En cybersécurité, toutes les données n’ont pas le même statut ni le même niveau de protection. Identifier les données protégées suppose de croiser deux grilles de lecture : celle du droit (RGPD, directive NIS 2, codes sectoriels) et celle du risque opérationnel. Cet article mesure les écarts entre ces catégories et leurs régimes de protection respectifs.
Catégories de données protégées : ce que le droit distingue réellement
| Catégorie de données | Cadre juridique principal | Exemples concrets | Niveau de contrainte |
|---|---|---|---|
| Données personnelles courantes | RGPD (art. 4 et 6) | Nom, adresse e-mail, adresse IP, identifiant client | Standard (base légale requise) |
| Données sensibles | RGPD (art. 9) | Données de santé, opinions politiques, orientation sexuelle, données biométriques | Élevé (traitement interdit sauf exceptions) |
| Données financières | RGPD + réglementation bancaire (DSP2, DORA) | Coordonnées bancaires, historiques de transactions, scoring crédit | Élevé (obligations sectorielles cumulées) |
| Données d’infrastructure (OIV/OSE) | Directive NIS 2, loi de programmation militaire | Configurations réseau, journaux d’accès, cartographies SI | Très élevé (audits, notification obligatoire) |
| Secrets d’affaires | Directive européenne sur le secret des affaires, Code de commerce | Algorithmes propriétaires, plans stratégiques, brevets en cours | Variable (protection conditionnée à des mesures de confidentialité) |
Ce tableau met en lumière un point souvent sous-estimé : le niveau de contrainte juridique varie fortement selon la catégorie de données. Une adresse e-mail et un dossier médical relèvent tous deux du RGPD, mais les obligations qui s’y appliquent n’ont rien de comparable.
A voir aussi : Quels sont les changements les plus importants observables sur notre planète en raison du changement climatique ?
Données personnelles et données sensibles au sens du RGPD : un écart de régime majeur
Le RGPD établit une distinction nette entre données personnelles courantes et données dites sensibles. Les premières peuvent être traitées dès lors qu’une base légale existe (consentement, contrat, intérêt légitime). Les secondes font l’objet d’une interdiction de traitement par défaut, levée uniquement par des exceptions limitées : consentement explicite, nécessité médicale, intérêt public.
A lire en complément : Quels types de données doivent être protégés ?
Parmi ces données sensibles, les données de santé concentrent une part significative des incidents. Le Panorama de la cybermenace 2025 publié par l’ANSSI signale que l’exfiltration de données est devenue un objectif en soi pour les attaquants. La menace ne repose plus uniquement sur le blocage des systèmes par rançongiciel : la revente ou la divulgation de données volées suffit à exercer une pression.
Les données biométriques (empreintes digitales, reconnaissance faciale) posent un problème supplémentaire. Contrairement à un mot de passe, une empreinte compromise ne se réinitialise pas. Leur protection exige donc des mesures techniques spécifiques dès la collecte.
Données hébergées chez un tiers : le maillon contractuel de la cybersécurité
Confier des données à un prestataire cloud, un sous-traitant ou un éditeur SaaS ne transfère pas la responsabilité juridique. Le RGPD maintient l’obligation du responsable de traitement, même quand les données sont physiquement stockées ailleurs.
L’actualité récente le confirme : une violation chez un prestataire se répercute directement sur ses clients. Les retours d’expérience issus du Panorama de la cybermenace 2025 montrent que plusieurs incidents majeurs ont eu pour origine un fournisseur de services, pas l’organisation victime elle-même.
Ce constat impose de vérifier plusieurs points avant de confier des données protégées à un tiers :
- Les clauses contractuelles précisent-elles les mesures de sécurité applicables, les délais de notification en cas d’incident et les modalités d’audit ?
- Le prestataire applique-t-il un chiffrement des données au repos et en transit, avec une gestion documentée des clés ?
- Les données sont-elles hébergées dans une juridiction compatible avec le RGPD, et le contrat prévoit-il les garanties requises en cas de transfert hors UE ?
Sans réponse claire à ces questions, l’externalisation crée un angle mort dans la protection des données.
Vérifier les revendications de fuite avant de réagir
L’ANSSI souligne qu’une revendication de fuite ne prouve pas qu’une fuite a réellement eu lieu. Les équipes doivent établir le périmètre réel de l’incident avant d’en tirer des conclusions. Ce travail de vérification mobilise du temps et des compétences, mais il évite des réactions disproportionnées ou mal ciblées.
Directive NIS 2 et données d’infrastructure : un périmètre élargi en France
La transposition de la directive NIS 2 en droit français, examinée par l’Assemblée nationale, élargit le périmètre des entités soumises à des obligations renforcées de cybersécurité. Les opérateurs de services dits « importants » ou « importants » devront protéger non seulement les données personnelles, mais aussi les données techniques liées au fonctionnement de leurs systèmes d’information.
Cela inclut les journaux d’événements, les configurations réseau, les cartographies d’architecture et les identifiants d’accès privilégiés. Ces données n’entrent pas dans le champ du RGPD au sens strict, mais leur compromission peut paralyser un hôpital, un réseau de transport ou une collectivité.
La France accuse un retard dans cette transposition. Selon les sources disponibles, le calendrier a été repoussé à plusieurs reprises, ce qui laisse un flou réglementaire pour les organisations concernées. Néanmoins, les obligations de notification d’incident et d’audit de sécurité s’appliqueront à un nombre bien plus large d’entreprises qu’avec le cadre NIS 1.
Mesurer la protection : pourquoi les indicateurs ne sont pas interchangeables
Les signalements traités par l’ANSSI, les notifications de violations adressées à la CNIL et les infractions numériques enregistrées par les forces de l’ordre ne mesurent pas la même chose. Additionner ces chiffres pour obtenir un « nombre de victimes » global produit un résultat trompeur.
L’ANSSI traite les incidents affectant des opérateurs critiques et des administrations. La CNIL reçoit les notifications de violations de données personnelles, quel que soit le secteur. Les plaintes pénales, elles, couvrent un spectre plus large incluant des faits sans lien direct avec des données protégées (déni de service, défacement).
Cette distinction a une conséquence pratique : une entreprise doit identifier l’interlocuteur adapté au type de données compromises. Une fuite de données de santé appelle une notification CNIL sous 72 heures. Un incident sur un système d’information vital relève de l’ANSSI. Les deux procédures peuvent se cumuler sans se substituer l’une à l’autre.
Le type de données compromises détermine donc à la fois le régime juridique applicable, l’autorité compétente et le délai de réaction. C’est cette correspondance, plus que la liste abstraite des catégories, qui structure concrètement la protection des données en cybersécurité.
