Focus · Sécurité des données · Novembre 2026
Fiches de paie, grand livre, dossiers RH, bilans avant publication : ce sont les données que vous confiez à votre consultant. Ce guide, pensé pour les PME (petites et moyennes entreprises) et les ETI (entreprises de taille intermédiaire), vous aide à reconnaître votre configuration informatique, à comprendre ce qui la menace, à choisir les bons dispositifs et à savoir ce que votre consultant doit mettre en place.
L'essentiel
Pour mener sa mission, votre consultant a souvent besoin des données les plus confidentielles de votre entreprise. Leur protection repose sur une idée simple : savoir ce que l'on protège, où se trouve la donnée, puis choisir les bons verrous.
Salaires, primes, numéro de sécurité sociale, coordonnées bancaires, absences pour maladie.
Données personnelles protégées par le RGPD (Règlement général sur la protection des données). Les absences pour maladie touchent à la santé, une catégorie encore plus protégée.
Toutes les écritures de l'exercice : clients, fournisseurs, marges, rémunérations, litiges.
Secret des affaires : il dévoile la stratégie et la santé financière de l'entreprise. Il contient aussi des données personnelles (notes de frais, salaires).
Évaluations, sanctions, contentieux, plans de départ, dossiers individuels.
Une fuite peut déclencher un conflit social, un litige aux prud'hommes ou une atteinte durable à la réputation.
Comptes annuels avant publication, prévisions, valorisations, projets de rachat ou de cession.
Avant publication, les résultats d'une société cotée peuvent constituer une information privilégiée (règlement européen MAR, Market Abuse Regulation, sur les abus de marché).
Chaque état a ses propres verrous. Il suffit qu'un seul reste ouvert pour que la donnée soit exposée.
« au repos »
Sur un disque, un serveur, une sauvegarde, une clé USB.
Les verrous : chiffrement, sauvegardes isolées.
« en transit »
Envoyée par email, déposée en ligne, synchronisée entre 2 outils.
Les verrous : tunnel chiffré, plateforme d'échange sécurisée.
« en usage »
Ouverte à l'écran, copiée, analysée, imprimée.
Les verrous : droits d'accès, environnement isolé, traçabilité.
Le maillon faible décide de tout. Un fichier de paie parfaitement chiffré sur le serveur, puis envoyé en pièce jointe classique, redevient lisible pendant le trajet et dans chaque boîte mail où il arrive.
01Configurations
Avant de parler de solutions, une question : où vivent les données de votre entreprise ? La réponse change les risques, donc les protections. On distingue 5 grandes configurations ; la plupart des PME et des ETI se reconnaissent dans l'une d'elles, très souvent l'hybride.
Marques citées à titre d'exemple, pour vous aider à reconnaître votre situation : ni recommandation, ni partenariat. Statuts vérifiés en novembre 2026 ; les certifications évoluent, et la liste à jour des offres qualifiées SecNumCloud est publiée par l'ANSSI.
Diagnostic express
Répondez à 2 ou 3 questions, sans aucune connaissance technique. Votre parcours s'affiche ci-dessous.
Question 1
Où se trouvent vos fichiers sensibles (paie, comptabilité, RH) ?
Pensez à l'endroit où l'on enregistre et où l'on ouvre ces fichiers au quotidien.
02Risques
Chaque configuration a ses points forts et ses fragilités. Choisissez la vôtre pour voir ce qui la menace concrètement, et par où commencer.
Cloud public
Vous utilisez des services en ligne : messagerie, stockage de fichiers, logiciel de paie ou de comptabilité accessible par le navigateur. Les machines sont mutualisées entre des milliers d'entreprises, chacune dans son compartiment étanche.
L'image à retenirUn appartement dans une grande résidence : le syndic protège l'immeuble, mais c'est vous qui décidez à qui confier la clé de votre porte.
Un lien « toute personne disposant du lien » vers le dossier paie peut être transféré à l'infini, sans aucun contrôle.
Sans double authentification, un mot de passe volé par un faux email ouvre la messagerie et les fichiers, depuis n'importe où dans le monde.
La sécurité est partagée : le fournisseur protège l'infrastructure, vous réglez les accès. Une case mal cochée suffit à exposer un dossier.
Un fournisseur soumis au droit américain (Cloud Act de 2018) peut être contraint de remettre des données, même stockées en Europe.
Récupérer toutes vos données dans un format exploitable en fin de contrat n'est pas toujours simple.
Cloud privé
Les serveurs, physiques ou virtuels, vous sont dédiés : aucun autre locataire ne les partage. Ils sont en général installés dans le centre de données d'un hébergeur ou d'un infogéreur, qui en assure l'exploitation au quotidien.
