Données ESG : la grille de sécurité avant signature

Pourquoi les données ESG sont particulièrement sensibles

L'agrégation de données sensibles multi-sources

Un logiciel ESG mature agrège des données issues de plusieurs catégories sensibles simultanément.

• Les données énergie couvrent les consommations détaillées par site, les contrats fournisseurs, les factures avec adresses et montants.
• Les données RH incluent les effectifs par entité, les modes de transport domicile-travail, le télétravail, les déplacements professionnels.
• Les données fournisseurs portent sur les identités, les volumes d'achats, l'empreinte carbone par fournisseur, des informations géolocalisées.
• Les données financières concernent les investissements par levier de décarbonation, les subventions perçues, les plans budgétaires pluriannuels.
• Les données stratégiques, enfin, comprennent la trajectoire bas carbone, le plan de transition, les écarts aux objectifs, les hypothèses de business model.

Cette agrégation est ce qui rend les données ESG particulièrement sensibles. Elle dépasse en richesse informationnelle chaque source prise isolément. Elle permet à qui y aurait accès de reconstituer la structure opérationnelle, l'exposition sectorielle et parfois les vulnérabilités stratégiques de l'entreprise.

Des données réglementées par le RGPD et parfois davantage

Une part des données hébergées relève directement du RGPD : données RH nominatives (déplacements, formations, effectifs), données fournisseurs identifiables (entrepreneurs individuels notamment), données de connexion et d'usage des contributeurs.

Ces données imposent un cadre précis : base légale du traitement, durée de conservation, droits des personnes concernées, DPA (Data Processing Agreement, accord de traitement des données) avec chaque sous-traitant.

Selon le secteur, d'autres régimes réglementaires s'ajoutent. La directive NIS2, transposée en droit français en 2024, s'applique aux entités essentielles et importantes dans dix-huit secteurs : énergie, transport, santé, eau, infrastructures numériques, industrie manufacturière et d'autres encore. Elle impose des obligations renforcées de gestion des risques numériques et de notification des incidents.

Le règlement DORA, applicable depuis janvier 2025, s'adresse spécifiquement aux entités financières (banques, assurances, gestionnaires d'actifs) et encadre leur résilience opérationnelle numérique, y compris pour les prestataires tiers. La certification HDS (Hébergement de Données de Santé), délivrée par l'ANS (Agence du Numérique en Santé), peut s'appliquer dans les rares cas où des données de santé sont associées au périmètre ESG.

Identifier les régimes réglementaires applicables à votre entreprise avant la consultation permet de calibrer précisément les exigences sécurité dès la RFP (Request for Proposal).

Un enjeu de souveraineté qui s'est imposé en 2024-2026

La question de la souveraineté des données s'est structurée autour de trois dimensions distinctes qu'il faut traiter séparément.

• L'hébergement géographique concerne la localisation physique des serveurs. Un hébergement dans l'Union européenne est une condition nécessaire mais non suffisante.
• La souveraineté juridique est la dimension la plus souvent négligée : si l'éditeur ou son sous-traitant cloud est une entreprise de droit américain ou soumise à juridiction américaine, le Cloud Act de 2018 autorise les autorités américaines à exiger l'accès aux données qu'elle gère, quelle que soit leur localisation physique. Un éditeur français hébergé sur AWS Europe, Azure Europe ou Google Cloud Europe reste structurellement exposé à cette jurisdiction.
• La certification cloud souverain, enfin, correspond au niveau de qualification le plus exigeant : le référentiel SecNumCloud, défini par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), garantit que l'ensemble de la chaîne (éditeur, infrastructure, sous-traitants) est soumis au seul droit européen.

Le cadre des transferts de données hors UE a lui-même connu des évolutions majeures : l'invalidation du Privacy Shield par la Cour de Justice de l'UE en juillet 2020 (arrêt Schrems II), puis l'adoption du Data Privacy Framework en juillet 2023 par la Commission européenne comme nouvelle décision d'adéquation pour les transferts vers les États-Unis. Ce cadre reste susceptible de remise en cause juridique. Chaque revue de contrat doit intégrer ces évolutions.

