Coffre-fort numérique et RGPD : obligations et bonnes pratiques

En bref : un coffre-fort numérique traite des données personnelles ; il relève donc du RGPD. Sa logique y répond naturellement bien, puisque son contenu ne doit pouvoir être consulté que par l’utilisateur concerné et les personnes qu’il a mandatées. Encore faut-il vérifier le chiffrement, la traçabilité des accès, les durées de conservation et le cadre de sous-traitance.

Pourquoi le RGPD s’applique

Bulletins de paie, contrats de travail, documents RH, factures nominatives : un coffre-fort d’entreprise contient des données à caractère personnel. Sa mise en oeuvre constitue donc un traitement au sens du RGPD et doit respecter ses principes, ainsi que les recommandations de la CNIL qui encadrent l’appellation « coffre-fort numérique ».

Le principe directeur posé par la CNIL

Pour la CNIL, un service de coffre-fort numérique se distingue d’un simple stockage par une exigence forte : le contenu ne doit pouvoir être consulté que par l’utilisateur et ses mandataires. En pratique, cela implique que l’hébergeur lui-meme ne puisse pas accéder aux données en clair : elles doivent être chiffrées, la clé de déchiffrement restant maitrisée par l’utilisateur. Le prestataire s’engage par ailleurs sur la pérennité du stockage.

Les principes RGPD appliqués au coffre-fort

• Confidentialité et sécurité : chiffrement, contrôle d’accès strict, journalisation.
• Limitation des finalités : le coffre sert à conserver, pas à exploiter les données à d’autres fins.
• Minimisation : n’y déposer que les documents nécessaires.
• Limitation de la conservation : définir des durées et purger à l’échéance.
• Intégrité et disponibilité : garantir que le document n’est ni altéré ni perdu.

Les points de conformité à vérifier

• Chiffrement des données, idéalement avec une clé maitrisée par le client.
• Accès limité et tracé : chaque consultation est journalisée et horodatée. La sécurité d’un coffre-fort numérique.
• Hébergement et localisation des données conformes au RGPD (par exemple au sein de l’Union européenne).
• Durées de conservation définies, avec suppression automatisée à l’échéance.
• Réversibilité : pouvoir récupérer ou supprimer ses données à tout moment.
• Sous-traitance : un contrat conforme à l’article 28 du RGPD encadrant le rôle du prestataire.

Responsable de traitement et sous-traitant

Dans la plupart des cas, l’entreprise utilisatrice est responsable de traitement et le fournisseur du coffre-fort agit comme sous-traitant. Le RGPD impose alors un contrat de sous-traitance (article 28) précisant les obligations de sécurité, de confidentialité, d’assistance et de restitution ou suppression des données en fin de contrat. Vérifier ce cadre contractuel fait partie intégrante de la conformité.

Le coffre-fort facilite les droits des personnes

Le RGPD garantit aux personnes des droits : accès, rectification, effacement, portabilité. Un coffre-fort bien paramétré facilite leur exercice grâce à une gestion fine des accès, une traçabilité complète et une organisation claire des documents. Par exemple, retrouver l’ensemble des documents d’un salarié pour répondre à une demande d’accès devient simple et fiable.

Articulation avec la signature électronique

Beaucoup de documents conservés sont des documents signés. La cohérence avec le traitement RGPD de la signature électronique doit être assurée : données d’identité du signataire, preuve de signature et durée de conservation s’inscrivent dans la meme logique de protection.

La checklist de conformité

• Solution certifiée (NF203) et hébergement maitrisé.
• Chiffrement et accès tracé.
• Contrat de sous-traitance conforme (article 28).
• Durées de conservation et purge documentées.
• Réversibilité garantie.
• Inscription du traitement au registre des traitements.

Questions fréquentes

Le prestataire peut-il lire mes documents ?

Dans un coffre-fort numérique conforme, non : les données sont chiffrées et l’hébergeur ne doit pas pouvoir y accéder en clair.

Un coffre-fort certifié NF203 est-il automatiquement conforme RGPD ?

La certification est un gage de sécurité fort, mais la conformité RGPD relève aussi de votre organisation : durées, registre, contrat de sous-traitance, gestion des droits.

Combien de temps conserver les données dans le coffre ?

Selon les durées légales propres à chaque document, puis suppression à l’échéance pour respecter le principe de limitation de la conservation.

Pour aller plus loin

Pour une vue d’ensemble, consultez notre pilier : qu’est-ce qu’un coffre-fort numérique et à quoi sert-il ?

Découvrir le coffre-fort numérique certifié NF203 ou échanger avec un expert.

Sources officielles

• CNIL : coffre-fort numérique (recommandation et label)