L'image à retenirUne maison louée pour vous seul, entretenue par un gardien : personne d'autre n'y habite, mais le gardien possède un double des clés.
Ils disposent de droits très étendus. Il faut savoir qui ils sont, ce qu'ils peuvent voir, et tracer chacune de leurs interventions.
Sauvegardes, correctifs, surveillance : le niveau réel dépend de ce qui est écrit. Ce qui n'est pas prévu n'est souvent pas fait.
Les correctifs de sécurité suivent le rythme du prestataire ou de votre équipe, pas celui d'un géant du cloud.
« Privé » ne veut dire ni « chiffré », ni « surveillé », ni « sauvegardé ».
Changer de prestataire suppose de récupérer données, réglages et sauvegardes : à prévoir dès la signature.
Sur site (on-premise)
Votre entreprise possède et exploite ses propres serveurs, installés dans une salle technique. Le logiciel de paie, la comptabilité ou l'ERP (Enterprise Resource Planning, progiciel de gestion intégré) y sont installés.
L'image à retenirVotre propre maison : vous choisissez les serrures, mais vous êtes seul responsable de l'alarme, des travaux et du double des clés.
Cible privilégiée des attaques : un seul poste infecté peut chiffrer tout le serveur, et les sauvegardes restées branchées avec.
Un bureau à distance ouvert sur internet ou un VPN sans double authentification est une porte d'entrée très fréquente des attaquants.
Des serveurs anciens ou rarement mis à jour laissent ouvertes des failles connues de tous.
Dans beaucoup de PME, la sécurité repose sur 1 personne ou sur un prestataire présent quelques jours par mois.
Sur un serveur de fichiers classique, l'historique des consultations est rarement activé ou conservé.
Local technique non fermé, disques de sauvegarde posés sur une étagère : le vol est à la portée de tous.
Hybride
Par exemple : votre comptabilité tourne sur un serveur interne, votre paie est confiée à un logiciel en ligne ou à votre expert-comptable, et les fichiers circulent par Microsoft 365.
L'image à retenirUne maison et un garde-meubles : les deux peuvent être bien fermés, c'est pendant le déménagement des cartons que tout se perd.
Exports automatiques, connecteurs et scripts copient des données sensibles d'un environnement à l'autre, souvent sans que personne ne les ait recensés.
Le dossier paie est protégé sur le serveur, mais sa copie synchronisée dans le cloud ne l'est pas.
Plusieurs comptes par personne : un départ non traité dans l'un des systèmes laisse un accès ouvert.
Entre votre équipe, votre prestataire informatique, votre éditeur de paie et votre expert-comptable, chacun pense que l'autre s'occupe de la sécurité.
L'hybride additionne les risques du cloud et ceux du sur site : il faut traiter les deux.
Poste local
Pas de serveur : les exports Excel de la paie ou du grand livre sont enregistrés sur un ordinateur, puis échangés par pièce jointe ou clé USB, y compris avec votre consultant.
L'image à retenirLe dossier dans votre sacoche : très pratique, jusqu'au jour où la sacoche reste dans le train.
Sur un portable non chiffré, il suffit de retirer le disque pour lire tous les fichiers en quelques minutes.
La saisie automatique propose le mauvais « Martin » : le fichier des salaires part chez un tiers, sans retour possible.
Le même fichier existe sur le bureau, dans les téléchargements, sur une clé, en pièce jointe… Impossible de tout effacer en fin de mission.
Personne ne peut dire qui a ouvert, copié ou transféré le fichier.
Un disque qui lâche, et les seules copies de travail disparaissent.
Exposition typique à chaque risque, avant toute mesure de protection. Cliquez sur une colonne pour la sélectionner.
Faites glisser le tableau vers la gauche pour voir les 5 configurations.
| Risque | |||||
|---|---|---|---|---|---|
| Vol ou perte d'un appareilPortable, téléphone, clé USB oubliés ou volés | Modéré | Faible | Modéré | Modéré | Élevé |
| Partage trop large ou mauvais destinataireLien public, dossier ouvert à tous, pièce jointe mal adressée | Élevé | Modéré | Modéré | Élevé | Élevé |
| Compte piratéMot de passe volé par un faux email (hameçonnage) | Élevé | Modéré | Modéré | Élevé | Modéré |
| RançongicielFichiers bloqués, puis menace de publication | Modéré | Modéré | Élevé | Élevé | Élevé |
| Erreur de réglage techniqueOption de sécurité mal configurée | Élevé | Modéré | Modéré | Élevé | Faible |
| Accès par le fournisseur ou une autorité étrangèreAdministrateurs du prestataire, lois extraterritoriales | Élevé | Modéré | Faible | Modéré | Faible |
| Accès conservé après un départSalarié ou intervenant parti qui garde un accès ou une copie | Modéré | Modéré | Modéré | Élevé | Élevé |
| Absence de traçabilitéImpossible de savoir qui a consulté ou copié quoi | Faible | Modéré | Élevé | Modéré | Élevé |
| Dépendance au fournisseurDifficulté à récupérer ses données en fin de contrat | Élevé | Modéré | Faible | Modéré | Faible |
Niveaux indicatifs, à affiner lors d'un état des lieux de votre informatique.
