RIB, avis d'imposition, données de santé : vos obligations RGPD à domicile
Vous touchez aux données les plus sensibles d'une personne : revenus, identité, santé. Le RGPD s'applique pleinement, même au domicile. Vos devoirs.
- Dès que vous traitez RIB, avis d'imposition, numéro de sécurité sociale ou papiers de santé d'un client, vous entrez dans le champ du RGPD, y compris à son domicile.
- Votre statut juridique dépend du cas : souvent responsable de traitement pour votre propre activité, parfois sous-traitant quand vous agissez strictement pour un pro.
- Une violation de données — classeur perdu, vol au domicile, e-mail mal adressé — peut entraîner une obligation de notification, une plainte CNIL et une demande d'indemnisation du client.
- La protection combine bonnes pratiques (minimisation, chiffrement, registre) et une couverture cyber pour absorber le coût d'une fuite et la défense associée.
Pourquoi le RGPD vous concerne pleinement
L'assistance administrative manipule, par nature, les données les plus intimes d'une personne : RIB et relevés bancaires, avis d'imposition, numéro de sécurité sociale, justificatifs de santé, correspondances avec les administrations. Certaines de ces informations sont des données dites « sensibles » (santé) ou particulièrement protégées (numéro de sécurité sociale).
Le RGPD ne s'applique pas qu'aux grandes entreprises ou aux sites web. Dès lors que vous collectez, classez, stockez, transmettez ou détruisez des données personnelles dans un cadre professionnel, vous réalisez un « traitement » au sens du règlement. Que vous travailliez sur papier dans le salon de votre client ou sur votre ordinateur portable chez vous, l'obligation est la même.
L'idée fausse à abandonner : « je suis juste une personne qui aide, pas une entreprise informatique ». Aux yeux du droit, c'est le caractère professionnel et systématique du traitement qui compte, pas votre taille ni votre support.
Sous-traitant ou responsable de traitement : la bonne qualification
Le RGPD distingue deux rôles, et savoir lequel est le vôtre détermine vos obligations.
- Responsable de traitement : vous décidez des finalités et des moyens. C'est typiquement votre cas quand un particulier vous mandate directement et que vous organisez vous-même la manière de traiter ses documents.
- Sous-traitant : vous traitez des données pour le compte d'un autre responsable, selon ses instructions. C'est le cas si un cabinet ou un professionnel vous délègue une partie de sa gestion administrative ; il faut alors un contrat de sous-traitance encadrant le traitement.
La qualification n'est pas qu'un exercice théorique : elle conditionne qui doit informer la personne, qui tient le registre, qui notifie une violation. En pratique, beaucoup d'assistants administratifs à domicile sont responsables de traitement pour leur relation directe avec les particuliers, et sous-traitants pour les missions confiées par un pro. Vous pouvez cumuler les deux selon vos clients.
Mauvaise qualification = mauvaises obligations. Posez-vous toujours la question : pour ce client précis, est-ce moi qui décide du traitement, ou est-ce que j'exécute les instructions d'un autre ?
Vos obligations concrètes, sans jargon
Quel que soit votre statut, quelques principes structurent votre pratique :
- Minimisation : ne collectez et ne conservez que ce qui est strictement nécessaire à la mission. Un avis d'imposition gardé « au cas où » des années après est un risque inutile.
- Information : dites clairement au client quelles données vous traitez, pourquoi, combien de temps vous les conservez et comment il peut exercer ses droits.
- Sécurité : protégez les supports. Concrètement : ordinateur et téléphone verrouillés par mot de passe, fichiers sensibles chiffrés, documents papier sous clé, jamais de données client sur une messagerie personnelle non sécurisée.
- Registre des traitements : même tenu simplement, il liste ce que vous traitez et pour qui. La CNIL peut le demander.
- Durée de conservation : définissez une durée et détruisez les données ensuite, de façon sécurisée (broyage du papier, suppression définitive des fichiers).
