Data Loss Prevention (DLP) pour les PME : protéger vos données sensibles

Dans une PME, la plupart des fuites de données n'ont rien d'un piratage spectaculaire. C'est un devis envoyé par erreur au mauvais destinataire, une liste de clients dans un fichier Excel qui disparaît via WeTransfer, un dossier OneDrive partagé avec des droits un peu trop larges. En 2025, l'autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) a reçu plus de 44 000 notifications de violations de données, et près de 3 sur 4 concernaient des courriers et des e-mails arrivés chez la mauvaise personne. C'est pour cette raison qu'une PME ne peut plus considérer la Data Loss Prevention (DLP) comme un « outil pour grands comptes », mais comme une mesure d'hygiène de base. Ce guide explique ce qu'est la DLP, quelles données sensibles protéger et comment obtenir déjà de bons résultats avec un budget limité dans Microsoft 365.

Qu'est-ce que la Data Loss Prevention, exactement ?

La Data Loss Prevention (DLP), ou prévention des pertes de données, désigne l'ensemble des outils et des règles qui empêchent des informations sensibles de quitter votre organisation de manière involontaire ou non autorisée. La DLP repose sur trois couches complémentaires :

1. Découvrir. Où se trouvent quelles données sensibles (numéros d'identification nationaux comme le BSN néerlandais, IBAN, données médicales, contrats, code source, grilles tarifaires) ?
2. Classifier. Chaque fichier ou message sensible reçoit une étiquette (par exemple « Public », « Interne », « Confidentiel », « Strictement confidentiel »).
3. Protéger. Des règles déterminent ce qui est permis ou non avec cette étiquette : envoyer un e-mail à l'extérieur, partager via un lien, copier sur une clé USB, téléverser dans ChatGPT.

Une bonne politique DLP n'est pas une police numérique qui bloque tout. Elle avertit au moment où quelqu'un est sur le point de commettre une erreur, propose souvent une dérogation motivée et ne bloque que là où les risques sont élevés.

Pourquoi la DLP est désormais urgente pour les PME

Les chiffres laissent peu de place au doute. En 2025, le nombre de notifications de violations de données auprès de l'AP est passé à 44 374, contre 37 839 en 2024. Près de 3 fuites sur 4 concernaient des courriers et des e-mails arrivés chez le mauvais destinataire. Les chiffres du premier semestre 2024 montraient déjà que 18 % de l'ensemble des notifications (1 760 en six mois) relevaient précisément de ce scénario : des données sensibles envoyées par e-mail à la mauvaise personne.

Pourquoi les PME sont-elles particulièrement exposées ? Selon le Verizon Data Breach Investigations Report, 74 % des violations de données comportent une composante humaine (envoi erroné, usage abusif, ingénierie sociale). Des études de Microsoft montrent qu'environ 80 % des collaborateurs utilisent des applications non approuvées et qu'environ 65 % des applications SaaS utilisées ne sont pas autorisées. Et depuis que ChatGPT et Copilot se sont invités dans tous les processus de travail, des données sensibles sont parfois collées sans réfléchir dans un prompt ; 73 % des responsables sécurité s'attendent à ce que les pertes de données d'origine interne augmentent au cours des 12 prochains mois.

Sur le plan juridique, l'enjeu est double. En vertu du RGPD, vous devez notifier une violation à l'AP dans les 72 heures et, si le risque pour les personnes concernées est élevé, les informer elles aussi. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Et avec la Cyberbeveiligingswet, la loi néerlandaise de transposition de NIS2, qui entre en vigueur au second semestre 2026, une politique de sécurité démontrable autour des données devient partie intégrante du devoir de vigilance que vous devez pouvoir justifier. Notre guide NIS2 pour les PME détaille ces obligations.

Quelles données protéger ?

Avant de rédiger des règles DLP, vous devez savoir ce que « sensible » signifie concrètement chez vous. Pour une PME, cela recouvre généralement quelques catégories : les données personnelles au sens du RGPD (nom et adresse, numéro d'identification national, IBAN, profil client), les catégories particulières de données personnelles (données médicales pour les médecins généralistes, dentistes et services de santé au travail ; données pénales), les données financières (fiches de paie, coordonnées bancaires, prix de revient), les données commerciales (devis, contrats, grilles tarifaires, fichiers clients), la propriété intellectuelle (code source, plans techniques, formulations) et les données d'accès (mots de passe dans des fichiers Word, clés d'API dans des scripts).

Le point de départ est une cartographie des données tenant sur une seule page A4. Qui est responsable de quelle catégorie, où se trouve-t-elle (SharePoint, boîte mail, ERP, outil RH), et quel risque courez-vous si elle sort de vos murs ? Sans cet exercice, votre politique DLP repose sur du vide.

