Guide · Protection des données
Sauvegarde et RGPD : ce qu'il faut savoir
En bref : le RGPD exige même des sauvegardes, puisque l'article 32 demande de pouvoir rétablir rapidement les données personnelles après un incident. En même temps, les sauvegardes sont elles-mêmes des données personnelles : elles doivent être protégées, stockées dans un lieu approprié, encadrées par contrat et effacées selon des délais fixes.
Ce qu'exige l'article 32 du RGPD
L'article 32 oblige les responsables du traitement à mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque. Pour les sauvegardes, quatre points du paragraphe 1 sont décisifs :
| Exigence | Ce que cela signifie pour les sauvegardes |
|---|---|
| Point a : chiffrement | Chiffrer les sauvegardes, si possible avant qu'elles ne quittent le système protégé |
| Point b : confidentialité, intégrité, disponibilité, résilience | Copies en plusieurs lieux, protection contre la manipulation, accès réservé aux personnes autorisées |
| Point c : rétablissement rapide | La restauration doit être possible et réalisable dans un délai raisonnable |
| Point d : vérification régulière | Évaluer l'efficacité des mesures ; pour les sauvegardes : tester la restauration |
Où les sauvegardes peuvent être stockées
Le RGPD n'interdit ni le cloud ni les prestataires. Il exige en revanche que les transferts vers des pays hors de l'UE et de l'EEE soient particulièrement encadrés (chapitre V). Le plus simple est un stockage en Allemagne ou dans l'UE chez un prestataire soumis au droit européen. Si les sauvegardes sont chiffrées et que la clé reste dans l'entreprise, même le fournisseur de stockage ne peut pas en connaître le contenu.
Sous-traitance
Si un prestataire exploite les sauvegardes ou les stocke, il est en règle générale sous-traitant au sens de l'article 28 du RGPD. Il faut alors un contrat de sous-traitance qui règle l'objet, la durée, le type de données, les mesures techniques et organisationnelles et le recours à d'autres sous-traitants.
Effacement et limitation de la conservation
Selon le principe de limitation de la conservation (article 5, paragraphe 1, point e), les données ne doivent pas être conservées plus longtemps que nécessaire. Pour les sauvegardes, cela signifie fixer des durées de conservation définies et effacer automatiquement les sauvegardes à leur échéance. Supprimer des enregistrements isolés d'une sauvegarde n'a généralement pas de sens techniquement et endommagerait la sauvegarde. En pratique, il est donc courant que :
- les sauvegardes expirent en bloc à la fin de leur durée de conservation ;
- d'ici là, elles soient protégées contre l'accès et ne servent à aucune autre fin ;
- lors de la restauration d'une sauvegarde, les données effacées entre-temps soient de nouveau effacées ; on consigne pour cela les effacements à répéter.
Les détails relèvent du plan d'effacement et du plan de sauvegarde et devraient être convenus avec le délégué à la protection des données.
Documenter
Selon le principe de responsabilité (article 5, paragraphe 2), une entreprise doit pouvoir démontrer qu'elle respecte les principes. Pour les sauvegardes, cela implique un plan écrit, un journal des sauvegardes et des effacements et des tests de restauration documentés.
Comment AegisGrid vous aide
AegisGrid chiffre avec AES-256-GCM ou ChaCha20-Poly1305 sur le système protégé ; la clé reste entre vos mains. Vous décidez où les sauvegardes sont stockées : dans votre propre entreprise, sur un second site ou dans le stockage cloud AegisGrid, dans des centres de données certifiés en Allemagne. Pour le stockage cloud et la sauvegarde gérée, MSD Computersysteme GmbH conclut un contrat de sous-traitance au sens de l'article 28 du RGPD. Les durées de conservation s'appliquent par sauvegarde et par destination, le serveur de sauvegarde supprime automatiquement les sauvegardes expirées et chaque effacement est consigné dans le journal de preuves signé.
Cet article est une introduction générale et ne constitue pas un conseil juridique. Convenez de votre plan avec votre délégué à la protection des données.
Questions fréquentes sur le RGPD et la sauvegarde
Dois-je aussi modifier les sauvegardes lorsque quelqu'un demande l'effacement de ses données ?
En pratique, les sauvegardes ne sont généralement pas modifiées une à une : elles expirent à la fin de leur durée de conservation. D'ici là, elles sont protégées et ne servent à rien d'autre ; si une sauvegarde est restaurée, les effacements sont répétés. Définissez les détails avec votre délégué à la protection des données.
Puis-je stocker des sauvegardes dans le cloud ?
Oui, avec un contrat de sous-traitance et des garanties appropriées pour le lieu de stockage. Le plus simple est un prestataire disposant de centres de données en Allemagne ou dans l'UE ; grâce au chiffrement avant le transfert, le contenu reste illisible même pour lui.
Combien de temps dois-je conserver les sauvegardes ?
Aussi longtemps que vous en avez besoin pour restaurer, et pas plus. Il est courant de garder des versions quotidiennes pendant quelques semaines et des versions mensuelles ou annuelles plus longtemps. Les obligations légales de conservation, par exemple pour les documents comptables, se remplissent mieux avec un archivage qu'avec des sauvegardes.
Des sauvegardes conformes à la protection des données
Nous vous conseillons sur le lieu de stockage, les délais et le contrat de sous-traitance, en anglais ou en allemand.