La souveraineté ne se réduit pas à l'hébergement UE. Le contrôle juridique de l'éditeur et de ses sous-traitants est un critère à évaluer explicitement.

La grille de contrôle en quatre dimensions à passer avec chaque éditeur

Dimension 1 - La sécurité technique

Ces questions évaluent les fondamentaux de la posture sécurité de l'éditeur.

• Le logiciel est-il certifié ISO 27001 (norme internationale de management de la sécurité de l'information), sur quel périmètre et depuis quand ?
• L'éditeur fournit-il un rapport SOC 2 Type II (audit indépendant conduit selon les standards de l'AICPA, couvrant sécurité, disponibilité et confidentialité) récent ?
• Comment les données sont-elles chiffrées au repos (AES-256 ou équivalent) et en transit (TLS 1.2 ou 1.3 minimum) ?
• Quelle est la politique de gestion des accès et des privilèges : principe du moindre privilège, revues régulières des droits, gestion des comptes à privilèges ?
• Quelle est la politique de sauvegarde et de restauration, avec quels RTO (Recovery Time Objective) et RPO (Recovery Point Objective) contractualisés ?
• L'éditeur fournit-il des rapports de tests d'intrusion (pentest) réguliers, réalisés par un tiers indépendant, avec plan de remédiation documenté ?
• Comment sont gérées les vulnérabilités et les incidents de sécurité : SOC (Security Operations Center), CERT, procédure de disclosure responsable ?

La certification ISO 27001 est aujourd'hui un standard minimal. Un éditeur non certifié sur son périmètre ESG est un signal d'immaturité sécurité à traiter sérieusement dans l'évaluation.

Dimension 2 - La conformité réglementaire

Ces questions vérifient le respect des cadres réglementaires applicables à vos données.

• L'éditeur fournit-il un DPA (Data Processing Agreement, accord de traitement des données) conforme au RGPD, disponible dès la phase de RFP ?
• Comment gère-t-il les droits des personnes concernées : accès, rectification, suppression, portabilité des données ?
• Où sont physiquement hébergées les données (pays précis) ? Quels sous-traitants sont mobilisés et dans quels pays ?
• En cas de transfert de données hors UE, quels mécanismes juridiques sont utilisés : SCC (Standard Contractual Clauses), BCR (Binding Corporate Rules), décision d'adéquation ?
• L'éditeur est-il soumis à NIS2 en tant qu'entité essentielle ou importante ? Si oui, quelles mesures a-t-il mises en place ?
• L'éditeur fournit-il les éléments nécessaires à la réalisation d'une DPIA (Data Protection Impact Assessment, analyse d'impact relative à la protection des données) par votre DPO ?
• Quel est le délai et la procédure de notification en cas de violation de données ?

Un DPA solide et disponible rapidement est un préalable non négociable. Un éditeur qui tarde à le produire dans la phase de consultation révèle son niveau de maturité juridique sur le sujet.

Dimension 3 - La souveraineté

Ces questions clarifient la réalité de la souveraineté, au-delà des formulations commerciales.

• Dans quels pays précis les données sont-elles hébergées, avec quelle infrastructure sous-jacente ?
• Quels sous-traitants cloud sont utilisés (AWS, Azure, Google Cloud, OVH, Scaleway, Outscale, autre) ? Ces sous-traitants sont-ils soumis à des juridictions extra-européennes, notamment le Cloud Act américain ?
• L'éditeur propose-t-il une option d'hébergement qualifié SecNumCloud (qualification ANSSI) ou une infrastructure certifiée selon un standard européen équivalent ?
• En cas de demande d'accès aux données par une autorité extra-européenne, quelle est la procédure de l'éditeur : notification au client, résistance juridique, transparence ?
• Quel engagement contractuel est pris sur la localisation des données dans la durée du contrat ?

