Sauvegarde et RGPD : le lien souvent ignoré

Une sauvegarde protège l’activité lorsqu’un serveur tombe en panne, qu’un fichier disparaît ou qu’un logiciel malveillant bloque les accès. Elle contient souvent les mêmes données personnelles que les systèmes actifs, et relève donc aussi de la protection des données personnelles.

Le RGPD ne prescrit ni logiciel ni fréquence universelle, mais exige des mesures de sécurité adaptées aux risques et la capacité de restaurer les données. Comprendre cette responsabilité du responsable de traitement permet de bâtir une stratégie à la fois utile et conforme.

A retenir :

• Sauvegardes intégrées au registre des traitements et aux mesures de sécurité
• Copies chiffrées, accès restreints et restauration régulièrement vérifiée
• Durée de conservation définie, cohérente avec les finalités du traitement
• Procédure documentée pour les demandes liées au droit à l’effacement

Sauvegarde des données et exigences du RGPD

Parce qu’une copie de secours conserve des informations personnelles, elle ne constitue pas une zone oubliée du système. Selon le RGPD, les principes de sécurité et de limitation de la conservation s’appliquent aussi à ces copies.

Inscrire les copies dans la conformité réglementaire

Cette exigence implique de documenter les sauvegardes comme une composante du traitement concerné. Selon le RGPD, l’article 32 demande des mesures adaptées au risque, tandis que l’article 5 encadre notamment la durée de conservation.

« garantir un niveau de sécurité adapté au risque ». Cette règle concerne les données sauvegardées autant que les données utilisées quotidiennement.

RGPD, article 32

Une entreprise peut préciser dans son registre les catégories copiées, les supports utilisés, les personnes autorisées et les périodes de rotation. Cela facilite les contrôles internes et aide à expliquer les choix de sécurité.

Définir une durée de conservation maîtrisée

La durée de conservation doit correspondre à une finalité et à une politique documentée, plutôt qu’à un stockage indéfini. Selon le RGPD, les données personnelles ne doivent pas être conservées plus longtemps que nécessaire au regard de leur usage.

« pendant une durée n’excédant pas celle nécessaire ». Ce principe doit guider la rotation des copies et l’effacement des supports arrivés en fin de cycle.

RGPD, article 5

Dans une sauvegarde complète, retirer une seule fiche peut être techniquement complexe sans altérer l’ensemble de la copie. Il faut donc prévoir un cycle raisonnable, supprimer les données des systèmes actifs et documenter le traitement des demandes d’effacement.

Pour rendre ces règles opérationnelles, l’organisation doit ensuite choisir des copies adaptées aux risques et à ses capacités de restauration.

Chiffrement des sauvegardes et choix des copies

Une fois les obligations établies, le choix des supports détermine la résistance aux pannes, aux erreurs et aux attaques. Une politique efficace combine plusieurs copies sans confondre recommandation technique et exigence juridique.

Comparer les méthodes de sauvegarde

Le choix dépend du volume, de la fréquence des changements et du temps acceptable pour retrouver les fichiers. Le tableau distingue les compromis courants, sans imposer une méthode unique à toutes les organisations.

Méthode	Données copiées	Atout principal	Limite à anticiper
Complète	Ensemble des données sélectionnées	Restauration simple	Stockage plus important
Incrémentale	Changements depuis la copie précédente	Copies quotidiennes rapides	Restauration dépendante de plusieurs copies
Différentielle	Changements depuis la dernière complète	Compromis entre copie et restauration	Volume croissant avant la prochaine complète
Locale et distante	Copies sur plusieurs emplacements	Meilleure résistance à un sinistre local	Gestion et contrôle des accès nécessaires

Protéger les copies contre les accès indus

Le chiffrement des sauvegardes protège les fichiers pendant leur stockage et leur transfert, à condition de séparer soigneusement les clés. Le RGPD impose une sécurité adaptée au risque, mais ne désigne pas un algorithme particulier comme obligation générale.

« la capacité de rétablir la disponibilité des données à caractère personnel ». Cette capacité suppose des copies accessibles aux personnes autorisées et protégées contre leur altération.

RGPD, article 32

Une copie déconnectée ou rendue immuable peut limiter l’impact d’un rançongiciel qui atteint les systèmes connectés. Une organisation peut aussi appliquer la règle 3-2-1 comme repère pratique, sans la présenter comme une obligation du RGPD.

Pour vérifier que ces protections fonctionnent réellement, il faut passer des choix d’architecture aux exercices de restauration documentés.

Restauration des données et gestion des demandes

Des copies protégées restent insuffisantes si personne ne sait les restaurer dans des délais utiles. Les tests révèlent les erreurs de configuration et permettent aussi d’évaluer la réponse aux demandes d’effacement.

Tester la restauration dans des conditions réalistes

Un test peut porter sur un fichier isolé, une base de données ou un service complet, selon les risques métier. Il faut consigner les résultats, l’intégrité constatée et les délais nécessaires pour remettre les informations à disposition.

« dans des délais appropriés en cas d’incident physique ou technique ». Un exercice consigné aide à mesurer si l’organisation sait effectivement répondre à cette exigence.

RGPD, article 32

Le calendrier des exercices doit tenir compte de la criticité des services et des changements d’infrastructure. Les résultats peuvent alimenter le plan de continuité et déclencher des corrections avant qu’une panne réelle ne survienne.

Quelques repères permettent de relier les contrôles techniques aux responsabilités de l’organisation.

Contrôles utiles en exploitation :

• Fréquence des copies adaptée aux changements et aux besoins métier
• Accès réservés aux comptes autorisés, avec authentification renforcée
• Tests documentés de restauration et d’intégrité des données récupérées
• Procédure de traitement des demandes d’effacement dans les copies anciennes

Traiter le droit à l’effacement dans les archives

Une demande d’effacement exige d’abord de supprimer les données concernées des systèmes actifs lorsque les conditions légales sont réunies. Les copies de secours requièrent une procédure distincte, fondée sur leur cycle de rotation et les contraintes techniques documentées.

« la personne concernée a le droit d’obtenir l’effacement ». Ce droit s’exerce selon les conditions prévues par le règlement et doit être intégré aux procédures internes.

RGPD, article 17

Si une copie contenant encore les données est restaurée, l’organisation doit éviter que l’effacement soit annulé silencieusement. Une vérification après restauration permet de réappliquer les suppressions nécessaires et de préserver la conformité réglementaire.

Source : Règlement (UE) 2016/679 du Parlement européen et du Conseil, 27 avril 2016, articles 5, 17 et 32.