Données stratégiques en mission OKR : le risque que personne ne voit venir

On présente souvent le consultant OKR comme un expert de la méthode : cascade d'objectifs, formulation des Key Results, animation des rituels. C'est exact, mais cela occulte une réalité dérangeante. Pour faire votre travail, vous devez connaître la stratégie réelle de l'entreprise — celle qui ne figure dans aucune communication publique.

Concrètement, au cours d'une mission, transitent par vos mains et vos outils :

• Les objectifs stratégiques confidentiels du COMEX (projets de lancement, cibles de croissance, axes M&A).
• Des données financières non publiques servant à calibrer les Key Results.
• Des données RH et de performance individuelle lorsque les OKR descendent au niveau des équipes ou des personnes.

Vous n'êtes pas un simple prestataire de méthode : vous êtes un dépositaire d'informations sensibles. Et cela change radicalement votre exposition au risque.

Depuis la loi du 30 juillet 2018 transposant la directive européenne, le secret des affaires est protégé en droit français. Une information est protégée si elle est secrète, a une valeur commerciale du fait de ce secret, et fait l'objet de mesures de protection raisonnables.

Les objectifs stratégiques que vous manipulez en mission OKR cochent ces trois cases. En tant que tiers ayant un accès légitime, vous êtes tenu à une obligation de confidentialité, que la mission soit ou non couverte par un NDA. Une divulgation, même involontaire — un slide oublié dans une présentation à un autre client, un nom de projet confidentiel mentionné en conférence — peut engager votre responsabilité.

Le risque n'est pas seulement de mal conseiller : c'est de laisser fuiter ce que le client vous a confié de plus précieux.

Tant que vous travaillez sur des objectifs d'entreprise, vous êtes dans le secret des affaires. Mais dès que la cascade OKR descend au niveau individuel — performance d'un commercial, contribution d'un manager, données d'engagement nominatives —, vous manipulez des données à caractère personnel, et le RGPD s'applique.

Vos obligations pratiques :

• Définir votre rôle : êtes-vous sous-traitant (au sens RGPD) du client responsable de traitement ? Si oui, un contrat de sous-traitance conforme à l'article 28 est requis.
• Minimiser et sécuriser : ne collectez que les données nécessaires, chiffrez vos supports, ne stockez pas indéfiniment des tableurs RH sur votre machine.
• Gérer la fin de mission : restituez ou détruisez les données, et tracez-le.

Une violation de données personnelles vous expose à des réclamations du client, des personnes concernées, et potentiellement à l'attention de la CNIL. En cas de violation, le RGPD impose une notification dans les 72 heures au responsable de traitement (votre client), à charge pour lui de notifier la CNIL. Votre réactivité et votre capacité à documenter l'incident font partie de vos obligations contractuelles de sous-traitant : un retard ou une dissimulation aggrave votre responsabilité bien au-delà de la fuite elle-même.

Un point souvent négligé : les données de performance individuelle sont particulièrement sensibles socialement. Un classement nominatif de commerciaux ou des notes de contribution divulgués peuvent porter atteinte à la réputation et à la vie professionnelle des personnes concernées, ouvrant la voie à des réclamations individuelles distinctes de celles du client. Vous manipulez là un matériau autrement plus inflammable qu'un simple fichier de prospects.

Le risque cyber d'un consultant n'a rien d'abstrait. Voici comment une fuite se produit concrètement dans ce métier :

Dans chacun de ces cas, la faute de conseil n'est pas en jeu : c'est la sécurité de vos systèmes d'information qui est en cause. Et c'est précisément la zone que la RC Pro ne couvre pas seule.

Il est essentiel de comprendre l'articulation des couvertures, car beaucoup de consultants croient à tort être protégés par une seule police.

• La RC Pro couvre votre faute professionnelle : une cascade mal calibrée, un conseil erroné, un Key Result inadapté. C'est le socle indispensable du métier.
• L'assurance cyber couvre les conséquences d'une atteinte à vos systèmes ou aux données : frais de notification aux personnes et à la CNIL, gestion de crise, expertise informatique forensique, restauration des données, et la responsabilité envers les tiers victimes de la fuite.

Pour un consultant OKR qui manipule des données stratégiques et personnelles, ces deux briques sont complémentaires. La première vous protège sur le contenu de votre conseil ; la seconde sur la confidentialité de ce qui vous est confié. Examinez les garanties spécifiques au consultant OKR pour les combiner correctement.

1. Chiffrez votre poste de travail (chiffrement intégral du disque) et activez l'authentification forte sur tous vos outils SaaS de suivi OKR.
2. Cloisonnez par client : un espace de travail distinct par mission, jamais de fichiers de clients différents au même endroit.
3. Signez des NDA et, si données personnelles, des contrats de sous-traitance article 28.
4. Appliquez une politique de rétention : restitution ou destruction documentée des données en fin de mission.
5. Combinez RC Pro et cyber pour couvrir à la fois la faute de conseil et la fuite de données.

La confiance est le fondement de votre mission : les directions vous ouvrent leur stratégie parce qu'elles vous croient capables de la protéger. Faire de la sécurité des données une composante explicite de votre offre n'est pas une contrainte — c'est un argument commercial autant qu'une protection.