Jeu de données : les six catégories d'information personnelle qu'expose une fonction dirigeante
Ce que recouvre exactement une catégorie d'information personnelle exposée, les six retenues dans le relevé, leur variation selon la fonction occupée, et le protocole de mesure.
À retenir
- Une information personnelle exposée réunit trois conditions : elle se rattache à une personne identifiée, elle s'obtient sans franchir de contrôle d'accès, et elle reste retrouvable à plusieurs semaines d'intervalle.
- L'exposition n'est ni la notoriété ni la fuite de données : elle se compose presque entièrement d'informations publiées légalement, souvent par l'organisation elle-même.
- Six catégories structurent le relevé, de l'identité administrative à l'empreinte d'opinion, et leur présence varie davantage avec la fonction occupée qu'avec le rang hiérarchique.
- Le protocole se reproduit à moyens ordinaires : une grille de six colonnes par personne, deux passages espacés de six semaines, et la conservation du seul lien vers chaque source.
L'expression exposition d'un dirigeant circule sans définition stable. Elle désigne tantôt le volume de mentions presse attachées à un nom, tantôt la quantité de données personnelles qu'un tiers reconstitue en accès libre. Ce jeu de données porte sur le second sens, le plus opérationnel pour une direction de la sûreté : quelles catégories d'information personnelle deviennent accessibles, et lesquelles varient avec la fonction occupée.
L'unité d'observation n'est pas la personne mais le couple formé par une fonction et une catégorie d'information. Nous avons relevé, sur des profils de dirigeants d'organisations françaises de tailles variées, la présence ou l'absence de chaque catégorie dans des sources en accès libre : registres publics, publications légales, sites institutionnels, presse professionnelle, réseaux sociaux professionnels, traces de vie associative ou sportive.
Le relevé qui suit délimite d'abord la notion, énumère ensuite les catégories retenues et leur définition, présente la variation observée fonction par fonction, discute les biais de collecte, puis décrit le protocole permettant à une équipe de refaire la mesure sur son propre comité de direction.
Ce qu'une catégorie d'information personnelle exposée désigne exactement
Une catégorie d'information personnelle exposée est un type de donnée rattachable à une personne physique identifiée, accessible sans authentification particulière ni contournement d'un contrôle d'accès, et suffisamment stable pour qu'un tiers la retrouve à plusieurs semaines d'intervalle. Les trois conditions comptent ensemble : une donnée fugace, une donnée protégée par un mur d'authentification ou une donnée non rattachable ne relèvent pas du même objet.
Cette définition sépare l'exposition de deux notions voisines. La notoriété mesure la fréquence d'apparition d'un nom dans l'espace public, sans rien dire de ce que l'on apprend sur la personne. La fuite de données désigne la circulation d'informations qui n'ont jamais été publiées volontairement. L'exposition, elle, se compose presque entièrement d'informations publiées légalement, souvent par l'organisation elle-même ou au titre d'une obligation réglementaire.
Le critère qui fait basculer une donnée dans le périmètre est l'agrégabilité. Une information isolée reste anodine, la même information combinée à deux autres devient un point d'appui pour une approche ciblée. Un lieu de résidence approximatif, un modèle de véhicule et un horaire récurrent ne disent rien séparément, et beaucoup ensemble. C'est pourquoi le jeu de données compte des catégories présentes plutôt qu'un score global.
Les six catégories retenues et leur définition de travail
Le relevé retient six catégories, choisies parce qu'elles apparaissent dans plus de la moitié des profils observés et qu'elles se constatent sans jugement d'appréciation. L'identité administrative regroupe nom, année de naissance et mandats sociaux publiés. Le rattachement organisationnel couvre les fonctions actuelles et passées, les participations et les mandats croisés entre entités.