Un risque commun à toutes les configurations : l'IA grand public. Copier un tableau de salaires dans un assistant d'IA gratuit revient à le confier à un service extérieur, sans contrat ni garantie sur sa réutilisation. Ce risque existe quelle que soit votre infrastructure ; la réponse est d'abord organisationnelle (voir l'usage encadré de l'IA générative).
03Dispositifs
19 dispositifs, regroupés en 3 familles complémentaires. Aucun ne suffit seul : c'est leur combinaison qui protège. Chaque fiche indique qui agit : votre entreprise, votre consultant, ou vous deux ensemble.
Les verrous : ils rendent les données illisibles ou inaccessibles aux personnes non autorisées.
Exposer moins : la meilleure protection reste de ne pas transmettre ce qui n'est pas utile.
Les règles et les engagements : qui a le droit de faire quoi, combien de temps, et que faire en cas de problème.
19 dispositifs · dans l'ordre des familles
Technique
Le mot de passe ne suffit plus : chaque connexion est confirmée sur le téléphone ou avec une clé physique.
En imageComme un paiement en ligne : la carte, puis le code reçu sur le téléphone.
Le mot de passe de votre directeur financier est volé par un faux email. Sans son téléphone, l'attaquant reste bloqué à la porte.
Exemples d'outilsMicrosoft Authenticator, Google Authenticator, clés de sécurité YubiKey ; déjà inclus dans Microsoft 365 et Google Workspace, à activer.
MFA signifie Multi-Factor Authentication. Privilégier une application d'authentification ou une clé de sécurité physique plutôt que le SMS, plus facile à détourner. À activer en priorité sur la messagerie, l'espace de fichiers et tous les comptes d'administration, chez vous comme chez votre consultant.
Technique
Chacun n'accède qu'à ce dont il a besoin pour sa mission, et rien de plus.
En imageUn badge d'hôtel : il ouvre votre chambre, pas celle du voisin, et cesse de fonctionner le jour du départ.
Votre consultant accède au grand livre, mais pas au fichier nominatif des salaires dont il n'a pas besoin. Tous ses accès s'éteignent automatiquement à la fin de la mission.
Exemples d'outilsMicrosoft Entra ID, Google Workspace, Okta ; gestionnaires de mots de passe Bitwarden, 1Password, Dashlane (fondé à Paris), KeePassXC (certifié CSPN par l'ANSSI).
C'est le principe du « moindre privilège ». Les droits sont attribués par rôle (RBAC : Role-Based Access Control) plutôt qu'au cas par cas, puis revus à chaque arrivée, départ ou fin de mission. L'ensemble de la gestion des comptes et des droits s'appelle l'IAM (Identity and Access Management).
Technique · au repos
Les fichiers enregistrés deviennent illisibles pour quiconque ne possède pas la clé.
En imageUn coffre-fort : même si on l'emporte, son contenu reste inaccessible sans la combinaison.
L'ordinateur portable de votre consultant, qui contient vos bulletins de paie, est volé dans le train. Disque chiffré : le voleur obtient un ordinateur à revendre, pas vos données.
Exemples d'outilsBitLocker (Windows), FileVault (Mac), VeraCrypt (logiciel libre) ; clés USB chiffrées Kingston IronKey ou Apricorn Aegis.
Sur les ordinateurs : BitLocker (Windows, éditions professionnelles) ou FileVault (Mac), inclus sans surcoût. Clés USB et disques externes : modèles chiffrés uniquement. Dans le cloud, le chiffrement est en général activé par défaut, mais c'est alors le fournisseur qui détient la clé (voir « Maîtrise des clés »). Standard de référence : AES-256 (Advanced Encryption Standard).
Technique · en transit
Les données voyagent dans un tunnel protégé, de l'expéditeur au destinataire.
En imageUn fourgon blindé plutôt qu'une carte postale : personne ne lit le contenu pendant le trajet.