Ces gestes ne sont pas réservés aux grandes structures. Pour un professionnel seul à domicile, ils tiennent en une routine simple, à condition d'être adoptés dès le départ plutôt qu'après un incident.
La violation de données : ce qui se passe quand ça dérape
Une « violation de données » n'est pas forcément une cyberattaque sophistiquée. Pour votre métier, les scénarios les plus probables sont très matériels :
- Un classeur de documents perdu dans les transports entre deux clients.
- Un vol au domicile du client ou un cambriolage chez vous emportant un ordinateur non chiffré.
- Un e-mail envoyé au mauvais destinataire contenant un RIB ou un avis d'imposition.
- Une clé USB contenant des dossiers égarée.
Dans ces cas, si un risque pour les personnes existe, vous pouvez avoir l'obligation de notifier la CNIL sous 72 heures et, dans les cas graves, d'informer les personnes concernées. S'ajoute le risque d'une plainte du client et d'une demande d'indemnisation pour le préjudice subi (usurpation, démarchage, préjudice moral).
Gérer un tel incident a un coût réel : analyse de la violation, notification, parfois communication, défense face à une réclamation. C'est précisément ce qu'une assurance cyber est conçue pour absorber, y compris pour un indépendant qui traite des données sensibles sans service informatique dédié.
Aligner le terrain, le RGPD et l'assurance
La meilleure protection est un alignement entre trois niveaux : vos pratiques de terrain, votre conformité RGPD et votre couverture assurantielle.
| Risque | Parade pratique | Filet assurantiel |
|---|---|---|
| Fuite / vol de données | Chiffrement, supports verrouillés, minimisation | Assurance cyber |
| Faute dans la démarche | Mandat écrit, traçabilité | RC Pro |
| Dommage chez le client | Prudence sur place | RC Exploitation |
Aucun de ces niveaux ne suffit seul. Des pratiques irréprochables réduisent la fréquence des incidents mais n'éliminent pas l'erreur humaine. Une bonne assurance absorbe le coût quand l'incident survient, mais ne vous dispense pas de la conformité. Le RGPD, enfin, organise vos obligations légales mais ne paie pas la facture d'une fuite.
Pour un professionnel qui touche quotidiennement aux données financières et de santé de personnes parfois vulnérables, cette articulation n'est pas un luxe : c'est la condition d'un exercice serein. Retrouvez l'ensemble des risques et garanties propres à votre activité sur la page assistance administrative à domicile.
Questions fréquentes
Oui, pleinement. Le RGPD ne dépend ni de la taille de l'entreprise, ni du support utilisé. Dès que vous traitez des données personnelles dans un cadre professionnel — sur papier ou sur ordinateur, chez le client ou chez vous — vous y êtes soumis, y compris pour les données sensibles comme la santé.
Cela dépend du client. Quand un particulier vous mandate directement et que vous décidez comment traiter ses documents, vous êtes généralement responsable de traitement. Quand vous agissez pour le compte d'un pro selon ses instructions, vous êtes sous-traitant. Vous pouvez cumuler les deux selon vos clients.
C'est une violation de données. Évaluez le risque pour la personne. Si ce risque existe, vous pouvez devoir notifier la CNIL sous 72 heures et, dans les cas graves, informer le client. Documentez l'incident. Une assurance cyber prend en charge la gestion et les frais associés à cette procédure.
Un RIB ou un avis d'imposition envoyé au mauvais destinataire constitue une violation de confidentialité. Selon la gravité, cela peut déclencher une obligation de notification et exposer à une plainte du client. C'est l'un des incidents les plus fréquents et il se prévient par une vérification systématique des destinataires.
Oui. La couverture cyber et atteinte à la confidentialité ne se limite pas aux attaques informatiques : elle couvre aussi la perte ou le vol de documents physiques contenant des données personnelles, la gestion de la violation et la défense face à une réclamation. Pour votre métier, le risque papier est très réel.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Assistance administrative à domicile — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Assistance administrative à domicile →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.