5 milliards de sanctions RGPD : trois approches pour que la conformité redevienne un levier européen

# 5 milliards de sanctions RGPD : trois approches pour que la conformité redevienne un levier européen

En 2026, le compteur des amendes RGPD a franchi le seuil symbolique des 5 milliards d'euros cumulés depuis l'entrée en vigueur du règlement. Ce chiffre circule dans tous les COMEX, dans toutes les réunions de Direction des Systèmes d'Information. Mais je vais dire ce que beaucoup évitent d'écrire : cette somme masque une réalité plus inconfortable que la simple question du risque financier.

La majorité des infractions sanctionnées impliquent — directement ou indirectement — un transfert de données personnelles européennes vers des infrastructures américaines opérées par des acteurs soumis au Cloud Act ou au FISA. Ce n'est pas un procès d'intention. C'est une réalité juridique que Schrems II a posée en 2020, que le Data Privacy Framework tente de colmater sans convaincre les juristes sérieux, et que les autorités de contrôle européennes commencent à sanctionner avec une cohérence croissante.

Autrement dit : la conformité RGPD n'est pas un problème de formulaire ou de registre de traitement mal tenu. C'est, pour les ETI et PME européennes, une question d'architecture de SI. Et cette question a une réponse politique autant que technique.

Voici comment j'analyse les trois grandes familles d'approches disponibles aujourd'hui pour les équipes IT — avec leurs implications concrètes sur la maîtrise du système d'information.

Approche 1 — La conformité pilotée par l'outillage de l'acteur dominant US

C'est l'approche la plus répandue dans les PME/ETI qui ont basculé massivement vers Microsoft 365 ou Google Workspace au tournant des années 2020. La logique est compréhensible : l'acteur américain propose des tableaux de bord de conformité intégrés, des fonctions de DLP (Data Loss Prevention), des outils de classification des données et des rapports d'audit directement dans la console d'administration.

Architecture : Les données restent dans l'infrastructure de l'acteur américain. Les fonctions de conformité sont des surcouches applicatives proposées par ce même acteur. La DSI pilote la conformité depuis un portail propriétaire, sans accès direct aux journaux bruts ni aux mécanismes de chiffrement sous-jacents.

Intégration SI : Excellente dans l'écosystème de l'acteur. Très limitée dès qu'on sort de cet écosystème. La tentation est forte d'aligner tout le SI sur la plateforme pour bénéficier de la cohérence des outils de conformité — ce qui aggrave la dépendance.

Gouvernance : C'est ici que le problème est le plus sérieux. Les clauses contractuelles standard de ces acteurs prévoient des dérogations unilatérales pour répondre aux injonctions des autorités américaines. Le DPO de l'entreprise signe un DPA (Data Processing Agreement), mais il ne maîtrise ni l'emplacement exact des données, ni les accès effectifs en cas de requête FISA. La conformité RGPD est alors déléguée à celui-là même qui constitue le risque de transfert.

Impact quotidien pour l'équipe IT : Faible charge opérationnelle en apparence. Mais l'équipe devient dépendante des évolutions unilatérales de la plateforme. Chaque mise à jour des conditions d'utilisation peut invalider une conformité laborieusement construite. Je connais des RSSI qui ont dû retravailler leur registre de traitements après une modification silencieuse des conditions de sous-traitance d'un acteur américain. Ce n'est pas de la conformité : c'est de la conformité sous tutelle.

Approche 2 — La conformité par couche souveraine superposée

Cette approche consiste à maintenir des outils existants (y compris américains) mais à superposer une couche de gouvernance des données hébergée en Europe, chez un opérateur européen, avec des mécanismes de chiffrement dont les clés sont détenues par l'entreprise elle-même.

Des acteurs comme **Tuta** côté messagerie sécurisée, ou des solutions de coffre-fort de données comme **Oodrive** (acteur français qualifié SecNumCloud) permettent de construire cette architecture hybride. L'idée est que les données sensibles ne transitent jamais en clair vers les infrastructures américaines, et que le DPO dispose d'une cartographie effective des flux.

Architecture : Hybride, avec un périmètre de données sensibles clairement délimité et isolé sur infrastructure européenne qualifiée. La cartographie des flux est réelle et auditée. Le chiffrement de bout en bout sur les données critiques est géré par l'entreprise, pas par le prestataire.

Intégration SI : Plus complexe à mettre en œuvre. Il faut définir précisément quelles données sont «sensibles» au sens RGPD, construire des workflows qui basculent ces données vers le périmètre souverain, et maintenir deux environnements en cohérence. C'est un travail d'architecte, pas d'administrateur.

Gouvernance : Nettement meilleure. Le DPO peut attester devant une autorité de contrôle que les données personnelles critiques ne sortent pas du territoire européen et que les clés de chiffrement ne sont jamais accessibles à un tiers soumis au droit américain. C'est une base solide pour un registre de traitements défendable.

