Berufsgeheimnis (§ 203 StGB)

Les cabinets médicaux, cabinets d’avocats, cabinets fiscaux et assureurs remplacent régulièrement ordinateurs portables, PC et serveurs. Ces appareils contiennent des dossiers de patients, des dossiers de clients ou des données de santé. Pour ces groupes professionnels, le droit pénal s’applique en plus du RGPD : le § 203 StGB protège le secret professionnel. Cette entrée du glossaire explique ce que la disposition régit, qui elle concerne et ce qu’il faut observer lors de la mise au rebut de l’informatique.

Que dit le § 203 StGB ?

Un secret au sens de la disposition est un fait connu seulement d’un cercle restreint de personnes et dont l’intéressé a un intérêt légitime à préserver la confidentialité. Cela comprend par exemple les diagnostics, le contenu d’un mandat ou la situation patrimoniale d’un client. Quiconque divulgue un tel secret sans autorisation, c’est-à-dire le rend accessible à un tiers, commet une infraction pénale.

La peine est une peine d’emprisonnement pouvant aller jusqu’à un an ou une amende. Si l’auteur agit contre rémunération ou dans l’intention de s’enrichir ou de nuire à autrui, la peine encourue passe à deux ans au plus (§ 203 al. 6 StGB). L’infraction n’est poursuivie que sur plainte (§ 205 StGB). Seul le comportement intentionnel est punissable, le dol éventuel suffisant : il suffit que quelqu’un considère la divulgation comme possible et l’accepte.

Qui est tenu au secret professionnel ?

Le § 203 al. 1 StGB énumère limitativement les professions. L’al. 2 étend le cercle aux agents publics et aux personnes particulièrement astreintes au service public. Les principaux groupes en un coup d’œil :

Domaine	Exemples tirés du § 203 al. 1 et 2 StGB	Données typiques sur d’anciens appareils
Professions de santé	Médecins, dentistes, vétérinaires, pharmaciens, autres professions de santé avec formation réglementée par l’État, psychologues professionnels	Dossiers de patients, résultats d’examens, données de facturation
Conseil juridique et fiscal	Avocats, conseils en propriété industrielle, notaires, experts-comptables, conseillers fiscaux	Dossiers de clients, contrats, déclarations fiscales
Conseil et services sociaux	Conseillers conjugaux, familiaux et de jeunesse, conseillers en addictologie, travailleurs sociaux	Notes d’entretien, dossiers de cas
Assurances	Employés d’assureurs privés maladie, accidents et vie, centres de facturation de médecins libéraux	Informations de santé, sinistres
Fonction publique	Agents publics et personnes particulièrement astreintes (al. 2)	Données de citoyens et de procédures

Nombre de ces données sont aussi des catégories particulières de données à caractère personnel au sens de l’art. 9 du RGPD, par exemple les données de santé. Elles bénéficient à la fois de la protection du droit pénal et de celle du droit de la protection des données.

Prestataires externes en tant que « personnes participantes »

Il était autrefois incertain qu’un cabinet puisse faire appel à un prestataire informatique susceptible de voir des données à cette occasion. La loi portant réforme de la protection des secrets en cas de participation de tiers, en vigueur depuis novembre 2017, a clarifié ce point. Depuis lors :

• Autorisé : Les personnes tenues au secret professionnel peuvent rendre des secrets accessibles à d’« autres personnes participantes » dans la mesure où cela est nécessaire à leur activité (§ 203 al. 3 StGB). Cela inclut aussi les prestataires externes pour l’exploitation informatique, l’effacement des données ou l’élimination.
• Punissable pour le prestataire : Quiconque, en tant que personne participante, divulgue un secret sans autorisation est lui-même passible de poursuites (§ 203 al. 4 phrase 1 StGB).
• Obligation pour le donneur d’ordre : La personne tenue au secret professionnel commet une infraction si elle n’a pas veillé à ce que la personne participante soit tenue à la confidentialité et que celle-ci divulgue ensuite un secret (§ 203 al. 4 phrase 2 n° 1 StGB).

Pour certaines professions, les lois professionnelles précisent cette obligation, par exemple le § 43e BRAO pour les avocats et le § 62a StBerG pour les conseillers fiscaux. Elles exigent notamment un contrat sous forme écrite avec engagement de confidentialité.

Que signifie le § 203 StGB pour l’informatique mise au rebut ?

Un ordinateur portable mis au rebut contient les mêmes secrets qu’en exploitation. Selon une opinion répandue, la simple remise d’un support de données lisible peut déjà constituer une divulgation, car le destinataire a la possibilité de prendre connaissance des données. Quiconque vend, donne ou confie d’anciens appareils non effacés à un prestataire d’élimination non tenu à la confidentialité s’expose donc à un risque pénal. S’y ajoutent les obligations découlant du RGPD, par exemple des mesures techniques et organisationnelles au titre de l’art. 32 du RGPD.

