Sobriété numérique : ce que les dirigeants doivent purger, limiter et repenser

La sobriété numérique est souvent présentée comme un petit geste individuel : vider sa boîte mail, éteindre son écran. C'est une erreur de diagnostic. L'essentiel se joue dans les choix d'organisation : ce que vous collectez, ce que vous conservez, ce que vous dupliquez et la façon dont vos outils sont conçus. Ces choix relèvent de la direction. Ils ont un coût environnemental, mesurable dans les centres de données, et des conséquences juridiques, financières et de sécurité pour votre entreprise ou votre association.

• 4,4 % de l'empreinte carbone de la France due au numérique en 2022, soit 29,5 millions de tonnes équivalent CO₂ (ADEME-Arcep).

• 46 % de l'empreinte carbone du numérique en France imputable aux centres de données (ADEME-Arcep).

• +38 % de consommation électrique en trois ans pour les centres de données étudiés par l'Arcep, dont +12 % sur la seule année 2024.

• 945 TWh consommés par les centres de données dans le monde en 2030 selon l'AIE, plus du double de 2024.

1. La sobriété numérique : une décision de direction, pas un slogan

Ce que recouvre réellement le terme

La sobriété numérique consiste à n'utiliser que les ressources numériques nécessaires à l'activité : données, stockage, puissance de calcul, équipements. Elle ne signifie pas renoncer au numérique. Elle signifie supprimer ce qui ne sert pas, dimensionner ce qui sert, et concevoir les outils pour qu'ils consomment moins à service rendu égal.

Le sujet n'est pas marginal. Selon la mise à jour de l'étude ADEME-Arcep publiée en janvier 2025, le numérique représentait en 2022 4,4 % de l'empreinte carbone nationale et 11 % de la consommation électrique française (51,5 TWh). La même étude répartit les émissions entre la fabrication des équipements (60 %) et leur utilisation (40 %). En l'absence d'action, l'évaluation prospective remise au Gouvernement anticipe une hausse de l'empreinte carbone du numérique d'environ 45 % d'ici 2030 et de 187 % d'ici 2050.

Pourquoi elle se décide au niveau de la direction

Le volume de données d'une organisation n'est pas le résultat du hasard. Il découle de décisions : un formulaire qui demande dix champs au lieu de trois, un logiciel métier sans fonction de suppression, une politique de sauvegarde sans date d'expiration, un site web chargé de vidéos en lecture automatique, un abonnement cloud dimensionné « large » par confort. Aucune de ces décisions n'est prise par l'utilisateur final. Elles sont prises, ou laissées sans arbitrage, par la direction.

C'est aussi la direction qui porte la responsabilité juridique. En droit de la protection des données, le responsable du traitement est l'organisme, représenté par son dirigeant, et il doit être en mesure de démontrer qu'il respecte les principes du RGPD (article 5.2, principe de responsabilité). Or deux de ces principes, la minimisation et la limitation de la conservation, sont exactement les leviers de la sobriété numérique.

2. Ce qui se passe derrière vos données : centres de données et hébergeurs

Chaque fichier conservé, chaque sauvegarde, chaque copie de base de données occupe de l'espace disque dans un centre de données. Cet espace est alimenté en électricité en permanence, refroidi, sécurisé, et répliqué pour garantir sa disponibilité. Une donnée inutile n'est pas une donnée « gratuite qui dort » : c'est une donnée qui consomme, tous les jours, sans produire de valeur.

Le trajet d'une donnée inutile :

1. Collecte : Un champ de formulaire ou un export non nécessaire

2. Stockage : Base de données, messagerie, partages, cloud

3. Duplication : Sauvegardes, réplications, copies de test, pièces jointes

4. Centre de données : Électricité, refroidissement, eau, matériel renouvelé

5. Votre organisation : Facture, surface d'attaque, risque de sanction

Une consommation électrique qui progresse plus vite que l'efficacité

L'enquête annuelle « Pour un numérique soutenable » de l'Arcep, publiée le 21 mai 2026 (données 2024), établit que la consommation électrique des opérateurs de centres de données étudiés a atteint 2,7 TWh en 2024, en hausse de 12 % sur un an et de 38 % en trois ans. L'efficacité énergétique des installations continue pourtant de s'améliorer : la croissance des usages l'emporte sur les gains techniques.

