Classification des données : un enjeu majeur

Introduction sur la classification : définition

La classification des données (ou contenus) consiste à attribuer un niveau de sensibilité ou de confidentialité à des informations, en fonction de leur valeur, de leur criticité ou de leur impact potentiel en cas de divulgation ou de perte. Cette classification permet de définir des règles de sécurité et d'accès adaptées à chaque niveau, pour protéger les informations contre les menaces internes ou externes et garantir leur intégrité, leur disponibilité et leur confidentialité.
En plus de cette classification des données, il est important de définir des contrôles d’accès (qui peut voir quoi), d’auditer et détecter les violations de données, de réduire les risques et de vérifier la conformité réglementaire (donc choisir l’infogérance adaptée).

Une importance réglementaire

En plus de son utilité d’un point de vue sécurité et confidentialité, certaines lois (RGPD, Loi n° 68-678 dite "loi de blocage", loi SREN...) ou réglementations (doctrine « Cloud au centre » et qualification SecNumCloud, directive NIS 2, règlement DORA pour le secteur financier) sans parler du monde de la défense nationale (IGI 1300/SGDSN/PSE/PSD « Protection du secret de la défense nationale » réformée en 2021 en France, Executive Order 13526 aux États-Unis) ou de la santé,  imposent le contrôle de certaines données comme les données personnelles, les données sensibles, ...

Au niveau Européen :

Dans le RGPD [Article 5.1(f)], il est indiqué concernant les données personnelles :

(f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité);

Dans le « Règlement européen sur les données » (Data Act, UE 2023/2854), applicable depuis le 12 septembre 2025 [Article 4] :

§6 ... Le détenteur de données ou, s'il ne s'agit pas de la même personne, le  détenteur de secrets d'affaires recense les données protégées en tant  que secrets d'affaires, y compris dans les métadonnées pertinentes, et  convient avec l'utilisateur de mesures techniques et organisationnelles  proportionnées nécessaires afin de préserver la confidentialité des données partagées ...

(101) ... Dans d'autres cas, il peut arriver qu'une demande de transfert de  données à caractère non personnel ou d'accès à de telles données fondée  sur le droit d'un pays tiers soit incompatible avec l'obligation de  protéger ces données au titre du droit de l'Union ou au titre du droit  national de l'État membre concerné... en matière sécurité nationale ou de défense, ainsi que des données commercialement sensibles, notamment des secrets d'affaires, ou des droits de propriété  intellectuelle ...

Dans la Décision du Conseil à destination des organismes européens  « Règles de sécurité aux fins de la protection des informations classifiées de l’Union européenne » (2013/488/UE) [Article 3.1] « Gestion de la classification » :

1.   Les autorités compétentes veillent à ce que les ICUE soient classifiées de manière appropriée, clairement identifiées en tant qu’informations classifiées, et qu’elles ne conservent leur niveau de classification qu’aussi longtemps que nécessaire.

Au niveau Français :

Dans la circulaire à destination des administrations « Cloud au Centre » n° 6282-SG du 5 juillet 2021 [R9], dont la doctrine a depuis été actualisée :

Si le système ou l’application informatique manipule des données d’une sensibilité particulière, qu’elles relèvent notamment des données personnelles des citoyens français, des données économiques relatives aux entreprises françaises, ou d’applications métiers relatives aux agents publics de l’État : l’offre de cloud commercial retenue devra impérativement respecter la qualification SecNumCloud (ou une qualification européenne d’un niveau au moins équivalent) et être immunisée contre toute réglementation extracommunautaire

Cette exigence n’est plus seulement une doctrine : l’article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (loi SREN) l’inscrit dans le droit, et son décret d’application, publié en avril 2026, précise les administrations concernées. Une extension de cette obligation à certaines collectivités territoriales est par ailleurs en discussion au Parlement.

Dans la loi de blocage [Art.1er] qui s’applique aux entreprises privées françaises :

qu’aucune communication d’informations sensibles détenues par une société française à destination d’une autorité publique étrangère requérante ne puisse porter atteinte aux intérêt de la Nation

Au niveau des États-Unis :

Dans le NIST SP 800-53 (pour les agences fédérales américaines), AC-3 (11) « Restreindre l'accès à des types d'informations spécifiques » & (13) « Contrôle d'accès basé sur les attributs » : 

... restreint l'accès au système aux utilisateurs autorisés sur la base d'attributs organisationnels spécifiés (par exemple, fonction, identité), d'attributs d'action (par exemple, lecture, écriture, suppression), d'attributs environnementaux (par exemple, heure de la journée, emplacement) et d'attributs de ressources (par exemple, classification d'un document) ...

Dans la loi sur les données de santé HIPAA (« Health Insurance Portability and Accountability Act »), que nous ne détaillerons pas ici.

Au niveau des normes :

Dans la norme ISO 27001:2022 Annexe A 5.12 « Classification des informations » :

Les informations doivent être classées en fonction des besoins de l'organisme en matière de sécurité de l'information, sur la base de la confidentialité, de l'intégrité, de la disponibilité et des exigences pertinentes des parties intéressées.