Les quatre autres catégories décrivent la vie sociale et matérielle. Les coordonnées professionnelles rassemblent adresse d'établissement, format d'adresse électronique et ligne directe. L'environnement familial nommé regroupe les liens de parenté rendus publics. Les habitudes localisables couvrent clubs, associations et événements récurrents. L'empreinte d'opinion réunit prises de position publiques, tribunes et interventions filmées.
| Catégorie | Origine dominante | Fréquence observée | Effet principal |
|---|---|---|---|
| Identité administrative | registres et publications légales | quasi systématique | point d'entrée de toute reconstitution |
| Rattachement organisationnel | site institutionnel, réseaux professionnels | quasi systématique | cartographie des relations d'affaires |
| Coordonnées professionnelles | annuaires, format d'adresse déduit | fréquente | vecteur d'hameçonnage ciblé |
| Environnement familial nommé | presse locale, réseaux sociaux | variable | pression indirecte sur la personne |
| Habitudes localisables | vie associative et sportive | variable | prévisibilité des déplacements |
| Empreinte d'opinion | tribunes, conférences, vidéos | liée à la fonction | matière première d'une campagne hostile |
Pourquoi la fonction explique mieux l'exposition que le rang hiérarchique
Le classement par rang, président, directeur général, membre du comité exécutif, prédit mal la quantité d'information disponible. Deux dirigeants de même rang, dans deux organisations comparables, présentent des profils très différents dès que leurs fonctions diffèrent. La variable explicative n'est pas la position dans l'organigramme mais la nature des obligations de représentation attachées au poste.
Une fonction financière produit des traces réglementaires denses : signatures de comptes, mandats, déclarations. Une fonction de communication produit une empreinte d'opinion volumineuse, par construction. Une fonction industrielle laisse surtout des traces sectorielles, brevets, communications en congrès, participations à des instances de normalisation. Une fonction de sûreté ou de conformité, à l'inverse, s'expose souvent très peu.
Cette structure a une conséquence pratique nette : un dispositif de protection calibré sur le rang protège les mauvaises personnes. Le directeur des achats d'un groupe industriel figure rarement dans les plans de sûreté, alors qu'il concentre coordonnées professionnelles, calendrier de salons et environnement fournisseurs, soit exactement le triplet exploité dans une tentative d'ingénierie sociale.
Ce que la variation par fonction fait apparaître dans le relevé
Le premier constat est un écart de largeur plutôt que d'intensité. Les fonctions les plus exposées ne présentent pas davantage d'informations dans chaque catégorie : elles présentent des informations dans un plus grand nombre de catégories. Un profil dit exposé coche quatre à six catégories, un profil dit discret en coche une à deux, et l'identité administrative figure presque toujours parmi elles.
Le second constat porte sur l'origine des données. La majorité des catégories présentes provient de publications volontaires ou obligatoires de l'organisation, pas d'une négligence individuelle. Registres légaux, page dirigeants du site institutionnel et communiqués financiers fournissent l'essentiel. Cela déplace la responsabilité : l'exposition se traite au niveau des politiques de publication, pas seulement par des recommandations d'hygiène numérique adressées aux personnes.
Le troisième constat concerne la persistance. Les catégories les plus difficiles à réduire ne sont pas les plus visibles. Une adresse électronique change, un profil se ferme, mais une mention dans une archive de presse professionnelle ou dans un compte rendu d'assemblée générale reste indexée des années. La réduction d'exposition agit donc surtout sur le flux, très peu sur le stock déjà constitué.
Limites du jeu de données et biais de collecte assumés
Trois limites doivent accompagner toute lecture de ce relevé. La première est un biais de langue et de juridiction : la collecte a porté sur des sources francophones et sur des registres français, ce qui sous-estime l'exposition des dirigeants d'organisations à activité internationale, dont une partie des traces se trouve dans d'autres langues et dans d'autres bases nationales.
