Comment mettre en place une gouvernance de données en entreprise ?

Mettre en place une gouvernance de données ne consiste pas à créer un comité supplémentaire. C'est organiser, de façon durable, qui peut créer, modifier, utiliser, partager ou supprimer une donnée, selon quelles règles, avec quels contrôles. En 2026, le sujet s'impose aux PME et aux ETI pour au moins quatre raisons simultanées : les exigences du RGPD, la montée en puissance du reporting de durabilité (CSRD), la multiplication des outils numériques, et un usage croissant de l'IA sur des données dont la fiabilité n'est pas toujours garantie.

Une entreprise qui produit beaucoup de données sans gouvernance claire finit par manquer de confiance dans ses propres chiffres. Deux tableaux donnent des résultats contradictoires, les définitions d'indicateurs varient selon les équipes, des droits d'accès trop larges font circuler des données sensibles sans contrôle suffisant. La gouvernance de données n'est pas un luxe de grand groupe. C'est une condition de confiance pour piloter, se conformer et décider.

La gouvernance de données est d'abord un sujet d'organisation et de responsabilité, pas un projet informatique. Poser des règles simples, explicites et tenues dans le temps vaut mieux qu'un schéma ambitieux jamais approprié par les équipes.

La première erreur est de vouloir tout cartographier avant d'avoir posé les responsabilités. Dans les dossiers que nous accompagnons, le point de départ le plus efficace est toujours le même : identifier les données qui font déjà mal.

Les signaux d'alerte concrets sont les suivants : des chiffres contradictoires entre outils, des indicateurs que personne ne peut expliquer avec précision, des données sensibles accessibles trop largement, ou un reporting ESG/financier dont les définitions changent selon l'interlocuteur. Ce sont ces irritants qui justifient une gouvernance, pas une ambition théorique.

La bonne séquence de départ : fixer deux ou trois chantiers prioritaires, nommer un responsable par chantier, et formaliser les premières règles sur ces périmètres avant de chercher à couvrir l'ensemble.

Non, le DPO (délégué à la protection des données) n'est pas requis pour toute organisation. L'article 37 du RGPD prévoit trois cas de désignation obligatoire :

1. Les organismes publics (à l'exception des juridictions dans l'exercice de leurs fonctions).
2. Les responsables de traitement ou sous-traitants qui effectuent un suivi régulier et systématique des personnes à grande échelle.
3. Ceux qui traitent à grande échelle des données sensibles (santé, origine ethnique, croyances, données biométriques, etc.) ou des données relatives à des condamnations pénales.

Il n'existe pas de seuil de salariés déclencheur. Un cabinet médical de dix personnes peut être concerné, quand une PME industrielle de 150 salariés ne l'est pas, selon la nature des traitements. Le DPO peut être interne, externe ou mutualisé entre plusieurs structures. La CNIL met à disposition une liste de DPO externes déclarés.

Ce que cela signifie en pratique : une PME non soumise à l'obligation de DPO n'est pas dispensée du RGPD. Le registre des traitements reste obligatoire (art. 30), et l'AIPD (analyse d'impact relative à la protection des données, art. 35) s'impose dès qu'un traitement présente un risque élevé pour les droits et libertés des personnes. La désignation volontaire d'un DPO ou d'un référent RGPD est recommandée dès lors que les traitements deviennent complexes ou sensibles.

La gouvernance de données repose sur quelques rôles-clés. Le tableau suivant synthétise les principales fonctions à définir, qu'il s'agisse d'une PME de 50 personnes ou d'une ETI de 500 :

Dans une PME, ces rôles sont souvent cumulés. Ce qui compte n'est pas l'organigramme, c'est la clarté de qui décide quoi sur chaque bloc de données critique.

Voici la séquence que nous recommandons pour démarrer sans sur-complexifier :

1. Identifier les données critiques. Toutes les données n'ont pas la même valeur. Commencer par cibler celles qui servent au pilotage, à la conformité, à la relation client ou à la paie : chiffre d'affaires, stocks, données RH, données clients, indicateurs ESG, données sensibles.

2. Nommer les responsables par domaine. Chaque bloc de données important doit avoir un data owner identifié. Sans responsable désigné, les règles restent théoriques.

