Se rendre au contenu

Conformité RGPD dans le cloud : checklist pour entreprises françaises

Assurez la conformité RGPD de votre cloud avec notre checklist pratique. Protégez vos données et répondez aux exigences de la CNIL.

Conformité RGPD dans le cloud : checklist pour entreprises françaises

Des mains raccordent un câble réseau dans une salle serveurs française.

Votre entreprise reste responsable du traitement, même quand les données sont hébergées chez un prestataire cloud. Le fournisseur est en principe votre sous-traitant au sens de l’article 4 du RGPD : vous devez signer un accord de traitement de données (DPA) conforme à l’article 28, documenter vos choix techniques et prouver votre conformité à tout moment, y compris lors d’un contrôle CNIL.

Actions immédiates à lancer dès aujourd’hui :

  • Vérifiez que chaque service cloud utilisé dispose d’un DPA signé et conforme à l’article 28.
  • Listez tous vos services cloud avec leurs régions d’hébergement et identifiez ceux qui transfèrent des données hors de l’Espace économique européen (EEE).
  • Activez le chiffrement géré par le client (CMK) ou le chiffrement côté client partout où le service le permet conformément aux recommandations.
  • Activez l’authentification multifacteur (MFA) et la journalisation complète des accès sur chaque service, en ligne avec les bonnes pratiques.
  • Vérifiez si un traitement à risque élevé nécessite une analyse d’impact relative à la protection des données (AIPD) avant déploiement selon les critères applicables.

Preuves à préparer pour un audit :

  • DPA signé avec chaque sous-traitant cloud, dès que cela est possible.
  • Journaux d’accès et configuration des clés de chiffrement, dans la mesure où ces éléments sont disponibles.
  • AIPD documentée si le traitement l’exige selon les règles en vigueur.
  • Transfer Impact Assessment (TIA) pour chaque service transférant des données hors EEE, lorsque cette analyse est requise.

Points clés

La conformité RGPD dans le cloud repose sur trois piliers indissociables : un DPA conforme à l’article 28, des mesures techniques actives et documentées (CMK, MFA, journalisation), et une TIA pour chaque service transférant des données hors EEE.

Point Détails
Responsabilité inchangée Vous restez responsable du traitement même en cloud : documentez et prouvez chaque choix de configuration.
DPA obligatoire Vérifiez que chaque service cloud dispose d’un DPA signé couvrant tous les éléments de l’article 28.3.
TIA pour chaque transfert hors EEE Réalisez et archivez une Transfer Impact Assessment pour chaque service transférant des données hors de l’EEE.
Mesures techniques à activer CMK, MFA et journalisation complète sont les trois mesures prioritaires à activer et à prouver par configuration.
Yundera Serveur privé managé hébergé en France : résidence documentable, export garanti, sans TIA à produire pour ce service.

Table des matières

Conformité RGPD dans le cloud : qui est concerné et comment qualifier les acteurs ?

Toute organisation qui traite des données personnelles via un service cloud est concernée par le RGPD, qu’elle soit une PME, une grande entreprise ou une administration. La qualification juridique des acteurs conditionne directement la répartition des obligations.

Responsable, sous-traitant ou coresponsable ?

Le critère central est la détermination des finalités et des moyens du traitement. Si votre organisation décide pourquoi et comment les données sont traitées, elle est responsable du traitement. Le prestataire cloud qui exécute les instructions sans décider des finalités est sous-traitant. La distinction varie selon le modèle de service.

En IaaS (infrastructure en tant que service), le fournisseur gère la couche physique et réseau ; vous contrôlez les systèmes d’exploitation, les applications et les données. La sécurité « du » nuage incombe au fournisseur, la sécurité « dans » le nuage vous appartient entièrement : configurations, chiffrement, habilitations. En PaaS, le partage est plus équilibré, mais vous restez responsable des données que vous y déposez. En SaaS, le fournisseur contrôle davantage les moyens techniques, ce qui peut créer des zones grises sur la qualification, notamment pour les outils d’analyse intégrés.

La responsabilité partagée dans le cloud ne fait pas disparaître vos obligations : migrer vers le cloud redistribue les responsabilités sans les effacer.

  • Responsable de traitement : vous devez signer un DPA avec chaque sous-traitant, tenir le registre des traitements (article 30), réaliser les AIPD nécessaires et notifier la CNIL en cas de violation dans les 72 heures.
  • Sous-traitant : vous ne traitez que sur instruction documentée, vous devez aider le responsable à exercer les droits des personnes concernées et à répondre aux incidents.
  • Coresponsable : situation moins fréquente en cloud pur, mais possible avec certains SaaS analytiques ; elle exige un accord interne définissant les rôles respectifs (article 26).

