Quelles sont les obligations légales pour l’hébergement des données d’entreprise ?

L’hébergement des données d’entreprise est soumis à des obligations légales dès que les fichiers stockés contiennent des données personnelles. Clients, salariés, prospects, fournisseurs, utilisateurs ou contacts professionnels : dès qu’une personne physique peut être identifiée, le Règlement général sur la protection des données (RGPD) encadre la collecte, la conservation, la sécurité, l’accès et la suppression de ces informations.

Pour respecter les obligations du RGPD en matière d’hébergement des données, il faut savoir quelles informations sont stockées où elles sont hébergées et comment elles sont protégées.

Quand l’hébergement des données d’entreprise est-il soumis au RGPD ?

L’hébergement des données d’entreprise est soumis au RGPD lorsque les données stockées permettent d’identifier une personne physique, directement ou indirectement.

Quand les données personnelles sont collectées

Une donnée personnelle peut être un nom, une adresse e-mail, un numéro de téléphone, une adresse IP, une donnée de paie, une information RH, une facture nominative ou un identifiant client.

Dans une entreprise, les fichiers concernés sont nombreux : CRM, dossiers salariés, bulletins de paie, contrats, devis, factures, tickets de support, bases prospects, messageries, sauvegardes ou outils collaboratifs.

Et lorsqu’elles sont hébergées par un prestataire

Le RGPD s’applique aussi lorsque l’entreprise confie l’hébergement de ces données à un prestataire. L’hébergement constitue un traitement de données, car il implique au minimum leur conservation. Il peut aussi inclure leur consultation, leur duplication, leur sauvegarde, leur transfert ou leur suppression.

Une entreprise peut héberger des données purement techniques ou commerciales sans lien avec une personne physique. Mais, dans la pratique, la plupart des systèmes d’information professionnels contiennent au moins une partie de données personnelles. C’est ce qui justifie les obligations RGPD.

Quelles vérifications faire avant de confier ses données à un hébergeur ?

Avant de confier ses données à un hébergeur, l’entreprise doit identifier les fichiers concernés, leur finalité, leur durée de conservation et leur caractère nécessaire. Cette étape permet d’éviter de stocker trop d’informations, trop longtemps ou sans justification claire.

Recenser les catégories de données hébergées

La première étape est le recensement des catégories de données hébergées. Une entreprise peut, par exemple, distinguer les données clients, les données prospects, les données salariés, les données fournisseurs, les données de connexion, les documents comptables et les sauvegardes.

Définir la finalité de chaque fichier

Chaque fichier doit répondre à un objectif précis : gérer la relation client, établir des factures, administrer la paie, traiter des candidatures, assurer le support technique ou conserver des preuves contractuelles. Le RGPD impose que les données soient collectées pour des finalités explicites et légitimes.

Limiter les données hébergées au strict nécessaire

L’entreprise doit ensuite appliquer le principe de minimisation. Elle héberge uniquement les données utiles à l’objectif poursuivi. Une information qui n’est plus nécessaire doit être supprimée ou archivée selon des règles définies.

Fixer une durée de conservation

Les données personnelles ne peuvent pas être conservées indéfiniment dans un espace d’hébergement ou un logiciel métier. L’entreprise doit prévoir une durée de conservation cohérente avec la finalité du traitement et ses obligations légales.

Documenter les traitements dans un registre

Enfin, les traitements contenant des données personnelles doivent être documentés dans un registre lorsque le RGPD l’exige. Pour les TPE et PME, la CNIL (Commission nationale de l’informatique et des libertés) recommande de recenser les fichiers, leur objectif, les informations enregistrées, les destinataires et les durées de conservation.

Que doit prévoir le contrat avec le prestataire d’hébergement ?

Le contrat avec l’hébergeur doit encadrer juridiquement la prestation. Il précise ce que le prestataire peut faire avec les données, dans quelles limites, avec quelles garanties et selon quelles conditions de fin de contrat.