Vous déposez l'export de paie sur une plateforme d'échange sécurisée, avec un lien qui expire au bout de 7 jours, au lieu de l'envoyer en pièce jointe.
Exemples d'outilsPlateformes d'échange : Oodrive Work (qualifiée SecNumCloud), Proton Drive (Suisse), Tresorit (groupe La Poste suisse) ; VPN : Fortinet FortiClient, Cisco Secure Client, WireGuard.
Le cadenas du navigateur signale le protocole TLS (Transport Layer Security). Pour se connecter à distance au réseau d'une entreprise, on passe par un VPN (Virtual Private Network, réseau privé virtuel). Un email classique reste lisible dans chaque boîte où il arrive : pour un fichier sensible, préférer une plateforme d'échange, ou un fichier chiffré dont le mot de passe est transmis par un autre canal (téléphone, SMS).
Technique
C'est vous, et non le fournisseur, qui détenez les clés qui ouvrent vos données.
En imageLouer un coffre à la banque en gardant la seule clé : la banque garde le coffre, pas son contenu.
Les données d'un projet de rachat sont chiffrées dans vos murs avant d'être déposées dans le cloud. Même sous la contrainte, le fournisseur ne pourrait remettre que des données illisibles.
Exemples d'outilsAWS KMS, Azure Key Vault, Google Cloud KMS ; boîtiers HSM Thales Luna ; chiffrement côté client de Google Workspace, Double Key Encryption de Microsoft Purview.
2 niveaux. BYOK (Bring Your Own Key) : vous fournissez votre propre clé, mais le fournisseur peut toujours s'en servir pour faire fonctionner le service. HYOK (Hold Your Own Key) ou chiffrement côté client : la clé ne vous quitte jamais, le fournisseur ne voit que des données illisibles, au prix de certaines fonctions (recherche, aperçu). Les clés sont rangées dans un coffre numérique (KMS : Key Management Service) ou un boîtier matériel dédié (HSM : Hardware Security Module).
Technique
Chaque ordinateur est protégé, à jour, verrouillé en cas d'absence et effaçable à distance.
En imageUne alarme, une porte qui se referme toute seule, et la possibilité de vider le coffre à distance.
Une fausse facture piégée est ouverte par erreur au service comptable. Le logiciel malveillant est repéré et isolé avant d'atteindre le dossier paie.
Exemples d'outilsEDR : Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne, HarfangLab (éditeur français, EDR qualifié par l'ANSSI) ; gestion des appareils : Microsoft Intune, Jamf (Mac).
EDR (Endpoint Detection and Response) : antivirus de nouvelle génération qui repère les comportements suspects, pas seulement les virus connus. MDM (Mobile Device Management) : gestion centralisée des appareils, qui impose le chiffrement et permet d'effacer un portable perdu. À compléter par les mises à jour automatiques et un verrouillage de l'écran après quelques minutes.
Technique
Des copies de secours chiffrées, dont au moins une hors d'atteinte d'une attaque.
En imageLe double des clés de la maison, déposé chez le notaire plutôt que sous le paillasson.
Un rançongiciel bloque votre serveur comptable. Le grand livre est restauré à partir de la copie déconnectée de la veille.
Exemples d'outilsVeeam, Acronis, Synology Hyper Backup ; stockage à copies non modifiables chez Wasabi, Backblaze ou votre fournisseur cloud.
Règle du 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site. Au moins une copie doit être déconnectée ou « immuable » (impossible à modifier ou à effacer pendant une durée fixée). Les sauvegardes contiennent les mêmes données sensibles que l'original : elles doivent être chiffrées, leur accès restreint, et leur restauration testée régulièrement.
Technique · traçabilité
Chaque ouverture, modification ou téléchargement d'un fichier sensible laisse une trace datée et nominative.
En imageLe registre d'accueil d'un immeuble, complété par une caméra : on sait qui est entré, quand, et ce qu'il a emporté.
Vous voulez savoir si quelqu'un a téléchargé le fichier des rémunérations des dirigeants. Le journal répond en quelques minutes, noms et heures à l'appui.
Exemples d'outilsJournal d'audit de Microsoft 365 (Microsoft Purview), journaux de la console Google Workspace ; pour centraliser : Microsoft Sentinel, Splunk, Elastic.
Les journaux doivent être protégés contre la modification et conservés assez longtemps : la CNIL (Commission nationale de l'informatique et des libertés) recommande en général une durée de 6 mois à 1 an. Dans les structures plus importantes, un SIEM (Security Information and Event Management) réunit les journaux et alerte en cas de comportement anormal.
