L’essentiel pour les dirigeants
Synthèse de l’enquête de Didier Reinach · Septembre 2026.
Pour acheter l’enquête
Vos données ne sont pas protégées par l’endroit où elles sont stockées. Elles le sont, ou non, par le droit qui s’applique à votre fournisseur. Cette synthèse résume ce qu’un dirigeant doit savoir, et ce qu’il peut faire dès maintenant.
Ce que vous croyez / ce qui est vrai
La plupart des dirigeants s’appuient sur six certitudes. Le livre montre, qu’aucune ne résiste aux faits.
| Ce que vous croyez | Ce qui est vrai | Chapitre |
| « Nos serveurs sont en France, nous sommes protégés. » | Le Cloud Act de 2018 peut s’appliquer à des données stockées à l’étranger, dès lors que le fournisseur relève du droit américain. | 9 |
| « Notre offre est souveraine. » | Certaines offres dites souveraines reposent sur une technologie américaine, ou prévoient un accès de secours à celle-ci en cas de crise. | 7 et 8 |
| « Notre fournisseur est certifié. » | Une certification peut porter sur un environnement de démonstration, pas sur celui que vous utilisez. | 14 et 23 |
| « Le danger vient des pirates. » | Les grandes fuites et les grands vols viennent le plus souvent d’un salarié, d’un prestataire ou d’une filiale de confiance. | 11 et 14 |
| « Si quelque chose ne va pas, on me le dira. » | Le silence organisationnel est la règle. L’ego, la faute cachée et l’incompétence qui s’ignore bloquent les mauvaises nouvelles. | 13 |
| « Les amendes protègent le marché. » | Les sanctions arrivent après le dommage. Pour les grands groupes, elles restent un coût supportable. Pour une PME, le dommage peut être fatal. | 24 à 26 |
Huit faits qui doivent vous alerter
Chacun est daté et sourcé dans le livre. Pris ensemble, ils montrent que le risque n’est plus théorique.
| Date | Le fait | Ce que cela signifie pour vous |
| T2 2026 | Trois fournisseurs américains détiennent 63 % du marché mondial du cloud (Synergy Research). | Vos données ont de fortes chances d’être chez l’un d’eux, directement ou par un sous-traitant. |
| Novembre 2025 | Une filiale présentée comme le fer de lance du cloud souverain européen signe un accord de continuité avec un fournisseur américain. | Le mot « souverain » ne suffit pas. Il faut lire le contrat. |
| Octobre 2025 | La Cour pénale internationale abandonne sa suite bureautique américaine après des sanctions de Washington. | Même une institution internationale a jugé sa dépendance trop risquée. |
| Second semestre 2025 | Un grand fournisseur américain reçoit 5 587 demandes de données des autorités américaines. Dans le monde, il communique des données dans environ deux cas sur trois. | Les demandes d’accès ne sont pas rares. Elles sont quotidiennes. |
| Juin 2025 | Devant le Sénat, un fournisseur admet sous serment ne pas pouvoir garantir que les données des Français ne seront jamais transmises aux États-Unis. | La garantie que vous croyez avoir n’existe pas toujours. |
| Juin 2023 | En Suisse, le piratage du prestataire Xplain expose des données de la police et de l’administration fédérales. | Votre sécurité dépend de celle de vos sous-traitants. |
| Juin 2019 | Chez Desjardins, un seul employé fait fuir les données de 9,7 millions de personnes. Coût estimé à 108 millions de dollars. | Un port USB non bloqué peut coûter plus qu’un audit complet. |
| Mai 2018 à janvier 2026 | Les amendes RGPD cumulées atteignent environ 7,1 milliards d’euros en Europe. | Les régulateurs sanctionnent. Et ils sanctionnent de plus en plus. |
Votre responsabilité, et parfois votre responsabilité personnelle
Le droit se durcit en 2025 et 2026. Et il vise de plus en plus celui qui décide, pas seulement l’entreprise.
| Pays | Ce qui change | Ce que vous risquez |
| Suisse | nLPD, en vigueur depuis le 1er septembre 2023 | Jusqu’à 250 000 CHF d’amende, visée à la personne physique responsable, pas à l’entreprise |
| Suisse | LSI, déclaration obligatoire des cyberattaques contre les infrastructures critiques depuis le 1er avril 2025 | Jusqu’à 100 000 CHF depuis le 1er octobre 2025 |
| Québec | Loi 25, pleinement en vigueur depuis septembre 2024 | Jusqu’à 25 millions de dollars ou 4 % du chiffre d’affaires mondial |
| Union européenne | Directive 2024/2853, à transposer d’ici le 9 décembre 2026 | Les logiciels et l’IA entrent dans la responsabilité du fait des produits défectueux |
| Union européenne | Cyber Resilience Act | Jusqu’à 15 millions d’euros ou 2,5 % du chiffre d’affaires mondial pour les fabricants |
| France | Recel et tromperie, Code pénal et Code de la consommation | Plus vous êtes professionnel, moins l’ignorance est une défense crédible |
Le fil conducteur est simple. La loi ne vous demande pas de tout vérifier vous-même. Elle vous demande de prouver que vous avez exercé la vigilance qui correspond à votre rôle. Sans preuve écrite et datée, la bonne foi ne suffit plus.
Cinq questions à poser cette semaine
Posez-les par écrit à vos principaux fournisseurs technologiques. Exigez une réponse signée. Si vous n’obtenez pas de réponse claire, vous avez déjà votre réponse.
1. Quelle entité juridique signe notre contrat, et quelles juridictions étrangères peuvent lui adresser des demandes sur nos données ?
2. Où sont traitées nos données, nos sauvegardes et nos journaux, et qui détient les clés de chiffrement ?
3. Votre certification porte-t-elle sur notre environnement réel, ou sur un environnement de démonstration ?
4. Quelle est la liste complète de vos sous-traitants, et comment serons-nous prévenus d’un changement ?
5. En cas de fuite ou de non-conformité, qui paie, et jusqu’à quel montant êtes-vous assurés ?
Le livre en propose trente-cinq au total, classées par sujet, aux chapitres 14, 22 et 23.
Parlons de votre situation
Vous n’avez pas su répondre à l’une de ces cinq questions ? Vous n’êtes pas seul. C’est le cas de la plupart des dirigeants rencontrés pendant cette enquête.
La bonne nouvelle, c’est qu’il existe des solutions.
Des technologies souveraines, cybersécurisées et conformes sont disponibles en Europe. La conformité ne se déclare pas. Elle se prouve, et elle se vérifie en continu.
| Didier Reinach Auteur de « Existe-t-il une mafia des data ? » E-mail : didier@la-machina · LinkedIn. https://www.linkedin.com/in/dreinach/ |
Vos données valent plus que votre chiffre d’affaires.
Plus qu’un puits de pétrole.
La vraie question n’est pas vraiment ce qu’elles valent.
C’est : qui les pompe et qui les exploite.
Sources principales
Synergy Research Group, « Q2 Cloud Market Passes $143 Billion », 30 juillet 2026.
Microsoft, Government Requests for Customer Data Report, juillet à décembre 2025.
DLA Piper, GDPR Fines and Data Breach Survey, janvier 2026.
The Register, « Microsoft-SAP pact aims to keep cloud running in a crisis », 19 novembre 2025.
Les sources complètes figurent à la fin de chaque chapitre du livre.