RGPD et sauvegarde des données : Ce que toute entreprise doit savoir

Depuis mai 2018, le RGPD (Règlement général sur la protection des données) impose aux organisations de mettre en œuvre des mesures adaptées aux risques. Une stratégie de sauvegarde peut contribuer à la disponibilité et à la restauration des données, sans suffire à elle seule à démontrer la conformité.

RGPD : Les obligations en matière de sauvegarde

Principe d'intégrité et de confidentialité (Art. 5)

Le RGPD pose notamment les principes suivants :

• L'intégrité : Protéger les données contre l'altération ou la perte accidentelle
• La confidentialité : Protéger les données contre les accès non autorisés

Concrètement : Les mesures retenues doivent être justifiées, documentées et proportionnées aux risques du traitement.

Mesures de sécurité appropriées (Art. 32)

L'article 32 prévoit des mesures techniques et organisationnelles appropriées au risque, qui peuvent notamment porter sur :

• La pseudonymisation et le chiffrement
• La confidentialité, l'intégrité, la disponibilité et la résilience des systèmes
• La capacité à rétablir la disponibilité et l'accès aux données après un incident
• Une procédure de test et d'évaluation régulière des mesures

Attention : Le niveau de sécurité doit être proportionnel aux risques !

Notification des violations (Art. 33-34)

Lorsqu'une violation est susceptible d'engendrer un risque pour les droits et libertés, sa notification à l'autorité de contrôle doit intervenir, si possible, dans les 72 heures après en avoir pris connaissance. Les personnes concernées doivent être informées lorsque le risque est élevé, sous réserve des conditions prévues par le RGPD.

Une sauvegarde testée aide à restaurer les données. L'analyse d'une violation nécessite également des journaux, une procédure d'incident et une évaluation du périmètre touché.

Sanctions possibles

Selon la nature de l'infraction, l'article 83 du RGPD prévoit des plafonds pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent. La sanction effective dépend du contexte et ne se déduit pas d'un seul défaut de sauvegarde.

Stratégie de sauvegarde et RGPD

Règle des 3-2-1-1-0

Cette pratique de résilience n'est pas une exigence textuelle du RGPD, mais elle peut guider la conception d'une sauvegarde robuste :

• 3 copies de vos données (original + 2 sauvegardes)
• 2 supports différents (NAS + Cloud par exemple)
• 1 copie hors site (protection sinistre)
• 1 copie hors ligne ou immuable (protection contre les rançongiciels)
• 0 erreur lors des tests de restauration

Fréquence des sauvegardes

Selon criticité des données :

Calcul RPO/RTO :

• RPO (Recovery Point Objective) : Perte de données max acceptable
• RTO (Recovery Time Objective) : Temps de restauration max acceptable

Exemple :

E-commerce :
- RPO : 1 heure (perte max 1h de commandes)
- RTO : 4 heures (reprise sous 4h max)
→ Sauvegarde au moins chaque heure et architecture de reprise à tester

Chiffrement à évaluer selon les risques

En transit :

• Protocole TLS maintenu et configuré selon l'état de l'art pour les transferts réseau
• Canal sécurisé pour les sauvegardes distantes
• HTTPS pour accès cloud

Au repos :

• Algorithmes et paramètres de chiffrement maintenus
• Clés de chiffrement sécurisées (HSM, Azure Key Vault)
• Chiffrement côté client (données chiffrées AVANT envoi cloud)

Gestion des clés :

MAUVAIS :
Clé stockée avec la sauvegarde

CORRECT :
Clé dans coffre-fort sécurisé séparé
(Azure Key Vault, AWS KMS, HashiCorp Vault)

Durée de conservation

Principe : Ne conserver que le temps nécessaire !

Les durées dépendent de la finalité, du type de document et des textes applicables. La durée d'une sauvegarde technique ne doit pas être confondue avec celle d'une archive légale. Documentez chaque règle avec sa source et faites-la valider lorsque l'enjeu juridique le justifie.

Exemple fictif de rétention, à ne pas appliquer sans validation :

Hypothèses de travail pour discuter une politique de rétention :
- Quotidienne : 30 jours
- Hebdomadaire : 3 mois
- Mensuelle : 1 an
- Archive : durée fondée sur l'obligation applicable

→ Aucun effacement à automatiser avant validation des durées,
  des obligations applicables et des besoins de restauration.

