Le RSSI ne décide pas du risque : ce que révèle la démission du DG de Coupang

En décembre dernier, Park Dae-jun, directeur général des opérations sud-coréennes de Coupang, a démissionné après une fuite de données ayant exposé les informations personnelles de près de 34 millions de clients, soit la quasi-totalité de la base utilisateurs de l'entreprise. Les enquêteurs gouvernementaux n'ont trouvé ni attaque inédite ni faille impossible à anticiper : un ancien ingénieur est simplement repassé par une porte que l'entreprise avait oublié de fermer. Ils ont qualifié l'incident de défaillance managériale, et non technique. Cette affaire, reprise le 31 juillet 2026 dans une tribune de John Kindervag (Illumio) sur Silicon.fr, cristallise un basculement que les DPO et RSSI français observent déjà dans leurs propres organisations : la responsabilité du risque cyber remonte vers la direction générale.

Ce qui s'est passé

Le raisonnement de la tribune est simple mais tranchant : le RSSI identifie les risques, propose des stratégies de réduction et alerte le comité de direction. Mais il ne fixe pas les budgets, n'arbitre pas entre priorités métier et ne décide pas du niveau de risque que l'organisation est réellement prête à accepter. Dans l'affaire Coupang, la démission du dirigeant est venue confirmer ce partage des rôles a posteriori : lorsque les autorités sud-coréennes ont conclu à une négligence de gouvernance plutôt qu'à un aléa technique, c'est le directeur général qui a porté la responsabilité, pas le service sécurité.

Cette lecture rejoint un mouvement déjà bien engagé côté régulateurs. Le NCSC irlandais a publié en juillet 2026 un guide de gouvernance cyber destiné aux conseils d'administration soumis à NIS 2, rappelant que l'article 20 de la directive engage directement les organes de direction.

Pourquoi c'est important

Le RGPD n'échappe pas à cette logique. L'article 32 impose des mesures de sécurité « appropriées au risque », mais déterminer ce qui est approprié au regard du coût, des priorités métier et de l'exposition réelle de l'organisation est un arbitrage de gouvernance, pas une simple question technique. Notre guide sur les obligations croisées entre NIS 2 et RGPD détaille précisément cette synergie attendue entre DPO et RSSI — et pourquoi aucun des deux ne peut porter seul la décision finale.

La suite de l'histoire Coupang le confirme : une négligence de sécurité identifiée en amont mais non corrigée devient, en cas de violation, un manquement documenté. Notre guide sur la gestion d'une violation de données et l'article 33 du RGPD, qui impose une notification à l'autorité de contrôle sous 72 heures, rappellent que la traçabilité des décisions prises — ou non prises — pèse lourd dans l'appréciation d'une éventuelle sanction.

Ce glissement de responsabilité n'est pas isolé. Il fait écho à notre analyse sur la gouvernance collective de l'IA en entreprise, où l'AI Act impose déjà un partage de responsabilité entre RSSI, DPO, juristes et directions métiers plutôt qu'un pilotage isolé par la fonction sécurité.

Ce que ça change pour les organisations

Concrètement, les DPO et RSSI ont intérêt à :

• Formaliser un cadre d'acceptation du risque validé par la direction (comité des risques, matrice de décision documentée) plutôt que de laisser le RSSI arbitrer seul entre sécurité et priorités métier ;
• Tracer par écrit les recommandations du RSSI et les arbitrages rendus par le COMEX, afin de pouvoir démontrer la conformité au principe d'accountability de l'article 5.2 du RGPD en cas de contrôle ;
• Aligner une part de la rémunération variable des dirigeants sur des indicateurs de sécurité et de conformité, pas uniquement sur la croissance du chiffre d'affaires ;
• Vérifier que le plan de réponse aux incidents documente explicitement la chaîne de décision RSSI → direction générale, et pas seulement la chaîne technique ;
• Anticiper l'articulation RGPD / NIS 2 en matière de notification, dont l'ANSSI a rappelé récemment qu'elle restait complexe faute d'un formulaire commun.

Ce que Leto pense de cette décision

Cette tribune a le mérite de dire tout haut ce que beaucoup de RSSI pensent tout bas : on ne peut pas être comptable d'un risque qu'on ne décide pas seul. Mais l'inverse est tout aussi vrai côté DPO — la conformité RGPD ne se résume pas à un audit annuel du service juridique, elle suppose une gouvernance du risque assumée au sommet. Les organisations qui continuent de traiter la cybersécurité comme « un problème IT » prennent le risque de découvrir, comme Coupang, que la facture remonte plus haut qu'elles ne le pensaient. Formaliser cette gouvernance maintenant coûte nettement moins cher que de la reconstruire après une fuite de 34 millions de comptes.

Sources : Silicon.fr — Le RSSI ne décide pas du risque que l'entreprise accepte