Technique
Les documents portent une étiquette « Confidentiel » qui déclenche automatiquement les bonnes protections.
En imageL'antivol d'un magasin : l'article circule librement dans les rayons, mais le portique sonne s'il franchit la sortie.
Un collaborateur tente d'envoyer un fichier étiqueté « Paie : strictement confidentiel » vers sa messagerie personnelle. L'envoi est bloqué et le responsable prévenu.
Exemples d'outilsMicrosoft Purview (étiquettes de sensibilité et DLP), règles DLP de Google Workspace, Netskope.
DLP signifie Data Loss Prevention (prévention des fuites de données). Ces outils savent aussi repérer automatiquement des contenus sensibles, comme un numéro de sécurité sociale ou des coordonnées bancaires, et proposer l'étiquette adaptée. Ils existent dans les grandes suites bureautiques en ligne, selon le niveau d'abonnement.
Technique
Les données restent dans un espace fermé : on vient travailler dedans, on ne les emporte pas.
En imageLa salle de consultation des archives : on lit sur place, sans photocopieuse, et on ne sort pas avec les dossiers.
Pour analyser votre masse salariale avant un rachat, votre consultant travaille dans une data room virtuelle : lecture à l'écran, filigrane à son nom, téléchargement et impression désactivés.
Exemples d'outilsData rooms : Datasite, SS&C Intralinks, iDeals, Drooms ; postes virtuels : Azure Virtual Desktop, Citrix, Amazon WorkSpaces ; bastion : Wallix Bastion.
Plusieurs formes : la data room virtuelle (VDR : Virtual Data Room), courante dans les fusions-acquisitions ; le poste de travail virtuel (VDI : Virtual Desktop Infrastructure), qui affiche l'écran à distance sans que les fichiers touchent l'ordinateur du consultant ; le « bastion », point de passage obligé qui filtre et enregistre les interventions des administrateurs informatiques.
Données · le réflexe n°1
Ne demander, ne transmettre et ne conserver que les données strictement utiles à la mission.
En imageOn ne photocopie pas tout le dossier quand une seule page suffit.
Pour analyser l'évolution de votre masse salariale, votre consultant demande un export par service et par mois, sans nom, sans numéro de sécurité sociale ni coordonnées bancaires.
Exemples d'outilsLes exports filtrés de vos logiciels de paie et de comptabilité (Silae, PayFit, Sage, Cegid…) et Power Query dans Microsoft Excel.
C'est un principe inscrit dans le RGPD (article 5). C'est aussi le dispositif le moins coûteux et le plus efficace : une donnée que l'on n'a pas transmise ne peut pas fuir. À appliquer dès la liste des documents demandés, avant le premier envoi.
Données
Remplacer les noms par des codes, ou rendre toute identification impossible.
En imagePseudonymiser, c'est un ticket de vestiaire : avec le registre, on retrouve le propriétaire. Anonymiser, c'est ne garder que le total : « 42 manteaux, dont 25 noirs ».
Le fichier de paie transmis à votre consultant affiche « Salarié 0042 » au lieu de « Marie Dupont ». Seule votre DRH (direction des ressources humaines) conserve la table de correspondance.
Exemples d'outilsMicrosoft Excel ou Power Query pour coder les identifiants ; ARX (logiciel libre d'anonymisation) pour les fichiers plus volumineux.
Nuance essentielle : une donnée pseudonymisée reste une donnée personnelle au sens du RGPD, puisqu'on peut remonter à la personne. Une donnée vraiment anonymisée sort du champ du RGPD, mais c'est exigeant : dans une PME, « le seul directeur export de 58 ans » reste reconnaissable sans son nom. Les remèdes : regrouper par tranches (âge, salaire) et écarter les catégories de moins de quelques personnes.
Organisation et contrats
Un engagement écrit et signé de ne rien divulguer, par le cabinet et par chacun de ses intervenants.
En imageLe secret professionnel, écrit noir sur blanc et signé de chacun.
Avant d'accéder à votre grand livre, chaque intervenant du cabinet, y compris un freelance ou un sous-traitant, signe un engagement nominatif qui reste valable après la mission.
Exemples d'outilsSignature électronique : Yousign (Youtrust, éditeur français), DocuSign, Adobe Acrobat Sign.
NDA signifie Non-Disclosure Agreement (accord de non-divulgation). À préciser : les informations couvertes, la durée (souvent plusieurs années après la mission), l'obligation de restituer ou de détruire, les conséquences d'un manquement. Il complète la lettre de mission, sans remplacer les protections techniques.
Organisation et contrats
Le contrat qui fixe ce que votre consultant a le droit de faire de vos données personnelles.