Checklist documentaire à conserver :

  • Analyse de qualification juridique de chaque service cloud (IaaS/PaaS/SaaS).
  • Décision interne documentée sur les finalités et les moyens du traitement.
  • Clauses contractuelles signées avec chaque prestataire.
  • Registre des traitements mis à jour avec le nom du service, la région et les catégories de données.

Conseil de pro : Si votre prestataire SaaS utilise vos données pour améliorer ses propres modèles ou produits, il peut être coresponsable ou même responsable indépendant pour cette finalité spécifique. Exigez une clarification contractuelle explicite sur ce point avant signature.

Que doit contenir votre contrat cloud pour satisfaire l’article 28 ?

La CNIL recommande de comparer les conditions contractuelles des prestataires cloud lorsque la négociation directe est impossible, et d’évaluer les garanties de sécurité et de confidentialité avant toute souscription. Un DPA incomplet expose votre organisation à une mise en demeure, même si le service cloud est techniquement sécurisé.

Éléments obligatoires du DPA selon l’article 28.3 :

  1. Objet et durée du traitement : périmètre précis des données traitées et durée de conservation prévue.
  2. Nature et finalités du traitement : ce que le prestataire fait concrètement avec vos données.
  3. Type de données personnelles et catégories de personnes concernées.
  4. Obligations et droits du responsable : instructions documentées, possibilité de modifier les paramètres de traitement.
  5. Confidentialité : engagement du prestataire et de son personnel.
  6. Sécurité : mesures techniques et organisationnelles mises en œuvre (article 32).
  7. Sous-traitants ultérieurs : liste, mécanisme d’information préalable et droit d’opposition.
  8. Assistance pour les droits des personnes : accès, rectification, effacement, portabilité.
  9. Droits d’audit : possibilité pour vous ou un tiers mandaté de vérifier la conformité.
  10. Suppression ou restitution des données en fin de contrat, dans un format structuré.

L’EU Cloud Code of Conduct fournit un catalogue de contrôles auditables qui simplifie l’évaluation au titre de l’article 28.5 : un fournisseur adhérent a déjà soumis ses pratiques à un organisme de surveillance indépendant. Pour les fournisseurs IaaS spécifiquement, le code CISPE inclut une checklist de conformité (annexe B) et exige une transparence sur la possibilité de stocker les données intégralement dans l’EEE. Vérifiez le registre public CISPE pour confirmer que le service précis que vous utilisez est bien couvert par l’adhésion déclarée.

Clauses additionnelles à négocier ou vérifier :

  • SLA incluant des engagements liés à la protection des données (délai de notification d’incident, disponibilité des journaux).
  • Mécanisme de transfert applicable hors EEE : Data Privacy Framework (DPF), clauses contractuelles types (CCT) ou décision d’adéquation.
  • Engagement de notification des violations dans un délai compatible avec votre obligation de 72 heures envers la CNIL.
  • Preuve d’audits tiers (ISO 27001, SOC 2, ISO 27701) disponible sur demande.

Conseil de pro : Quand un hyperscaler refuse toute négociation contractuelle, la CNIL accepte que vous documentiez une comparaison rigoureuse des offres pour justifier votre choix. Conservez cette analyse dans votre dossier de conformité : elle constitue une preuve de diligence en cas de contrôle.

Quelles mesures techniques activer pour répondre à l’article 32 ?

L’article 32 exige des mesures « appropriées au risque ». En environnement cloud, cela se traduit par un ensemble de configurations techniques que vous devez activer vous-même, indépendamment de ce que le fournisseur sécurise de son côté.

Mesure Objectif RGPD Preuve à conserver
Chiffrement en transit (TLS) Confidentialité des données en mouvement Configuration réseau, certificats
Chiffrement au repos avec CMK Contrôle des clés par le client Configuration CMK, politique de rotation
Chiffrement côté client Données illisibles pour le fournisseur Documentation de l’architecture
MFA sur tous les comptes Limitation des accès non autorisés Rapport d’activation MFA
RBAC (contrôle d’accès par rôle) Principe du moindre privilège Matrice des habilitations
Journalisation complète Détection et preuve d’incident Journaux horodatés, durée de rétention
Sauvegardes chiffrées + tests de restauration Disponibilité et intégrité Rapport de test de restauration

La sécurité des données hardware complète ces mesures logicielles : les bonnes pratiques de sécurité matérielle restent pertinentes même quand l’infrastructure est externalisée.

