RGPD et sauvegarde : ce que la loi impose
Une sauvegarde contient des données personnelles. Le RGPD s'y applique comme à vos systèmes de production : localisation, durée de conservation, droit à l'effacement, contrat de sous-traitance.
Beaucoup d'entreprises considèrent les sauvegardes comme une couche technique, séparée de leur démarche de conformité RGPD. C'est une erreur. Une sauvegarde contient exactement les mêmes données personnelles que les systèmes de production, souvent avec une durée de conservation plus longue, et elle constitue un traitement à part entière au sens du règlement.
Le responsable de traitement (votre organisation) reste responsable des données personnelles contenues dans ses sauvegardes, même si celles-ci sont opérées par un prestataire externe. Et l'opérateur de la sauvegarde est un sous-traitant au sens du RGPD, avec toutes les obligations qui en découlent.
Le droit à l'effacement s'applique-t-il à mes sauvegardes ?
Oui, en principe. L'article 17 du RGPD donne aux personnes concernées le droit d'obtenir l'effacement de leurs données personnelles, et ce droit couvre aussi les sauvegardes. Les lignes directrices du Comité européen de la protection des données admettent que l'effacement immédiat dans une sauvegarde peut être techniquement difficile, mais exigent que la donnée soit supprimée à la prochaine restauration ou rotation de la sauvegarde, et qu'elle ne soit pas restituée entre-temps.
Concrètement, votre organisation doit être capable de documenter comment elle traite les demandes d'effacement dans ses sauvegardes, et de démontrer que les données effacées en production ne seront pas réintroduites par une restauration. Cela implique un processus, une traçabilité, et un prestataire de sauvegarde qui peut répondre à ces exigences.
Les durées de conservation des sauvegardes doivent être définies et justifiées. Conserver des sauvegardes indéfiniment parce que 'le stockage ne coûte rien' n'est pas conforme : chaque traitement doit avoir une finalité et une durée proportionnée.
Puis-je stocker mes sauvegardes hors de l'Union européenne ?
Oui, mais sous conditions strictes. Le RGPD encadre les transferts de données personnelles vers des pays tiers, et une sauvegarde stockée ou traitée hors de l'Union européenne doit reposer sur une base légale adéquate : décision d'adéquation de la Commission européenne, clauses contractuelles types, ou autre mécanisme validé.
Les États-Unis ne font pas l'objet d'une décision d'adéquation stable : le Privacy Shield a été invalidé en 2020 (arrêt Schrems II), et le Data Privacy Framework adopté en 2023 a été confirmé par le Tribunal de l'Union européenne en septembre 2025, mais reste exposé à un pourvoi devant la Cour de justice. Stocker des sauvegardes auprès d'un prestataire américain, même en utilisant des clauses contractuelles types, expose à un risque juridique réel.
La solution la plus robuste pour les organisations soumises au RGPD est de confier leurs sauvegardes à un prestataire établi dans l'Union européenne, idéalement en France, sans transfert de données vers des pays tiers.
Le contrat de sous-traitance
L'article 28 du RGPD impose de formaliser la relation avec tout sous-traitant qui traite des données personnelles pour votre compte. Ce contrat doit définir la nature et la finalité du traitement, les types de données concernées, les obligations du sous-traitant en matière de sécurité, le régime de sous-traitance ultérieure (le prestataire peut-il lui-même sous-traiter à un tiers ?), et les obligations en cas d'incident.
Vérifiez que votre contrat de sauvegarde inclut un Data Processing Agreement (DPA) conforme à l'article 28. Vérifiez aussi que le DPA liste les sous-traitants ultérieurs utilisés par votre prestataire : si votre prestataire de sauvegarde français utilise lui-même un stockage sous-jacent américain, ce flux doit être documenté et encadré.
Questions fréquentes
Une sauvegarde chiffrée est-elle exemptée des obligations RGPD ?
