Pourquoi la localisation du stockage est importante
Le RGPD impose des exigences strictes pour le transfert de données personnelles vers des pays hors de l’UE. Lorsque vous utilisez un logiciel qui stocke des données sur des serveurs aux États-Unis, en Inde ou dans un autre pays non-UE, des règles supplémentaires s’appliquent.
Cela ne signifie pas que vous ne pouvez pas utiliser ces outils. Mais vous devez savoir où les données se trouvent et documenter les garanties en place.
Comment savoir où vos données sont stockées ?
La plupart des éditeurs de logiciels publient leur localisation de stockage. Voici où chercher :
1. L’accord de traitement des données (DPA)
Si vous avez un DPA avec le fournisseur, il indique presque toujours dans quelle région les données sont traitées. Les grands fournisseurs comme Google, Microsoft et Amazon publient leur DPA sur leur site web.
2. La politique de confidentialité du fournisseur
Sous les rubriques “Transferts de données” ou “International data transfers,” vous trouverez généralement si les données quittent l’UE et quelles garanties s’appliquent.
3. Contact direct
Si vous ne trouvez pas l’information, envoyez un e-mail au fournisseur : “Les données personnelles que nous traitons via votre service sont-elles stockées sur des serveurs dans l’UE ?” La plupart des fournisseurs sont tenus de vous donner une réponse claire.
Que faire si les données sont hors de l’UE ?
Ce n’est pas un problème tant que des garanties appropriées sont en place. La garantie la plus courante est les Clauses Contractuelles Types (CCT), un ensemble de clauses contractuelles approuvées par la Commission européenne. Les grands fournisseurs cloud les ont déjà intégrées dans leurs conditions.
De plus, certains pays bénéficient d’une décision d’adéquation. La Commission européenne a déterminé que ces pays offrent un niveau de protection comparable. Le transfert de données vers ces pays est autorisé sans garanties supplémentaires.
Documenter dans GDPRWise
Dans votre dossier tiers, vous pouvez spécifier par fournisseur :
- Si les données sont stockées dans ou hors de l’UE
- Dans quel pays se trouvent les serveurs
- Quelle garantie s’applique (CCT, décision d’adéquation, ou autre)
GDPRWise vous avertit si vous ajoutez un fournisseur sans localisation de stockage, pour que vous n’oubliiez pas de la renseigner.
Règles pratiques
- Fournisseurs européens : les données sont généralement stockées dans l’UE, mais vérifiez par précaution
- Fournisseurs américains : les données sont souvent (aussi) traitées aux États-Unis, mais ils proposent généralement des CCT
- Un doute ? Documentez votre incertitude et contactez le fournisseur. L’honnêteté dans votre dossier vaut toujours mieux qu’une hypothèse
GDPRWise vous aide à documenter par fournisseur quelles données vous partagez, où elles sont stockées et quelles garanties s'appliquent.