Les certifications et rapports d’audit mis à disposition par les fournisseurs cloud — ISO 27001, SOC 2, ISO 27701 — constituent des éléments d’évaluation acceptés pour vérifier les garanties du sous-traitant au titre de l’article 28.3(h). Récupérez-les et joignez-les à votre dossier.

Mesures organisationnelles à mettre en place :

  • Politique d’habilitation formalisée avec revue trimestrielle des accès.
  • Procédure interne de détection, qualification et réponse aux incidents (avec seuil de déclenchement de la notification CNIL à 72 heures).
  • Gestion documentée des sous-traitants ultérieurs : liste à jour, vérification annuelle.
  • Plan de continuité d’activité testé incluant les scénarios de défaillance cloud.
  • Formation annuelle des équipes sur les procédures de sécurité cloud.

Pour les usages de partage de fichiers sécurisé, ces mesures s’appliquent directement : MFA, chiffrement et journalisation doivent être actifs avant tout déploiement en production.

Conseil de pro : Le CMK (clé gérée par le client) est souvent présenté comme une option avancée, mais c’est en réalité la mesure la plus efficace pour réduire le risque lié au Cloud Act : si vous détenez la clé, le fournisseur ne peut pas déchiffrer vos données même sous injonction étrangère. Activez-le en priorité sur les traitements sensibles.

Transferts hors EEE : comment gérer le Cloud Act et documenter une TIA ?

Le Cloud Act américain autorise les autorités américaines à exiger d’un prestataire américain l’accès à des données stockées n’importe où dans le monde, y compris en France. Ce risque concerne directement les entreprises françaises qui utilisent des services d’hyperscalers américains, même hébergés en Europe.

Mécanismes de transfert disponibles :

  • Décision d’adéquation : la Commission européenne reconnaît un niveau de protection équivalent dans un pays tiers. Le Royaume-Uni et quelques autres pays en bénéficient.
  • Data Privacy Framework (DPF) : accord UE-États-Unis en vigueur depuis juillet 2023, permettant le transfert vers des entreprises américaines certifiées. Sa stabilité juridique reste surveillée par les autorités européennes.
  • Clauses contractuelles types (CCT) : mécanisme de transfert standard, mais qui doit être complété par une TIA pour chaque service concerné.

La recommandation des autorités européennes est claire : même avec des CCT ou le DPF en place, une Transfer Impact Assessment documentée pour chaque service cloud est la meilleure pratique pour limiter le risque de transfert.

Comment réaliser une TIA :

  • Identifiez le pays de destination réelle des données (pas seulement la région de stockage déclarée).
  • Évaluez le cadre juridique local : lois de surveillance, accès gouvernemental possible, recours disponibles pour les personnes concernées.
  • Documentez les mesures d’atténuation retenues : CMK (clé inaccessible au fournisseur), pseudonymisation, limitation contractuelle des transferts, résidence des données dans l’EEE.
  • Concluez sur l’acceptabilité du risque résiduel et archivez la TIA avec sa date de révision.

À retenir : le DPF ne supprime pas l’obligation de TIA pour les services qui ne sont pas certifiés, et les CCT seules ne suffisent plus sans mesures complémentaires documentées.

  • Chiffrement avec CMK (clé hors de portée du fournisseur américain).
  • Pseudonymisation des données avant transfert.
  • Limitation contractuelle explicite des régions de traitement à l’EEE.
  • Vérification que le fournisseur n’a pas accès aux données en clair.

Comment structurer votre gouvernance documentaire pour un audit CNIL ?

La conformité RGPD dans le cloud ne se prouve pas par des intentions : elle se démontre par des documents datés, des configurations actives et des procédures testées. Voici ce que votre dossier doit contenir.

Le registre des traitements (article 30)

Pour chaque service cloud, le registre doit inclure :

  • Nom du service et type (IaaS, PaaS, SaaS).
  • Régions d’hébergement et pays de traitement effectif.
  • Catégories de données personnelles traitées.
  • Fondement juridique du traitement.
  • Durée de conservation et procédure de suppression.
  • Mesures de sécurité actives (chiffrement, MFA, CMK).
  • Référence au DPA signé et aux mécanismes de transfert applicables.

Quand réaliser une AIPD ?

