Données sociales des bénéficiaires : RGPD, secret partagé et risque cyber du CIP
Santé, situation sociale, casier, dettes : le CIP traite des données parmi les plus sensibles qui soient. Tour d'horizon du cadre RGPD, du secret partagé et du risque de fuite.
- Le conseiller en insertion traite des données sensibles (santé, situation sociale, judiciaire) soumises à un régime RGPD renforcé.
- Le secret partagé entre professionnels de l'accompagnement obéit à des règles strictes : seul l'utile, avec accord de la personne.
- Une fuite de fichiers de bénéficiaires expose à des sanctions CNIL et à des réclamations des personnes concernées.
- L'assurance cyber prend en charge la gestion de l'incident, la notification et les conséquences d'une violation de données.
Le CIP, un manipulateur de données parmi les plus sensibles
On associe rarement le métier de conseiller en insertion professionnelle au risque numérique. Pourtant, peu de professions concentrent autant de données personnelles sensibles dans un même dossier. Pour construire un projet réaliste, vous recueillez et conservez des informations qui touchent à l'intime :
- la situation sociale : minima sociaux, surendettement, hébergement précaire ;
- la santé : restrictions médicales, reconnaissance de travailleur handicapé, addictions ;
- la situation judiciaire : casier, mesures de justice, sortie de détention ;
- la vie familiale : isolement, garde d'enfants, violences.
Au sens du RGPD, plusieurs de ces catégories (santé, données judiciaires) relèvent des données particulièrement protégées, dont le traitement obéit à des règles renforcées. Le CIP est donc, qu'il le sache ou non, un responsable de traitement à fort enjeu.
Secret professionnel et secret partagé : la frontière à ne pas franchir
Le conseiller en insertion travaille rarement seul. Il échange avec des référents sociaux, des conseillers France Travail, des organismes de formation, des employeurs. Ces échanges sont nécessaires, mais ils ne sont pas libres.
Le principe est celui du secret partagé : vous ne pouvez transmettre une information qu'à la condition qu'elle soit :
- strictement utile à l'accompagnement de la personne ;
- partagée avec un professionnel concourant à la même mission ;
- portée à la connaissance de la personne, qui peut s'y opposer.
Transmettre à un employeur qu'un bénéficiaire sort de détention, ou évoquer son état de santé sans nécessité ni accord, constitue une violation du secret. Au-delà de la sanction déontologique, c'est une faute susceptible d'engager votre responsabilité professionnelle si elle cause un préjudice.
La règle d'or : ne partager que ce qui sert le projet, et tracer l'accord de la personne.
Ce que le RGPD impose concrètement à un conseiller en insertion
Le RGPD n'est pas réservé aux grandes entreprises. Un CIP indépendant qui tient un fichier de bénéficiaires sur son ordinateur est pleinement concerné. Quelques obligations clés s'appliquent :
- Minimisation. Ne collecter que les données nécessaires au projet professionnel, pas plus.
- Finalité et information. Expliquer au bénéficiaire pourquoi ses données sont recueillies et combien de temps elles seront conservées.
- Durée de conservation. Ne pas garder indéfiniment les dossiers une fois l'accompagnement clos.
- Sécurité. Protéger les fichiers par mot de passe, chiffrement et sauvegardes ; ne pas laisser un dossier accessible sur un poste partagé.
- Droits des personnes. Permettre l'accès, la rectification et l'effacement des données sur demande.
En cas de manquement, la CNIL peut prononcer une mise en demeure, voire une sanction financière. Mais le risque le plus tangible pour un CIP n'est pas tant le contrôle que la fuite accidentelle.
La fuite de données : le scénario qui change de dimension
Un ordinateur portable volé dans une voiture. Une boîte mail piratée par hameçonnage. Une clé USB perdue avec les dossiers de cinquante bénéficiaires. Une pièce jointe envoyée au mauvais destinataire. Ces incidents banals deviennent graves quand les fichiers contiennent des données aussi sensibles que celles d'un CIP.
Une violation de données personnelles déclenche plusieurs obligations et risques en cascade :
- Notification à la CNIL sous 72 heures si la violation présente un risque pour les personnes ;
- Information des bénéficiaires concernés lorsque le risque est élevé ;
- Réclamations des personnes dont les données médicales ou judiciaires ont fuité ;
- Atteinte à la confiance des financeurs et des structures partenaires.
Gérer seul un tel incident, dans l'urgence et sans expertise, est extrêmement difficile. C'est précisément ce que couvre une assurance cyber.
Comment l'assurance cyber protège le conseiller en insertion
L'assurance cyber est souvent perçue comme un produit pour les e-commerçants ou les sociétés tech. Pour un métier qui détient des dossiers sociaux sensibles, elle remplit pourtant une fonction très concrète. En cas de fuite, de piratage ou de rançongiciel, elle prend généralement en charge :
- l'assistance d'urgence : experts techniques pour contenir l'incident et récupérer les données ;
- la gestion de la notification à la CNIL et aux personnes concernées, accompagnement juridique inclus ;
- les frais de défense et réclamations des bénéficiaires dont les données ont été compromises ;
- la perte d'exploitation si votre activité est paralysée par le blocage de vos outils.
Couplée à la RC Professionnelle qui couvre vos fautes d'accompagnement, l'assurance cyber complète la protection sur le terrain numérique, devenu indissociable du métier. Vous pouvez vérifier l'adéquation de ces garanties à votre activité sur la page conseiller en insertion professionnelle.
Questions fréquentes
Oui, pleinement. Dès lors que vous tenez un fichier de bénéficiaires, vous êtes responsable de traitement. Vous devez respecter la minimisation des données, informer les personnes, sécuriser les dossiers et limiter la durée de conservation, même comme indépendant.
Le secret partagé autorise l'échange d'informations entre professionnels concourant au même accompagnement, à trois conditions : que l'information soit strictement utile, partagée avec un professionnel de la mission, et que la personne en soit informée et puisse s'y opposer. On ne transmet que ce qui sert le projet.
Si la perte présente un risque pour les personnes, vous devez notifier la CNIL sous 72 heures et, en cas de risque élevé, informer les bénéficiaires concernés. Une assurance cyber prend en charge cette gestion de crise, la notification et les éventuelles réclamations.
Parce qu'il détient des données parmi les plus sensibles (santé, situation judiciaire, sociale). Une fuite expose à des sanctions, des réclamations et une crise difficile à gérer seul. L'assurance cyber finance l'assistance technique, juridique et les conséquences de la violation.
Oui, si cette information n'était pas nécessaire ou partagée sans l'accord de la personne. Révéler un état de santé ou une situation judiciaire en dehors du secret partagé constitue une faute qui peut engager votre responsabilité professionnelle si elle cause un préjudice.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Conseiller en insertion professionnelle — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Conseiller en insertion professionnelle →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.