En imageLe bail d'un locataire : il dit ce qu'on peut faire du logement, et dans quel état le rendre.
Le contrat précise la finalité (audit de la paie 2026), la durée, les mesures de sécurité, l'interdiction de recourir à un autre prestataire sans votre accord écrit, et la restitution ou la destruction des fichiers à la fin.
Exemples d'outilsClauses contractuelles types de la Commission européenne (décision 2021/915), guide du sous-traitant de la CNIL ; pages « DPA » de Microsoft, Google, AWS ou de votre éditeur de paie.
Quand un consultant traite vos fiches de paie pour votre compte, il est en général « sous-traitant » au sens du RGPD, et ce contrat est obligatoire (article 28). Même logique avec vos fournisseurs cloud et ceux du consultant : vérifier leur DPA (Data Processing Agreement) et, si des données sortent de l'Union européenne, les garanties prévues, comme les clauses contractuelles types de la Commission européenne.
Organisation et contrats
Savoir où se trouvent physiquement vos données, et à quel droit est soumis celui qui les héberge.
En imageChoisir sa banque : on regarde la solidité du coffre, mais aussi le pays dont elle dépend.
Pour héberger les données RH d'une ETI dans un secteur sensible, la direction retient une offre qualifiée SecNumCloud, hébergée en France.
Exemples d'outilsOffres qualifiées SecNumCloud en novembre 2026 : OVHcloud, Cloud Temple, S3NS (PREMI3NS), Orange Business, NumSpot, Oodrive ; en cours : Bleu, Scaleway. Régions françaises d'AWS, Microsoft Azure et Google Cloud : données en France, mais fournisseurs soumis au droit américain.
SecNumCloud est la qualification délivrée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) aux offres cloud les plus exigeantes, y compris en matière de protection contre les lois non européennes. La liste à jour des offres qualifiées est publiée sur cyber.gouv.fr. À vérifier aussi : la région d'hébergement, les sous-traitants du fournisseur et les conditions de réversibilité.
Organisation et contrats
Fixer combien de temps votre consultant garde vos fichiers, puis les détruire vraiment, copies comprises.
En imageLe broyeur de documents, accompagné d'un procès-verbal de destruction.
30 jours après la remise du rapport, toutes les copies (dossier partagé, portables, sauvegardes, emails) sont effacées, et vous recevez une attestation de destruction.
Exemples d'outilsRègles de conservation de Microsoft Purview, Google Vault ; effacement des disques chiffrés ; destruction des supports par un prestataire spécialisé, avec certificat.
Les durées légales s'imposent à votre entreprise, pas à votre consultant : 5 ans pour le double des bulletins de paie (Code du travail) et 10 ans pour les documents comptables (Code de commerce). Le consultant ne conserve que ce que prévoit le contrat. Un fichier « supprimé » survit souvent dans la corbeille, les sauvegardes et les pièces jointes : tout recenser avant d'effacer.
Organisation et contrats
Des règles simples, connues de tous, et des réflexes entraînés face aux pièges.
En imageLe code de la route : la meilleure voiture ne protège pas d'un conducteur distrait.
Vos équipes savent reconnaître un faux email du « président » qui réclame en urgence le fichier des salaires, et savent qui prévenir.
Exemples d'outilsRessources gratuites de Cybermalveillance.gouv.fr ; simulations d'hameçonnage de Microsoft Defender for Office 365.
Une charte d'une page suffit souvent : où stocker, comment échanger, ce qui est exclu (clé USB personnelle, messagerie privée, outils d'IA grand public). Des exercices de faux hameçonnage (phishing) mesurent les progrès dans le temps.
Organisation et contrats
Utiliser l'IA sur des données sensibles uniquement avec des offres professionnelles et des règles claires.
En imageOn ne confie pas ses dossiers à un inconnu sympathique, aussi brillant soit-il.
Pour résumer un tableau de paie, votre consultant utilise un abonnement d'IA professionnel, configuré pour ne pas réutiliser les données, après avoir remplacé les noms par des codes.
Exemples d'outilsSans entraînement sur vos données par défaut : ChatGPT Business et Enterprise (OpenAI), Claude Team et Enterprise (Anthropic), Microsoft 365 Copilot, Gemini dans Google Workspace. Chez Mistral AI (Vibe, ex-Le Chat), seule l'offre Enterprise l'exclut par défaut : vérifier le réglage des autres offres.
