Confier un disque contenant des données personnelles à un laboratoire : ce que dit le RGPD

Le serveur du cabinet ne démarre plus, le NAS de l’agence affiche une erreur, le disque du poste de comptabilité est muet. Il faut récupérer les données, mais ce disque contient des fichiers clients, des fiches de paie, parfois des dossiers médicaux ou juridiques. Confier ce support à un laboratoire extérieur est une décision qui a aussi un volet RGPD. Voici ce qu’il faut savoir et vérifier avant l’envoi, sans que cela retarde la récupération.

Le laboratoire devient votre sous-traitant

Au sens du RGPD, votre entreprise est responsable du traitement des données personnelles qu’elle conserve. Un laboratoire qui lit le disque, en fait une copie et vous restitue les fichiers traite ces données pour votre compte : c’est un sous-traitant. L’article 28 du RGPD prévoit que la relation entre le responsable et son sous-traitant soit encadrée par un contrat ou un autre acte juridique écrit, qui précise notamment l’objet et la durée du traitement, la nature des données, les obligations de sécurité et de confidentialité, et ce qu’il advient des données à la fin de la prestation.

La CNIL met à disposition, dans sa rubrique consacrée aux sous-traitants, un guide et des exemples de clauses qui peuvent servir de base. Pour une entreprise qui n’a pas de délégué à la protection des données, c’est un bon point de départ.

Les questions à poser avant d’envoyer le disque

• Où le support est-il traité ? Dans quel laboratoire, en France ou ailleurs ? Un éventuel transfert hors de l’Union européenne obéit à des règles particulières.
• Qui y a accès ? Le personnel est-il tenu à la confidentialité ? Le laboratoire fait-il appel à un autre prestataire pour une partie du travail ? Le RGPD impose votre autorisation écrite préalable pour cela.
• Comment les données sont-elles stockées pendant la récupération ? Sur quel type de support, avec quelles protections ?
• Comment se fait la restitution ? Sur un support neuf, chiffré ou non, remis en main propre ou expédié ?
• Que deviennent les copies ensuite ? Combien de temps le laboratoire conserve-t-il sa copie de travail, et comment l’efface-t-il ? Pouvez-vous obtenir une attestation ?
• Que devient le support d’origine ? Vous est-il rendu, ou détruit à votre demande ?

Notez les réponses. En cas de contrôle ou d’incident, vous devrez pouvoir montrer que vous avez choisi un prestataire présentant des garanties suffisantes.

Ce que vous pouvez préparer de votre côté

• Décrivez le contenu sans l’ouvrir. Indiquez au laboratoire les dossiers ou types de fichiers prioritaires. Cela limite la manipulation inutile de données qui ne servent pas.
• Ne joignez pas de mots de passe dans un e-mail. Si le disque est chiffré (BitLocker, par exemple), convenez avec le laboratoire d’un moyen sûr pour transmettre la clé de récupération.
• Emballez et tracez l’envoi. Un envoi suivi, ou un dépôt en main propre, garde une trace de qui détient le support.
• Inscrivez l’opération dans votre documentation. Si votre entreprise tient un registre des traitements, ajoutez-y le prestataire. Une simple fiche datée suffit souvent pour une TPE.

Panne ou violation de données ?

Une panne de disque peut constituer une violation de données au sens du RGPD si elle entraîne une perte de disponibilité des données personnelles. Selon les risques pour les personnes concernées, elle peut devoir être notifiée à la CNIL. Nous avons détaillé ce point dans notre article sur la perte de données en entreprise et la notification à la CNIL. Confier le support à un laboratoire ne remplace pas cette analyse : faites-la en parallèle, sans attendre le résultat de la récupération.

Ne pas retarder la récupération

Ces précautions ne doivent pas vous pousser à « tester » le disque en attendant. Un support qui fait du bruit, qui n’est plus reconnu ou un volume RAID dégradé se détériore à chaque nouvelle tentative. Éteignez-le, ne lancez ni réparation automatique ni reconstruction, et posez vos questions au laboratoire en même temps que vous demandez le diagnostic.

Chez nous, chaque dossier commence par un diagnostic et un devis avant toute récupération, et les données restaurées sont rendues sur un support sain ; la page notre processus décrit les étapes. Pour un serveur ou un stockage réseau, consultez la page récupération RAID et NAS, puis précisez via la page contact la nature du support, les données prioritaires et vos exigences de confidentialité.