L’article 35 exige une AIPD avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. En contexte cloud, les critères déclencheurs les plus fréquents sont : traitement à grande échelle de données sensibles (santé, données biométriques, données de mineurs), surveillance systématique, profilage, ou utilisation de nouvelles technologies sans précédent établi.

L’AIPD doit être liée à la TIA des transferts : si le traitement implique un transfert hors EEE, les deux analyses se complètent et doivent être cohérentes. Pour les projets d’intelligence artificielle locale hébergée en cloud, l’AIPD est souvent requise dès que des données personnelles alimentent le modèle.

Élément de gouvernance Fréquence recommandée Document de preuve
Revue du registre des traitements Annuelle + à chaque nouveau service Registre versionné et daté
Revue des accès et habilitations Trimestrielle Rapport de revue signé
Test de restauration des sauvegardes Semestrielle Rapport de test avec résultats
Audit de conformité cloud Annuelle Rapport d’audit interne ou tiers
Mise à jour des TIA À chaque changement de service ou de région TIA versionnée
Exercice de réponse aux incidents Annuelle Compte-rendu d’exercice

Gestion des droits des personnes concernées en cloud :

  • Cartographiez où chaque catégorie de données est stockée pour répondre aux demandes d’accès et d’effacement dans les délais légaux (un mois, extensible à trois mois).
  • Vérifiez que votre DPA prévoit l’assistance du fournisseur pour les demandes d’effacement et de portabilité.
  • Testez la procédure d’effacement : une suppression dans l’interface utilisateur ne garantit pas l’effacement des sauvegardes sous-jacentes sans clause contractuelle explicite.

Plan de réponse aux violations de données :

Une violation doit être notifiée à la CNIL dans les 72 heures suivant sa découverte. Votre procédure interne doit donc prévoir : détection (alertes de journalisation), qualification (gravité, périmètre, données concernées), décision de notification, rédaction de la notification CNIL, et communication aux personnes concernées si le risque est élevé. Documentez chaque étape avec horodatage.

Quand réaliser une AIPD ? — overview diagram

Pourquoi un serveur privé managé hébergé en France simplifie-t-il votre conformité ?

Choisir un prestataire dont l’infrastructure est intégralement hébergée en France réduit mécaniquement le périmètre des risques à documenter. Pas de transfert hors EEE à justifier, pas de TIA à réaliser pour ce service, et une résidence des données vérifiable dans votre dossier d’audit.

Arguments pratiques en faveur d’un serveur privé managé en France :

  • Résidence des données garantie : les données ne quittent pas le territoire français, ce qui supprime le risque Cloud Act pour ce service.
  • Export garanti dans un format structuré : la CNIL recommande de tester l’export des données avant tout déploiement complet pour éviter le verrouillage technique. Un serveur privé managé avec export garanti répond directement à cette exigence.
  • Réduction du périmètre d’audit : moins de services concernés par les transferts internationaux signifie moins de TIA à produire et moins de mécanismes de transfert à maintenir.
  • Contrôle des clés de chiffrement : sur un serveur privé, vous gérez vos propres clés, ce qui rend vos données inaccessibles au prestataire en clair.
  • Journaux d’accès disponibles : les logs sont accessibles directement, sans dépendre d’une interface propriétaire ou d’un abonnement à un niveau de service supérieur.

Pour les entreprises françaises, l’hébergement des données en France apporte également une cohérence avec les attentes de la CNIL et facilite la démonstration de conformité lors d’un contrôle.

La qualification SecNumCloud de l’ANSSI représente le niveau de certification le plus exigeant pour les prestataires cloud en France : elle atteste d’une évaluation indépendante des mesures de sécurité et de la résidence des données. Pour les traitements les plus sensibles (données de santé, données stratégiques), vérifiez si votre prestataire est qualifié ou en cours de qualification.

Yundera propose des serveurs privés managés hébergés en France, avec plus de 100 applications open source préinstallées, export garanti des données, et une infrastructure sans collecte ni revente de données. Pour un DSI ou un DPO cherchant à simplifier son dossier de conformité, cela signifie concrètement : une ligne de moins dans le registre des transferts, une TIA de moins à produire, et une preuve de résidence directement joignable au dossier d’audit.

Baie serveur privée sécurisée hébergée dans un data center français

Conseil de pro : Lors d’un projet de migration vers un serveur managé en France, exigez dès le POC un test d’export complet de vos données dans un format structuré (JSON, CSV, formats ouverts). Si l’export échoue ou produit un format propriétaire illisible, le risque de verrouillage technique est réel et doit figurer dans votre analyse de risque.