Impact quotidien pour l'équipe IT : La charge augmente au moment du déploiement et de la définition des politiques de classification. Ensuite, la charge opérationnelle se stabilise — et l'équipe gagne quelque chose d'essentiel : la visibilité réelle sur ce qui se passe dans le SI. Les journaux d'audit sont lisibles, exportables, interrogeables. C'est un investissement en maîtrise, pas une dépense de conformité.

Approche 3 — La conformité native par migration vers un SI souverain de bout en bout

C'est l'approche la plus exigeante, et celle que je défends comme horizon stratégique pour les ETI qui ont les moyens de l'anticiper. Il s'agit de reconstruire les briques critiques du SI — messagerie, stockage, collaboration, gestion documentaire — sur des solutions dont l'architecture, l'hébergement et la gouvernance sont entièrement européens.

Aucun acteur US dans la chaîne de traitement des données personnelles. Les outils choisis sont soit open source (auditables), soit proposés par des éditeurs européens dont les conditions contractuelles sont alignées RGPD sans dérogation extraterritoriale.

Des solutions comme **Nextcloud** (éditeur allemand, code open source auditable) pour la collaboration et le stockage, ou **Infomaniak** (hébergeur suisse, ancré en Europe) pour la messagerie et les outils bureautiques, entrent dans cette catégorie. Je les cite non pas comme un catalogue, mais parce qu'elles illustrent qu'il existe aujourd'hui une offre européenne mature sur ces segments.

Architecture : Homogène et auditable. L'équipe IT déploie des solutions dont elle peut inspecter le code ou faire auditer les composants. L'hébergement est certifié ou qualifié selon les référentiels européens (ISO 27001, SecNumCloud selon le niveau de criticité). Il n'y a pas de boîte noire dans la chaîne.

Intégration SI : Le défi principal. Ces solutions s'intègrent bien entre elles mais demandent un effort de migration et de formation utilisateurs non négligeable. La rupture avec les usages établis est réelle. Il faut l'accompagner avec une conduite du changement sérieuse, pas la minimiser.

Gouvernance : C'est la seule approche où la conformité RGPD est structurelle et non contingente. Le DPO n'a pas à croiser les doigts en espérant que les conditions contractuelles de l'acteur américain ne changent pas. La base juridique des traitements est stable, vérifiable, défendable.

Impact quotidien pour l'équipe IT : Charge initiale élevée. Mais à terme, l'équipe gagne une chose rare dans les SI modernes : la maîtrise complète. Les outils de monitoring, de journalisation, de gestion des accès sont sous contrôle direct. Le RSSI dort mieux la nuit — ce qui n'est pas une métaphore.

Tableau comparatif synthétique

| Critère | Approche 1 — Outillage US intégré | Approche 2 — Couche souveraine superposée | Approche 3 — SI souverain natif |

|---|---|---|---|

| Maîtrise de l'architecture | Faible (boîte noire) | Partielle (périmètre délimité) | Totale (code auditable) |

| Solidité juridique RGPD | Fragile (dépend du DPA US) | Solide sur le périmètre isolé | Structurelle |

| Charge opérationnelle IT | Faible à court terme | Moyenne et stable | Élevée à l'initialisation, maîtrisée ensuite |

| Dépendance fournisseur | Maximale | Réduite sur les données critiques | Minimale |

| Auditabilité pour le DPO | Limitée | Bonne sur le périmètre souverain | Complète |

| Résilience aux évolutions contractuelles US | Nulle | Partielle | Non applicable |

Ce que j'en retiens — et ce que vous devriez en faire

Il n'y a pas d'approche universelle. Il y a des niveaux de maturité et des contraintes de transition qu'il faut respecter. Mais il y a une direction claire.

L'approche 1 n'est plus tenable comme stratégie à long terme pour une ETI qui prend au sérieux sa conformité RGPD. Elle expose le DPO à une incohérence fondamentale : déléguer la conformité à l'acteur qui constitue le risque principal.

L'approche 2 est un chemin réaliste pour les organisations qui ne peuvent pas migrer intégralement leur SI à court terme. C'est une étape, pas une destination.

L'approche 3 est l'horizon stratégique. Les 5 milliards de sanctions ne sont pas un accident : ils signalent que les autorités de contrôle européennes ont décidé de prendre le RGPD au sérieux. Les ETI qui auront construit un SI souverain dans les trois prochaines années ne subiront pas ce mouvement. Elles en bénéficieront — en termes de confiance client, de résilience réglementaire, et de maîtrise réelle de leur patrimoine informationnel.

C'est ça, la souveraineté numérique au concret : pas un slogan, mais une architecture.