Hébergement des données en Europe et RGPD : que demander à votre hébergeur

Héberger ses données en Europe signifie qu’elles sont stockées et traitées sur des serveurs situés physiquement dans des pays de l’UE. Le RGPD (règlement général sur la protection des données) ne l’exige pas en règle générale, mais il restreint les transferts de données personnelles hors de l’UE et impose un contrat avec chaque prestataire qui traite ces données pour vous. Un hébergement européen simplifie ces deux points, sans les remplacer.

Ce guide donne des informations générales et ne constitue pas un conseil juridique. Les règles varient selon les pays et les secteurs, et votre situation peut comporter des particularités importantes. Consultez un avocat ou votre délégué à la protection des données avant de prendre des décisions de conformité.

Le RGPD, en termes simples

Le RGPD est le règlement de l’Union européenne sur les données personnelles, c’est-à-dire toute information relative à une personne identifiable : un nom, une adresse e-mail, un numéro de téléphone, un historique de commandes, la transcription d’une conversation, une adresse IP. Il s’applique non seulement aux entreprises établies dans l’UE, mais en général aussi aux organisations situées ailleurs qui proposent des biens ou des services à des personnes dans l’UE ou qui observent leur comportement. Si vous vendez à des clients européens, il vous concerne probablement, où que vous soyez installé.

Le texte donne aux personnes des droits sur leurs données (les consulter, les corriger, demander leur effacement) et impose des obligations aux organisations : avoir une base légale pour utiliser les données, ne collecter que le nécessaire, les protéger, ne pas les garder plus longtemps que nécessaire et informer les personnes de ce que vous en faites. L’hébergement n’est qu’une partie de ces obligations.

Localisation des données et accès par la loi : deux choses différentes

Deux notions sont souvent confondues, et la différence compte quand vous choisissez un prestataire.

• La localisation des données est l’endroit où elles se trouvent physiquement : quel pays, quel centre de données.
• L’accès par la loi désigne les lois et les autorités qui peuvent contraindre celui qui contrôle ces données à les communiquer.

Un serveur à Francfort ou à Paris répond à la première question. La seconde dépend de qui possède et exploite le service. Si un prestataire a son siège ou son contrôle hors de l’UE, les lois de son pays d’origine peuvent, dans certains cas, permettre à des autorités de réclamer des données, même quand les serveurs sont en Europe. C’est pourquoi les régulateurs et les juridictions européens ont accordé autant d’attention aux transferts, et pourquoi certaines organisations regardent aussi la nationalité et l’actionnariat de leur prestataire, pas seulement l’emplacement du centre de données.

Pour beaucoup de petites entreprises, un centre de données européen géré par un prestataire sérieux, avec un bon contrat, offre un niveau de protection raisonnable. Pour les données de santé, de finance, du secteur public ou d’autres données sensibles, la question de l’accès par la loi mérite un vrai conseil juridique. La réponse n’est pas la même pour tous, et aucun choix d’hébergement ne fait disparaître la question.

Les transferts internationaux : les bases

Le RGPD traite le passage de données personnelles de l’UE vers un autre pays comme une opération encadrée. Un transfert peut résulter d’un stockage à l’étranger, mais aussi d’un accès à distance par un prestataire situé dans un autre pays, par exemple pour le support. Les données peuvent être transférées légalement, mais sur une base reconnue. Les principales sont les suivantes.

• Les décisions d’adéquation : la Commission européenne a estimé que certains pays, ou certaines entreprises dans ces pays, offrent un niveau de protection essentiellement équivalent à celui de l’UE. Les données peuvent alors circuler sans démarche supplémentaire. La liste évolue : consultez la version à jour plutôt que de vous fier à vos souvenirs.
• Les clauses contractuelles types (CCT) : des clauses modèles approuvées par la Commission, que signent l’exportateur et l’importateur. C’est l’outil le plus courant quand aucune décision d’adéquation ne s’applique, et il faut généralement l’accompagner d’une analyse de la capacité des lois du pays de destination à laisser ces clauses jouer leur rôle en pratique.
• Les règles d’entreprise contraignantes : des règles internes pour les transferts au sein d’un grand groupe, approuvées par les autorités.
• Les dérogations : des cas étroits, comme le consentement explicite pour un transfert isolé. Elles ne sont pas faites pour des transferts réguliers et répétés.

La leçon pratique : si vos données restent dans l’UE et que personne hors de l’UE ne peut y accéder, beaucoup de ces questions disparaissent en grande partie. Si un élément de votre chaîne passe par un autre pays (équipe de support, outil d’analyse, service d’IA, lieu de sauvegarde), cherchez à savoir quel mécanisme le couvre.

Responsable de traitement, sous-traitant et contrat de sous-traitance

Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données personnelles sont utilisées : c’est généralement vous. Le sous-traitant traite les données pour le compte du responsable : votre hébergeur, votre service de messagerie, l’éditeur de votre CRM.

Quand vous faites appel à un sous-traitant, le RGPD attend un contrat écrit, souvent appelé accord de traitement des données ou DPA. Il couvre en général ce que le sous-traitant peut faire des données (uniquement ce que vous demandez), la confidentialité, les mesures de sécurité, l’aide pour répondre aux demandes des personnes, la notification des violations de données, la suppression ou la restitution en fin de contrat, et le recours à des sous-traitants ultérieurs, c’est-à-dire les autres sociétés dont votre prestataire dépend. Un prestataire qui n’a aucun contrat de ce type à vous proposer, ou qui promet d’y réfléchir à contrecœur, doit vous alerter.

