Un SaaS hébergé hors d'Europe peut-il être conforme ?

Introduction

La question de l’hébergement combine une exigence juridique et une attente commerciale, qui ne se recouvrent pas exactement.

Ce qui constitue un transfert

Un transfert existe dès lors que des données sont rendues accessibles depuis un pays tiers, y compris par simple consultation à distance.

Un hébergement dans l’Union par un fournisseur dont les équipes de support accèdent aux données depuis un pays tiers constitue donc un transfert.

C’est l’accès, non la localisation physique des serveurs, qui déclenche l’obligation d’encadrement.

Cette précision est déterminante : de nombreux éditeurs annoncent un hébergement européen tout en opérant des transferts non encadrés.

Les mécanismes d’encadrement

La décision d’adéquation : la Commission européenne constate qu’un pays tiers assure un niveau de protection adéquat, et le transfert ne requiert alors aucune autorisation particulière.

S’agissant des États-Unis, une décision d’adéquation a été adoptée en juillet 2023, fondée sur le cadre de protection des données entre l’Union européenne et les États-Unis. Elle ne couvre que les organisations américaines certifiées au titre de ce cadre et figurant sur la liste tenue à cet effet.

La vérification de cette certification est un préalable : elle se contrôle sur la liste publique et peut être perdue.

Les clauses contractuelles types adoptées par la Commission, à signer entre l’exportateur et l’importateur. Le module applicable dépend de la qualité des parties, et les annexes doivent être réellement complétées.

Les règles d’entreprise contraignantes, adaptées aux groupes internationaux, soumises à approbation.

Les dérogations pour situations particulières, d’interprétation stricte, qui ne peuvent fonder des transferts massifs ou répétitifs.

L’analyse d’impact du transfert

La signature de clauses ne suffit pas.

L’exportateur doit évaluer si la législation et les pratiques du pays de destination permettent à l’importateur de respecter ses engagements, notamment au regard des pouvoirs d’accès des autorités publiques.

Cette évaluation, documentée, examine la nature des données, la durée, le secteur et les garanties disponibles.

Lorsqu’elle révèle un risque, des mesures supplémentaires doivent être adoptées : chiffrement avec conservation des clés dans l’Union, pseudonymisation, restriction des accès, minimisation des données transférées.

L’absence d’analyse documentée est le manquement le plus fréquemment relevé.

La cartographie à établir

Un éditeur doit connaître précisément ses flux.

Hébergeur principal et régions utilisées.

Services tiers intégrés : envoi de courriels, surveillance, analyse, assistance conversationnelle, paiement, journalisation.

Localisation des équipes accédant aux données, y compris pour le support et l’astreinte.

Sauvegardes et leur localisation.

Environnements de test et données qu’ils contiennent.

Cette cartographie alimente l’annexe de sous-traitance et répond aux questionnaires clients.

Les attentes commerciales

La localisation est devenue un critère de sélection.

Les secteurs réglementés, les acteurs publics et les grands comptes exigent fréquemment un hébergement dans l’Union, parfois en France, et l’absence d’accès depuis un pays tiers.

Certains appels d’offres imposent des qualifications ou des labels spécifiques.

Ces exigences dépassent le droit de la protection des données : elles relèvent de politiques d’achat.

Un éditeur visant ces marchés doit anticiper l’architecture, une migration ultérieure étant coûteuse.

Les options d’architecture

Un hébergement unique dans l’Union, avec accès restreints aux personnels situés dans l’Union : la configuration la plus simple à documenter.

Une régionalisation, avec des instances par zone géographique, qui permet de servir plusieurs marchés sans transfert.

Un chiffrement avec conservation des clés par le client, qui réduit la portée des accès techniques.

Une architecture permettant de dédier une instance à un client exigeant, souvent monnayée.

Les mentions dans la documentation

La localisation des données doit figurer dans l’accord de traitement, dans la liste des sous-traitants ultérieurs et dans la politique de confidentialité.

Une divergence entre l’annonce commerciale et la réalité technique constitue à la fois un manquement et une allégation trompeuse.

Documenter les flux avant de répondre aux clients

Un questionnaire fournisseur se remplit à partir d’une cartographie, jamais de mémoire. Notre expertise RGPD et protection des données personnelles conduit ces cartographies.

En résumé

• Un accès depuis un pays tiers est un transfert, même avec des serveurs dans l’Union.
• La décision d’adéquation couvrant les États-Unis ne vise que les entités certifiées.
• Une analyse d’impact du transfert, documentée, reste exigée malgré la signature de clauses.
• Cartographier hébergeur, services tiers, localisation des équipes, sauvegardes et environnements de test.
• La localisation est devenue un critère commercial, à anticiper dans l’architecture.