Sauvegarde et RGPD : la checklist du responsable de traitement

Le RGPD a six ans. La plupart des PME françaises ont fait le nécessaire pour leur site web (mentions légales, politique de confidentialité, bandeau cookies) mais beaucoup ont laissé en jachère la conformité de leur chaîne de sauvegarde. C’est dommage, parce que c’est précisément là que la CNIL regarde quand elle audite un incident.

Si votre entreprise traite des données personnelles — ce qui inclut les clients, les prospects, les employés, les fournisseurs, et la quasi-totalité des fichiers Excel sur un poste de comptable — alors vos sauvegardes contiennent des données personnelles. Et le sous-traitant qui les stocke est concerné par le RGPD au même titre que vous.

Cet article passe en revue ce que vous devez vérifier chez votre prestataire de sauvegarde et chez vous-même, dans un format checklist que vous pouvez utiliser comme grille d’audit.

1. Vous avez signé un DPA avec votre prestataire de sauvegarde

C’est l’article 28 du RGPD : tout sous-traitant qui traite des données personnelles pour votre compte doit avoir signé avec vous un accord de traitement des données (DPA — Data Processing Agreement).

Le DPA n’est pas un document optionnel ou de courtoisie. C’est ce qui répartit les responsabilités entre vous (le responsable du traitement) et le sous-traitant (votre prestataire). C’est aussi le premier document que la CNIL demandera en cas d’audit ou d’incident.

À vérifier :

• vous avez un DPA signé avec votre prestataire de sauvegarde, daté, et signé par les deux parties ;
• le DPA précise la nature et la finalité du traitement (sauvegarde et restauration de données) ;
• le DPA liste les catégories de données traitées (données professionnelles, RH, clients, etc.) ;
• le DPA précise la durée du traitement (la durée du contrat de service) ;
• le DPA précise les mesures de sécurité mises en œuvre (chiffrement, contrôle d’accès, etc.) ;
• le DPA encadre la sous-traitance ultérieure (votre prestataire utilise-t-il lui-même des sous-traitants ?) ;
• le DPA décrit le sort des données en fin de contrat (restitution ou suppression).

Chez Haven, nous fournissons un DPA standard signé avec chaque client professionnel, et nous publions sur notre site une version consultable du DPA pour transparence.

2. Vous savez où vos données de sauvegarde sont physiquement stockées

Le RGPD ne dit pas que les données personnelles doivent rester en France. Il dit qu’elles peuvent être traitées dans l’Union Européenne sans contrainte particulière, et qu’elles peuvent être transférées hors UE uniquement sous certaines conditions (Clauses Contractuelles Types, décision d’adéquation de la Commission européenne, ou Binding Corporate Rules).

Concrètement, pour votre sauvegarde, vous devez savoir :

• dans quel pays la copie cloud est stockée ;
• s’il y a une réplication géographique (par exemple : “primaire France + secondaire Allemagne”) ;
• si des données peuvent transiter par les États-Unis, l’Asie ou ailleurs hors UE.

Si votre prestataire ne sait pas vous répondre précisément, ou s’il vous oriente vers une page commerciale floue (“nos datacenters sont dans le monde entier”), c’est un drapeau rouge. La CNIL exige que vous soyez capable de documenter la localisation des données traitées pour votre compte.

Chez Haven, nous stockons les copies miroir dans un datacenter situé en Allemagne (Frankfurt), au sein de l’UE, certifié ISO 27001 et SOC 2 Type II. Aucune réplication hors UE.

3. Vos données sont chiffrées

Le chiffrement est l’une des mesures techniques principales reconnues par le RGPD pour atténuer les risques (article 32). Concrètement, vous devez vérifier :

• chiffrement en transit : les données partent chiffrées entre votre infrastructure et le cloud miroir. Le standard est TLS 1.2 ou 1.3 ;
• chiffrement au repos : les données sont chiffrées sur les disques du datacenter cible. Le standard est AES-256 ;
• gestion des clés : qui détient les clés de déchiffrement ? Si c’est votre prestataire, il a techniquement accès à vos données. Si c’est vous, votre prestataire ne peut rien lire — même sous réquisition judiciaire en théorie ;
• chiffrement bout-en-bout : c’est le niveau supérieur, qui combine les trois points ci-dessus. C’est la configuration que nous proposons chez Haven.

Une sauvegarde non chiffrée — par exemple sur un disque dur USB qui transite par la poste — est techniquement une violation de sécurité au sens du RGPD, à déclarer à la CNIL si elle est perdue ou volée.

4. Vous savez ce qui se passe si vous demandez l’effacement

Une personne (employé, client, prospect) peut exercer son droit à l’effacement (article 17 du RGPD). Vous avez un mois pour répondre. Concrètement, vous devez pouvoir :

• effacer les données primaires (sur vos serveurs et postes) — c’est en général simple ;
• effacer les données dans vos sauvegardes — c’est rarement simple, et c’est là que ça coince ;
• documenter cet effacement et le notifier à la personne qui en a fait la demande.

