La résidence des données n'est pas la même question que la conformité en général — elle concerne spécifiquement l'endroit où vos données se trouvent physiquement et les lois de quel pays peuvent les atteindre. Pour les entreprises européennes, cette question s'est aiguisée, pas adoucie, ces dernières années.
Ce que signifie vraiment la résidence des données
La résidence des données concerne la localisation physique et juridique de vos données : dans quel pays se trouvent les serveurs, et donc quelles lois et règles d'accès gouvernemental s'y appliquent. C'est une question plus étroite et plus concrète que la conformité RGPD générale — voir notre checklist RGPD pour la vue d'ensemble — mais elle détermine de plus en plus où les entreprises choisissent d'héberger, tout simplement.
Pourquoi cela compte davantage depuis Schrems II
L'arrêt Schrems II a invalidé le précédent cadre de transfert de données UE–États-Unis parce que le droit américain de surveillance pouvait atteindre les données détenues par des prestataires basés aux États-Unis, même dans leurs centres de données en UE. L'effet pratique : transférer des données personnelles UE vers un prestataire soumis au droit américain comporte un risque juridique réel, pas seulement théorique, et les clauses contractuelles types seules peuvent ne pas combler entièrement l'écart.
- Des données personnelles UE circulant vers une société mère hors UE peuvent déclencher des garanties juridiques supplémentaires.
- Les tribunaux et agences de quel pays peuvent contraindre l'accès à vos données dépend de qui exploite l'infrastructure, pas seulement de l'endroit où se trouvent les serveurs.
- C'est pourquoi certains régulateurs et acheteurs du secteur public exigent désormais spécifiquement une infrastructure détenue et exploitée par des acteurs UE — la « souveraineté », pas seulement « l'emplacement ».
Questions à poser à tout hébergeur ou prestataire cloud
- Dans quel pays exactement nos serveurs sont-ils physiquement situés, et cela peut-il être garanti contractuellement ?
- La société exploitante (et sa maison mère, le cas échéant) est-elle soumise à des lois non-UE qui pourraient contraindre l'accès aux données ?
- Que devient notre accès à nos données si nous voulons partir — y a-t-il une vraie portabilité, ou un verrouillage ?
- Les sous-traitants (sauvegardes, CDN, outils de support) restent-ils eux aussi dans l'UE, ou les données sortent-elles par la porte de derrière ?
Le verrouillage fournisseur est le compromis discret ici : une pile entièrement souveraine, uniquement UE, peut signifier moins d'intégrations de grandes marques. Pour la plupart des entreprises européennes, ce compromis en vaut la peine — le risque se situe dans les données, pas dans le confort.