Solutions de sauvegarde à évaluer

Solutions hébergées

Critères de sélection :

• Localisation des données, transferts éventuels et sous-traitants ultérieurs
• Certifications pertinentes pour le service et la région choisis
• Chiffrement en transit et au repos, avec gestion documentée des clés
• Accord de traitement des données et clauses contractuelles applicables
• Processus permettant de répondre aux droits des personnes

Exemples de solutions à comparer : Le choix d'un produit ne garantit pas la conformité ; vérifiez ses fonctions et son contrat pour votre usage précis.

Microsoft Azure Backup

• Périmètre des systèmes et charges pris en charge à vérifier dans la documentation du service
• Régions et options de résidence des données à sélectionner
• Gestion des versions et suppression réversible selon la configuration

Veeam Backup & Replication

• Prise en charge de plusieurs environnements
• Options d'immutabilité selon la cible de stockage
• Automatisation possible de certains tests de restauration

Acronis Cyber Protect

• Sauvegarde et fonctions de protection des terminaux selon l'offre
• Protection contre les rançongiciels à configurer et à tester
• Administration centralisée

Backblaze B2 (stockage objet)

• Interface compatible S3
• Gestion des versions selon la configuration
• Tarification du stockage, des opérations et des sorties à vérifier au devis

Solutions sur site

NAS professionnels :

Synology / QNAP

• Instantanés, avec immutabilité selon le modèle et la configuration
• Réplication vers cloud
• Chiffrement AES-256
• Intégration à Active Directory selon le modèle
• Coût à chiffrer selon la capacité, les disques et la garantie

Configuration type à dimensionner : Nombre de baies, capacité utile, tolérance de panne, garantie, logiciel de sauvegarde et réplication hors site doivent être calculés ensemble.

TrueNAS

• Version communautaire open source
• ZFS avec sommes de contrôle
• Instantanés selon la capacité disponible
• Réplication intégrée
• Coût du matériel, de l'exploitation et de l'assistance à intégrer

Important : Un NAS sur site reste exposé aux sinistres locaux. Prévoyez une copie hors site adaptée ; elle peut être hébergée dans le cloud ou sur une autre infrastructure sécurisée.

Solutions hybrides

Architecture illustrative :

[Production]
     ↓
[Sauvegarde locale sur NAS] ← Restauration locale à tester
     ↓
[Réplication cloud] ← Protection sinistre
     ↓
[Archive froide] ← Conservation légale

Avantages :

• Restauration locale potentiellement plus rapide, à confirmer par les tests
• Résilience face à un sinistre local
• Coûts à comparer avec les objectifs de reprise
• Mesures documentables dans l'analyse de risque

Documentation à tenir selon le contexte

Registre des traitements (Art. 30)

Lorsque sa tenue est requise, le registre des activités de traitement et la documentation de sécurité peuvent notamment renvoyer aux éléments suivants :

• Nature des données sauvegardées
• Finalité des sauvegardes
• Durées de conservation
• Mesures de sécurité (chiffrement, accès)
• Localisation des sauvegardes
• Sous-traitants et fournisseurs cloud

Exemple de trame à adapter et à faire valider :

## Traitement : Sauvegarde données clients

**Finalité :** Garantir disponibilité et restauration

**Base légale :** À déterminer pour le traitement concerné

**Données concernées :**
- Nom, prénom
- Email, téléphone
- Historique achats
- Données bancaires (tokenisées)

**Destinataires :**
- Administrateurs informatiques autorisés
- Fournisseur cloud retenu et entité contractante

**Durée conservation :**
- Sauvegarde : Selon la politique validée
- Archive : Selon l'obligation légale applicable

**Mesures sécurité :**
- Chiffrement et gestion des clés documentés
- Accès avec authentification multifacteur lorsque pertinent
- Durée de conservation des journaux justifiée
- Fréquence des tests de restauration définie par le risque

**Transferts hors Espace économique européen :** À documenter

Contrat de sous-traitance

Lorsqu'un fournisseur traite des données personnelles pour votre compte, le contrat doit couvrir les exigences applicables de l'article 28, notamment :