La deuxième limite est la binarité du codage. Nous relevons la présence d'une catégorie, ni son intensité ni sa fraîcheur. Un profil comportant une seule adresse électronique et un profil comportant trois lignes directes reçoivent le même codage. Ce choix rend le relevé reproductible d'un observateur à l'autre, au prix d'une perte d'information réelle sur la gravité de chaque cas.
La troisième limite est temporelle. Les proportions présentées ici sont des ordres de grandeur d'observation, relevés sur une fenêtre courte, et non des mesures stabilisées sur plusieurs années. Une modification d'interface sur un réseau professionnel ou une évolution des obligations de publication déplace mécaniquement les résultats. Un relevé d'exposition se date comme une photographie, et se refait.
Protocole de reproduction du relevé sur un comité de direction
Le protocole tient sur une grille : une ligne par personne, une colonne par catégorie, une case remplie uniquement quand la donnée a été retrouvée et que son adresse d'origine a été notée. Aucune donnée n'est recopiée dans la grille, seul le lien vers la source est conservé, ce qui limite la constitution d'un fichier sensible interne.
La collecte se fait en deux passages espacés d'environ six semaines, par deux observateurs différents quand l'organisation le permet. Le double passage sépare la donnée stable de la donnée fugace, condition posée par la définition retenue. La double observation mesure l'accord entre codeurs, seul moyen de savoir si la grille est comprise de la même façon par deux personnes.
L'étape la plus coûteuse reste l'inventaire des sources à interroger, et c'est là qu'un outillage de veille change l'échelle du travail. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, trie les résultats par pertinence et ramène chaque mention à sa publication d'origine, ce qui raccourcit nettement la phase de collecte. Le codage et l'arbitrage sur ce qui relève du périmètre restent la part de l'organisation.
Une exposition dirigeante ne se mesure pas en volume de mentions, mais au nombre de catégories qu'un tiers parvient à remplir sans jamais sortir de l'accès libre.
Questions fréquentes
Quelles catégories d'information personnelle un dirigeant expose-t-il le plus souvent ?
L'identité administrative et le rattachement organisationnel sont présents dans la quasi-totalité des profils observés, parce qu'ils découlent d'obligations de publication. Viennent ensuite les coordonnées professionnelles, souvent reconstituées par déduction du format d'adresse électronique de l'entreprise, puis l'empreinte d'opinion pour les fonctions qui prennent la parole. L'environnement familial nommé et les habitudes localisables sont les plus variables : ils dépendent de choix personnels et de la vie locale.
L'exposition d'un dirigeant est-elle la même chose qu'une fuite de données ?
Non, et la confusion coûte cher en pilotage. Une fuite désigne la circulation d'informations qui n'avaient pas vocation à être publiées : elle relève de la sécurité des systèmes et d'un régime de notification. L'exposition décrit un état d'accessibilité produit par des publications légitimes, souvent voulues. Elle ne se corrige pas par un incident de sécurité traité, mais par une révision des politiques de publication et par une réduction du flux à venir.
Comment mesurer l'exposition d'un comité de direction sans créer un fichier à risque ?
En codant la présence, jamais le contenu. La grille note qu'une catégorie a été retrouvée et conserve l'adresse de la source, sans recopier la donnée elle-même. L'accès à la grille se restreint, sa durée de conservation se fixe à l'avance, et la finalité, la protection des personnes concernées, s'écrit noir sur blanc. Un relevé d'exposition mal cadré constitue lui-même une base de données personnelles, avec les obligations correspondantes.
Faut-il viser une exposition nulle pour les fonctions les plus visibles ?
L'objectif est irréaliste et rarement souhaitable. Une partie de l'exposition découle d'obligations légales de publication, une autre sert directement l'activité, notamment pour les fonctions commerciales et de représentation. La cible raisonnable consiste à choisir quelles catégories restent ouvertes, à réduire celles qui n'apportent rien, en priorité les habitudes localisables et l'environnement familial nommé, puis à surveiller l'apparition de nouvelles catégories.