Ce chiffre est un plancher. L'enquête ne couvre à ce jour que 23 opérateurs de colocation et de co-hébergement ; les centres de données internes des organisations en sont exclus, et les données des grands fournisseurs de cloud (hyperscalers) ne seront intégrées qu'à l'édition 2027.

À l'échelle mondiale, l'Agence internationale de l'énergie évalue la consommation des centres de données à environ 415 TWh en 2024, soit près de 1,5 % de l'électricité mondiale, avec une croissance de l'ordre de 12 % par an depuis 2017. Elle projette un doublement à environ 945 TWh en 2030, porté principalement par l'intelligence artificielle.

Eau, réseau électrique, territoire : des contraintes locales bien réelles

• L'eau : les centres de données étudiés par l'Arcep ont prélevé 575 000 m³ d'eau en 2024, presque exclusivement de l'eau potable, principalement pour le refroidissement.

• La concentration géographique : l'Île-de-France accueille 56 % des centres étudiés et plus de 70 % de leur puissance informatique et de leur consommation électrique.

• Le réseau électrique : selon le bilan électrique de RTE publié en février 2026, 14 GW de droits d'accès au réseau de transport ont déjà été attribués aux seuls centres de données.

Les hébergeurs sous obligation de transparence

Le droit européen a déjà pris acte de cette pression. La directive (UE) 2023/1791 relative à l'efficacité énergétique impose aux exploitants de centres de données dont la puissance informatique installée atteint au moins 500 kW de déclarer chaque année leurs performances énergétiques et environnementales : efficacité énergétique (PUE), efficacité de l'usage de l'eau (WUE), réutilisation de la chaleur fatale, part d'énergie renouvelable. Le règlement délégué (UE) 2024/1364 fixe le contenu de cette déclaration, à transmettre sur une base de données européenne au plus tard le 15 mai pour l'année écoulée. Au-delà de 1 MW, les exploitants doivent en outre suivre les bonnes pratiques du code de conduite européen sur l'efficacité énergétique des centres de données.

Conséquence directe pour vous : vos hébergeurs et fournisseurs de cloud disposent désormais d'indicateurs chiffrés. Vous êtes en droit de les leur demander et de les intégrer à vos critères de choix.

3. Vos responsabilités de dirigeant : quatre chantiers

3.1 Ne collecter que le juste nécessaire

Le RGPD impose que les données personnelles soient « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard des finalités (article 5.1.c, principe de minimisation). Ce principe est à la fois une obligation légale et le premier levier de sobriété : une donnée non collectée n'est jamais stockée, jamais sauvegardée, jamais exposée en cas de fuite.

• Passez en revue vos formulaires (site web, recrutement, adhésion, inscription) et supprimez chaque champ qui ne sert pas une finalité précise.

• Proscrivez la collecte « au cas où » : la CNIL la sanctionne régulièrement, car elle méconnaît à la fois la minimisation et la limitation de la conservation.

• Limitez les copies de fichiers clients dans les tableurs, les exports et les messageries.

3.2 Purger : fixer des durées de conservation et les appliquer

Les données ne peuvent être conservées sous une forme identifiante que pendant la durée nécessaire aux finalités (article 5.1.e du RGPD). Fixer une durée dans le registre des traitements ne suffit pas : il faut que la suppression ou l'archivage intermédiaire soit effectivement exécuté dans les systèmes.

Les sanctions le montrent. En 2021, la CNIL a prononcé une amende de 1,75 million d'euros contre AG2R La Mondiale, notamment pour conservation excessive des données de clients et de prospects : une politique de durées existait, mais elle n'était pas appliquée dans les bases actives. Les sanctions de moindre montant visant des PME, des centres de formation ou des professionnels de santé citent elles aussi très souvent la durée de conservation parmi les manquements.

Le risque est également pénal : l'article 226-20 du Code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende la conservation de données personnelles au-delà de la durée prévue, hors cas d'archivage autorisés.

