Cigref · 23 juillet 2026
Protéger les données sensibles non personnelles : l'angle mort européen
- souveraineté
- conformité
- gouvernance
Le RGPD a couvert les données personnelles ; mais qui protège les plans industriels, les données de R&D, les informations commerciales stratégiques ? Cette publication du Cigref (en anglais) pointe un paradoxe : les données non personnelles sensibles, pourtant carburant de l'IA et des décisions, évoluent dans une zone grise réglementaire.
Un dilemme entre valeur et exposition
Le constat de départ tient en une tension : faire circuler les données crée de la valeur, mais expose les organisations européennes à l'espionnage économique et aux demandes d'accès d'autorités étrangères, notamment lorsque l'infrastructure cloud est opérée hors d'Europe. Les protections classiques — contrats, secret des affaires, propriété intellectuelle — se révèlent inopérantes face aux législations extraterritoriales qui imposent l'accès aux données en clair pendant leur traitement. Quant aux technologies prometteuses comme le chiffrement homomorphe ou l'informatique confidentielle, le Cigref les juge encore immatures.
Quatre piliers pour combler le vide
La publication avance quatre recommandations : une définition souple du périmètre des données sensibles, propre à chaque organisation ; un cadre de certification alignant garanties techniques et juridiques européennes ; un soutien financier pour absorber le surcoût des offres de confiance, estimé à 15-20 % ; et des transitions progressives, étalées de trois à dix ans selon les cycles contractuels.
Ce que cela change pour une PME
Les PME sous-traitantes de grands donneurs d'ordres sont directement concernées : leurs fichiers clients, tarifs et données techniques sont des données sensibles non personnelles, souvent hébergées sans réflexion sur leur exposition. Premier réflexe, avant toute certification : savoir quelles données critiques on détient, où elles sont stockées et qui peut y accéder — l'inventaire par lequel commence tout Audit Data.