Le paradoxe de la sur-protection Un constat gênant traverse en ce moment les débats entre juristes et responsables conformité. Plus on empile les textes censés protéger les utilisateurs, plus certains d’entre eux fuient vers des services qui ne leur offrent aucune garantie. RGPD d’un côté, DORA de l’autre. Deux réglementations à l’objectif irréprochable. Et pourtant, un risque bien réel de saturation. Le raisonnement tient en une phrase : à force de vouloir protéger les utilisateurs, on risque de devenir intrusif, et de les faire fuir vers des plateformes sans garanties. La régulation des services numériques et financiers cherche à renforcer la transparence, la sécurité, la traçabilité. Sur le papier, personne ne conteste ces objectifs. Dans les faits, l’accumulation de bannières de consentement, de formulaires d’authentification renforcée et de notifications obligatoires produit une expérience utilisateur de plus en plus lourde. RGPD, DORA : deux horloges, deux logiques Pour les organisations soumises aux deux cadres, DORA impose une notification d’incident majeur sous quatre heures. Le RGPD, lui, laisse soixante-douze heures. Deux horloges, deux autorités de contrôle potentiellement compétentes, deux logiques de qualification du risque. Sur le terrain, les équipes conformité jonglent avec des définitions d’incident qui ne se recoupent pas toujours. L’empilement plus que la rigueur Ce n’est pas la rigueur du texte qui pose problème. C’est l’empilement. Un utilisateur confronté à un cinquième pop-up de consentement de la journée ne lit plus, il clique. Une entreprise qui multiplie les frictions de sécurité pousse une partie de ses clients vers des alternatives moins réglementées, souvent hébergées hors du cadre européen, où aucune de ces garanties ne s’applique plus. Cartographier les frictions plutôt que choisir Pour un DPO ou un RSSI, l’enjeu concret n’est pas de choisir entre conformité et expérience utilisateur. C’est de cartographier les points de friction réglementaire qui se chevauchent, RGPD, DORA, NIS2, et de construire un parcours de consentement et d’authentification qui reste lisible malgré la superposition des obligations. Documenter cette cartographie évite aussi une réponse dispersée le jour où l’incident survient réellement. La conformité qui repousse l’utilisateur vers l’informel n’a, in fine, protégé personne.