Non. Le chiffrement est une mesure de sécurité recommandée par le RGPD, pas une cause d'exemption. Des données chiffrées restent des données personnelles dès lors qu'elles peuvent être déchiffrées, et c'est le cas de toute sauvegarde destinée à être restaurée un jour. Le chiffrement change la gravité d'une fuite, il ne change pas la nature des données. Vos obligations de localisation, de durée de conservation, de contrat de sous-traitance et de droit à l'effacement continuent de s'appliquer à une sauvegarde chiffrée exactement comme à vos données de production. En cas de violation, un chiffrement solide peut vous dispenser d'informer les personnes concernées, mais pas de notifier l'incident si le risque le justifie. Le chiffrement compte surtout par qui détient la clé : une sauvegarde chiffrée avec une clé propre à votre organisation, que le prestataire ne peut pas déchiffrer seul, offre une protection réelle ; une clé détenue par un prestataire soumis au Cloud Act reste accessible sur injonction.
Faut-il inscrire les sauvegardes dans le registre des traitements ?
Oui, sans exception. Le registre des activités de traitement prévu par l'article 30 du RGPD doit recenser tous les traitements de données personnelles, et une sauvegarde en est un à part entière. L'oublier est une lacune fréquente relevée lors des contrôles. Pour chaque sauvegarde, documentez la finalité (sauvegarde et restauration), les catégories de données concernées, la durée de conservation retenue, les destinataires, et les sous-traitants impliqués, y compris les sous-traitants ultérieurs comme un hébergeur de stockage. Si votre prestataire de sauvegarde s'appuie lui-même sur une infrastructure tierce, ce maillon doit figurer dans le registre. Cette inscription n'est pas qu'une formalité : elle vous oblige à justifier une durée de conservation, ce qui interdit de garder des sauvegardes indéfiniment, et elle rend visible tout transfert hors UE caché dans la chaîne de sous-traitance. Un registre à jour est aussi la première pièce demandée par la CNIL en cas de contrôle.
Que faire en cas de violation de données sur une sauvegarde ?
Une violation sur une sauvegarde suit exactement les mêmes règles qu'une violation sur vos systèmes de production. Dès qu'elle présente un risque pour les droits et libertés des personnes, vous devez la notifier à la CNIL dans les 72 heures suivant sa découverte. Passé ce délai, la notification doit être motivée. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises. Si le risque pour les personnes est élevé, vous devez aussi les informer directement, dans un langage clair. Une sauvegarde exposée est un cas fréquent : un instantané mal protégé, un accès prestataire compromis, un stockage objet ouvert par erreur. Le fait que les données soient une copie ne réduit pas l'obligation, car la copie contient les mêmes données personnelles que l'original. Un prestataire sérieux vous fournit les éléments techniques nécessaires à la notification et sait dater précisément l'incident.
Kryolys propose un contrat de sous-traitance conforme à l'article 28, stocke les données en France sans transfert hors UE, chiffre les sauvegardes par organisation, et permet de gérer les durées de conservation par contrat. L'éditeur étant français, il n'est pas soumis au Cloud Act, ce qui simplifie considérablement l'analyse de conformité RGPD. C'est l'objet d'une sauvegarde souveraine pour les entreprises.
Un compte Microsoft 365, Google Workspace ou IMAP. Facturé au siège, quel que soit le volume sauvegardé.
- Mails, fichiers, agendas et contacts
- Snapshots datés, restauration ciblée
- 365 jours d'historique inclus
Une VM, un serveur ou un poste, agent léger inclus. Facturé au volume.
- Facturation au Go au-delà du premier To
- Restauration jusqu'à la machine entière
- 365 jours d'historique inclus
Un bucket S3 ou compatible, chez votre fournisseur ou chez vous. Facturé au volume, dès le plus petit bucket.
- Facturation au Go au-delà du premier To
- Restauration vers le bucket d'origine ou un autre
- 365 jours d'historique inclus
La conformité commence par le bon prestataire.
Rejoignez la beta.
Kryolys ouvre progressivement. Laissez votre adresse, nous vous prévenons dès que votre accès est prêt, avec une période d'essai gratuite.
L'inscription demande JavaScript. Vous pouvez aussi nous écrire à support@kryolys.com, nous vous ajouterons à la liste.
C'est noté. Vérifiez votre boîte mail pour confirmer votre inscription.
Une erreur est survenue. Réessayez dans un instant, ou écrivez-nous directement.