La règle des 3 niveaux de confidentialité : public / interne / sensible

  • Concept
  • Débutant
  • IA générative
  • Toujours utilisé

En bref

Méthode simple qui classe chaque information en 3 catégories selon sa sensibilité : publique, interne à l'entreprise, ou confidentielle sensible.

Définition complète

La règle des 3 niveaux de confidentialité est une méthode de classement qui permet de savoir, pour chaque information ou document, comment il doit être traité et qui peut y avoir accès. Elle distingue trois catégories : le niveau public (une information que l’on peut diffuser librement, par exemple une plaquette commerciale), le niveau interne (réservé aux salariés de l’entreprise, comme un compte rendu de réunion) et le niveau sensible (des données qui doivent rester très protégées, comme un salaire, un dossier médical ou un contrat en négociation).

Concrètement, avant de partager ou d’archiver un document, on se pose une question simple : si cette information sortait de l’entreprise ou tombait dans de mauvaises mains, quelles seraient les conséquences ? Selon la réponse, on choisit le bon niveau et donc les bonnes précautions (mot de passe, accès restreint, chiffrement, mention confidentiel).

Attention : avec la généralisation des outils numériques (messagerie, cloud, outils d’intelligence artificielle), il devient facile de partager un document sensible sans y penser, par exemple en le copiant dans un assistant IA en ligne pour qu’il le résume. La règle des 3 niveaux reste utile, mais elle doit désormais s’appliquer aussi aux usages numériques quotidiens, pas seulement aux dossiers papier.

À quoi ça sert

Cette règle sert d’abord à protéger l’entreprise et les personnes : elle évite qu’une information sensible (salaire, données personnelles, stratégie commerciale) circule sans contrôle et cause un préjudice, financier ou humain. Elle aide chaque salarié à prendre la bonne décision rapidement, sans devoir demander l’avis d’un responsable à chaque fois.

Elle sert aussi à instaurer une confiance claire entre collègues, clients et partenaires : chacun sait ce qu’il a le droit de partager, avec qui, et par quel canal. Cela réduit les erreurs de jugement, notamment chez les nouveaux arrivants qui ne connaissent pas encore les usages internes.

Enfin, cette classification facilite le travail des équipes informatiques et juridiques : elle permet de mettre en place des règles d’accès cohérentes, de répondre aux obligations légales de protection des données, et de réagir plus vite en cas d’incident de sécurité.

Cas d'usage typiques

– Identifier : à quel niveau appartient ce document avant de l’envoyer par mail ? Bénéfice : éviter une diffusion accidentelle d’une information sensible.
– Classer : comment ranger les nouveaux dossiers d’un service ? Bénéfice : gagner du temps et savoir immédiatement qui peut consulter quoi.
– Former : comment expliquer les règles de confidentialité à un nouvel employé ? Bénéfice : réduire le risque d’erreur dès les premiers jours.
– Décider : peut-on utiliser un outil d’intelligence artificielle en ligne pour traiter ce document ? Bénéfice : éviter qu’une donnée sensible ne quitte l’entreprise sans contrôle.
– Réagir : que faire si un document confidentiel a été envoyé à la mauvaise personne ? Bénéfice : limiter les conséquences et corriger rapidement.
– Auditer : les accès aux dossiers sensibles sont-ils toujours justifiés ? Bénéfice : repérer les failles avant qu’elles ne posent problème.

Ce que tu sauras faire

Savoir classer une information selon son niveau de confidentialité (public, interne, sensible) et appliquer les précautions adaptées avant de la partager, de la stocker ou de la transmettre.

Mises en situation

Situation 1 : un mail envoyé au mauvais destinataire

Contexte : Dans une PME, une assistante administrative doit envoyer les bulletins de salaire du mois à la comptable.

Application : Elle vérifie d’abord le niveau de confidentialité du document : les bulletins de salaire sont classés sensibles, ils ne doivent donc jamais être envoyés à une liste de diffusion générale, seulement à la personne concernée, avec un mot de passe sur le fichier.

Résultat attendu : En appliquant la règle, elle évite d’envoyer par erreur les salaires de toute l’équipe à un mauvais destinataire, un incident fréquent quand la classification n’est pas claire.

Situation 2 : un document interne partagé avec un client

Contexte : Un chef de projet dans une agence de communication prépare un compte rendu de réunion interne évoquant le budget d’un client.

Application : Il repère que ce compte rendu est de niveau interne et non public : il ne doit donc pas être transféré tel quel au client, mais retravaillé dans un document adapté, sans les remarques internes sur la rentabilité du projet.

Résultat attendu : Le client reçoit une synthèse professionnelle, sans avoir accès aux discussions internes sur la marge de l’agence, ce qui préserve la relation de confiance.

