Secret d'affaires ou transparence : comment protéger vos données sensibles à l'ère du DPP ?

Allez voir le dirigeant d'une entreprise industrielle prospère et annoncez-lui : « À partir de l'année prochaine, vous devrez publier la composition exacte de votre gamme et la liste de vos fournisseurs, pour que n'importe qui puisse les consulter en scannant un code avec son téléphone. » Sa réaction la plus probable sera la panique. Et c'est tout à fait compréhensible.

Depuis des siècles, les entreprises bâtissent leur réussite sur le secret. La recette du Coca-Cola, l'alliage précis d'une montre suisse, le fournisseur unique d'un tissu ultraléger pour l'équipement sportif : ce sont des actifs qui valent des milliards.

Or l'Union européenne impose aujourd'hui un nouveau paradigme, le DPP, dont l'objectif premier est une transparence totale. Le conflit est inévitable. Comment être transparent envers les consommateurs et les autorités sans livrer sa propriété intellectuelle et ses secrets d'affaires à la concurrence ?

Dans cet article, nous voyons comment les entreprises peuvent avancer sur ce terrain miné et faire du DPP un outil sûr et maîtrisé plutôt qu'une menace.

Le paradoxe de la transparence : de quoi les entreprises ont-elles vraiment peur ?

Pour trouver une solution, il faut d'abord cerner le problème. Les craintes des entreprises face à la mise en place du DPP portent sur trois points :

• Le vol de propriété intellectuelle : la crainte que des données détaillées sur les matériaux révèlent l'« ingrédient secret » du produit. Si un concurrent à l'autre bout du monde peut lire, dans le passeport numérique, les proportions chimiques exactes de votre peinture innovante, il peut facilement la copier.
• Le débauchage des fournisseurs : trouver des fournisseurs fiables, de qualité et bon marché prend des années. Si le DPP exige une traçabilité complète, vos concurrents peuvent voir dans quelle usine au Vietnam vous achetez vos composants et la contacter directement.
• La perte de pouvoir de négociation : si vos fournisseurs ou vos clients ont pleinement accès à vos coûts de production et à vos marges (que l'on peut déduire de données détaillées sur la chaîne d'approvisionnement), vous perdez votre levier de négociation.

Ce que la loi exige, et ce qu'elle n'exige PAS

Pour apaiser ces craintes, il faut d'abord savoir exactement ce que dit le règlement écoconception (ESPR), qui introduit le DPP en Europe. Bonne nouvelle : la Commission européenne ne cherche pas à détruire la compétitivité des entreprises. Le texte prévoit expressément la protection de la propriété intellectuelle et des secrets d'affaires.

Le DPP ne vous oblige pas à publier :

• les recettes exactes ou les formules exclusives ;
• les contrats commerciaux et les prix des matières premières ;
• le détail de votre savoir-faire de fabrication.

Le DPP vous oblige à publier :

• les données de durabilité (empreinte carbone, consommation d'eau) ;
• les informations sur la présence de substances chimiques dangereuses (substances préoccupantes) ;
• les instructions de recyclage, de réparation et d'entretien ;
• l'origine des matières premières critiques (pour s'assurer qu'elles ne proviennent pas de travail illégal).

C'est sur cette distinction entre les deux catégories que vous bâtirez votre stratégie de protection des données.

Stratégies de défense : être transparent tout en restant protégé

Les technologies qui rendent le DPP possible sont aussi celles qui peuvent protéger vos données. Voici les quatre mécanismes de base que toute entreprise devrait mettre en place.

L'accès aux données selon le rôle

C'est la notion centrale de l'architecture du DPP. Un passeport numérique n'est pas un fichier PDF unique que chacun peut lire de bout en bout. C'est une base de données dynamique qui affiche des informations différentes selon la personne qui scanne le code.

• L'utilisateur final scanne le produit en magasin et voit les informations destinées au public : empreinte carbone, part de matériaux recyclés, instructions de lavage ou d'entretien, certificats d'origine éthique.
• Le service après-vente ou centre de réparation agréé scanne le même code, mais accède grâce à une clé logicielle spécifique aux schémas techniques de démontage, à la liste des pièces de rechange et à l'historique d'entretien.
• L'usine de recyclage n'a accès qu'à la composition chimique exacte des matériaux (par exemple le type de plastique utilisé), pour savoir vers quelle filière les orienter, sans voir qui a produit ce plastique.
• Les autorités de contrôle et les douanes disposent du niveau d'accès le plus élevé pour vérifier le respect de la loi, mais sont légalement tenues de préserver le secret d'affaires.

En séparant les données par rôle, vous donnez à chacun exactement ce dont il a besoin, et rien de plus.

Les preuves à divulgation nulle de connaissance

Ce concept cryptographique ressemble à de la science-fiction, mais il est déjà largement utilisé dans les technologies blockchain. De quoi s'agit-il ? D'une méthode qui permet à une partie de prouver à une autre qu'une affirmation est vraie sans révéler aucune autre information que le fait qu'elle est vraie.

