Le RGPD (Règlement Général sur la Protection des Données) s'applique depuis le 25 mai 2018. La plupart des PME françaises savent qu'elles doivent « être conformes ». Mais quand on leur demande ce que cela implique concrètement pour leur sauvegarde, les réponses restent vagues.

C'est compréhensible : le RGPD est un texte dense (99 articles, 173 considérants) qui ne mentionne jamais explicitement le mot « sauvegarde ». Pourtant, plusieurs de ses articles imposent des obligations dont la sauvegarde est la réponse technique la plus directe — et la CNIL le rappelle régulièrement dans ses sanctions. Voici ce que la loi exige, chiffres officiels à l'appui.

Les articles du RGPD qui imposent la sauvegarde

Article 5 — Intégrité et confidentialité

L'article 5, § 1, f) pose le principe d'intégrité et de confidentialité :

Les données à caractère personnel doivent être « traitées de façon à garantir une sécurité appropriée […], y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées. »

Le texte est clair : vous devez protéger les données contre la perte et la destruction accidentelle. La sauvegarde est la mesure technique de base qui répond à cette exigence.

Article 32 — Sécurité du traitement

L'article 32 est le plus explicite. Il impose au responsable du traitement et à son sous-traitant de mettre en œuvre des mesures dont la traduction technique décrit, point par point, une architecture de sauvegarde moderne :

Exigence (article 32, § 1) Traduction technique pour la sauvegarde
a) Chiffrement Les sauvegardes doivent être chiffrées, au repos et en transit. Idéalement un chiffrement Zero-Knowledge où vous seul détenez les clés.
b) Disponibilité et résilience Garantir l'accès aux données même en cas de panne, de sinistre physique (incendie, inondation) ou de rançongiciel.
c) Rétablissement en cas d'incident Restaurer les données « dans des délais appropriés ». En pratique : définir des objectifs de temps de reprise (RTO) et de perte de données admissible (RPO).
d) Tests réguliers Une sauvegarde passive ne suffit pas. Il faut tester périodiquement la restauration pour prouver qu'elle fonctionne.

Le point a) recommande explicitement le chiffrement — voir notre article sur le chiffrement Zero-Knowledge. Le point d) est souvent oublié : une sauvegarde non testée est, en soi, un manquement à l'article 32.

Quatre piliers représentant les exigences de l'article 32 du RGPD : chiffrement, disponibilité, capacité de restauration et tests réguliers des sauvegardes

Article 33 — Notification d'une violation sous 72 heures

En cas de violation de données, l'article 33 impose une notification à la CNIL sous 72 heures après en avoir pris connaissance, décrivant la nature de la violation, les données concernées, les conséquences probables et les mesures prises.

Un rançongiciel compromet souvent les trois piliers de la sécurité en même temps : la confidentialité (exfiltration), l'intégrité (chiffrement malveillant) et la disponibilité (blocage des accès). Une sauvegarde saine et isolée permet de restaurer rapidement, ce qui réduit l'impact de la violation — un élément apprécié favorablement par la CNIL. À l'inverse, ne pas pouvoir restaurer faute de sauvegarde, c'est confirmer l'absence des mesures appropriées de l'article 32.

Article 34 — L'exemption de notification grâce au chiffrement

Si la violation engendre un risque élevé pour les droits et libertés des personnes, vous devez aussi informer directement les personnes concernées (clients, salariés). Mais l'article 34, § 3, a) prévoit une exception : cette notification individuelle n'est pas requise si les données étaient protégées par des mesures rendant les données inintelligibles pour toute personne non autorisée, notamment le chiffrement.

Autrement dit : si vos sauvegardes étaient chiffrées (Zero-Knowledge) et que l'attaquant n'a obtenu que des données chiffrées, vous pouvez être exempté de la notification individuelle. C'est un avantage juridique et réputationnel considérable.

Le casse-tête du droit à l'effacement (article 17) dans les sauvegardes

L'application du droit à l'effacement (« droit à l'oubli ») aux sauvegardes est l'un des points de friction les plus complexes entre le droit et l'ingénierie. Et il est loin d'être théorique : le droit à l'effacement est le premier motif de plainte auprès de la CNIL, avec 37 % des plaintes reçues en 2024 (CNIL, rapport annuel 2024). Le Comité européen de la protection des données (CEPD) en a même fait le thème de son action coordonnée européenne de 2025.

