« Hébergé dans l’UE » décrit un serveur. Vos données se trouvent à plus d’endroits que cela.

---

RÉPONSE RAPIDE

« Hébergé dans l’UE » répond en général à une seule question : où se trouve le serveur web. Cela ne dit rien des sauvegardes, des journaux, de l’envoi des e-mails, ni de qui se connecte et d’où. Au regard du RGPD, la consultation, par du personnel de support situé dans un pays tiers, de données stockées en Europe constitue un transfert. Trois questions permettent d’obtenir la vraie réponse, et les voici.

---

Un client potentiel pose à l’agence une question légitime : notre site est-il hébergé dans l’UE ? La réponse tient en une ligne. Oui, nos serveurs sont à Francfort.

La réponse est vraie. Elle porte aussi sur une seule machine. Pendant ce temps, les sauvegardes nocturnes partent chez un autre prestataire, les journaux d’erreurs sont collectés par un outil de supervision, le formulaire de contact envoie ses e-mails par un service d’envoi, et un développeur qui assure le support du site se connecte depuis l’extérieur de l’Europe. Dans chacun de ces cas, des données à caractère personnel circulent quelque part. Aucun n’était couvert par la réponse.

« Hébergé dans l’UE » est un fait sur un serveur, pas sur un système

Un site web n’est pas un lieu unique. C’est une chaîne de services, et les données que vous confient vos visiteurs la parcourent.

Demandez à la plupart des agences où le site est hébergé, et vous obtenez le nom d’un centre de données. C’est le maillon le plus facile de la chaîne à documenter, et souvent le seul que quelqu’un ait vérifié. Le reste de la chaîne est assemblé avec ce qui était pratique au moment de la construction, généralement sans carte.

Rien de tout cela ne veut dire que quelqu’un est négligent. Cela veut dire que la question « est-ce hébergé dans l’UE ? » est trop petite pour produire une réponse utile.

Première question : où se trouvent réellement les données, copies comprises ?

Le serveur web n’est que le début. La vraie liste est plus longue :

• Les sauvegardes. Souvent un autre prestataire, dans un autre pays, qui détient une copie complète de tout ce que contient le site.
• Les journaux et la supervision. Les outils de suivi des erreurs et de performance reçoivent fréquemment des adresses de pages, des données de navigateur et parfois le contenu de formulaires.
• L’envoi des e-mails. Les messages d’un formulaire de contact partent généralement par un service de messagerie, pas depuis le serveur lui-même.
• Un réseau de diffusion de contenu. Des fichiers et parfois des adresses de visiteurs sont traités par des serveurs périphériques répartis dans le monde entier.
• Les outils d’analyse et de marketing. Leur propre stockage, où qu’il se trouve.
• L’endroit où l’agence conserve votre contenu pendant son travail : un lecteur, un outil de conception, un système de tickets.

Une copie n’est pas moins qu’un original. Une sauvegarde des données de vos membres dans un pays tiers, ce sont les données de vos membres dans un pays tiers.

La longueur de cette liste est un choix de conception, pas une fatalité. Elevates construit des sites qui relaient les messages des formulaires vers une boîte de réception au lieu de conserver sur le serveur une base de données des demandes, ce qui retire plusieurs lignes de la liste avant que quiconque ait à les auditer.

Deuxième question : qui d’autre y touche ?

Chacun de ces services est une entreprise. Au regard du RGPD, ce sont des sous-traitants ultérieurs : d’autres sociétés que votre agence fait intervenir pour traiter des données pour votre compte.

L’article 28, paragraphe 2, du règlement dispose que le sous-traitant « ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement », et que, en cas d’autorisation générale, le sous-traitant doit vous informer de tout changement prévu afin que vous puissiez vous y opposer. Concrètement, cela donne deux choses que vous pouvez exiger : une liste, et un avis quand elle change.

La liste est le document utile. Une ligne par service : ce qu’il fait, quelle société l’exploite, et dans quel pays se trouvent les données. Une agence qui ne peut pas la fournir n’a pas cartographié sa propre chaîne.

