Données de santé des passagers PMR : le RGPD que vous ignorez
Sans le savoir, une entreprise de transport PMR détient un fichier de données de santé parmi les plus sensibles qui soient. Voici vos obligations RGPD réelles et le risque cyber associé.
- Le handicap, la dépendance et les motifs de transport médicaux sont des données de santé, soumises au régime le plus strict du RGPD.
- Géolocalisation des trajets et planning des prises en charge révèlent les habitudes de vie de personnes vulnérables : un fichier très convoité.
- Une fuite de ces données expose à la sanction CNIL, à la notification obligatoire et à une perte de confiance des familles et donneurs d'ordre.
- L'assurance cyber finance la gestion de crise, l'expertise technique et les conséquences financières d'une violation de données.
Ce que vous stockez sans toujours le réaliser
Une entreprise de transport de personnes à mobilité réduite ne transporte pas seulement des passagers : elle accumule un patrimoine de données d'une sensibilité rare. Reprenez mentalement le contenu de votre logiciel de planning et de vos feuilles de route :
- Nom, adresse précise du domicile et horaires de présence des personnes.
- Nature du handicap ou de la dépendance, type de fauteuil, besoin d'assistance.
- Destination des trajets : centre de dialyse, service d'oncologie, établissement spécialisé, ce qui révèle la pathologie.
- Coordonnées des aidants, des familles, parfois des établissements médico-sociaux.
La destination médicale d'un transport est, en elle-même, une donnée de santé. Savoir qu'une personne est conduite trois fois par semaine vers un centre de dialyse renseigne directement sur son état. Or, le RGPD range les données de santé parmi les catégories particulières, soumises au régime de protection le plus strict.
Pourquoi ce fichier intéresse les cybercriminels
On imagine mal une PME de transport visée par une attaque informatique. C'est pourtant un profil de cible idéal : des données à très forte valeur et, souvent, une protection limitée.
Un fichier qui croise identité, domicile, horaires d'absence et état de dépendance est une mine d'or pour qui prépare un cambriolage ou une escroquerie ciblée.
Les usages malveillants sont concrets : repérage de domiciles de personnes âgées seules à des horaires connus, fraudes ciblant des aidants, revente de listes de personnes vulnérables. À cela s'ajoute le risque classique du rançongiciel : un logiciel de planning chiffré un lundi matin, et c'est toute l'organisation des transports médicaux de la semaine qui s'effondre, avec des rendez-vous de dialyse ou de chimiothérapie manqués.
Vos obligations RGPD, concrètement
Manipuler des données de santé impose des obligations renforcées. Sans viser l'exhaustivité, voici le socle attendu d'un transporteur PMR :
- Minimiser les données : ne collecter que ce qui est nécessaire à l'exécution du transport et ne pas conserver indéfiniment les historiques de trajets.
- Sécuriser les accès : mots de passe robustes, comptes nominatifs, chiffrement des supports mobiles (tablettes, smartphones embarqués).
- Encadrer les sous-traitants : éditeur du logiciel de planning, prestataire de géolocalisation, par des clauses de protection des données.
- Notifier les violations : en cas de fuite, une notification à la CNIL sous 72 heures est obligatoire, et l'information des personnes concernées peut l'être aussi.
Le non-respect expose à des sanctions de la CNIL, mais aussi — et c'est souvent plus immédiat — à une perte de confiance des familles et des donneurs d'ordre publics ou médico-sociaux, dont les marchés exigent de plus en plus de garanties sur la protection des données.
Le rôle de l'assurance cyber dans ce métier
Aucune mesure de sécurité ne réduit le risque à zéro. C'est là qu'intervient l'assurance cyber, conçue pour absorber le choc d'une violation de données ou d'une attaque. Pour une entreprise de transport PMR, elle prend en charge :
- L'expertise technique de remédiation : identifier la faille, restaurer les systèmes, déchiffrer ou reconstruire les plannings.
- La gestion de crise : assistance juridique pour la notification CNIL, communication auprès des familles et des donneurs d'ordre.
- Les conséquences financières : pertes d'exploitation pendant l'interruption, frais de reconstitution de données, voire défense en cas de réclamation d'une personne dont les données ont fuité.
La cyberassurance ne remplace pas l'hygiène informatique : elle la complète. Les deux se renforcent, l'assureur conditionnant d'ailleurs souvent sa couverture à un niveau minimal de sécurité.
Trois réflexes à mettre en place dès cette semaine
La mise en conformité peut sembler intimidante. Commencez par trois actions à fort impact :
- Cartographiez vos données : listez où sont stockées les informations sur vos passagers (logiciel, tablettes, feuilles papier, messagerie) et qui y a accès. On ne protège bien que ce que l'on a recensé.
- Verrouillez les terminaux embarqués : code d'accès, chiffrement et effacement à distance sur chaque smartphone ou tablette de chauffeur. Un terminal perdu ne doit jamais devenir une fuite de données.
- Sauvegardez et testez la restauration : une sauvegarde déconnectée et vérifiée régulièrement est votre meilleure défense contre un rançongiciel.
Ces gestes simples, combinés à une couverture cyber adaptée, mettent votre activité à l'abri d'un risque encore largement sous-estimé dans le secteur. Pour découvrir l'ensemble des protections pensées pour votre métier, consultez notre fiche métier transport de personnes à mobilité réduite.
Questions fréquentes
Oui. Le handicap, la dépendance, le type de fauteuil et le motif médical d'un transport relèvent des données de santé, classées par le RGPD parmi les catégories particulières soumises au régime de protection le plus strict. Même la destination d'un trajet vers un service médical constitue une donnée de santé.
Parce qu'elle détient des données à très forte valeur — identités, domiciles, horaires d'absence, état de dépendance — avec souvent une protection limitée. Ce profil intéresse autant les auteurs de rançongiciels que ceux qui préparent cambriolages ou escroqueries ciblant des personnes vulnérables.
Notifier la violation à la CNIL sous 72 heures dès que vous en avez connaissance, et informer les personnes concernées si le risque pour leurs droits est élevé. En parallèle, il faut contenir l'incident, identifier la faille et restaurer les systèmes : autant d'actions que l'assurance cyber aide à piloter et financer.
Non, elle les complète. L'hygiène informatique réduit la probabilité d'un incident, l'assurance cyber en absorbe les conséquences : expertise de remédiation, gestion de crise, pertes d'exploitation et frais de reconstitution. Les assureurs conditionnent d'ailleurs souvent leur garantie à un niveau minimal de sécurité.
Par trois réflexes : cartographier où sont stockées les données de vos passagers et qui y accède, verrouiller les tablettes et smartphones embarqués par chiffrement et effacement à distance, et mettre en place une sauvegarde déconnectée testée régulièrement contre les rançongiciels.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Transport de personnes à mobilité réduite — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Transport de personnes à mobilité réduite →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.