Vos books candidats sont une base RGPD : ce que la loi vous impose

On associe spontanément le RGPD aux grandes plateformes numériques. Pourtant, une agence de casting détient l'un des profils de données les plus riches qui soient : identité, coordonnées, photographies, vidéos, mensurations, parfois données de santé indirectes (allergies, contraintes physiques pour un tournage), et historique de candidatures. Le tout, sur des centaines voire des milliers de personnes.

Au sens du Règlement général sur la protection des données, ce fichier est un traitement de données personnelles, et l'agence en est le responsable de traitement. Ce statut n'est pas optionnel : il découle automatiquement du fait que vous collectez et exploitez ces informations pour votre activité.

Certaines de ces données frôlent les catégories particulières (origine apparente, données biométriques via la photo, état physique). Cela élève le niveau d'exigence et impose une vigilance renforcée, en particulier sur la sécurité et la durée de conservation.

Le volume aggrave le risque. Là où un artisan peut détenir quelques dizaines de fiches clients, une agence de casting active gère couramment des centaines, voire des milliers de profils, alimentés en continu par les candidatures spontanées. Cette accumulation transforme votre base en cible attractive et fait de chaque négligence un risque démultiplié. Plus le fichier grossit, plus l'exposition augmente — et plus la rigueur de gestion devient un enjeu de survie, pas une simple bonne pratique.

Être responsable de traitement implique des obligations précises, dont le non-respect est sanctionnable indépendamment de toute fuite. Les principales :

• Finalité déterminée : chaque book doit avoir un objectif clair (mise en relation avec des productions) et ne pas être détourné de cet usage.
• Base légale : généralement le consentement du candidat ou l'exécution d'un contrat. Ce consentement doit être libre, éclairé et révocable.
• Minimisation : ne collecter que les données réellement utiles. Une donnée de santé non justifiée par un casting précis n'a pas à figurer dans le fichier.
• Durée de conservation : un candidat non retenu et inactif ne peut pas rester indéfiniment dans la base. Une politique de purge est obligatoire.
• Droits des personnes : accès, rectification, effacement, opposition. Un talent doit pouvoir demander la suppression de son profil et obtenir une réponse dans les délais légaux.
• Sécurité : mesures techniques et organisationnelles adaptées au risque (chiffrement, contrôle d'accès, sauvegardes).

Tenir un registre des traitements et, le cas échéant, désigner un référent RGPD complète ce socle. Ces obligations ne sont pas théoriques : un contrôle CNIL peut les vérifier sur pièces.

Une agence travaille avec une boîte mail standard, des dossiers partagés non chiffrés, des books transmis par lien public. Un accès est compromis — phishing, mot de passe faible, ordinateur volé. Le fichier complet des talents se retrouve dans la nature : photos, adresses, numéros, parfois données de mineurs.

Les conséquences s'enchaînent vite :

1. Notification CNIL sous 72 heures dès que la violation présente un risque pour les personnes. Le délai est court et l'absence de notification est en soi une faute.
2. Information des personnes concernées si le risque est élevé — c'est-à-dire un courrier ou un email à des centaines de talents, avec l'atteinte d'image que cela représente.
3. Investigation technique pour comprendre l'origine et l'étendue de la fuite, souvent confiée à un prestataire spécialisé.
4. Risque de sanction de la CNIL et d'actions individuelles de talents dont les données ont fuité.

Le coût d'un incident de données ne se résume pas à une amende hypothétique : ce sont surtout les frais immédiats de gestion de crise, d'expertise et de notification qui pèsent, dès les premiers jours.

C'est exactement ce que prend en charge une assurance cyber : frais de notification, expertise forensique, accompagnement juridique, et selon les contrats, conséquences financières de l'atteinte.

La conformité RGPD et la sécurité technique se renforcent mutuellement. Quelques mesures à fort impact :

Aucune de ces mesures n'est gratuite en temps, mais aucune n'approche le coût d'un incident mal géré. Et même la meilleure hygiène ne ramène pas le risque à zéro : un prestataire peut être piraté, un collaborateur peut se faire abuser. La part résiduelle se transfère à l'assureur.

Si un contrôle devait cibler un seul point, ce serait probablement le consentement. C'est la base légale la plus utilisée par les agences de casting, et c'est aussi la plus fragile quand elle est mal gérée.

Un consentement RGPD valable doit être libre, spécifique, éclairé et univoque. Une case pré-cochée ne suffit pas. Un formulaire qui mélange l'inscription au book et l'acceptation de recevoir des offres commerciales tierces non plus : le candidat doit pouvoir consentir à l'un sans l'autre. Et surtout, le consentement est révocable à tout moment : un talent qui demande à quitter votre base exerce un droit, et vous devez pouvoir y répondre sans friction.

Le cas des candidats mineurs est encore plus sensible. La collecte de données d'un enfant suppose le consentement des titulaires de l'autorité parentale et un niveau de protection renforcé. Or les castings de jeunes talents sont fréquents. Une agence qui constituerait des books de mineurs sans encadrement parental documenté s'exposerait à une non-conformité particulièrement mal vue en cas de contrôle, et à une atteinte d'image majeure en cas de fuite impliquant des enfants.

Documenter chaque consentement — quand, comment, pour quelle finalité, et avec quelle preuve de révocabilité — n'est pas de la bureaucratie : c'est ce qui vous permet de démontrer votre conformité le jour où on vous la demande.

Il faut distinguer deux risques que l'on confond souvent. La RC Professionnelle couvre les conséquences d'une faute de prestation envers vos clients productions. La garantie cyber couvre, elle, l'atteinte aux données et systèmes : fuite, ransomware, intrusion.

Une agence de casting est exposée aux deux. Une erreur dans un contrat relève de la RC Pro ; une fuite du fichier talents relève du cyber. Les deux peuvent même se croiser dans un même sinistre : une fuite de données peut entraîner une réclamation d'un talent et une perte de confiance d'une production. Couvrir l'un sans l'autre laisse un angle mort coûteux.

Pour une structure qui manipule autant de données sensibles que de relations contractuelles, l'articulation RC Pro + cyber n'est pas un luxe : c'est l'architecture minimale de protection.

Un dernier point de méthode : la conformité RGPD n'est pas un projet ponctuel mais un état permanent. Vos outils évoluent, vos prestataires changent, votre volume de données croît. Une revue annuelle de votre registre, de vos durées de conservation et de vos mesures de sécurité vous évite de découvrir une faille au pire moment — celui où la CNIL ou un talent vous demande des comptes. Coupler cette hygiène à une couverture cyber, c'est se donner les moyens d'absorber l'incident résiduel sans y laisser la santé financière de l'agence.