Organisateurs de salons : vos boîtes mail sont devenues des coffres-forts sans serrure

Attestations, Kbis, parfois pièces d'identité. Chaque édition, un organisateur collecte des centaines de documents sensibles sur ses exposants. Ils finissent au même endroit, et n'en sortent jamais.

Le printemps dernier, un organisateur de salon me montre ce qu'il appelle son dossier exposants. C'est un répertoire dans sa boîte mail. Trois cent quarante pièces jointes, la plus ancienne remonte à 2019. Des attestations d'assurance, des Kbis, deux copies de carte d'identité arrivées là parce qu'un exposant avait scanné tout son dossier d'un bloc. Il fait défiler, un peu gêné, puis me sort la phrase que j'ai entendue dix fois depuis : "de toute façon tout le monde fait comme ça".

C'est vrai. Et c'est précisément ce qui devrait inquiéter.

Ce qu'on demande vraiment à un exposant

Personne, dans le secteur, ne conteste la collecte elle-même. Elle est légitime et souvent obligatoire. L'attestation de responsabilité civile professionnelle, parce que le parc des expositions l'exige avant de laisser entrer qui que ce soit. Le Kbis ou l'avis de situation, pour savoir à qui on loue un emplacement. L'attestation de vigilance URSSAF quand l'exposant fait travailler des gens sur le montage. Sur les foires et les marchés, la carte de commerçant ambulant, et parfois, selon le lieu, une pièce d'identité du responsable présent sur site. Ajoutez les certificats de classement au feu du mobilier et vous obtenez un dossier par exposant, multiplié par cent cinquante, renouvelé chaque année.

La collecte ne pose pas de problème. Ce qui vient après n'est jamais discuté.

Le circuit réel, celui que personne ne dessine

L'exposant envoie son attestation par mail. Elle arrive chez la commerciale, qui la transfère au régisseur, qui la télécharge sur son ordinateur portable pour l'avoir pendant le montage. Quand le fichier est trop lourd, il passe par un service de transfert gratuit dont le lien restera valide sept jours, parfois beaucoup plus. Le soir, tout est recopié dans un dossier partagé nommé "Salon 2024, docs expo", créé par quelqu'un qui a quitté la société depuis.

L'édition suivante, on recommence. On ne supprime jamais la précédente. Je n'ai encore rencontré aucun organisateur capable de me dire, sans chercher, qui peut aujourd'hui ouvrir les documents de l'édition 2021.

Le mot que le secteur évite

Quand un organisateur demande ces pièces, il n'est pas un intermédiaire. Il est responsable de traitement au sens du règlement européen. Pas son prestataire informatique, pas sa plateforme, pas le parc des expositions : lui, parce que c'est lui qui décide ce qu'il collecte et pourquoi.

Trois conséquences en découlent, et elles ne sont pas théoriques. Il doit pouvoir dire combien de temps il conserve ces documents et être capable de les détruire à l'échéance. Il doit protéger ces documents à hauteur du risque, et le texte cite nommément le chiffrement comme exemple de mesure appropriée. Et le jour où ça fuite, il a soixante-douze heures pour déclarer l'incident à la CNIL, puis l'obligation de prévenir chacune des personnes concernées si le risque pour elles est élevé. Une pièce d'identité dans la nature, c'est par définition un risque élevé.

Le détail qui devrait décider tout le monde : cette obligation de prévenir les personnes tombe si les documents volés étaient chiffrés. C'est écrit noir sur blanc dans le texte. Entre passer trois semaines à expliquer la situation à cent cinquante exposants et ne pas avoir à le faire, la différence tient à une décision technique prise un an plus tôt.

"On n'est pas une cible"

L'objection arrive toujours, et elle part d'une fausse image. L'incident type dans notre métier n'est pas un pirate qui vise un salon de l'habitat. C'est un ordinateur portable volé dans une voiture le soir du montage. C'est une boîte mail dont le mot de passe n'a pas bougé depuis 2019 et qui traîne dans une fuite recensée. C'est un ancien alternant qui a toujours accès au dossier partagé, sans intention particulière.

Ce qui est en jeu n'est pas anodin. Une pièce d'identité, un Kbis et une signature manuscrite, c'est exactement le trio qui permet d'ouvrir un compte au nom de quelqu'un d'autre. Vos exposants vous les ont confiés pour entrer dans un hall pendant trois jours.

Ce que ça demande, vraiment

Beaucoup moins qu'un projet informatique. La première décision est gratuite et personne ne la prend : ne demander que ce dont on a réellement besoin. Une pièce d'identité du gérant n'est presque jamais nécessaire pour louer douze mètres carrés, et quand un exposant vous envoie son dossier complet d'un bloc, le bon réflexe est de supprimer ce que vous n'avez pas demandé plutôt que de le classer.

La deuxième est de sortir ces documents des boîtes mail. Un seul endroit, des accès nommés, et la possibilité de savoir qui a ouvert quoi. Ce n'est pas une question d'outil, c'est une question d'avoir un endroit au lieu de sept.

La troisième est d'écrire une date de fin. Trente jours après l'événement, six mois, un an selon vos obligations comptables, peu importe le chiffre tant qu'il existe et qu'il est appliqué. Un document qu'on garde par défaut est un document qu'on garde pour toujours.

Aucune de ces trois décisions ne demande un budget. Elles demandent que quelqu'un, dans la structure, accepte de considérer que ces fichiers existent.

Le secteur a mis quinze ans à comprendre qu'un plan de salle à jour valait mieux qu'un PDF versionné à la main. Il mettra probablement le même temps à comprendre qu'une boîte mail n'est pas un endroit où ranger les papiers d'identité de ses clients. À une différence près : dans le premier cas, on perdait du temps. Dans le second, ce sont les exposants qui paient l'addition.

La question à se poser avant la prochaine édition n'est pas de savoir si vous collectez trop. C'est de savoir combien de temps il vous faudrait, si on vous la posait demain, pour répondre à celle-ci : où sont les pièces d'identité que vous avez reçues en 2022, et qui peut encore les ouvrir ?