Les principales voies de fuite des données

Dans les PME, ce sont toujours les mêmes voies qui reviennent : l'e-mail au mauvais destinataire (la saisie automatique sur « Jan » sélectionne Jan le client au lieu de Jan le collègue), les liens de partage externes dans SharePoint ou OneDrive réglés sur « toute personne disposant du lien », les clés USB et les ordinateurs portables emportés, le stockage cloud personnel (Dropbox, iCloud, compte Google Drive privé), les outils d'IA dans lesquels on colle du texte sans réfléchir, les copies et impressions effectuées en dehors des appareils gérés, et les collaborateurs sur le départ qui emportent leur liste de contacts ou leurs plans. Chacune de ces voies peut être maîtrisée par des règles et des outils adaptés, pas toujours totalement, mais suffisamment pour réduire sérieusement le risque.

La DLP dans Microsoft 365 Business Premium : ce que vous obtenez

La plupart des PME travaillent sous Microsoft 365. Business Premium comprend un socle DLP qui constitue une bonne première couche pour la majorité des organisations :

• Des politiques DLP pour Exchange Online, SharePoint Online et OneDrive. Vous pouvez créer des règles qui empêchent, par exemple, l'envoi vers l'extérieur d'un e-mail contenant plus de 10 numéros BSN, ou le partage externe d'un fichier SharePoint contenant des bulletins de paie.
• Les étiquettes de confidentialité (Sensitivity Labels), appliquées manuellement dans Word, Excel, PowerPoint et Outlook, qui permettent à un utilisateur de marquer un document comme « Confidentiel ».
• Une protection de base contre le phishing et les logiciels malveillants via Defender for Business.
• Purview Compliance Manager pour démontrer votre conformité au RGPD et à ISO 27001.

Ce que Business Premium ne fait pas encore par défaut :

• La DLP pour les conversations et canaux Teams. Il vous faut pour cela Microsoft 365 E5 ou le module complémentaire Microsoft Purview Suite for Business Premium, disponible aux Pays-Bas pour environ 10 € par utilisateur et par mois.
• L'Endpoint DLP (des règles sur ce qui arrive aux fichiers sur les appareils Windows ou macOS : copie sur USB, téléversement dans un navigateur).
• La classification automatique par machine learning ou classifieurs entraînables.
• Une DLP qui empêche Copilot d'exploiter des fichiers sensibles.

Pour de nombreuses PME, Business Premium avec une bonne configuration initiale suffit. Si vous dépassez les 100 collaborateurs, ou si vous traitez des catégories particulières de données personnelles (santé, juridique, finance), la Purview Suite est l'étape suivante appropriée.

Si vous souhaitez d'abord une vue d'ensemble des licences Microsoft 365 pour les PME, notre guide pour choisir ses licences Microsoft 365 vous aidera à y voir clair.

Mettre en place la DLP en 6 étapes concrètes

1. Inventaire des données. Notez sur une page A4 les types de données sensibles dont vous disposez, où elles se trouvent et qui en est propriétaire.
2. Choisissez vos étiquettes. Trois ou quatre suffisent généralement : Public, Interne, Confidentiel, Strictement confidentiel. Décrivez pour chacune ce qui est autorisé (partager, imprimer, envoyer à l'extérieur de l'entreprise).
3. Activez les étiquettes de confidentialité dans Microsoft Purview. Publiez-les pour tous les utilisateurs et expliquez comment étiqueter un document depuis Word, Excel ou Outlook.
4. Créez trois à cinq politiques DLP. Concentrez-vous sur les risques les plus importants : un numéro BSN dans un e-mail adressé à l'extérieur, une liste de paie partagée via un lien SharePoint, une liste d'IBAN dans Excel, plus de X dossiers clients dans une seule pièce jointe.
5. Démarrez en mode « avertissement ». Ne bloquez rien encore ; mesurez pendant deux semaines ce qui se déclenche. Vous verrez ainsi où les collaborateurs rencontrent réellement des difficultés.
6. Ne bloquez que là où c'est nécessaire. Passez les politiques qui réduisent le plus le risque en « blocage avec dérogation » (l'utilisateur peut tout de même envoyer en indiquant un motif) et les catégories les plus critiques en « blocage strict ». Communiquez sur ce qui change.

Sans communication, la DLP est perçue par les collaborateurs comme de l'espionnage. Accompagnée d'explications et d'un canal pour signaler les faux positifs, elle est acceptée. Rattachez toujours ce plan à la formation de sensibilisation existante ; notre guide sur la formation de sensibilisation à la sécurité explique comment la mettre en place.

DLP et IA générative : la nouvelle ligne de front

La principale voie émergente de perte de données n'est plus l'e-mail, mais l'IA générative. Des collaborateurs collent des données clients, des contrats ou du code source dans un ChatGPT gratuit ou un outil de résumé par IA sans se demander où ces données aboutissent. Avec Business Premium, plusieurs options s'offrent à vous :

• Copilot pour Microsoft 365 plutôt que des outils d'IA gratuits ; Copilot fonctionne dans votre tenant et n'utilise vos données qu'au sein de ce tenant.
• Microsoft Defender for Cloud Apps (inclus dans E5 ou en module complémentaire) pour savoir quels outils SaaS et d'IA vos collaborateurs utilisent, et vers où partent les données.
• Des politiques dans le navigateur (via Intune et Edge for Business) qui bloquent ou journalisent les téléversements vers certaines URL d'outils d'IA.
• Une politique d'usage de l'IA qui précise explicitement quels outils sont autorisés, et avec quelles données.