Obligation	Base juridique	Preuve en pratique
Engager les prestataires à la confidentialité	§ 203 al. 4 StGB, droit professionnel	Contrat ou accord de confidentialité avec clause de confidentialité
Encadrer le traitement sur instructions	Art. 28 du RGPD	contrat de sous-traitance
Rendre les données illisibles avant la remise	Art. 32 du RGPD	Certificat d’effacement ou certificat de destruction par numéro de série
Documenter le parcours des appareils	Art. 5 par. 2 du RGPD	Sans rupture Chaîne de traçabilité

Erreurs typiques

• D’anciens appareils sont remis non effacés à des collaborateurs, des associations ou des écoles.
• Un prestataire d’élimination enlève des appareils sans qu’un engagement de confidentialité n’existe.
• Les disques durs sont seulement formatés. Les données peuvent être restaurées par des moyens simples.
• Il n’y a pas de justificatif par appareil, mais seulement une confirmation globale portant sur un nombre d’unités.
• Imprimantes, copieurs et dictaphones sont oubliés, alors qu’ils contiennent eux aussi de la mémoire.

Si un support de données contenant des données de patients ou de clients est perdu, il peut en outre y avoir une Violation de données au titre de l’art. 33 du RGPD, à notifier dans un délai de 72 heures.

Exemple pratique : un cabinet fiscal remplace 15 postes de travail

Un exemple simplifié illustre le déroulement.

1. Le cabinet établit une liste d’appareils avec les numéros de série des 15 PC, de deux stockages réseau et d’une imprimante multifonction.
2. Il conclut avec le prestataire un contrat sous forme écrite qui l’engage à la confidentialité, ainsi qu’un contrat de sous-traitance.
3. Les appareils sont enlevés sous scellés. Le procès-verbal de remise indique le nombre et les numéros de scellés.
4. Chez le prestataire, tous les supports de données sont effacés. Ce qui ne peut pas être effacé est détruit.
5. Le cabinet reçoit un certificat d’effacement ou de destruction par numéro de série et le range dans ses dossiers.

Le cabinet peut ainsi prouver ultérieurement qu’il a rempli ses obligations au titre du droit professionnel, du StGB et du RGPD.

§ 203 StGB chez Second IT

Second IT accompagne les personnes tenues au secret professionnel avec des prestations relatives au secret des données et à la confidentialité. Tous les collaborateurs sont tenus au secret des données et à la confidentialité. Sur demande, Second IT conclut des accords de confidentialité (NDA) individuels. Les appareils arrivent à Schwäbisch Hall avec notre propre logistique sécurisée : transport direct sans entrepôt intermédiaire, suivi GPS et scellés inviolables. Le traitement a lieu dans des zones à contrôle d’accès et sous vidéosurveillance. Chaque appareil est effacé avec Blancco et reçoit un certificat d’effacement signé numériquement. Les supports de données qui ne peuvent pas être effacés sont détruits en interne conformément à DIN 66399 (jusqu’au niveau de sécurité H-5 et E-5). La manière d’éliminer correctement les supports de données dans leur ensemble est expliquée dans notre guide Éliminer les supports de données en conformité avec le RGPD.

Distinction avec les termes voisins

Le secret professionnel au sens du § 203 StGB protège les secrets confiés à une personne dans son rôle professionnel. Le secret des données, ou obligation de confidentialité, concerne en revanche tous les salariés qui traitent des données à caractère personnel. Le RGPD protège les données à caractère personnel en général, indépendamment de la profession. Les secrets d’affaires d’une entreprise sont régis par la loi allemande sur les secrets d’affaires (GeschGehG). Cette entrée ne remplace pas un conseil juridique. Clarifiez les questions particulières avec votre ordre professionnel, votre conseil juridique ou votre délégué à la protection des données.

Questions fréquentes sur le § 203 StGB

Un cabinet médical peut-il faire effacer ses anciens PC par un prestataire externe ?

Oui. Depuis 2017, le § 203 al. 3 StGB permet de rendre des secrets accessibles aux prestataires participants dans la mesure où cela est nécessaire à leur activité. Le cabinet doit toutefois engager le prestataire à la confidentialité. En règle générale, un contrat de sous-traitance est en outre nécessaire.

Le formatage d’un disque dur suffit-il déjà ?

Non. Lors du formatage, les données restent le plus souvent intactes et peuvent être restaurées. Pour les supports de données contenant des secrets professionnels, il faut un procédé d’effacement sécurisé avec justificatif par appareil ou une destruction physique.

Qui est responsable si le prestataire divulgue des données ?

Le prestataire lui-même est pénalement responsable en vertu du § 203 al. 4 phrase 1 StGB. La personne tenue au secret professionnel commet une infraction si elle ne l’a pas engagé à la confidentialité. En matière de protection des données, le donneur d’ordre reste tenu en tant que responsable du traitement.

Le § 203 StGB s’applique-t-il aussi aux entreprises sans personnes tenues au secret professionnel ?

Seulement si elles travaillent pour des personnes tenues au secret professionnel, par exemple comme prestataire informatique d’un cabinet d’avocats. Pour les autres entreprises, ce sont surtout le RGPD et la loi sur les secrets d’affaires qui s’appliquent. En pratique, les exigences en matière d’effacement sécurisé et de justificatifs sont similaires.

Quelle peine est encourue en cas d’infraction ?

Peine d’emprisonnement pouvant aller jusqu’à un an ou amende. Quiconque agit contre rémunération ou dans l’intention de s’enrichir ou de nuire risque jusqu’à deux ans. L’infraction n’est poursuivie que sur plainte.