À vérifier dans le contrat d'une offre d'IA : données non utilisées pour entraîner les modèles, durée de conservation des conversations, lieu d'hébergement, contrat de sous-traitance, journalisation. Les versions gratuites grand public n'apportent généralement pas ces garanties contractuelles. Vérifier aussi le lieu de traitement : certaines fonctions s'appuient sur des modèles traités hors de l'Union européenne.
Organisation et contrats
Savoir à l'avance qui fait quoi dans l'heure qui suit une fuite ou une attaque.
En imageLe plan d'évacuation incendie : on ne l'invente pas pendant que ça brûle.
Un portable non chiffré contenant vos fiches de paie est perdu. Votre consultant vous prévient le jour même ; vous, responsable des données, disposez de 72 heures pour notifier la CNIL.
Exemples d'outilsCybermalveillance.gouv.fr (assistance aux victimes), téléservice de notification de violation de la CNIL.
Le consultant, sous-traitant, doit vous alerter dans les meilleurs délais ; votre entreprise notifie la CNIL dans les 72 heures si la fuite présente un risque pour les personnes (RGPD, article 33). Bon à savoir : si le portable perdu était chiffré, la notification peut ne pas être nécessaire, l'incident restant consigné dans un registre interne. Le plan tient sur une page : contacts d'urgence, premiers gestes (couper les accès, changer les mots de passe, préserver les traces), qui communique.
Les outils cités illustrent chaque dispositif ; ils ne constituent ni une recommandation ni un partenariat. Le bon choix dépend de votre configuration, de votre taille et de vos outils existants.
04Protocole du consultant
Les instructions que votre consultant applique pour protéger vos données au plus haut niveau, et pour pouvoir le prouver. Le socle vaut pour toutes les configurations ; des mesures s'ajoutent selon la vôtre. Chaque mesure se coche : la liste sert de feuille de suivi de mission, pour le consultant comme pour vous.
Cadrer et s'engager
Tout se décide avant le premier fichier : le contrat, les personnes, les données demandées et les outils.
0 sur 10 cochéeProtéger au quotidien
Les données restent le moins possible chez le consultant, et chaque accès se justifie.
0 sur 10 cochéeRestituer et prouver
La mission se termine quand les données sont rendues ou détruites, et que le client en a la preuve.
0 sur 6 cochéeLa garantie
Une garantie sérieuse se démontre, pièces à l'appui. Ce dossier se constitue avant le premier fichier et se complète à la clôture : il répond aussi aux questions de vos auditeurs, de vos assureurs et de la CNIL.
Ce protocole vise le plus haut niveau de protection atteignable et la capacité à le démontrer à tout moment.
05Tableau de correspondance
La synthèse en un coup d'œil : d'abord la solution recommandée pour chaque configuration, puis le niveau de priorité de chaque dispositif.
Double authentification pour tous, un espace « Paie et RH » réservé à une liste nominative, liens publics interdits, étiquettes de sensibilité qui bloquent l'envoi vers l'extérieur et hébergement en Europe. Pour les données les plus sensibles : des clés de chiffrement que vous détenez, ou une offre qualifiée SecNumCloud.
Un contrat qui fixe la localisation, les sauvegardes, le délai d'application des correctifs et un droit d'audit ; des données chiffrées avec des clés que vous détenez ; chaque intervention des administrateurs tracée ; la qualification SecNumCloud quand la sensibilité l'exige.
Des sauvegardes chiffrées dont une copie déconnectée ou non modifiable, un antivirus de nouvelle génération (EDR : Endpoint Detection and Response) sur chaque poste et serveur, aucun accès à distance sans VPN et double authentification, le dossier paie réservé à un groupe nominatif avec l'historique des accès activé.
Cartographier les flux de données sensibles (qui envoie quoi, où, comment), unifier les comptes avec une connexion unique (SSO : Single Sign-On) protégée par double authentification, appliquer la même étiquette de sensibilité partout, chiffrer chaque transfert et réunir les journaux dans une seule vue.
Disques chiffrés (BitLocker sur Windows, FileVault sur Mac), verrouillage automatique de l'écran, clés USB chiffrées uniquement, plateforme d'échange sécurisée avec lien qui expire à la place de l'email, seulement les colonnes utiles, puis effacement de toutes les copies en fin de mission avec attestation de destruction.
