Sauvegardes de donnees et RGPD : que faire de vos backups quand un client demande l'effacement
Publie le 22/10/2026 · Temps de lecture : 9 min
Le RGPD impose deux obligations qui semblent se contredire. D'un cote, l'article 32 exige des mesures de securite capables de retablir rapidement l'acces aux donnees apres un incident, ce qui suppose des sauvegardes regulieres. De l'autre, l'article 5 impose de ne pas conserver les donnees plus longtemps que necessaire, et l'article 17 ouvre un droit a l'effacement que de nombreux dirigeants de TPE et PME pensent, a tort, impossible a respecter des qu'une sauvegarde existe quelque part.
Ce guide explique comment ces deux exigences se concilient en pratique, ce que vous devez reellement faire quand un client exerce son droit a l'effacement alors que ses donnees figurent dans un backup, et comment securiser vos sauvegardes elles-memes, qu'elles soient stockees en interne ou confiees a un prestataire cloud.
Sommaire
- Pourquoi le RGPD vous oblige (indirectement) a sauvegarder vos donnees
- Sauvegarde complete, incrementielle, locale ou cloud : des risques differents
- Droit a l'effacement et sauvegardes existantes : ce que vous devez vraiment faire
- Combien de temps conserver les sauvegardes elles-memes
- Securiser vos sauvegardes : chiffrement, acces et tests de restauration
- Sauvegarde confiee a un prestataire : ce que change le statut de sous-traitant
- Checklist sauvegardes et RGPD
- Questions frequentes
Pourquoi le RGPD vous oblige (indirectement) a sauvegarder vos donnees
Le mot « sauvegarde » n'apparait pas dans le texte du RGPD, mais l'obligation y est bel et bien. L'article 32.1.c impose au responsable de traitement de mettre en oeuvre des moyens permettant de « retablir la disponibilite des donnees a caractere personnel et l'acces a celles-ci dans des delais appropries en cas d'incident physique ou technique ». Concretement : panne de disque dur, ordinateur vole, ransomware qui chiffre votre serveur, erreur humaine qui supprime une base de donnees. Sans sauvegarde reguliere et testee, vous ne pouvez pas satisfaire cette exigence, ce qui constitue en soi un manquement a l'article 32, independamment de toute fuite de donnees.
Autrement dit : ne pas sauvegarder vos donnees clients expose deja votre entreprise a un risque RGPD, avant meme de parler d'effacement ou de duree de conservation. La question n'est donc jamais « dois-je sauvegarder » mais « comment sauvegarder sans creer un second probleme de conformite ».
Sauvegarde complete, incrementielle, locale ou cloud : des risques differents
Toutes les sauvegardes ne posent pas le meme niveau de risque au regard du RGPD. Une sauvegarde complete (ou « full backup ») duplique l'integralite de votre base de donnees a un instant donne : elle est simple a restaurer, mais chaque exemplaire conserve est une copie complete de toutes vos donnees clients, y compris celles qui auraient deja du etre effacees en production. Une sauvegarde incrementielle ne stocke que les modifications depuis la derniere sauvegarde : elle occupe moins de place, mais sa restauration necessite de reconstituer toute la chaine, ce qui complique l'extraction ciblee d'une seule personne.
Le lieu de stockage compte tout autant. Une sauvegarde sur un disque dur externe range dans un tiroir du bureau n'est protegee que par la securite physique du local : vol, incendie ou degat des eaux l'emportent avec le materiel. Une sauvegarde hebergee chez un prestataire cloud deplace le risque vers la securite de ce prestataire et, souvent, vers la question de la localisation geographique des serveurs. La pratique de reference reste la regle dite « 3-2-1 » utilisee en securite informatique : trois copies des donnees, sur deux supports differents, dont une copie hors site. Elle repond a l'obligation de disponibilite de l'article 32 tout en limitant le nombre d'endroits ou des donnees personnelles circulent.
Droit a l'effacement et sauvegardes existantes : ce que vous devez vraiment faire
C'est la question la plus frequente des TPE et PME qui decouvrent l'article 17 du RGPD : un client demande la suppression de ses donnees, vous l'effacez de votre logiciel de gestion, mais il reste present dans les dix dernieres sauvegardes completes de votre serveur. Faut-il rouvrir chaque sauvegarde pour l'en extraire manuellement ?