Le point RGPD

Minimisation (article 5.1.c), limitation de la conservation (article 5.1.e), protection des données dès la conception et par défaut (article 25) : la sobriété numérique est déjà inscrite dans le RGPD. Une organisation conforme sur ces trois points réduit mécaniquement son volume de données, son stockage et sa surface d'exposition. Les manquements à ces principes relèvent du plafond d'amende le plus élevé du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

3.3 Limiter le stockage : sauvegardes, copies et cloud

Une part considérable des volumes stockés ne sert à rien. L'étude Databerg conduite pour Veritas estimait que 57 % des données des entreprises françaises étaient des « données obscures », dont personne ne connaît la valeur ni l'usage. L'étude date de 2015, mais aucun indicateur ne montre que la tendance s'est inversée depuis : les volumes, eux, ont explosé.

• Sauvegardes : conservez une stratégie robuste (plusieurs copies, dont une hors ligne), mais avec une rotation et une date d'expiration. Une sauvegarde éternelle conserve aussi les données que vous étiez tenus d'effacer.

• Doublons : pièces jointes envoyées à vingt destinataires, versions successives d'un même document, environnements de test alimentés par des copies de la production. Privilégiez le partage de liens et les jeux de données anonymisés pour les tests.

• Journaux techniques : fixez une durée de rétention pour les journaux applicatifs et de sécurité, adaptée à leur usage réel (détection, enquête), puis purgez.

• Cloud : réexaminez les espaces de stockage alloués, les comptes d'anciens salariés encore actifs, les boîtes partagées jamais purgées.

3.4 Concevoir des applications plus légères et moins énergivores

Le Référentiel général de l'écoconception des services numériques (RGESN), publié le 17 mai 2024 par l'Arcep et l'Arcom avec l'ADEME, la DINUM, la CNIL et l'Inria en application de la loi REEN, fournit 78 critères répartis en neuf thématiques : stratégie, spécifications, architecture, expérience utilisateur, contenus, interface, traitements côté serveur, hébergement et algorithmes. Chaque critère est accompagné d'une fiche pratique. C'est l'outil à imposer dans vos cahiers des charges.

• Exigez la compatibilité avec des équipements anciens : un service utilisable sur un ordinateur ou un téléphone de plusieurs années évite un renouvellement de matériel. C'est décisif, car la fabrication représente la majorité des émissions du numérique.

• Allégez les pages et applications : images compressées et dimensionnées, vidéos sans lecture automatique, scripts tiers réduits au strict nécessaire, mise en cache, chargement différé.

• Supprimez les fonctionnalités inutilisées : chaque fonction maintenue consomme des ressources de développement, de calcul et de sécurité.

• Dimensionnez l'intelligence artificielle : un modèle plus petit et ciblé, utilisé seulement quand il apporte une valeur mesurable, plutôt qu'un appel systématique à un modèle généraliste.

• Prévoyez la suppression dès la conception : un logiciel métier qui ne sait pas effacer une donnée vous place en non-conformité dès sa mise en service (article 25 du RGPD).

4. Les conséquences pour les entreprises, les associations et les collectivités

Un coût direct qui s'accumule

Le stockage cloud se facture au volume, les sauvegardes aussi, et la consommation électrique des centres de données augmente plus vite que leur efficacité. Conserver des données inutiles, c'est payer chaque mois pour un actif sans valeur. Purger, c'est réduire une ligne de dépense récurrente.

Une surface d'attaque élargie

Chaque donnée conservée sans nécessité est une donnée exposée en cas de rançongiciel ou de fuite. Plus le volume est important, plus la notification de violation est lourde, plus le nombre de personnes à informer est élevé et plus la sanction potentielle augmente. Une conservation excessive combinée à une faille de sécurité aggrave systématiquement la position de l'organisation devant la CNIL.

Une pression qui descend par la chaîne de valeur

Depuis la directive « Omnibus I » (directive (UE) 2026/470, en vigueur depuis le 18 mars 2026), la CSRD ne s'applique plus directement qu'aux entreprises de plus de 1 000 salariés réalisant plus de 450 millions d'euros de chiffre d'affaires. Ne vous y trompez pas : ces grands groupes doivent toujours rendre compte de leur chaîne de valeur et répercutent leurs exigences sur leurs fournisseurs et prestataires. Banques, assureurs et donneurs d'ordre continuent de demander des données environnementales, souvent selon le standard volontaire simplifié pour les PME (VSME). Une PME ou un indépendant incapable de documenter sa démarche numérique responsable s'expose à perdre des appels d'offres.