Qui est responsable de quoi

Beaucoup de gens se croient soit entièrement responsables, ce qui est angoissant et faux, soit entièrement couverts par leur employeur, ce qui est confortable et faux aussi.

La répartition réelle est plus intéressante.

Ce qui relève de ton organisation

C’est elle qui décide pourquoi et comment les données personnelles sont traitées. Dans le vocabulaire officiel, elle est responsable du traitement.

Concrètement, il lui revient de choisir les outils autorisés, de signer les contrats qui encadrent l’usage, d’informer les personnes concernées, de tenir le registre des traitements, de désigner un délégué à la protection des données si nécessaire, de définir les durées de conservation et de gérer les demandes d’accès ou de suppression.

Ce n’est pas ton travail. Si personne ne le fait dans ton organisation, c’est un problème, mais ce n’est pas ton problème à résoudre seul.

Ce qui relève de toi

Ta part est plus étroite, et bien réelle.

Tu es tenu de respecter les règles internes. Si une charte existe, elle t’engage.

Tu es tenu à ton obligation de discrétion, et pour certaines professions au secret professionnel, qui est d’un autre ordre et ne souffre pas d’exception pour convenance pratique.

Tu es responsable de ce que tu transmets à un tiers. Coller un document dans un service en ligne est une transmission.

Et tu es tenu de signaler un incident. Ne pas le faire aggrave la situation, presque toujours.

« Je ne savais pas » ne fonctionne qu’une fois

Avant cette formation, l’argument tenait. Après, non.

C’est d’ailleurs le mécanisme prévu par le règlement européen sur l’IA : l’employeur doit veiller à ce que les personnes qui utilisent ces outils aient un niveau de maîtrise suffisant. Une fois formé, tu es censé savoir.

Le cas du secret professionnel

Il mérite un traitement à part, parce qu’il ne fonctionne pas comme les autres règles.

Si tu es soignant, avocat, notaire, expert-comptable, travailleur social, ministre du culte ou fonctionnaire, tu es tenu à un secret dont la violation est une infraction pénale. Il ne connaît pas d’exception pour un outil pratique, et il ne se lève pas parce que ton employeur aurait signé un contrat avec un fournisseur.

Pour ces professions, la règle est nette : le contenu couvert par le secret ne sort pas. Ni anonymisé à moitié, ni « juste pour reformuler ».

Ce qui reste possible, et c’est beaucoup : travailler sur des textes qui ne contiennent aucun élément du dossier. Un modèle de courrier générique, une explication de vocabulaire, une reformulation d’un texte que tu as écrit toi-même sans référence à un cas.

Où passe la ligne, en pratique

Trois questions, dans cet ordre. Elles règlent la quasi-totalité des situations.

Est-ce que ces informations concernent quelqu’un d’autre ? Si non, tu es libre. Si oui, on continue.

Mon organisation a-t-elle un cadre pour ça ? Une charte, un outil autorisé, un contrat. Si oui, tu l’appliques. Si non, tu demandes, et tu ne décides pas seul.

Puis-je faire le travail sans ces informations ? Le plus souvent oui, en anonymisant. C’est l’objet de la fiche suivante.

Quand remonter au lieu de décider

Il y a des situations où la bonne réponse est de poser la question à quelqu’un d’autre. Elles ne sont pas si nombreuses.

Quand une catégorie protégée est en jeu : santé, origine, religion, syndicat, orientation, condamnation.

Quand il s’agit de mineurs.

Quand le volume est important, parce qu’un fichier entier n’est pas la même chose qu’un cas isolé.

Quand la décision produite aura un effet sur une personne : recrutement, sanction, refus, tarif.

Et quand tu ne sais pas. Le doute est un motif suffisant, et le formuler ne t’expose pas.

À qui demander, dans l’ordre

Ton responsable direct. Puis le délégué à la protection des données, s’il existe. Puis le service juridique ou informatique.

Et si personne n’existe dans ton organisation, la CNIL publie une documentation accessible à cnil.fr, écrite pour être lue sans formation juridique.

Ce que risque l’organisation, ce que risques-tu

L’organisation s’expose à des sanctions administratives, à des actions des personnes concernées et à une atteinte de réputation. Les montants dépendent de nombreux facteurs et je ne t’en citerai pas : c’est exactement le genre de chiffre qui circule déformé.

Toi, tu t’exposes à une sanction disciplinaire, et pour les professions à secret, à des poursuites pénales.

Mais l’essentiel n’est pas là. Le vrai enjeu, c’est que quelqu’un t’a confié une information dans un cadre donné, et que la transmettre ailleurs rompt ce cadre. Même si rien ne fuite jamais. Même si personne ne le sait.

Quinze minutes de pratique

Écris noir sur blanc, en une page, la réponse à quatre questions.

Mon organisation a-t-elle une charte ou une règle écrite sur l’usage de l’IA ? Si tu ne sais pas, demande, par écrit.

Quel outil est autorisé, et sous quel type de compte ?

Qui est le délégué à la protection des données, ou à défaut, qui traite ces sujets ?

Suis-je soumis à un secret professionnel, et si oui, l’ai-je bien en tête ?

Cette page est ton cadre. Sans elle, tu improvises à chaque décision.

Vérifie ta compréhension

Question : ton employeur a souscrit une offre professionnelle avec un engagement de non-conservation. Tu es infirmier. Peux-tu coller un compte rendu de consultation pour le reformuler ?

Réponse : non. Le contrat de ton employeur encadre le traitement, il ne lève pas le secret professionnel auquel tu es personnellement tenu. Le secret médical ne connaît pas d’exception pour convenance pratique. Ce qui reste possible : travailler sur un texte qui ne contient aucun élément du dossier, par exemple un modèle générique que tu adapteras ensuite toi-même.

Le module 2 passe aux gestes.