Que demander à un hébergeur

Utilisez cette liste pour comparer les prestataires, nous compris. Des réponses claires et précises sont bon signe. Des réponses vagues ne le sont pas.

1. Dans quels pays et quels centres de données mes données seront-elles stockées, sauvegardes et copies comprises ?
2. Puis-je choisir la région, et ce choix est-il garanti par le contrat plutôt que simplement proposé par défaut ?
3. Quelqu’un hors de l’UE aura-t-il accès à mes données, pour le support, la supervision ou l’exploitation ? Avec quel mécanisme de transfert ?
4. À qui appartient l’entreprise et où est son siège ? Quelles lois pourraient s’y appliquer ?
5. Proposez-vous un accord de traitement des données, et puis-je le lire avant de signer ?
6. Quels sous-traitants ultérieurs utilisez-vous, où sont-ils, et me préviendrez-vous avant tout changement de cette liste ?
7. Comment les sauvegardes sont-elles faites, à quelle fréquence, où sont-elles conservées, et en combien de temps pouvez-vous restaurer ?
8. Quelles mesures de sécurité sont en place : chiffrement en transit et au repos, contrôle des accès, mises à jour, journalisation ?
9. Quelle est votre procédure en cas de violation de données, et sous quel délai me prévenez-vous ? Le responsable de traitement dispose en général de délais serrés pour signaler les violations graves aux autorités.
10. Que deviennent mes données quand je pars : format d’export, suppression et délai ?
11. Que surveillez-vous, que se passe-t-il en cas de panne, et qui est joignable ?

Les questions à vous poser à vous-même

L’hébergement n’est qu’un élément. Avant de choisir un prestataire, répondez à quelques questions sur vos propres données.

• Quelles données personnelles détenons-nous, et sur qui (clients, salariés, patients, candidats) ?
• Certaines relèvent-elles d’une catégorie sensible, comme la santé, ou d’une règle nationale ou sectorielle ?
• Nos clients ou nos contrats exigent-ils que les données restent dans un pays ou une région ?
• Quels autres outils reçoivent ces données en dehors de l’hébergeur : messagerie, statistiques, paiement, services d’IA ?
• Qui, chez nous, est chargé de répondre aux questions à ce sujet ?

Certains pays et secteurs ajoutent leurs propres exigences, comme des règles sur les données de santé ou des marchés publics qui imposent un lieu. Elles peuvent être plus strictes que le RGPD seul, ce qui est une raison de plus de consulter un juriste pour les cas sensibles.

Les services d’IA et le chemin de vos données

L’IA ajoute une couche que l’on oublie souvent. Quand un assistant ou un agent IA lit un message client ou un document, ce texte peut être envoyé à un fournisseur de modèle pour produire une réponse. Héberger votre application dans l’UE ne règle pas, à elle seule, la question du lieu où ce texte est traité.

Demandez quel fournisseur de modèle est utilisé, dans quelle région la requête est traitée, si vos données sont conservées ou servent à l’entraînement, et quel contrat s’applique. Les bons prestataires répondent à ces questions en quelques lignes. Si un projet d’IA manipule des données personnelles, ajoutez le fournisseur de modèle à votre liste de sous-traitants et de transferts.

Quand l’hébergement européen n’est pas le bon sujet

Ne voyez pas l’hébergement européen comme un label de conformité. Un serveur dans l’UE avec des mots de passe faibles, sans sauvegardes et sans contrat est pire qu’un service bien géré ailleurs avec les bonnes garanties. Si vos utilisateurs et vos clients ne sont pas dans l’UE et que vous ne détenez aucune donnée personnelle de l’UE, le RGPD peut ne pas s’appliquer du tout, et d’autres règles peuvent compter davantage. Et si le vrai problème est que vous collectez plus de données que nécessaire, déplacer les serveurs ne le règle pas.

À l’inverse, l’emplacement peut compter pour des raisons qui dépassent le droit : la latence, car des serveurs proches des utilisateurs répondent plus vite, et la confiance, car certains clients préfèrent simplement que leurs données restent dans leur région. Ces raisons sont tout aussi légitimes, et elles peuvent mener à un autre choix.

Une courte liste avant de décider

• Listez les données personnelles que vous détenez et où chacune est stockée aujourd’hui.
• Déterminez si vos clients ou votre secteur exigent un emplacement précis.
• Obtenez par écrit l’accord de traitement des données et la liste des sous-traitants ultérieurs.
• Vérifiez que sauvegardes, accès et support sont couverts par la même promesse d’emplacement.
• Regardez comment l’IA et les autres outils tiers traitent les données.
• Testez la sortie : demandez comment vous exporteriez et supprimeriez tout.
• Faites relire la configuration par un juriste si les données sont sensibles ou les enjeux élevés.

Et maintenant

Si vous préparez un nouveau projet ou déménagez un projet existant, notez où vos données doivent rester et pourquoi, puis testez chaque prestataire avec les questions ci-dessus. Bitwire propose un hébergement géré avec une option européenne pour les sites, les agents et les outils sur mesure. Dites-nous ce que vous exploitez et quelles règles s’appliquent, et nous vous dirons honnêtement si nous sommes le bon choix. Si vous hésitez aussi sur ce qu’il faut construire, lisez notre guide logiciel sur mesure ou standard.