En pratique, non, et ce n'est generalement pas ce qu'attend un controle. Extraire une seule personne d'une sauvegarde chiffree et figee, sans alterer l'integrite du reste des donnees qu'elle contient, est souvent impossible techniquement ou totalement disproportionne pour une petite structure. L'approche raisonnable, admise dans ce cas, repose sur trois conditions cumulatives :
- la donnee doit avoir ete reellement effacee de l'environnement de production (logiciel de gestion, CRM, site web) des que la demande a ete traitee, dans le delai d'un mois prevu par l'article 12 du RGPD ;
- la sauvegarde qui contient encore la donnee doit avoir une duree de conservation courte et documentee, de sorte qu'elle soit elle-meme remplacee ou detruite dans un delai raisonnable plutot que conservee indefiniment ;
- si cette sauvegarde devait un jour etre restauree integralement (reprise d'activite apres un incident majeur), l'effacement deja demande doit etre reapplique immediatement aux donnees concernees avant toute remise en service, et non laisse de cote.
Cette tolerance ne dispense pas de documenter votre politique de sauvegarde : un controle de la CNIL peut vous demander de justifier combien de temps vos sauvegardes sont conservees et pourquoi. L'absence de toute limite, elle, n'est jamais acceptable : une sauvegarde complete conservee pendant cinq ans « au cas ou » constitue une conservation disproportionnee au sens de l'article 5.1.e, meme si l'acces y est restreint.
Combien de temps conserver les sauvegardes elles-memes
Le RGPD ne fixe aucune duree chiffree applicable a toutes les entreprises : il impose seulement que la duree retenue soit proportionnee a votre besoin reel de restauration, pas a une habitude ou a une peur de manquer quelque chose. Une TPE qui gere un site vitrine et un fichier clients modeste n'a generalement pas besoin de remonter a une sauvegarde vieille de trois ans : un incident se detecte dans les jours ou les semaines qui suivent, rarement plus tard.
La bonne pratique consiste a definir une politique ecrite et proportionnee a votre activite, par exemple : des sauvegardes quotidiennes ou hebdomadaires conservees quelques semaines pour recuperer rapidement une erreur recente, et des sauvegardes completes mensuelles conservees quelques mois pour couvrir un incident detecte plus tardivement. Cette politique doit figurer dans votre registre des traitements, au meme titre que les durees de conservation de vos autres fichiers (voir notre article sur la duree de conservation des donnees clients). L'important n'est pas d'adopter une duree identique a celle d'une autre entreprise, mais de pouvoir expliquer pourquoi la votre correspond a votre besoin reel de reprise d'activite.
Securiser vos sauvegardes : chiffrement, acces et tests de restauration
Une sauvegarde mal protegee peut devenir le point d'entree d'une violation de donnees plus facile a exploiter que la base de production elle-meme, car elle est souvent moins surveillee. L'article 32 du RGPD impose des mesures proportionnees au risque ; pour une TPE ou une PME, cela se traduit concretement par quelques pratiques simples :
- Chiffrer les sauvegardes, en particulier celles stockees sur un support amovible ou transmises vers un hebergement externe, pour qu'un vol du support ne donne pas acces en clair aux donnees ;
- Restreindre l'acces aux seules personnes qui en ont reellement besoin : une sauvegarde accessible a tous les employes, alors que l'acces au logiciel de production est deja cloisonne par profil, annule l'interet de ce cloisonnement ;
- Tester regulierement la restauration, et pas seulement la creation, de la sauvegarde : une sauvegarde jamais testee peut se reveler illisible ou incomplete le jour ou vous en avez vraiment besoin, ce qui revient a ne pas avoir satisfait l'obligation de l'article 32.1.c ;
- Conserver au moins une copie hors site (cloud ou site physique distinct), pour qu'un incendie ou un vol dans vos locaux ne detruise pas simultanement la production et la sauvegarde.
Sauvegarde confiee a un prestataire : ce que change le statut de sous-traitant
Des que vos sauvegardes sont hebergees par un prestataire exterieur (hebergeur, solution de sauvegarde cloud, infogerant informatique), ce prestataire devient un sous-traitant au sens de l'article 28 du RGPD, exactement comme votre logiciel de CRM ou votre prestataire d'emailing. Un contrat ecrit doit preciser l'objet et la duree du traitement, les mesures de securite appliquees, les conditions de restitution ou de destruction des donnees en fin de contrat, et les sous-traitants ulterieurs eventuellement utilises par ce prestataire (voir notre article sur les clauses RGPD obligatoires dans un contrat de sous-traitance).