Pour vérifier les points techniques d'authentification et de connexion au SI qui conditionnent également la souveraineté opérationnelle, l'article sur l'intégration logiciel ESG SI détaille cette couche complémentaire.

Un éditeur français hébergé sur une infrastructure cloud américaine reste exposé au Cloud Act via son sous-traitant. La souveraineté réelle exige que l'ensemble de la chaîne soit sous juridiction européenne.

Dimension 4 - La gouvernance et la contractualisation

Ces questions portent sur la protection de l'entreprise dans la durée, au-delà de l'état de sécurité au moment de la signature.

• Quel est le plan de continuité d'activité (PCA) et le plan de reprise après sinistre (PRA) de l'éditeur, avec quels objectifs de RTO et RPO ?
• Que se passe-t-il en cas de faillite de l'éditeur ou de rachat par un acteur tiers ? Quel dispositif de séquestre ou de réversibilité des données est prévu ?
• Quelles clauses de sortie sont proposées : formats de récupération des données, délai maximum de mise à disposition, coût éventuel de la portabilité ?
• Quel SLA (Service Level Agreement) de disponibilité est contractualisé (typiquement 99,5 % à 99,9 %) avec quelles pénalités en cas de manquement ?
• L'éditeur propose-t-il un droit d'audit sécurité pour les clients enterprise, avec préavis raisonnable ?
• Quelle est la procédure d'approbation en cas de changement de sous-traitant clé ?

La sécurité à un instant T ne protège pas l'entreprise sur cinq ans. La gouvernance contractuelle dans la durée est ce qui sécurise l'investissement et les données sur l'ensemble du cycle de vie du projet.

Grille récapitulative de contrôle en quatre dimensions

Les exigences contractuelles à sécuriser avant signature

Les documents à exiger dans la RFP

Ces documents techniques et juridiques doivent être demandés systématiquement à tous les éditeurs en consultation, sur un pied d'égalité.

• Certifications à jour : ISO 27001 avec périmètre précis, SOC 2 Type II, HDS si applicable, documentation SecNumCloud si annoncé
• DPA type de l'éditeur, prêt à être amendé selon les besoins spécifiques
• Politique de sécurité documentée : gestion des accès, chiffrement, sauvegarde, procédure de gestion des incidents
• Registre des sous-traitants avec localisation géographique, rôles et statut juridique
• Rapport de pentest récent (moins de douze mois), réalisé par un tiers, avec plan de remédiation associé
• Plan de continuité d'activité et plan de reprise après sinistre
• Statistiques de disponibilité des douze derniers mois avec historique des incidents

Un éditeur qui ne fournit pas ces documents dans la RFP est soit un éditeur qui ne les a pas produits, soit un éditeur qui refuse de les partager. Les deux situations méritent une analyse sérieuse avant de poursuivre la consultation.

Les clauses contractuelles à négocier

Ces clauses sont à porter explicitement dans le contrat, au-delà des conditions générales standard.

• Localisation des données : engagement contractuel sur le pays d'hébergement et les sous-traitants autorisés, avec clause de modification par avenant préalablement approuvé
• Notification de violation : délai contractuel de 72 heures en cohérence avec les exigences RGPD, canal de notification, contenu minimal transmis
• Réversibilité : formats de récupération des données (formats ouverts, exportables sans développement spécifique), délai maximum de mise à disposition, coût éventuel clarifié
• Séquestre ou dispositif équivalent garantissant l'accès aux données en cas de faillite ou de cessation d'activité de l'éditeur
• Droit d'audit : possibilité pour le client de faire réaliser ou de demander un audit sécurité, avec préavis raisonnable contractualisé
• Approbation des changements de sous-traitants : tout changement de sous-traitant clé (hébergement, sécurité) doit faire l'objet d'une information préalable et d'une possibilité d'opposition
• SLA contractualisé avec pénalités effectives en cas de manquement, pas uniquement un crédit de service sans valeur réelle

Les clauses de réversibilité et de sous-traitance sont les plus fréquemment absentes ou insuffisantes dans les contrats logiciels SaaS standard. Elles méritent une attention particulière lors de la négociation.