Troisième question : qui se connecte, et d’où ?

C’est la question que presque personne ne pose, et celle dont la réponse est la plus nette en droit.

Le RGPD ne définit pas le « transfert ». Le Comité européen de la protection des données (CEPD) a comblé ce vide dans ses lignes directrices 05/2021, version 2.0, adoptées le 14 février 2023. Il pose trois critères cumulatifs : l’exportateur est soumis au RGPD ; il rend les données accessibles à un autre responsable du traitement ou sous-traitant ; et cet importateur « se trouve dans un pays tiers ».

Il donne ensuite le cas qui nous intéresse ici. Un sous-traitant situé hors de l’UE qui « accède à distance, par exemple à des fins d’assistance, à des données stockées dans l’UE » provoque un transfert, parce que la personne qui consulte les données se trouve dans un pays tiers. L’emplacement du disque ne tranche pas la question. L’emplacement des personnes compte aussi.

La troisième question est donc simplement la suivante : qui dispose d’un accès au serveur, à la base de données et au système de gestion de contenu, et depuis quels pays ces personnes travaillent-elles ?

Un transfert n’est pas interdit. Il est conditionnel

Rien de tout cela ne signifie que des données ne peuvent jamais quitter l’Europe. L’article 44 autorise les transferts lorsque les conditions du chapitre V sont remplies, et il existe deux voies ordinaires.

La première est la décision d’adéquation : la Commission a décidé que la destination protège les données de manière adéquate, et aucune formalité supplémentaire n’est nécessaire. La liste de la Commission comprend Andorre, l’Argentine, le Brésil, le Canada, les îles Féroé, Guernesey, Israël, l’île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée, la Suisse, le Royaume-Uni, les États-Unis et l’Uruguay, ainsi que l’Organisation européenne des brevets.

Deux d’entre elles sont assorties d’une condition. La décision relative au Canada ne couvre que les organisations commerciales. Les États-Unis ne sont couverts que pour les entreprises qui ont adhéré au cadre de protection des données UE-États-Unis (Data Privacy Framework), selon la décision adoptée le 10 juillet 2023. Dire « notre prestataire de sauvegarde est américain » n’est donc pas une réponse en soi : il faut savoir si cette entreprise précise figure sur la liste du cadre.

La seconde voie, lorsqu’il n’y a pas de décision d’adéquation, ce sont les clauses contractuelles types de l’article 46. Elles relèvent de la paperasse ordinaire, pas d’un obstacle, et une agence qui travaille à l’international devrait déjà les avoir.

Une société de l’UE détenue depuis l’étranger est une autre question

Il existe un cas intermédiaire dont on débat beaucoup, et le CEPD y a répondu.

Si votre sous-traitant est établi dans l’UE, ne traite vos données que dans l’UE, et que personne en dehors de l’UE n’y a accès, alors lui confier des données n’est pas un transfert, même si sa société mère se trouve dans un pays tiers et que le droit étranger pourrait l’atteindre. L’exemple du CEPD lui-même précise que la divulgation « ne constitue pas un transfert et le chapitre V du RGPD ne s’applique pas ».

Cela ne clôt pas le sujet, car le risque d’une demande d’accès étrangère existe toujours et doit toujours être pesé au regard des obligations de sécurité du règlement. Mais ce n’est pas une question de transfert, et la traiter comme telle brouille la discussion.

Quatre réponses qui semblent rassurantes et ne le sont pas

Certaines réponses arrivent avec assurance et ne règlent rien.

« Nous utilisons un prestataire européen. » Le siège du prestataire n’est pas le même fait que l’endroit où se trouvent vos données, ni le même fait que la question de savoir qui peut y accéder. Une entreprise européenne peut stocker des données hors d’Europe, et une entreprise établie hors d’Europe peut en stocker à l’intérieur. Posez la question des données, pas celle du papier à en-tête.