• Objet, durée, nature et finalité du traitement
• Mesures de sécurité prévues
• Droits d'audit
• Assistance en cas d'incident
• Localisation des données

Vérifier avant signature :

• Mécanisme de transfert documenté lorsque des données sortent de l'Espace économique européen
• Régions d'hébergement et localisation contractuelle documentées
• Délai contractuel de notification compatible avec vos propres obligations
• Assistance droit d'accès/rectification/effacement
• Garantie de restitution des données

Plan de Reprise d'Activité (PRA)

Éléments clés :

1. Inventaire des actifs critiques
2. Procédures de restauration détaillées
3. Ordre de priorité des restaurations
4. Rôles et canaux d'urgence à jour
5. Fréquence de test définie selon la criticité

Exemple procédure :

## Procédure restauration serveur principal

**RPO :** Objectif validé par le métier
**RTO :** Objectif validé par le métier

**Étapes :**
1. Notification de l'équipe par le canal prévu
2. Évaluation des dommages
3. Décision de restauration ou de bascule
4. Restauration depuis le point conforme au RPO
5. Relecture des journaux transactionnels si nécessaire
6. Tests fonctionnels
7. Validation avant remise en production

**Contacts à renseigner dans la procédure interne :**
- Responsable de la reprise
- Référent informatique
- Canal d'assistance du fournisseur selon le contrat

**Dernière mise à jour :** Date réelle de validation du document
**Dernier test :** Date et résultat du dernier exercice

Tests et audits

Tests de restauration à planifier

Fréquence : À définir en fonction de la criticité, des objectifs de reprise, des changements apportés au système et des obligations contractuelles ou sectorielles.

Types de tests :

1. Test basique (fichier unique)

Objectif : Vérifier l'intégrité de la sauvegarde
Durée et fréquence : À mesurer et à planifier

2. Test applicatif (base de données)

Objectif : Restauration DB complète
Durée : À comparer au RTO validé
Fréquence : Selon la criticité de l'application

3. Test de bascule (PRA complet)

Objectif : Restauration infrastructure complète
Durée : À mesurer pendant l'exercice
Fréquence : Selon le plan de reprise et les changements d'infrastructure

Documentation tests :

## Compte rendu d'un test de restauration

**Type :** Restauration DB clients

**Durée réelle :** À renseigner et à comparer à l'objectif

**Résultat :** À consigner avec les écarts observés

**Points positifs :**
- Procédure claire et suivie
- Écart éventuel avec le point de restauration documenté
- Communication fluide équipe

**Points d'amélioration :**
- Délai d'accès aux clés de chiffrement à analyser
- Documenter étape validation intégrité

**Actions :**
- [ ] Mettre à jour la procédure, avec responsable et échéance
- [ ] Sécuriser l'accès aux clés, avec responsable et échéance

**Prochain test :** Date à planifier selon la criticité

Audits de conformité

Revue interne planifiée :

• Sauvegardes effectuées selon le planning
• Chiffrement activé et fonctionnel
• Accès limités et journalisés
• Documentation à jour
• Durées de conservation respectées

Audit externe : Sa nécessité et sa fréquence dépendent des obligations sectorielles, des engagements contractuels et du niveau de risque. Vérifiez les qualifications de l'auditeur et définissez la conservation du rapport dans votre politique documentaire.

Ressource officielle : La fiche CNIL sur la continuité et la reprise d’activité recommande de préparer les rôles d’alerte et de tester les restaurations. Elle permet de compléter votre procédure technique.

Erreurs courantes à éviter

Erreur #1 : Sauvegarde unique sur site

Problème : Un sinistre local peut toucher l'original et sa sauvegarde

Solution : Prévoir une copie hors site, dans le cloud ou sur une autre infrastructure sécurisée

Erreur #2 : Pas de test de restauration

Problème : Une sauvegarde non testée peut se révéler incomplète ou inexploitable au moment de l'incident

Solution : Planifier des tests de restauration et conserver leurs résultats

Erreur #3 : Sauvegarde sans protection adaptée

Problème : Un vol ou une perte peut exposer les données et nécessiter une analyse de violation

Solution : Définir le chiffrement, les contrôles d'accès et la gestion des clés à partir de l'analyse de risque

