Quelles garanties techniques un coffre-fort numérique doit-il respecter pour être conforme au droit luxembourgeois ?
Réponse courte
Aucun texte ne fixe de cahier des charges technique pour un coffre-fort numérique, et l'expression elle-même n'a pas de définition légale. La conformité s'apprécie au regard de deux corpus distincts.
Le premier est le RGPD, lorsque des données personnelles sont conservées : sécurité adaptée au risque, protection dès la conception, et encadrement du prestataire par le contrat de sous-traitance de l'article 28.
Le second n'intervient que si l'entreprise veut détruire les originaux papier. Seule la certification PSDC, au titre de la loi du 25 juillet 2015, confère à la copie une présomption de conformité à l'original. Le référentiel technique correspondant est celui de la certification, contrôlée par un organisme accrédité et validée par l'ILNAS.
Hors de ces deux cadres, les garanties relèvent du choix de gestion : intégrité, traçabilité, réversibilité et lisibilité dans la durée.
Définition
Le coffre-fort numérique est un espace de conservation sécurisé. Sans certification, c'est un outil de stockage, non un dispositif à valeur probante.
La certification PSDC atteste qu'un prestataire respecte le référentiel applicable. C'est elle, et non les fonctionnalités du produit, qui produit l'effet juridique.
Questions fréquentes
Conditions d’exercice
Les exigences juridiques sont limitées ; les autres relèvent de la prudence.
| Élément | Régime |
|---|---|
| Cahier des charges légal | Inexistant : aucun texte ne fixe de garanties techniques |
| Sécurité du traitement | Adaptée au risque, avec protection dès la conception (RGPD, art. 25 et 32) |
| Contrat de sous-traitance | Obligatoire, avec le contenu de l'article 28 du RGPD |
| Destruction des originaux | Suppose une certification PSDC (loi du 25 juillet 2015) |
| Présomption de conformité | Réservée à la copie certifiée par un PSDC |
| Durée de conservation | Dix ans depuis la clôture de l'exercice (art. 16 du Code de commerce) |
| Localisation des données | Hors de l'Union, fondement du chapitre V du RGPD requis |
Modalités pratiques
Le choix se juge sur quatre critères, dont un seul est proprement juridique.
| Critère | Ce qu'il faut vérifier |
|---|---|
| Statut | Le prestataire est-il certifié PSDC, ou simplement « sécurisé » ? |
| Intégrité | Le dispositif détecte-t-il toute altération d'un fichier archivé ? |
| Traçabilité | Les accès et opérations sont-ils journalisés et exportables ? |
| Réversibilité | Peut-on récupérer les documents et les journaux dans un format exploitable ? |
| Lisibilité | Les formats restent-ils ouvrables sans logiciel propriétaire ? |
| Sous-traitance | Le contrat comporte-t-il les clauses de l'article 28 du RGPD ? |
| Localisation | Où résident les données, et depuis où sont-elles accessibles ? |
Pratiques et recommandations
Le vocabulaire commercial est le premier obstacle. « Archivage à valeur probante », « coffre-fort légal », « conservation conforme » ne recouvrent aucun statut juridique. La seule question qui produise un effet est celle de la certification PSDC ; posez-la directement et demandez-en la preuve.
La réversibilité se négocie avant la signature, jamais après. Une entreprise qui change de solution et découvre qu'elle ne peut extraire ses documents qu'à un coût prohibitif, ou dans un format inexploitable, se retrouve prisonnière d'un outil censé sécuriser ses preuves. Le même raisonnement vaut pour les journaux d'accès, qui disparaissent avec l'abonnement.
Ne surinvestissez pas quand vous gardez le papier. Une entreprise qui conserve ses originaux n'a besoin d'aucune certification : elle produira le document original si la copie est contestée. La certification n'a de sens que dans un projet de destruction du papier.
Cadre juridique
| Référence | Objet |
|---|---|
| Loi du 25 juillet 2015 | Archivage électronique : statut PSDC et présomption de conformité de la copie à l'original |
| Règlement (UE) 2016/679, art. 25 et 32 | Protection dès la conception et sécurité du traitement adaptée au risque |
| Règlement (UE) 2016/679, art. 28 | Contrat de sous-traitance : instructions, sécurité, sous-traitants ultérieurs |
| Règlement (UE) 2016/679, art. 44 et suivants | Transferts de données hors de l'Union |
| Art. 16 du Code de commerce | Conservation des documents dix ans à compter de la clôture de l'exercice |
| Art. L.614-4 | Communication des documents à l'ITM dans les meilleurs délais |
Note
Aucun cahier des charges légal n'existe : la conformité tient au RGPD pour les données personnelles et à la certification PSDC si l'on veut détruire les originaux. « Archivage à valeur probante » n'est pas un statut — demandez la certification et sa preuve.