« Tout est chiffré. » Le chiffrement est une mesure de sécurité, exigée en tant que telle par l’article 32, et il vaut la peine d’être en place. Il ne répond pas à la question de la localisation. Des données chiffrées au repos sont tout de même traitées quelque part, par quelqu’un qui détient la clé.

« Nous ne stockons aucune donnée à caractère personnel. » C’est souvent dit en toute sincérité, et c’est souvent faux. Le formulaire de contact laisse une copie dans une boîte de réception. Le journal d’erreurs a capturé l’adresse du visiteur. La sauvegarde contient la base de données d’avant le dernier nettoyage. Ce qu’un site a été conçu pour stocker et ce qu’il contient réellement sont deux listes différentes.

« Notre hébergeur est conforme au RGPD. » Aucune autorité ne certifie qu’une entreprise est conforme au RGPD de manière générale. Un prestataire peut proposer des conditions contractuelles standard, des certifications de sécurité et des régions européennes, et c’est utile, mais la conformité tient à ce que vous faites des données, pas à un badge sur le site d’un fournisseur.

Aucune de ces réponses n’est un mensonge. Ce sont des réponses à des questions plus faciles que celle que vous avez posée.

Ce qu’il faut demander, par écrit

Six lignes, qui fonctionnent avec n’importe quelle agence :

• La liste des sous-traitants ultérieurs : le nom, ce que fait chacun, et le pays où se trouvent les données.
• Où sont les sauvegardes, chez qui, et pendant combien de temps elles sont conservées.
• Ce que collectent les journaux d’erreurs et les outils d’analyse, et où cela va.
• Depuis quels pays se connecte votre personnel de support, indépendants compris.
• Comment l’information vous parviendra lorsqu’un sous-traitant ultérieur change, et comment vous pouvez vous y opposer.
• Le contrat de sous-traitance lui-même, puisque l’article 28, paragraphe 3, en exige un par écrit.

Une agence qui répond aux six en une journée vous dit qu’elle a une carte. Une agence qui ne répond qu’à la première vous dit la vérité sur son serveur et rien d’autre.

Là où s’arrête la liste de contrôle

Une liste est une déclaration, pas une garantie. Elle reflète ce que l’agence sait de sa propre chaîne le jour où elle a été rédigée.

Deux choses en font davantage que du papier. La première est de réduire ce qu’il y a à protéger : un site qui ne stocke jamais les demandes sur son propre serveur a une liste bien plus courte que celui qui conserve chaque message dans une base de données pendant des années. La seconde est de tenir la liste à jour, car une nouvelle extension ou un nouvel outil de supervision ajoute un maillon à la chaîne sans que personne l’annonce.

Ce que coûte une réponse vague, et ce que fait Elevates

Pour l’entreprise qui pose la question, le coût du « oui, Francfort » est que la question reste ouverte. Elle refait surface quand un client exige une liste de sous-traitants, quand le responsable conformité d’un bailleur de fonds la pose, ou après un incident, ce qui est le pire moment pour commencer à dessiner la carte.

Souvent, la réponse honnête est qu’un petit site vitrine avec un formulaire de contact a une chaîne courte et une carte simple, et qu’un après-midi avec les six questions règle le sujet pour des années. Là où Elevates construit, la conception part du principe de stocker moins : les formulaires relaient vers une boîte de réception au lieu de constituer sur le serveur une base de données des demandes, et ce que prévoit le contrat est la suppression à la livraison plutôt qu’une conservation indéfinie. Une chaîne plus courte est plus facile à garder fidèle à la réalité qu’une chaîne longue qu’il faut auditer.

La question à poser cette semaine

Demandez à la personne qui gère votre site : depuis quels pays travaillent les personnes qui peuvent s’y connecter ?

Si la réponse arrive avec une liste de services et de pays à côté, l’hébergement dans l’UE a un sens dans votre cas. Si la réponse est le nom d’une ville où se trouve un serveur, vous avez appris un fait sur une machine.

Ceci est une description du règlement et des orientations du CEPD. Ce n’est pas un conseil juridique, et savoir si vos propres dispositifs sont conformes est une question pour un juriste de votre pays.