Pour en savoir plus sur les risques des outils d'IA non autorisés, consultez notre guide sur le shadow IT et le shadow AI.

Ce que la DLP ne peut pas faire (et ce qu'il vous faut pour cela)

Avec la DLP, il est important de gérer les attentes. Voici ce qu'elle ne résout pas :

• Les personnes internes délibérément malveillantes qui disposent des droits nécessaires et prennent le temps d'exfiltrer des données par des moyens qui ne déclenchent aucune politique.
• Le vol ou la perte d'appareils physiques sans chiffrement du disque (activez BitLocker).
• Les ransomwares qui chiffrent d'abord vos données puis menacent de les publier. Il vous faut pour cela un NGAV et un EDR (voir notre explication sur l'antivirus nouvelle génération et l'EDR), ainsi que des sauvegardes testées.
• Les comptes compromis par phishing. Le MFA en constitue la couche de base, et la surveillance par un SOC 24/7 la deuxième.

La DLP est une couche au sein d'un modèle de sécurité plus large. Qui ne mise que sur la DLP reste exposé à toutes les autres failles.

Questions fréquentes sur la DLP pour les PME

Ai-je besoin de Microsoft 365 E5 pour faire quelque chose d'utile en matière de DLP ? Non. Microsoft 365 Business Premium inclut la DLP pour Exchange Online, SharePoint et OneDrive, ainsi que les étiquettes de confidentialité. Pour la majorité des scénarios de PME (empêcher l'envoi d'un numéro BSN vers l'extérieur, éviter le partage externe de bulletins de paie), c'est suffisant. Ce n'est que si vous avez besoin de la DLP pour les conversations Teams, de l'Endpoint DLP ou d'une DLP encadrant Copilot que vous devrez passer à la Purview Suite (environ 10 € supplémentaires par utilisateur et par mois aux Pays-Bas) ou à E5.

Combien de temps faut-il pour mettre correctement en place la DLP dans une PME de 40 collaborateurs ? Une première mise en place pragmatique (étiquettes, trois à cinq politiques, communication et sensibilisation) prend généralement 4 à 8 semaines, avec environ 20 à 40 heures de travail côté technique et quelques heures supplémentaires pour la communication et la formation. Continuez à affiner pendant les deux à trois premiers mois en fonction des alertes : la DLP n'est jamais aboutie dès le premier jour.

Quelle est la différence entre la DLP et les étiquettes de confidentialité ? Les étiquettes de confidentialité (Sensitivity Labels) classifient un fichier ou un message (celui-ci est « Confidentiel »). La DLP est la politique qui agit sur la base de cette classification ou de motifs détectés (numéro BSN, IBAN, numéro de carte bancaire). Les deux fonctionnent ensemble : l'étiquette dit ce qu'est un contenu, les politiques DLP disent ce qu'on peut en faire ou non.

Que faire si une politique DLP contrarie un client parce qu'un e-mail n'arrive pas ? Configurez si possible vos politiques en « blocage avec dérogation » : l'utilisateur reçoit un avertissement, indique un motif et envoie tout de même. Journalisez ces dérogations pour savoir à quelle fréquence cela se produit. Ne bloquez strictement que là où l'impact d'une fuite pour l'activité est supérieur à celui d'un retard (par exemple des listes de paie envoyées par erreur à l'extérieur).

Dois-je, en plus de la DLP, réaliser une classification des données distincte pour NIS2 ? Oui. NIS2 exige une gestion des risques démontrable, ce qui implique de savoir précisément quelles données sensibles vous détenez et comment vous les protégez. Une cartographie des données sur une page A4 avec des propriétaires désignés, des politiques DLP qui s'y rattachent et une revue annuelle : voilà ce que vous voudrez pouvoir présenter lors d'un audit. Notre guide ISO 27001 pour les PME aborde des exigences comparables, qui s'articulent bien avec NIS2.

Conclusion

En 2026, la Data Loss Prevention n'est plus un luxe pour les PME néerlandaises. Avec près de 44 000 notifications de violations de données par an, majoritairement dues à des erreurs humaines et à des e-mails mal adressés, une configuration DLP de base est le moyen le moins coûteux de réduire concrètement votre exposition aux amendes RGPD, aux atteintes à votre image et à la perte de clients. Microsoft 365 Business Premium offre suffisamment pour une première couche : étiquettes de confidentialité, DLP pour Exchange et SharePoint, et des avertissements clairs aux collaborateurs au moment où cela compte. Si votre secteur traite des catégories particulières de données personnelles ou utilise intensivement Teams, la Purview Suite est l'étape suivante logique.

TRON Group aide les PME néerlandaises à mettre en place la DLP de manière pragmatique : de la cartographie des données et du jeu d'étiquettes jusqu'aux politiques, à la communication et au pilotage au quotidien. Vous voulez savoir comment mieux protéger les données sensibles de votre organisation sans paralyser votre activité ? Contactez-nous via notre page cybersécurité ou appelez le +31 85 303 5869 pour un échange sans engagement.