Faites glisser le tableau vers la gauche pour voir les 5 configurations.
| Dispositif | |||||
|---|---|---|---|---|---|
| Protections techniques | |||||
| Double authentification | Indispensable | Indispensable | Indispensable | Indispensable | Recommandé |
| Droits d'accès au plus juste | Indispensable | Indispensable | Indispensable | Indispensable | Recommandé |
| Chiffrement des données stockées | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Chiffrement des échanges | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Maîtrise des clés de chiffrement | Recommandé | Indispensable | Utile | Recommandé | Non concerné |
| Protection des postes de travail | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Sauvegardes chiffrées et isolées | Recommandé | Recommandé | Indispensable | Indispensable | Indispensable |
| Journaux d'audit | Indispensable | Indispensable | Indispensable | Indispensable | Utile |
| Étiquettes de sensibilité et anti-fuite | Indispensable | Recommandé | Recommandé | Indispensable | Utile |
| Environnement de travail isolé | Recommandé | Indispensable | Recommandé | Recommandé | Recommandé |
| Sur les données elles-mêmes | |||||
| Minimisation des données | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Pseudonymisation et anonymisation | Recommandé | Recommandé | Recommandé | Recommandé | Indispensable |
| Organisation et contrats | |||||
| Engagement de confidentialité | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Contrat de sous-traitance RGPD | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Choix de l'hébergeur et de la localisation | Indispensable | Indispensable | Utile | Indispensable | Utile |
| Conservation limitée et destruction | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Sensibilisation des équipes | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Usage encadré de l'IA générative | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
| Plan de réaction en cas d'incident | Indispensable | Indispensable | Indispensable | Indispensable | Indispensable |
Lecture : en cloud public, la double authentification est indispensable ; la maîtrise des clés est recommandée, et devient indispensable pour les données très sensibles (projet de rachat, bilan non publié).
06Glossaire
Les termes techniques et les sigles de ce guide, expliqués en une ou deux phrases.
Aucun terme ne correspond à cette recherche.
Questions fréquentes
Oui, dans un cadre précis. Le consultant agit en général comme sous-traitant au sens du RGPD : un contrat conforme à l'article 28 fixe la finalité, la durée, les mesures de sécurité et le sort des données en fin de mission. Il ne reçoit que les champs utiles à l'analyse, de préférence pseudonymisés, par un canal chiffré.
Pas nécessairement : les risques changent de nature. Le cloud public apporte une sécurité physique et des mises à jour de très haut niveau, mais expose aux partages trop larges, aux comptes piratés et aux lois étrangères. Le serveur interne garde les données dans l'entreprise, mais reste une cible privilégiée des rançongiciels et dépend des moyens de l'équipe informatique.
La pseudonymisation remplace les noms par des codes ; une table de correspondance permet de retrouver les personnes, et la donnée reste soumise au RGPD. L'anonymisation rend toute identification impossible, même en croisant les informations ; les données sortent alors du champ du RGPD.
Le consultant prévient l'entreprise le jour même. L'entreprise, responsable des données, notifie la CNIL dans les 72 heures si la perte présente un risque pour les salariés (RGPD, article 33). Si le disque était chiffré, la notification peut ne pas être nécessaire ; l'incident est alors consigné dans le registre interne des violations.
Oui, avec une offre professionnelle dont le contrat exclut l'entraînement des modèles sur les données, précise la durée de conservation et le lieu d'hébergement. Les outils gratuits grand public sont à écarter pour ces données, et les noms sont remplacés par des codes avant tout traitement.
Le contrat de sous-traitance RGPD signé, les engagements de confidentialité de chaque intervenant, la liste des outils et prestataires utilisés, une fiche des mesures de sécurité, le plan de réaction en cas d'incident et une attestation d'assurance responsabilité civile professionnelle couvrant le risque cyber. En fin de mission : l'attestation de destruction des données.
Le temps fixé par le contrat, en général la durée de la mission et une courte période de clôture. Les durées légales de conservation, 5 ans pour le double des bulletins de paie et 10 ans pour les documents comptables, s'imposent à l'entreprise, pas au consultant.
À retenir
La confidentialité tient à l'addition de protections simples, bien appliquées, adaptées à l'endroit où vivent vos données, et à la capacité de votre consultant à prouver ce qu'il a mis en place.
Pour commencer, 2 gestes qui coûtent peu et évitent beaucoup : ne transmettre que les données utiles à la mission, et activer la double authentification partout.
Références
Support pédagogique : il ne remplace ni un audit de sécurité ni un conseil juridique. Les niveaux de risque et de priorité sont indicatifs et à ajuster au contexte de chaque entreprise. Version de novembre 2026.
Prendre contact
Un entretien de cadrage de 30 minutes avec Jean-Christophe Leroy, fondateur de Devantia et Senior Advisor Transformation IA chez Executive Partners Group. Vous repartez avec une lecture de votre configuration, les protections à mettre en place en priorité et la liste des documents à exiger avant toute mission. Sans engagement, échanges confidentiels, secret des affaires respecté.
