RGPD et fin de vie du matériel : ce que risquent les professions réglementées

Pour les professions soumises au secret professionnel, la fin de vie d'un ordinateur ou d'un disque dur ne se limite pas à une question RGPD classique. Deux régimes de responsabilité se superposent : celui du RGPD, et celui du secret professionnel, dont la violation relève du droit pénal.

Le risque RGPD

La CNIL peut prononcer des sanctions en cas de manquement à la sécurité des données, avec des montants pouvant atteindre plusieurs millions d'euros pour les cas les plus graves selon l'article 83 du RGPD, proportionnellement adaptés à la taille de la structure. Au-delà de l'amende, une mise en demeure publique ou une communication de la sanction peut avoir un impact réputationnel disproportionné pour un cabinet dont la confiance des clients est le fondement de l'activité.

Le risque spécifique du secret professionnel

Pour les avocats, notaires et professions médicales notamment, la violation du secret professionnel est sanctionnée par l'article 226-13 du Code pénal, indépendamment de toute sanction RGPD. Un dossier client, un acte notarié ou un dossier médical retrouve sur un disque dur mal effacé constitue une violation caractérisée, quelle que soit l'intention.

Un scénario plus fréquent qu'on ne le pense

Le risque ne vient pas nécessairement d'une négligence volontaire, mais d'un maillon faible dans la chaîne : un matériel confié à un revendeur généraliste sans vérification de ses pratiques d'effacement, un stagiaire charge de "vider" un vieux poste avant de le donner, ou un simple formatage jugé suffisant. Dans tous ces cas, la responsabilité du cabinet reste engagée.

Se prémunir efficacement

La solution la plus sûre reste un effacement ou une destruction des supports réalisés par un interlocuteur unique, sans intermédiaire, et documentés. Une attestation d'effacement signée, datée et détaillée constitue votre preuve de diligence en cas de contrôle.