Suppression logique n'est pas suppression réelle

Un point technique mal compris : une suppression « douce » (soft delete), du type UPDATE users SET deleted_at = NOW(), ne répond pas à l'article 17. La donnée reste physiquement présente dans la base active et dans les futures sauvegardes. Une vraie mise en conformité suppose une suppression réelle (hard delete), avec la cascade des clés étrangères et la purge des journaux.

La doctrine pragmatique de la CNIL

La CNIL admet qu'il est disproportionné d'aller extraire une donnée unique d'une archive chiffrée et immuable. Elle articule une tolérance autour de trois principes :

  • Alignement sur les cycles de rotation : la donnée n'a pas à être effacée immédiatement de chaque support, mais doit disparaître lors du renouvellement naturel ou de l'expiration de la sauvegarde, selon une durée de rétention documentée.
  • Marquage des demandes : vous devez tenir un registre des demandes d'effacement validées. En cas de restauration après sinistre, ces suppressions doivent être réappliquées avant la remise en service.
  • Pas de réutilisation : une donnée dont l'effacement a été demandé ne doit jamais être réexploitée tant qu'elle subsiste dans les sauvegardes.

Ce que vous risquez : les sanctions et les chiffres réels

Deux plafonds d'amende (article 83)

Le RGPD prévoit deux niveaux de sanction financière :

  • Jusqu'à 10 millions d'euros ou 2 % du CA annuel mondial (le plus élevé des deux) pour les manquements aux obligations techniques — dont la sécurité de l'article 32.
  • Jusqu'à 20 millions d'euros ou 4 % du CA annuel mondial pour les manquements aux principes fondamentaux (articles 5, 6) et aux droits des personnes.

Un défaut de sauvegarde relève donc du plafond « bas » (10 M€ / 2 %) — ce qui reste considérable, et c'est le manquement le plus fréquemment retenu en pratique.

La réalité des sanctions CNIL

Les plafonds théoriques ne reflètent pas le risque quotidien d'une PME. Le repère honnête, ce sont les décisions réelles. Voici des sanctions récentes où la sécurité (article 32) était en cause :

Organisme Date Montant Manquement de sécurité retenu
PAP (annonces immobilières) 31 janvier 2024 100 000 € Stockage des mots de passe insuffisant (art. 32), parmi d'autres manquements
KG COM 8 juin 2023 150 000 € Site en HTTP au lieu de HTTPS, politique de mots de passe trop faible
Nexpublica France 22 décembre 2025 1 700 000 € Vulnérabilités connues non corrigées sur des données de santé (art. 32)
France Travail 22 janvier 2026 5 000 000 € Authentification insuffisante ; 36,8 millions de personnes exposées
Free / Free Mobile 14 janvier 2026 42 000 000 € Rétention excessive et mesures de sécurité insuffisantes

Surtout, la CNIL dispose depuis 2022 d'une procédure de sanction simplifiée plafonnée à 20 000 €, qui cible de fait les TPE et PME. En 2025, 14 organismes ont été sanctionnés pour défaut de sécurité par ce biais (mots de passe faibles, comptes partagés), sur un total de 83 sanctions et près de 487 millions d'euros d'amendes (CNIL, bilan 2025). Ce montant record est porté par deux amendes « cookies » de 325 et 150 millions d'euros sur de très grands acteurs : il ne représente pas le risque d'une PME, mais il illustre une CNIL de plus en plus active.

La tendance de fond est nette : la CNIL a reçu 5 629 notifications de violations en 2024 (+20 % sur un an), puis 6 167 en 2025 (+9,5 %, un record), dont une sur deux due à un piratage (CNIL).

Au-delà de l'amende

Les conséquences d'un manquement dépassent l'amende administrative :

  • Interruption d'activité : après un rançongiciel, l'arrêt moyen dépasse trois semaines (Coveware, 2022). Les PME, TPE et ETI représentaient 37 % des victimes de rançongiciel connues de l'ANSSI en 2024 (ANSSI, Panorama de la cybermenace 2024) : la petite structure n'est pas une cible secondaire.
  • Mise en demeure publique : la CNIL peut rendre ses décisions publiques — un signal négatif pour vos clients et partenaires.
  • Dommages et intérêts : les personnes dont les données ont été compromises peuvent demander réparation, y compris via des actions collectives.