3. Fixer les règles de qualité minimales. Qu'est-ce qu'une fiche complète ? Qui peut corriger une donnée ? Comment tracer une modification ? Quand archiver ? Ces questions simples changent beaucoup de choses en pratique.

4. Cartographier les flux et les accès. Il faut savoir où naît la donnée, qui la transforme, dans quel outil elle circule, qui y accède et à quelles fins. Pour les données personnelles, cette cartographie constitue la base du registre des traitements obligatoire (art. 30 RGPD).

5. Documenter les définitions essentielles. Un chiffre d'affaires, un client actif, une marge, un effectif ou un indicateur ESG ne peuvent pas changer de sens selon les équipes. Ces définitions doivent être posées par écrit, partagées et maintenues à jour.

6. Intégrer sécurité et conformité. La gouvernance ne se limite pas à la qualité. Elle tient compte des droits d'accès, de la confidentialité, des durées de conservation, des exigences RGPD et des éventuelles obligations de notification ou d'AIPD. Pour les traitements à risque élevé, l'AIPD (art. 35 RGPD) est obligatoire avant la mise en oeuvre.

7. Instaurer une revue périodique. La gouvernance n'est pas un projet à livrer une fois. C'est une discipline à entretenir, notamment lors des changements d'outil, de processus ou d'organisation. Une revue annuelle minimum est recommandée.

Le RGPD (Règlement UE 2016/679) formalise plusieurs exigences qui font directement partie d'une gouvernance de données sérieuse.

Le registre des traitements (art. 30) est l'outil central : il recense les traitements de données personnelles, leurs finalités, les catégories de données concernées, les destinataires, les durées de conservation et les mesures de sécurité. Il doit être tenu à jour et présenté à la CNIL en cas de contrôle.

L'AIPD (analyse d'impact, art. 35) est obligatoire avant la mise en oeuvre de tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL publie une liste des traitements pour lesquels l'AIPD est systématiquement requise.

Les sanctions en cas de manquement sont significatives : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé des deux étant retenu. Ces niveaux s'appliquent aux violations les plus graves (absence de base légale, violation des droits des personnes, transferts illicites). Des sanctions moins lourdes s'appliquent aux obligations formelles (registre absent, DPO non désigné si obligatoire, etc.).

Sur nos missions de DAF externalisé, nous rencontrons régulièrement des entreprises qui ont investi dans des outils data avancés sans avoir formalisé les bases : absence de registre des traitements, habilitations non documentées, aucun processus de gestion des demandes de droits des personnes (accès, suppression, rectification). La mise en conformité a posteriori coûte toujours plus cher qu'une gouvernance posée dès le départ.

La directive CSRD (Corporate Sustainability Reporting Directive) introduit une exigence de gouvernance des données durabilité que les entreprises concernées ne peuvent pas ignorer. Les normes ESRS (European Sustainability Reporting Standards), en particulier le référentiel ESRS GOV, imposent de documenter la gouvernance et la responsabilité sur les informations de durabilité publiées.

Concrètement, cela signifie que les indicateurs E, S et G doivent reposer sur des définitions stables, des sources identifiées, des périmètres documentés et des processus de validation. Ce sont exactement les mêmes exigences qu'une bonne gouvernance de données métier : propriétaires identifiés, règles de qualité, cartographie des flux, révision périodique.

Les entreprises qui ont déjà posé une gouvernance de données interne abordent la CSRD avec beaucoup moins de friction. Celles qui produisent leurs indicateurs ESG de façon ad hoc, sans traçabilité ni responsable désigné, rencontrent des difficultés dès l'audit de durabilité.

Pour aller plus loin sur ce volet, consultez notre article sur le reporting ESG et notre accompagnement cabinet d'audit organisationnel.

Une PME industrielle de 200 salariés, avec un ERP, un logiciel de maintenance, un outil CRM et des fichiers Excel partagés, a mis en place sa gouvernance de données sur six mois. Voici les grandes lignes de la démarche et les résultats observés.

Situation initiale : le chiffre de stock consolidé dans l'ERP différait des fichiers Excel des magasiniers. Les indicateurs de performance de production n'étaient pas calculés de la même façon entre le contrôle de gestion et la production. Les données clients étaient accessibles à l'ensemble des commerciaux sans distinction de portefeuille. Aucun registre des traitements n'était tenu.