Un exemple de la vie courante : vous voulez entrer dans une boîte de nuit. Le vigile doit savoir que vous avez plus de 18 ans. Au lieu de lui tendre votre pièce d'identité, vous lui montrez sur votre téléphone un jeton cryptographique qui s'allume en vert. Ce jeton dit seulement : « Cette personne a plus de 18 ans. »

Un exemple appliqué au DPP : vous devez prouver que le coton de votre t-shirt n'a pas été récolté par des enfants. Au lieu d'indiquer dans le passeport le nom et la localisation exacts de votre exploitation en Inde (un secret d'affaires), vous utilisez une preuve à divulgation nulle de connaissance délivrée par un organisme de certification. Le consommateur voit un label vert « Origine éthique – prouvée », mais votre concurrent ne peut pas savoir de quelle exploitation il s'agit.

Agréger les données et utiliser des fourchettes

Lorsque la loi exige de la transparence sur la composition, il n'est souvent pas nécessaire de donner les chiffres à la deuxième décimale près. Plutôt que de dévoiler votre recette exacte, utilisez des fourchettes.

Au lieu d'écrire dans le passeport : « Le produit contient 62,5 % de polyester recyclé, 30 % de coton biologique et 7,5 % d'élasthanne de la marque X », vous pouvez fournir des données agrégées, conformes au règlement, qui préservent votre secret : « Contient entre 60 et 70 % de polymère recyclé et de fibres biologiques ». (Tout dépend bien sûr des exigences propres à la catégorie de produits concernée, que l'UE est encore en train de finaliser.)

Le stockage décentralisé

Les entreprises ne sont pas tenues de verser toutes leurs données sensibles dans une base de données européenne centrale où des pirates pourraient s'introduire. Le modèle européen du DPP est décentralisé : vos données sensibles restent sur vos propres serveurs sécurisés.

Seuls une empreinte numérique du passeport (« hash ») et un lien vers votre serveur sont publiés dans le registre public de l'UE. Lorsque quelqu'un demande les données, le système vérifie qu'il dispose des droits nécessaires avant que votre serveur ne lui transmette l'information. Si les données sont modifiées, l'empreinte ne correspond plus, ce qui garantit que personne n'a falsifié le passeport.

Repenser le secret d'affaires au XXIe siècle

Les solutions techniques sont essentielles, mais le vrai changement doit se produire dans l'état d'esprit de la direction.

Pendant des décennies, le réflexe des entreprises a été : « Cachez tout ce que vous pouvez. » Mais nous vivons aujourd'hui à l'ère de la surabondance d'information. En réalité, un concurrent suffisamment motivé et doté d'un bon laboratoire de rétro-ingénierie sait très probablement déjà de quoi votre produit est fait. De même, dans une économie mondialisée, les chaînes d'approvisionnement restent rarement tout à fait secrètes.

Le nouvel avantage concurrentiel ne consiste plus à cacher ses fournisseurs, mais à bâtir la chaîne la plus durable, la plus éthique et la plus efficace. Les entreprises qui domineront l'ère du DPP seront celles qui feront de la transparence une arme. Quand vous pouvez prouver cryptographiquement à un client que votre produit est meilleur pour la planète que celui d'un concurrent, vous gagnez une confiance qu'aucun secret d'affaires ne peut acheter.

Passer à l'action : que faire dès aujourd'hui ?

Si vous dirigez une entreprise sur le point de mettre en place le DPP, n'attendez pas que le service informatique règle seul la question de la sécurité. C'est une question stratégique pour l'entreprise.

Auditer et classer les données

Constituez une équipe réunissant des spécialistes de la R&D, de la production, du marketing et du juridique. Répartissez toutes vos données produit en trois colonnes :

• Public : visibles par tous
• Restreint : pour les recycleurs et les réparateurs
• Strictement confidentiel : réservé aux autorités et à l'usage interne

Choisir le bon partenaire technologique

Lorsque vous choisissez une plateforme logicielle pour créer vos passeports numériques, la première question ne doit pas être « Combien ça coûte ? », mais « Comment gérez-vous les droits d'accès et prenez-vous en charge les preuves à divulgation nulle de connaissance ? »

Revoir les contrats fournisseurs

Vos fournisseurs devront vous transmettre des informations à intégrer dans votre DPP. Eux aussi craindront pour leurs secrets. Rédigez de nouveaux contrats garantissant que leurs données sensibles sont agrégées ou chiffrées avant d'arriver dans le passeport final.

Conclusion

Le passeport numérique de produit remet en cause l'un des plus vieux dogmes du monde des affaires : le secret, c'est le profit. La protection de la propriété intellectuelle reste fondamentale, mais les moyens de l'assurer évoluent.

Avec une architecture de données adaptée, fondée sur l'accès selon le rôle, la décentralisation et des méthodes cryptographiques avancées, les entreprises peuvent accomplir ce qui semblait impossible : ouvrir leurs portes à la confiance des consommateurs tout en laissant la concurrence de l'autre côté de la clôture. Transparence et sécurité ne sont plus ennemies ; ce sont les deux faces d'une même pièce numérique.