Situation 3 : une association qui numérise ses archives

Contexte : Une association décide de scanner tous ses dossiers papier pour les stocker sur un cloud partagé.

Application : Avant de tout mettre au même endroit, les bénévoles trient les documents : les statuts et plaquettes vont dans un dossier public accessible à tous, les comptes rendus de conseil d’administration dans un dossier interne, et les dossiers d’adhérents dans un dossier sensible avec accès limité.

Résultat attendu : La numérisation ne crée pas de nouvelle fuite de données personnelles, et chaque bénévole sait où chercher selon son rôle.

Application guidée : trier une boîte mail professionnelle

Contexte : Un cabinet médical reçoit chaque jour des mails contenant des demandes de rendez-vous, des résultats d’analyses de patients, et des newsletters de fournisseurs médicaux.

Question : Comment classer ces trois types de mails selon les 3 niveaux de confidentialité, et quelles précautions appliquer à chacun ?

Résultat attendu : Les newsletters sont publiques (aucune précaution particulière). Les demandes de rendez-vous sont internes (accès réservé au personnel du cabinet). Les résultats d’analyses de patients sont sensibles : ils doivent être stockés de façon protégée, avec un accès strictement limité aux professionnels autorisés.

Application guidée : choisir le bon canal pour un document sensible

Contexte : Une mairie doit transmettre à un adjoint un dossier contenant des informations personnelles sur un administré en vue d’une demande d’aide sociale.

Question : Quel niveau de confidentialité attribuer à ce dossier, et quel moyen de transmission choisir ?

Résultat attendu : Le dossier est de niveau sensible : un mail classique non protégé est à éviter. La bonne pratique est d’utiliser un outil sécurisé ou, à défaut, une remise en main propre contre signature.

Pour bien le retenir

L'analogie

Imaginez une bibliothèque municipale organisée en trois espaces. Le premier est le hall d’entrée en libre accès, où n’importe quel visiteur peut consulter les livres exposés : c’est le niveau public. Le deuxième est la salle réservée aux employés, où sont rangés les plannings et les documents de travail : c’est le niveau interne. Le troisième est une réserve fermée à clé, où sont conservés les manuscrits fragiles ou les dossiers du personnel : c’est le niveau sensible. Un employé sérieux ne sort jamais un document de la réserve sans autorisation, même si cela semble plus pratique sur le moment.

« Public, interne, sensible : trois portes, trois clés différentes. »

Moyen mnémotechnique

PIS : Public, Interne, Sensible, du plus ouvert au plus protégé.

Pièges à éviter

À ne pas confondre avec

Une erreur fréquente consiste à croire que interne veut dire sans importance : en réalité, un document interne peut être gênant s'il sort de l'entreprise, même s'il n'est pas aussi critique qu'un document sensible.

Une autre confusion consiste à penser que la classification est figée pour toujours : un document interne peut devenir public au moment d'une communication officielle, et inversement. Il faut donc réévaluer régulièrement le niveau attribué.

Enfin, certains pensent que cette règle ne concerne que les gros dossiers très secrets. En réalité, elle s'applique aussi aux petites habitudes du quotidien : un mot de passe noté sur un post-it, une conversation tenue à voix haute dans un couloir, ou un fichier laissé ouvert sur un écran visible de tous.

Évolution historique

Apparition : Depuis les années 1990-2000

Quels changements depuis l’arrivée de l’IA ?

Avant

Avant la généralisation des outils numériques, la confidentialité se gérait surtout avec des moyens physiques : classeurs fermés à clé, tampons confidentiel, accès limité à certaines pièces ou armoires.

Aujourd’hui

Avec l’arrivée des outils d’intelligence artificielle grand public, un nouveau risque est apparu : copier un document sensible dans un assistant IA en ligne pour qu’il le résume ou le traduise peut revenir à faire sortir cette information de l’entreprise. La règle des 3 niveaux doit donc désormais guider aussi ces usages numériques.

Évolution historique

Années 1990 : les grandes entreprises et administrations commencent à formaliser des politiques de classification documentaire, souvent inspirées des pratiques militaires et gouvernementales.

Années 2000 : avec la généralisation de l’informatique de bureau, la classification s’étend aux fichiers numériques et aux premiers systèmes de droits d’accès partagés.

Années 2010 : le développement du cloud et des outils collaboratifs pousse davantage d’entreprises à formaliser des règles simples de confidentialité, renforcées par les obligations de protection des données personnelles.

Depuis les années 2020 : l’essor des outils d’intelligence artificielle et du télétravail élargit encore le périmètre de la vigilance, avec une attention nouvelle portée aux données envoyées à des services externes.