Le service achats a demandé où sont stockées vos données. Voici comment vraiment répondre
« Nos serveurs sont dans l’UE » n’est pas une réponse à la question que pose un évaluateur conformité. Voici la différence entre l’endroit où résident les données, à qui appartient la machine, et qui peut y accéder.
In short
La résidence des données recouvre trois questions distinctes : où les données sont stockées, à qui appartient l’infrastructure, et qui peut y accéder depuis où. Un hébergeur qui ne répond qu’à la première n’a pas répondu à la question.
L’équipe conformité d’un client vous envoie un questionnaire. Une ligne demande où sont stockées les données personnelles traitées via votre site. Vous transmettez à votre hébergeur, recevez « notre infrastructure est située dans l’Union européenne », le collez tel quel, et l’évaluateur revient avec trois questions de plus.
Cela arrive parce que la résidence des données n’est pas une seule question. C’en est trois, et la plupart des discours marketing des hébergeurs ne répondent qu’à la plus facile.
Question une : où les données sont-elles stockées ?
C’est la question à laquelle tout le monde répond, parce qu’elle a la réponse la plus avenante. Les données au repos sont sur un disque, le disque est dans un bâtiment, le bâtiment est dans un pays. Francfort, Amsterdam, Belgique — réglé.
C’est une vraie question et elle compte. C’est aussi celle à laquelle un prestataire peut répondre par l’affirmative tout en laissant les deux plus difficiles de côté, et c’est pourquoi un évaluateur qui connaît son métier ne s’y arrête jamais.
Question deux : à qui appartient l’infrastructure ?
Un hébergeur avec des serveurs à Francfort peut posséder ces serveurs, ou louer de la capacité à un hyperscaler qui les possède. Les deux sont légitimes. Ils ne sont pas équivalents pour une évaluation de conformité.
Si l’infrastructure sous-jacente appartient à un grand fournisseur cloud, ce fournisseur fait partie de votre chaîne de traitement, qu’il apparaisse ou non dans le marketing. Il a un accès physique au matériel et relève du régime juridique de sa propre juridiction — ce qui, pour un cloud à maison mère américaine, inclut le CLOUD Act quel que soit l’emplacement du centre de données.
La question à poser est directe : possédez-vous les serveurs sur lesquels se trouvent mes données, ou les louez-vous ? Les prestataires qui possèdent leur matériel répondent immédiatement. Ceux qui louent ont tendance à répondre à une question légèrement différente.
Question trois : qui peut y accéder, et depuis où ?
C’est celle qui prend les gens au dépourvu, et la plus susceptible d’apparaître dans un audit sérieux.
Au regard du RGPD, rendre des données personnelles accessibles à quelqu’un dans un pays tiers constitue en soi un transfert encadré. Non pas les copier — les rendre atteignables. Un ingénieur hors de l’EEE capable de se connecter à un serveur de production constitue un transfert au titre du chapitre V, même si les données ne quittent jamais le disque sur lequel elles se trouvaient.
Ce qui signifie qu’un hébergeur peut affirmer en toute vérité « vos données sont stockées dans l’UE et n’en sortent jamais » alors que son équipe de support administre ces serveurs depuis n’importe où dans le monde. Les deux affirmations sont vraies en même temps. Une seule figure sur la page marketing.
Posez la question explicitement : depuis quels pays votre personnel peut-il accéder aux systèmes de production, et quel est le mécanisme de transfert ? Un prestataire avec une vraie réponse nomme les pays et renvoie aux clauses contractuelles types de son accord de traitement. Un prestataire sans réponse répète que les serveurs sont dans l’UE.
Comment nous répondons aux trois
Stockage : sur du matériel qui nous appartient, dans des centres de données Tier III en Belgique et en Finlande. Fichiers, bases de données, boîtes mail et sauvegardes sont stockés dans l’UE et ne sont pas répliqués vers une autre région.
Propriété : les serveurs nous appartiennent. Nous ne revendons pas de capacité d’hyperscaler, et c’est précisément pour cela que nous pouvons répondre à la deuxième question.
Accès : notre équipe d’ingénierie travaille depuis notre bureau de Lahore, au Pakistan, et peut accéder aux systèmes de production pour assurer le support et répondre aux incidents. Au regard du RGPD, il s’agit d’un transfert encadré ; le Pakistan ne bénéficie d’aucune décision d’adéquation, cet accès s’effectue donc sous clauses contractuelles types et figure nommément dans notre accord de traitement, aux côtés de tous les autres sous-traitants. Une analyse d’impact du transfert est disponible sur demande.
Nous préférons l’écrire ici plutôt que de laisser un évaluateur le découvrir. Si votre organisation ne peut accepter aucun accès administratif hors EEE — une exigence réelle dans certains secteurs réglementés — dites-le-nous avant d’acheter, et la réponse honnête est que nous ne sommes pas le bon hébergeur pour vous.
À quoi ressemble une bonne réponse
Un hébergeur franc avec vous fournit quatre choses sans qu’on ait à insister : une localisation nommée pour les données au repos, une déclaration claire sur le propriétaire du matériel, une liste complète de sous-traitants avec les pays concernés, et un accord de traitement qui décrit les transferts au lieu de les évoquer vaguement.
Si la liste des sous-traitants est une catégorie — « fournisseurs d’infrastructure essentiels » — plutôt qu’une liste d’entreprises, ce n’est pas une liste de sous-traitants. Si la section sur les transferts indique que des garanties appropriées seront appliquées lorsque des transferts ont lieu, sans dire lesquels ont lieu, elle décrit une politique et non une pratique.
Ces deux documents vous en disent plus sur un hébergeur que n’importe quelle quantité de texte de page d’accueil sur la souveraineté. Ce sont d’ailleurs, fort utilement, les deux qu’un évaluateur achats demandera de toute façon.