Sécuriser la revue interne DSI, DPO et juridique

La signature d'un contrat logiciel ESG implique une validation par trois fonctions internes aux logiques et aux critères différents.

La revue DSI ou RSSI (Responsable de la Sécurité des Systèmes d'Information) porte sur les critères techniques : certifications disponibles, politique de chiffrement, intégration au SI existant, gestion des incidents.

La revue DPO ou juridique couvre la conformité RGPD : DPA, localisation des données, mécanismes de transfert, droits des personnes concernées. La revue achats et direction valide les dimensions contractuelles et financières : SLA, réversibilité, conditions tarifaires pluriannuelles.

Anticiper ces trois revues dès la phase de consultation évite les blocages tardifs. Un retour négatif de la DSI ou du DPO à deux semaines de la signature peut décaler un projet de plusieurs mois et exposer l'entreprise à un démarrage contraint sur un outil alternatif insuffisant.

Pour intégrer les résultats de la revue sécurité dans la shortlist finale et structurer la décision d'achat, un article dédié traite cette phase de synthèse.

Le cas particulier des ETI cotées et des groupes internationaux

Certains profils d'entreprise portent des exigences sécurité renforcées qui dépassent le cadre RGPD standard.

Les ETI et grands groupes cotés intègrent des exigences issues du comité risques et de la direction financière, en cohérence avec le niveau de sécurité des autres logiciels critiques (ERP, CRM, outils financiers).

Les filiales de groupes américains doivent souvent satisfaire des exigences additionnelles imposées par la maison mère : rapport SOC 2 fréquemment requis, conformité SOX (Sarbanes-Oxley Act) si applicable.

Les secteurs sensibles (défense, énergie critique, banque, santé) portent des obligations spécifiques : la Loi de Programmation Militaire pour les opérateurs d'importance vitale, NIS2 renforcé, DORA pour les entités financières, HDS pour les données de santé.

Les groupes multi-pays, enfin, doivent respecter les législations locales en parallèle du RGPD : la Datenschutzgrundverordnung (transposition allemande du RGPD) avec ses spécificités d'application, le UK GDPR post-Brexit, la LGPD brésilienne (Lei Geral de Proteção de Dados) pour les filiales en Amérique latine.

Pour tester la solution sur vos données réelles avant signature et valider la compatibilité avec vos contraintes sectorielles, l'article sur la consolidation multi-sites structure cette phase de validation.

Un éditeur sans référence dans votre secteur ou votre profil réglementaire va découvrir vos contraintes à vos frais et à votre calendrier. Vérifier les références clients sectorielles est un contrôle simple et discriminant.

Conclusion

Les données ESG agrègent des informations sensibles de natures très différentes : énergie, RH, fournisseurs, finances, stratégie. Leur sécurité et leur souveraineté sont devenues des critères structurants du choix logiciel, capables de disqualifier une solution en revue DSI indépendamment de ses qualités fonctionnelles.

Une grille de contrôle en quatre dimensions permet de structurer la revue avec la DSI et le DPO et de comparer objectivement les éditeurs sur des critères techniques et juridiques précis. La certification ISO 27001, le DPA conforme RGPD, la position vis-à-vis du Cloud Act et les dispositifs de réversibilité sont les quatre points non négociables.

La sécurité contractuelle sur la durée protège l'entreprise bien au-delà de la signature. Anticiper la revue sécurité dès la RFP, et non en dernière étape, évite les blocages tardifs qui déstabilisent les projets.