en cas de demande de rançon, sans obligation de payer
• Responsabilité civile cyber — pour les actions des tiers (clients) dont les données ont fuité
• Cellule de crise 24/7 — accès immédiat à des experts techniques, juridiques et communication

Pour une entreprise 3D de moins de 10 salariés, comptez 25 à 60 €/mois selon le chiffre d'affaires et la volumétrie de données traitées. L'assurance cyber Insurio est souscrivable en ligne en complément de la RC Pro 3D, avec un audit de maturité cyber inclus la première année pour structurer vos sauvegardes et votre politique de mots de passe.

Avant même la souscription d'une cyber-assurance, cinq actions sans budget réduisent drastiquement votre exposition :

1. Authentification à deux facteurs (2FA) sur tous les comptes professionnels — messagerie, logiciel métier, cloud photos. Une mesure qui bloque 99 % des tentatives de phishing selon Microsoft.
2. Sauvegarde 3-2-1 — 3 copies de vos données, sur 2 supports différents, dont 1 hors site (cloud ou disque déconnecté). Indispensable contre les ransomwares.
3. Mention RGPD sur devis et factures — ajoutez un paragraphe type indiquant les durées de conservation et le droit d'opposition. Modèle disponible gratuitement sur le site de la CNIL.
4. Désignation d'un référent données — pas forcément un DPO certifié (non obligatoire en PME 3D sauf cas particuliers), mais une personne identifiée qui centralise les demandes.
5. Charte d'usage pour les opérateurs — pas de photo client sur smartphone personnel, pas de partage WhatsApp non chiffré, pas de réutilisation des mots de passe.

Ces cinq mesures, conjuguées à une RC Pro adaptée et une cyber-assurance, constituent le socle de résilience d'une entreprise 3D moderne. Le digital a transformé votre métier ; il a aussi transformé vos risques. Les couvrir n'est plus un luxe, c'est une condition de pérennité.