Actions menées : nomination d'un data owner pour chaque domaine (stocks, production, commercial, RH), formalisation des définitions des indicateurs clés, revue des habilitations dans l'ERP et le CRM, mise en place du registre des traitements RGPD, et identification de deux traitements nécessitant une AIPD (profilage commercial et gestion des alertes de sécurité industrielle).

Résultats après six mois : divergence entre ERP et fichiers Excel réduite de 80 %, délai de production du reporting mensuel réduit d'une semaine, conformité RGPD de base atteinte, audit interne de durabilité facilité pour la préparation CSRD. Le DRH a été désigné référent RGPD (pas d'obligation de DPO dans cette structure).

La CNIL peut contrôler à tout moment, sur signalement ou de façon programmée. Les vérifications portent notamment sur : l'existence et la mise à jour du registre des traitements, la réalisation des AIPD obligatoires, la désignation du DPO si requise, la gestion des demandes de droits des personnes, et les mesures de sécurité effectives (pas seulement documentées).

Les commissaires aux comptes et les auditeurs de durabilité s'intéressent de plus en plus à la traçabilité des données financières et non financières. Un indicateur sans source documentée, sans responsable identifié et sans procédure de révision perd en fiabilité aux yeux d'un tiers auditeur.

Les écueils que l'on observe le plus souvent dans les dossiers de mise en place sont les suivants :

• Croire qu'un nouvel outil de data management résoudra seul le problème : l'outil amplifie une organisation, il ne la remplace pas.
• Lancer un comité de gouvernance sans avoir clarifié les responsabilités effectives : les réunions s'accumulent, les décisions ne se prennent pas.
• Documenter trop lourdement dès le départ et perdre les équipes dans la complexité.
• Oublier les données sensibles et les droits d'accès dans la cartographie initiale.
• Traiter la gouvernance comme un sujet purement technique, sans implication de la direction et des métiers.
• Poser une gouvernance sans prévoir de mécanisme de révision : en douze mois, les outils changent, les équipes évoluent, et les règles deviennent obsolètes.

Sur nos missions DAF externalisé, nous recommandons systématiquement de démarrer par un état des lieux de deux à trois jours, qui permet d'identifier les priorités réelles avant d'engager un chantier plus large.

Le plus grand risque n'est pas de mal démarrer. C'est de bien cadrer au lancement, puis de laisser les usages redevenir flous faute de routines. Une gouvernance de données utile se maintient par quelques pratiques simples :

• Revue annuelle des habilitations d'accès aux données sensibles.
• Vérification périodique de la qualité sur les jeux de données critiques.
• Mise à jour des définitions et du registre des traitements lors de tout changement d'outil ou de processus.
• Suivi documenté des incidents et anomalies de données.
• Arbitrage clair lorsqu'un indicateur devient stratégique pour le pilotage ou le reporting.

Cette discipline permet d'éviter deux extrêmes également néfastes : la gouvernance oubliée et la gouvernance bureaucratique. Le bon équilibre est celui qui soutient la confiance dans la donnée sans ralentir inutilement les équipes opérationnelles.

Dans les dossiers que nous accompagnons, les entreprises qui tirent le plus de valeur de leur gouvernance de données partagent trois caractéristiques communes : la direction est impliquée (pas seulement l'IT), les définitions sont posées avant les outils, et la gouvernance est reliée à un enjeu business concret (conformité RGPD, fiabilisation du reporting, préparation CSRD, ou projet IA).

Les projets qui échouent, en revanche, restent cantonnés à l'IT, n'impliquent pas les métiers décisionnaires, et cherchent à couvrir cent pour cent du périmètre data dès le départ. Commencer petit, sur les données qui font mal, avec des responsables désignés et des règles tenues : c'est la séquence qui fonctionne.

Pour connecter votre gouvernance de données à votre stratégie de transformation digitale, consultez notre accompagnement transformation digitale finance PME et notre article sur l'audit de conformité.

Information importante : cet article présente des principes généraux de gouvernance de données et les obligations légales en vigueur. Il ne constitue pas un conseil juridique personnalisé. Pour les questions relatives au RGPD, à la désignation d'un DPO, à la réalisation d'une AIPD ou à une mise en conformité spécifique, il est recommandé de consulter un avocat spécialisé en droit des données ou un DPO qualifié. A jour au 30 mai 2026.