Bien sûr il existe de nombreux autres textes et normes, par exemple dans le secteur bancaire et financier la norme PCI-DSS (Payment Card Industry Data Security Standard), que nous ne détaillerons pas ici.

Comme on peut le constater, que ce soit pour le secteur privé ou public, le nombre de réglementations et/ou normes à suivre est très important.

Ce qu’il faut retenir, c’est que quel que soit le texte sous-jacent, il faut classifier les données sensibles (personnelles, santé, secrets des affaires, bancaires,  ...).

Rapide panorama des modèles de classification

De nombreux modèles de classification existent, généralement segmentés entre civil et militaire.

Dans les entreprises privées, les normes et textes n’imposent que rarement les niveaux de classification. En France, à noter que la loi de blocage renvoie à une classification particulière (type « Sensible souverain »).

On trouve néanmoins assez régulièrement :

• C0 – Public ou Non classifié (NC)
• C1 – Interne
• C2 – Confidentiel
• C3 – Restreint / Secret
• Rarement C4 – Top Secret

À noter que le niveau C3 peut nécessiter des protections supplémentaires comme le chiffrement des documents.

À noter également le « Traffic Light Protocol » (TLP) proposé par le FIRST et repris par l’Agence Européenne CERT-EU (« Computer Security Incident Response Team ») et le CISA Américain (« Cybersecurity and Infrastructure Security Agency »). Il s’agit plutôt d’un protocole entre acteurs de la sécurité et concerne les emails, les documents et même les conversations de messagerie instantanée :

• TLP:CLEAR (aucune restriction en interne ou externe)
• TLP:GREEN (diffusion limitée à une « communauté »)
• TLP:AMBER (liste de diffusion limitée dans l’organisation et/ou ses « clients »)
• TLP:AMBER+STRICT (équivalent de Diffusion interne)
• TLP:RED (liste définie et limitée)

Pour le militaire, on trouvera par exemple la classification OTAN :

• COSMIC Top Secret (CTS)
• NATO Secret (NS)
• NATO Confidential (NC)
• NATO Restricted (NR)

En France, la réforme de l’IGI 1300 entrée en vigueur en 2021 a par ailleurs simplifié la classification du secret de la défense nationale autour de deux niveaux : « Secret » et « Très Secret ».

Exemple de classification par type de contenus

Les données de « haute » sensibilité peuvent par exemple être classées « C3 - Restreint / Secret », et les données de sensibilité « modérée » « C2 - Confidentiel ».

Mise en pratique

La mise en pratique va bien sûr dépendre du système d’information utilisé pour gérer les contenus. Un serveur de fichiers sera très limité alors qu’une GED offrira beaucoup plus de possibilités.

Dans une GED, il y a tout d’abord le « type de document » (appelé parfois « Catégorie ») qui en théorie pourrait aider à la classification. Ce type de document peut être « Contrat », « Bulletin de salaire », ...

Néanmoins, il n’en détermine pas toujours la sensibilité. Par exemple, un « Compte rendu » n’aura pas la même sensibilité s’il s’agit d’un compte rendu de direction ou de service, ou selon son objet (projet d’acquisition en cours, ...).

D’autres métadonnées seront donc nécessaires, comme le type d’informations contenues (« Données personnelles », « Données financières », ...) et/ou directement le niveau de classification (« C0 », « C1 », ...).

Ce niveau de classification peut être déterminé de façon manuelle ou semi-automatique, et de plus en plus avec l’assistance de l’IA (suggestion d’un niveau à partir du contenu). Un contrôle humain reste néanmoins indispensable, vu les risques en cas d’erreur.

Une fois la classification des données effectuée, il faut en déterminer les règles d’accès. Certains utilisateurs auront donc des habilitations pour certains niveaux de classification.

Il est également possible que des « espaces » (ou « dossiers » en termes de GED) soient définis avec un niveau de classification. Un espace « C2 » n’autorise alors que des contenus de niveau C2 ou inférieur, et des utilisateurs habilités C2 ou plus.

À savoir, certains niveaux de classification élevés nécessitent dans certaines réglementations un chiffrement des documents et un hébergement qualifié, type SecNumCloud en France ou FedRAMP aux États-Unis. Au niveau européen, le schéma de certification EUCS (« European Union Cybersecurity Certification Scheme on Cloud Services ») n’est toujours pas adopté et fait l’objet de discussions dans le cadre de la refonte du Cybersecurity Act proposée début 2026, notamment sur l’introduction d’exigences de souveraineté.

Quelques Références :

1. Règlement (UE) 2023/2854 du Parlement européen et du Conseil du 13 décembre 2023 concernant des règles harmonisées portant sur l'équité de l’accès aux données et de l’utilisation des données
2. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données
3. Actualisation de la doctrine d'utilisation de l'informatique en nuage par l'État (« cloud au centre»)
4. La loi « de blocage » : réforme et publication d'un guide
5. "Guide à usage des entreprises d’identification des données sensibles"
6. NIST SP 800-53 Rev. 5 "Security and Privacy Controls for Information Systems and Organizations" (ENG)