Verifiez egalement ou sont physiquement situes les serveurs de sauvegarde. Un grand nombre de solutions de sauvegarde cloud grand public hebergent leurs donnees aux Etats-Unis ou les dupliquent sur plusieurs continents pour des raisons de resilience technique, ce qui declenche les regles de transfert hors Union europeenne. Dans ce cas, le prestataire doit pouvoir justifier d'une garantie valable (clauses contractuelles types, adhesion au Data Privacy Framework pour les Etats-Unis), exactement comme pour n'importe quel autre outil americain utilise par votre entreprise.
Documentez votre politique de sauvegarde en quelques minutes
ConformiteFacile genere le registre des traitements et la politique de confidentialite qui couvrent aussi vos sauvegardes et vos sous-traitants techniques.
Creer mon registre des traitementsChecklist sauvegardes et RGPD
- Verifier que des sauvegardes regulieres existent et sont effectivement testees a la restauration.
- Definir et documenter une duree de conservation proportionnee pour chaque type de sauvegarde (quotidienne, hebdomadaire, mensuelle).
- Chiffrer les sauvegardes stockees sur support amovible ou transmises a un hebergement externe.
- Restreindre l'acces aux sauvegardes aux seules personnes qui en ont besoin.
- Signer un contrat conforme a l'article 28 avec tout prestataire qui heberge vos sauvegardes.
- Verifier la localisation des serveurs de sauvegarde et les garanties de transfert si elle est hors UE.
- Prevoir une procedure pour reappliquer un effacement deja traite en cas de restauration complete d'une sauvegarde ancienne.
Questions frequentes
Dois-je supprimer immediatement un client de toutes mes sauvegardes quand il exerce son droit a l'effacement ?
Non, pas necessairement. Extraire une seule personne d'une sauvegarde complete chiffree, sans alterer le reste, est souvent techniquement impossible ou disproportionne. Il est generalement admis de laisser les donnees disparaitre naturellement de la sauvegarde au moment ou celle-ci est remplacee par une plus recente, a condition que la duree de conservation des sauvegardes elle-meme soit courte et documentee, que l'acces a ces sauvegardes soit strictement restreint, et que les donnees effacees en production ne soient jamais restaurees sans que l'effacement leur soit immediatement ree applique.
Le RGPD m'oblige-t-il vraiment a faire des sauvegardes ?
Oui, indirectement mais clairement. L'article 32.1.c du RGPD impose aux responsables de traitement de disposer des moyens permettant de retablir la disponibilite et l'acces aux donnees a caractere personnel dans des delais appropries en cas d'incident physique ou technique (panne, piratage, incendie, erreur humaine). En pratique, cela revient a une obligation de sauvegarde reguliere, meme si le mot lui-meme n'apparait pas dans le texte.
Puis-je confier mes sauvegardes a un prestataire cloud americain ?
Vous le pouvez, mais cela declenche les memes obligations que pour n'importe quel autre sous-traitant : un contrat conforme a l'article 28 du RGPD, et si le prestataire ou ses serveurs sont situes hors de l'Union europeenne, les garanties prevues au chapitre V du RGPD (clauses contractuelles types ou adhesion au Data Privacy Framework pour les Etats-Unis). Verifiez egalement si le prestataire chiffre les donnees avec une cle que lui seul detient, ou si vous conservez la maitrise du chiffrement.
Combien de temps dois-je garder une sauvegarde complete ?
Le RGPD n'impose pas de duree chiffree universelle : il impose une duree proportionnee a votre besoin reel de restauration (article 5.1.e). Une sauvegarde conservee pendant des annees sans justification devient elle-meme un traitement non conforme. La bonne pratique consiste a definir une politique ecrite (par exemple des sauvegardes quotidiennes ou hebdomadaires conservees quelques semaines, et des sauvegardes completes mensuelles conservees quelques mois), a la documenter dans votre registre des traitements, et a vous y tenir.
A lire aussi
Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir
Lire
Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee
Lire