Checklist d’audit RGPD cloud : ce que vous devez présenter à la CNIL

Cette checklist couvre les trois catégories de preuves attendues lors d’un contrôle CNIL portant sur des services cloud.

Éléments contractuels :

  1. DPA signé avec chaque prestataire cloud, conforme à l’article 28.3.
  2. Liste des sous-traitants ultérieurs communiquée par le prestataire, avec dates de mise à jour.
  3. Mécanisme de transfert applicable pour chaque service hors EEE (DPF, CCT, décision d’adéquation) et preuve d’activation.
  4. TIA documentée pour chaque service transférant des données hors EEE.
  5. SLA incluant les engagements de notification d’incident et de disponibilité des journaux.
  6. Clause d’export et de suppression des données en fin de contrat.

Éléments techniques :

  • Captures d’écran ou exports de configuration : CMK activé, MFA activé, régions de stockage.
  • Journaux d’accès horodatés couvrant la période auditée.
  • Certificats et rapports d’audit tiers du prestataire : ISO 27001, SOC 2, ISO 27701.
  • Rapport de test de restauration des sauvegardes (date, résultat, données testées).
  • Politique de rotation des clés de chiffrement et preuve d’application.

Éléments de gouvernance :

  • Registre des traitements (article 30) à jour, avec entrée pour chaque service cloud.
  • AIPD documentée pour chaque traitement à risque élevé, avec date de révision.
  • Journal des incidents de sécurité (même ceux non notifiés à la CNIL, avec justification).
  • Compte-rendu des revues périodiques des accès et habilitations.
  • Preuve de formation des équipes sur les procédures de sécurité cloud.

Ce que les projets de migration cloud en France nous ont appris

Les difficultés les plus fréquentes ne sont pas techniques : elles sont contractuelles et organisationnelles. Les clauses non négociables des hyperscalers posent un problème réel, mais la CNIL a clairement indiqué qu’une comparaison documentée des offres disponibles constitue une preuve de diligence acceptable. Concrètement, cela signifie que vous pouvez utiliser un service dont le DPA n’est pas entièrement personnalisable, à condition de démontrer que vous avez évalué les alternatives et retenu la meilleure option disponible.

La visibilité sur les sous-traitants ultérieurs est un autre angle mort récurrent. Certains prestataires publient une liste générique sans préciser quels sous-traitants interviennent sur quel service. Exigez une liste spécifique au service souscrit, pas une liste globale de l’entreprise.

Sur les transferts, la complexité vient souvent de la chaîne : un SaaS hébergé en Europe peut utiliser des services d’infrastructure américains pour certaines fonctions (support, analytics, CDN). Cartographiez la chaîne complète avant de conclure qu’un service est « sans transfert hors EEE ».

Les actions qui réduisent le risque le plus rapidement : segmenter les données par sensibilité et n’héberger les données les plus sensibles que sur des services à résidence EEE garantie, activer CMK dès le déploiement initial plutôt qu’en rattrapage, et exiger des rapports d’audit annuels dans le contrat dès la négociation initiale. Entre DSI, DPO et direction juridique, la gouvernance fonctionne mieux avec un référent unique par service cloud et une revue trimestrielle commune plutôt que des échanges ad hoc en cas de problème.

Un serveur privé managé en France pour réduire votre surface de risque RGPD

Réduire le périmètre des transferts internationaux est l’une des actions les plus efficaces pour simplifier votre conformité RGPD cloud. Yundera propose exactement cela : un serveur privé managé hébergé en France, sans compétences techniques requises, avec plus de 100 applications open source préinstallées et un export garanti de vos données à tout moment.

Yundera

Pour votre dossier de conformité, Yundera apporte une résidence des données en France documentable, des journaux d’accès disponibles directement, et une infrastructure sans collecte ni revente de données. Cela supprime une TIA de votre liste, simplifie votre registre des traitements et vous donne un argument solide lors d’un contrôle CNIL. Pour les PME et startups qui cherchent une option déployable rapidement, l’offre est opérationnelle en moins d’une semaine. Demandez une évaluation ou démarrez un essai directement sur yundera.com pour voir ce que cela change concrètement dans votre dossier de conformité.

Sources

Textes réglementaires et codes de conduite :

Guides pratiques CNIL :

Ressources techniques et analyses :

Cet article constitue une information générale et ne remplace pas l’avis d’un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d’agir sur la base de ce contenu.

Recommandation

Se connecter pour laisser un commentaire.