Le document doit notamment indiquer l’objet de la prestation, la durée de l’hébergement, la finalité du traitement, les catégories de données confiées et les obligations de confidentialité. Il doit aussi prévoir les conditions dans lesquelles le prestataire peut recourir à d’autres sous-traitants.

La question de la localisation des données doit aussi être abordée. L’entreprise doit savoir où ses données sont hébergées et si elles peuvent être transférées hors de l’Union européenne. En cas de transfert vers un pays tiers, des garanties spécifiques doivent être prévues pour respecter le RGPD.

Le contrat doit également organiser la fin de la prestation : restitution à l’entreprise, transfert vers un autre prestataire ou suppression selon des modalités prévues.

La gestion des incidents doit aussi figurer dans le contrat. Si le prestataire détecte une fuite, une perte, une altération ou un accès non autorisé, il doit alerter rapidement l’entreprise.

Quelles mesures de sécurité appliquer aux données hébergées ?

En matière d’hébergement des données, le RGPD demande un niveau de sécurité cohérent avec la nature des données, leur volume, les accès autorisés et les conséquences possibles pour les personnes concernées.

Encadrer l’authentification et les habilitations

Chaque utilisateur doit disposer d’un identifiant propre. Les comptes partagés doivent être évités, car ils empêchent de savoir qui a accédé aux données ou réalisé une action.

Les habilitations doivent être limitées aux besoins réels. Un salarié, un prestataire ou un administrateur ne doit accéder qu’aux données nécessaires à sa mission.

Ces droits doivent être révisés régulièrement, notamment en cas de changement de poste, de départ ou de changement de prestataire.

Suivre les accès aux données hébergées

La traçabilité permet de suivre les accès et les actions réalisées sur les données hébergées. Elle aide à détecter une anomalie, à comprendre un incident et à prouver que des mesures ont été prises en cas de contrôle.

Prévoir des sauvegardes protégées et testées

Une entreprise doit pouvoir restaurer ses données après une panne, une erreur humaine, une cyberattaque ou une suppression accidentelle. Les sauvegardes doivent elles-mêmes être protégées, testées et conservées dans des conditions cohérentes avec les risques.

Chiffrer les données lorsque le risque le justifie

Le chiffrement protège les données hébergées lorsqu’un support, un flux ou une sauvegarde fait l’objet d’un accès non autorisé. Dans le cloud, l’entreprise doit vérifier le type de chiffrement proposé (chiffrement au repos pour les données stockées, chiffrement en transit pour les échanges, ou chiffrement de bout en bout lorsque le cas d’usage le permet).

La maîtrise des clés est un point décisif. Une solution où le fournisseur contrôle seul les clés ne donne pas le même niveau de confidentialité qu’une architecture où l’entreprise conserve la maîtrise de leur gestion.

Maintenir la sécurité de l’infrastructure dans le temps

La sécurité de l’hébergement repose aussi sur les outils associés au service cloud (protection anti-DDoS, pare-feu applicatif web, supervision, sauvegardes, mises à jour et sécurisation des échanges). L’entreprise doit distinguer les fonctions de sécurité des fonctions de performance.

Une vigilance particulière s’impose lorsque ces outils déchiffrent les flux pour les analyser. Cette pratique peut soulever des problèmes de confidentialité, de sécurité ou de transfert de données hors de l’Union européenne.

RGPD et hébergement de données sensibles : comment réagir en cas d’incident ?

L’entreprise doit aussi prévoir une procédure en cas d’incident. Une violation de données peut correspondre à une perte, une altération, une divulgation ou un accès non autorisé à des données personnelles.

Selon le risque pour les personnes concernées, l’entreprise peut devoir notifier la CNIL dans un délai de 72 heures. Lorsque le risque est élevé, les personnes concernées doivent également être informées.

Le choix d’une solution d’hébergement des données doit donc tenir compte de la nature des données, des obligations applicables, des besoins de sauvegarde, de la localisation, du support et de la cybersécurité.

Acti-One accompagne les entreprises dans leurs projets d’hébergement sécurisé, d’infogérance et de sécurisation des infrastructures informatiques, avec une approche de proximité adaptée aux usages métier.