« Tout souverain » coûte trop cher et freine l'innovation ; « rien de souverain » expose l'organisation à un risque juridique et opérationnel. La classification des données est l'outil qui proportionne l'effort au risque.
Une grille à quatre niveaux
| Niveau | Nature | Exigence d'hébergement |
|---|---|---|
| S3 Critique | Secrets protégés par la loi, défense, sécurité nationale, systèmes industriels critiques | Cloud interne ou SecNumCloud opéré en France, chiffrement maîtrisé, mode déconnecté possible |
| S2 Sensible | Données relevant de l'article 31 SREN, santé, données personnelles à grande échelle, données financières réglementées | SecNumCloud (y compris offres hybrides qualifiées), HDS pour la santé |
| S1 Interne | Données internes non sensibles, collaboration courante | Cloud européen ou garanties contractuelles et chiffrement |
| S0 Public | Données publiques ou destinées à l'être | Libre choix, critère coût / performance |
Pourquoi c'est un sujet d'architecture
Le niveau d'une application est celui de la donnée la plus sensible qu'elle traite. Une application de gestion de projet (S1) qui se met à stocker des pièces RH (S2) change de catégorie — et d'exigence d'hébergement. La classification doit donc vivre dans le référentiel d'architecture, reliée à la cartographie applicative, et non dans un tableur isolé.
Comment la mener
- Partir du modèle conceptuel de données : objets métier, propriétaires, flux.
- Repérer les données personnelles, de santé, financières, les secrets.
- Faire valider le niveau par le propriétaire métier — c'est lui qui porte le risque.
- Construire la matrice données × applications pour propager le niveau.
- En déduire les règles de placement, opposables dans les dossiers d'architecture et les appels d'offres.
Le lien avec les niveaux européens
Le paquet « souveraineté technologique » présenté par la Commission en juin 2026 propose, via le Cloud and AI Development Act, quatre niveaux d'assurance de souveraineté (à vérifier sur le texte adopté). Indicativement, S3 correspond aux niveaux 3 à 4, S2 aux niveaux 2 à 3 et S1 au niveau 1 : la grille interne reste pertinente et se raccorde à la grille européenne.
Service associé : B-03 — catalogue et classification des données.