Les documents RH peuvent-ils être stockés sur un cloud public ?
Réponse courte
Oui, aucun texte ne l'interdit. Le point de vigilance porte sur trois éléments contractuels que les offres standard traitent rarement de façon satisfaisante.
Le premier est la chaîne de sous-traitance : un service public repose presque toujours sur des sous-traitants ultérieurs, dont l'article 28 du RGPD exige qu'ils soient autorisés et que tout changement soit signalé. Le deuxième est la localisation : hébergement et accès peuvent se situer hors de l'Union, ce qui suppose un fondement du chapitre V. Le troisième est la réversibilité, rarement incluse par défaut.
S'y ajoute une contrainte propre au droit du travail : l'article L.614-4 permet à l'ITM d'exiger communication dans les meilleurs délais, et un service dont l'export prend plusieurs jours met l'entreprise en défaut.
Définition
Le cloud public est un service mutualisé, dont l'infrastructure est partagée entre plusieurs clients. Il se distingue d'un hébergement dédié par la mutualisation, non par le niveau de sécurité, qui peut être supérieur.
Le sous-traitant ultérieur est le prestataire auquel le fournisseur confie une partie du traitement. Sa présence est la règle dans les services mutualisés, et elle doit être encadrée.
Conditions d’exercice
Ce qui se vérifie est la chaîne complète, du fournisseur aux personnes qui accèdent effectivement aux données.
| Point | Exigence | Base |
|---|---|---|
| Contrat de sous-traitance | Objet, durée, finalités, instructions, sécurité | RGPD, article 28 |
| Sous-traitants ultérieurs | Autorisation préalable et information des changements | RGPD, article 28, paragraphe 2 |
| Localisation de l'hébergement | Union européenne, ou fondement du chapitre V | RGPD, chapitre V |
| Accès depuis un pays tiers | Constitue un transfert, même sans déplacement des données | RGPD, chapitre V |
| Sécurité | Mesures adaptées au risque, chiffrement le cas échéant | RGPD, article 32 |
| Disponibilité pour un contrôle | Export dans les meilleurs délais | L.614-4 |
Modalités pratiques
Les conditions générales d'un service mutualisé se lisent sur ces points précis, avant la signature.
| Vérification | Ce qu'il faut obtenir |
|---|---|
| Liste des sous-traitants ultérieurs | Communiquée et tenue à jour |
| Pays d'hébergement et pays d'accès | Identifiés, y compris pour le support technique |
| Notification des violations | Délai d'information du responsable de traitement |
| Réversibilité | Restitution des données et des métadonnées dans un format ouvert |
| Suppression en fin de contrat | Effacement attesté, sauvegardes comprises |
| Export | Testé une fois par an, indépendamment du fournisseur |
Pratiques et recommandations
Le support technique est le transfert que personne ne cartographie. Une entreprise dont les données sont hébergées dans l'Union, mais dont l'assistance est assurée depuis un pays tiers, effectue un transfert au sens du chapitre V — et la question se pose au premier contrôle.
L'export doit être testé, non supposé. Beaucoup de services restituent des fichiers sans métadonnées ni structure, ce qui rend l'archive inexploitable une fois le contrat terminé. Un test annuel vaut mieux qu'une clause.
La mutualisation n'est pas en soi un facteur de risque. Un service public correctement encadré offre souvent une sécurité supérieure à celle d'un serveur interne mal entretenu : ce qui fait la différence est le contrat, la cartographie des accès et la capacité à récupérer les données.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 28 | Contrat de sous-traitance et encadrement des sous-traitants ultérieurs |
| RGPD, chapitre V | Transferts hors Union européenne |
| RGPD, article 32 | Sécurité du traitement adaptée au risque |
| RGPD, article 33 | Notification des violations de données |
| RGPD, article 30 | Registre des traitements mentionnant l'hébergement et les transferts |
| Article L.614-4 du Code du travail | Communication des fichiers à l'ITM dans les meilleurs délais |
Note
Le cloud public est admis : ce sont la chaîne de sous-traitance, la localisation des accès et la réversibilité qui doivent être vérifiées. Testez l'export chaque année — c'est ce qui reste quand le contrat de service s'arrête.