Une sauvegarde conforme au RGPD : les bonnes pratiques

1. Appliquer la règle 3-2-1

Recommandée par les autorités de cybersécurité, elle structure la répartition des copies (détail dans notre article sur la règle 3-2-1) :

  • 3 copies des données au minimum (la production + deux sauvegardes distinctes) ;
  • 2 supports différents (par exemple un NAS sur site et un cloud externe) ;
  • 1 copie hors ligne (air-gap), déconnectée du réseau — le seul vrai rempart contre un rançongiciel conçu pour chiffrer tous les partages accessibles.

Schéma de la règle 3-2-1 : trois copies des données, deux supports différents et une copie hors ligne déconnectée du réseau contre les rançongiciels

2. Chiffrer les sauvegardes

Le chiffrement est explicitement recommandé par l'article 32 et conditionne l'exemption de l'article 34. Privilégiez le chiffrement Zero-Knowledge : les données sont chiffrées avant de quitter votre périmètre, et vous seul détenez les clés. En cas de violation chez votre prestataire, l'attaquant ne récupère que des données illisibles.

3. Choisir un hébergement souverain

Le RGPD restreint les transferts de données hors de l'Espace Économique Européen (EEE). Surtout, un prestataire soumis au Cloud Act peut être tenu de communiquer des données aux autorités américaines, même hébergées en Europe. La solution la plus pérenne : un prestataire dont les données sont stockées exclusivement en France ou dans l'EEE, hors de portée des lois extraterritoriales.

4. Définir une politique de rétention

Votre politique de sauvegarde doit préciser quelles données sont sauvegardées, à quelle fréquence, pendant combien de temps, sur quel support et avec quel chiffrement. Cette politique doit figurer dans votre registre des traitements (article 30) — l'article 5, § 2 impose le principe d'accountability : vous devez pouvoir démontrer votre conformité.

5. Tester la restauration

L'article 32, § 1, d) est explicite. En pratique : effectuez un test de restauration au moins une fois par trimestre, et documentez la date, la procédure et le résultat. En cas de contrôle, vous prouvez que vos sauvegardes sont non seulement en place, mais fonctionnelles.

Grille d'audit : votre sauvegarde est-elle conforme ?

Axe de contrôle Exigence Référence Statut
Fréquence Sauvegardes régulières et documentées selon la criticité Art. 32 [ ]
Isolation Au moins une copie hors ligne (air-gap) Art. 32 [ ]
Séparation Support et lieu distincts du système principal Fiche CNIL « Sauvegarder » [ ]
Chiffrement Données chiffrées au repos et en transit (Zero-Knowledge) Art. 32, § 1, a) et 34, § 3, a) [ ]
Localisation Hébergement en France ou dans l'EEE Chapitre V (transferts hors UE) [ ]
Tests Tests de restauration trimestriels consignés Art. 32, § 1, d) [ ]
Rétention Expiration automatique alignée sur les durées de conservation Art. 5, § 1, e) et 17 [ ]
Droit à l'effacement Marquage des demandes et réapplication après restauration Art. 17 [ ]
Sous-traitance Contrat conforme avec le prestataire de sauvegarde Art. 28 [ ]
Documentation Politique intégrée au registre des traitements Art. 30 et 5, § 2 [ ]

En résumé

Le RGPD n'utilise jamais le mot « sauvegarde ». Mais son article 32 exige des mesures garantissant la disponibilité, la résilience et la capacité de restauration des données — ce qui décrit précisément une politique de sauvegarde, chiffrée, testée et documentée.

Les organisations sans sauvegarde, ou avec une sauvegarde non testée, non chiffrée ou non documentée, sont en défaut. Et les sanctions de la CNIL, même modérées pour les petites structures, sont bien réelles. À l'inverse, une sauvegarde bien conçue (chiffrée, hébergée en France, testée régulièrement) n'est pas qu'une protection : c'est un argument de conformité documentable, qui renforce votre position en cas de contrôle.

BackHub est conçu pour répondre nativement aux exigences du RGPD : chiffrement Zero-Knowledge (article 32), hébergement exclusif en France hors lois extraterritoriales, rétention configurable et sauvegardes automatiques testées. Découvrir BackHub