Erreur #4 : Conservation illimitée

Problème : Conservation difficile à justifier au regard de la finalité

Solution : Suppression ou archivage contrôlé selon les durées documentées

Erreur #5 : Contrat de sous-traitance incomplet

Problème : Responsabilité partagée non définie

Solution : Conclure le contrat de sous-traitance requis avant le traitement des données par le fournisseur

Erreur #6 : Sauvegarde accessible avec les mêmes droits que la production

Problème : Un rançongiciel peut atteindre les sauvegardes si les accès et identités ne sont pas isolés

Solution : Prévoir une copie immuable ou hors ligne et séparer les droits d'administration

Erreur #7 : Oublier les sauvegardes SaaS

Problème : La synchronisation, la corbeille et la rétention native ne couvrent pas nécessairement vos objectifs de restauration

Solution : Comparer les fonctions contractuelles du service à vos RPO, RTO et durées de conservation, puis ajouter une sauvegarde tierce si nécessaire

Construire le budget d'une solution de sauvegarde

Éléments à chiffrer

Demandez des devis datés et comparez-les sur une même durée. Le budget doit intégrer :

• Le stockage utile, sa croissance et les copies conservées
• Le matériel, les licences, les transferts et les éventuels frais de sortie
• Le déploiement, la documentation et la formation
• La supervision, les tests de restauration et la maintenance
• Le temps interne consacré aux incidents et aux exercices
• Les objectifs de reprise et les conséquences d'une interruption propres à l'entreprise

Le coût d'une interruption ou d'une violation doit être estimé avec les données de l'organisation ; un montant moyen générique ne constitue pas un devis ni une analyse de risque.

Checklist de préparation RGPD

Sauvegarde et protection des données

Technique :

• Stratégie de sauvegarde justifiée, par exemple à partir de la règle 3-2-1-1-0
• Chiffrement et gestion des clés adaptés aux risques
• Sauvegardes immuables ou hors ligne lorsque le scénario l'exige
• Tests de restauration planifiés
• Supervision et alertes configurées
• Durée de conservation des journaux définie et justifiée

Organisationnel :

• Registre des traitements complété
• Contrats requis par l'article 28 conclus avec les sous-traitants concernés
• PRA documenté et testé
• Procédures de restauration écrites
• Durées de conservation définies
• Purge automatique configurée

Légal :

• Base légale identifiée
• Information des personnes concernées adaptée au traitement
• Procédure droit d'accès/rectification/effacement
• Processus permettant d'évaluer et, si nécessaire, notifier une violation dans le délai applicable
• Contrats fournisseurs vérifiés
• Assurance cyber (recommandé)

Formation :

• Équipe informatique formée au RGPD
• DPO désigné (si obligatoire)
• Procédure incident communiquée
• Contacts d'urgence à jour

Plan d'action ComputerConseils

Phase 1 : État des lieux

Audit gratuit :

• État actuel des sauvegardes
• Identification des risques
• Revue technique des écarts par rapport aux mesures retenues
• Recommandations priorisées

Phase 2 : Mise en œuvre

Actions :

1. Choix et déploiement de la solution de sauvegarde
2. Configuration chiffrement et sécurité
3. Tests de restauration initiaux
4. Rédaction documentation (registre, PRA)
5. Formation équipe

Phase 3 : Suivi dans la durée

Services gérés ComputerConseils :

• Supervision selon le périmètre et les horaires convenus
• Tests de restauration planifiés
• Alertes proactives
• Assistance selon le contrat retenu
• Revues périodiques
• Veille sur les exigences applicables au périmètre

Besoin d'aide ?

La sauvegarde est un élément d'une démarche RGPD plus large, qui doit aussi couvrir les finalités, les droits des personnes, les contrats et la sécurité des traitements.

ComputerConseils vous accompagne :

• État des lieux technique initial
• Déploiement de la solution retenue
• Formation de vos équipes
• Maintenance et assistance selon le contrat retenu
• Appui à la documentation des mesures techniques

Contactez-nous pour un diagnostic personnalisé !

---

Note juridique : Cet article est informatif et ne constitue pas un avis juridique. Pour valider vos obligations, consultez votre délégué à la protection des données ou un conseil juridique qualifié.