Bonne nouvelle : la CNIL reconnaît que les données dans une sauvegarde ne peuvent pas toujours être effacées sélectivement, et accepte que l’effacement soit effectif au prochain cycle de rotation (quand la sauvegarde la plus ancienne est purgée). Vous devez en revanche le dire à la personne : “vos données sont effacées de nos systèmes actifs, et seront purgées de nos sauvegardes le [date estimée]”.

À vérifier chez votre prestataire :

• la rétention maximale est documentée ;
• la procédure de purge est documentée ;
• vous savez comment communiquer cette information à la personne concernée.

5. Vous savez ce qui se passe si vous quittez votre prestataire

À la fin du contrat de sauvegarde, vous devez pouvoir :

• récupérer l’intégralité de vos données dans un format exploitable ;
• obtenir une attestation de suppression des données chez le prestataire et chez ses sous-traitants ultérieurs ;
• garder cette attestation en archive (la CNIL peut la demander).

Si votre contrat prévoit des frais de sortie élevés, des délais flous, ou pas d’attestation, c’est un point à corriger maintenant — pas le jour où vous voulez changer de prestataire.

Chez Haven, la restitution se fait sous 10 jours ouvrés sur un disque physique livré chez vous, sans frais de sortie. La suppression dans nos infrastructures est effective sous 30 jours, et nous remettons une attestation signée sur demande.

6. Vous avez une fiche réflexe en cas de violation

L’article 33 du RGPD impose de notifier la CNIL dans les 72 heures en cas de violation de données personnelles susceptible d’engendrer un risque pour les personnes. Les 72 heures, c’est court — surtout sous le coup du stress d’un incident.

Préparez une fiche réflexe (une page A4 suffit) avec :

• les coordonnées des personnes à contacter en interne et en externe (votre prestataire, votre avocat, votre DPO s’il existe) ;
• les étapes à suivre dans l’ordre (isoler les systèmes touchés, recueillir les premiers éléments, notifier la CNIL, communiquer en interne) ;
• un modèle de notification CNIL pré-rempli avec les informations qui ne bougent pas (raison sociale, contact, etc.) ;
• les éléments à préparer (nature et étendue probables, conséquences probables, mesures prises ou proposées).

Si vous êtes attaqué par ransomware, voir notre article dédié : Ransomware en PME : 7 mesures concrètes.

7. Vous tenez un registre des traitements à jour

C’est l’article 30 du RGPD : toute organisation traitant des données personnelles doit tenir un registre des activités de traitement. Le registre liste chaque traitement (RH, clients, prospects, fournisseurs, etc.), les bases légales, les destinataires, les durées de conservation, et les sous-traitants impliqués.

Votre prestataire de sauvegarde doit apparaître dans la colonne “sous-traitants” pour chaque traitement où il intervient. C’est rarement le cas dans les PME en pratique — alors qu’il suffit d’une ligne par traitement.

Le format n’est pas imposé : un fichier Excel suffit, à condition d’être à jour et de pouvoir être présenté à la CNIL en cas de demande.

8. Votre prestataire vous notifie en cas d’incident chez lui

L’article 33 du RGPD précise que le sous-traitant doit notifier le responsable du traitement sans délai injustifié en cas de violation. Vous devez ensuite, vous, notifier la CNIL.

À vérifier dans votre DPA :

• le délai de notification du sous-traitant vers vous (chez Haven : 48 heures) ;
• les éléments fournis dans la notification (nature, étendue, conséquences, mesures) ;
• le canal de notification (email, téléphone, courrier).

Sans cette clause, vous risquez d’apprendre la fuite par un tiers — ou par la CNIL elle-même.

Pour résumer : la checklist en 8 points

1. DPA signé avec votre prestataire de sauvegarde ;
2. Localisation des données documentée ;
3. Chiffrement en transit, au repos, et idéalement bout-en-bout ;
4. Procédure d’effacement dans les sauvegardes connue ;
5. Procédure de sortie sans frais, avec attestation ;
6. Fiche réflexe en cas de violation ;
7. Registre des traitements à jour incluant le sous-traitant ;
8. Délai de notification précisé dans le DPA.

Si vous cochez les 8 cases, vous êtes au-dessus de la moyenne des PME françaises et vous êtes en bonne position pour passer un contrôle CNIL sereinement. Si vous en cochez moins de 4, c’est le moment de mettre à plat le sujet.

---

Et concrètement chez vous ?

Haven publie son DPA standard en libre consultation, et signe avec chaque client une version personnalisée. Datacenter européen certifié ISO 27001 et SOC 2 Type II, chiffrement AES-256 bout-en-bout avec clés chez vous, restitution sans frais à la sortie, notification sous 48 heures en cas d’incident. Voir aussi nos Mentions légales et notre Politique de confidentialité.

Demander un devis et un DPA personnalisé →