Héberger hors de l'EEE : décisions d'adéquation, CCT et le transfert que la plupart des acheteurs cartographient en dernier
Si votre fournisseur héberge ses serveurs hors de l'EEE, c'est à vous — et non à lui — que revient le travail de conformité. Ce guide explique ce qu'est une décision d'adéquation, comment mener une analyse d'impact du transfert (TIA) qui ait du sens, et comment un fournisseur établi hors de l'EEE répond honnêtement à la question.
Ce qu'est réellement une décision d'adéquation
Une décision d'adéquation est la constatation, par la Commission européenne au titre de l'article 45 du RGPD, qu'un pays tiers offre un niveau de protection des données à caractère personnel essentiellement équivalent à celui en vigueur dans l'UE. Une fois un pays inscrit sur cette liste, les données à caractère personnel peuvent y circuler sans autorisation supplémentaire ni garantie additionnelle.
La liste est courte : Andorre, l'Argentine, le Canada (organisations commerciales uniquement), les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Corée du Sud, la Suisse, le Royaume-Uni, l'Uruguay, et les États-Unis uniquement pour les organisations certifiées au titre du cadre de protection des données UE-États-Unis. Le Maroc n'y figure pas.
Deux conséquences en découlent. La première : « hors de l'EEE » n'est pas une catégorie juridique unique ; transférer des données au Canada ou au Japon est un exercice différent de leur transfert au Maroc. La seconde : un pays peut disposer d'une loi complète de protection des données et ne pas bénéficier pour autant d'une décision d'adéquation, car ces deux réalités relèvent de processus entièrement distincts.
Pourquoi le Maroc ne bénéficie d'aucune décision d'adéquation, et ce que cela change pour vous
Le Maroc dispose de son propre régime de protection des données : la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, contrôlée par la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel. C'est un régime réel, avec des obligations d'enregistrement et ses propres règles sur les transferts à l'étranger. Ce n'est pas non plus une décision d'adéquation de l'UE, et rien dans la loi 09-08 ne s'y substitue.
L'adéquation est une décision que la Commission prend après sa propre évaluation du droit et des pratiques d'un pays. Aucun fournisseur ne peut la demander, l'acheter ou l'accélérer, et aucun partenariat ni aucune zone locale ne la produit. Soit un fournisseur conserve les données dans l'EEE, soit le transfert exige une garantie au titre de l'article 46.
L'obligation vous incombe donc. Sans adéquation, le transfert de données à caractère personnel vers le Maroc exige une garantie appropriée : en pratique, les clauses contractuelles types (CCT) de l'UE accompagnées d'une analyse d'impact du transfert (TIA) et, pour le Royaume-Uni, l'International Data Transfer Agreement (IDTA) ou l'avenant britannique aux CCT de l'UE, ainsi qu'une évaluation des risques du transfert. Vous êtes l'exportateur de données, et c'est l'exportateur qu'une autorité de contrôle sanctionne. Votre fournisseur ne vous doit rien au titre du RGPD, et l'amende n'arrive pas à Rabat.
Résidence, souveraineté et localisation : trois notions distinctes
Ces trois termes sont employés indifféremment dans le marketing des fournisseurs, et cette confusion coûte cher. Ils répondent à des questions différentes.
| Terme | Ce que cela signifie | Ce que cela ne signifie pas |
|---|---|---|
| Résidence des données | L'emplacement physique des données : quel pays héberge le disque et la sauvegarde. | Elle ne détermine pas la loi applicable à ces données. |
| Souveraineté des données | Quelle loi peut contraindre à la divulgation, et quels tribunaux et autorités peuvent accéder aux données. | Ce n'est pas la même chose que l'emplacement physique : un fournisseur redevable dans l'UE le reste même pour un disque situé à New York. |
| Localisation des données | Une obligation légale de conserver certaines données dans un territoire donné, fréquente pour les données du secteur public, de la santé et les enregistrements financiers. | Ce n'est pas un synonyme de résidence. La résidence est l'endroit où vous avez choisi de placer les données ; la localisation est l'endroit où la loi vous oblige à les placer. |
Un fournisseur peut affirmer en toute vérité que les données résident dans un pays donné alors que la question pratique de la souveraineté — qui peut accéder aux données, et sur l'ordre de qui — se tranche ailleurs. Posez la deuxième question même lorsque la première réponse est satisfaisante. Pour un fournisseur établi hors de l'EEE, la formulation honnête est encore plus étroite : la résidence est un fait technique que vous pouvez vérifier, la souveraineté un fait juridique que vous devez évaluer, et la localisation une obligation imposée à votre secteur plutôt qu'une fonctionnalité que quiconque peut vous vendre.
Mener une analyse d'impact du transfert proportionnée
Une TIA au titre des CCT n'est pas un formulaire à signer ; c'est un document motivé expliquant comment vous êtes parvenu à votre conclusion. La version copier-coller — un modèle décrivant un pays tiers générique, rempli une fois et jamais rouvert — est inexacte et sans valeur si l'on vous demande un jour de justifier le transfert. Une TIA proportionnée comporte cinq volets.
1. Cartographier le transfert
Quels champs de données à caractère personnel quittent l'EEE, concernant qui, via quels systèmes et par quelle voie. Incluez les canaux que personne n'a mis sur le schéma : journaux d'accès, sauvegardes, outils de suivi des erreurs, tickets de support.
2. Nommer le mécanisme et le bon module
Les CCT sont modulaires. Un contrat d'hébergement relève normalement du module responsable du traitement-sous-traitant, tandis que l'accès à distance par vos propres équipes ou par une société du groupe correspond à un autre module ; un module inexact est un défaut fréquent et évitable.
3. Évaluer le droit du pays de destination sur les faits
Cette loi atteint-elle réellement vos données, les autorités publiques peuvent-elles y accéder, quelles voies de recours existent, et quelle est la probabilité et la précision de cet accès dans la pratique plutôt qu'en théorie.
4. Choisir des mesures supplémentaires proportionnées
Le chiffrement sous votre propre gestion des clés, la pseudonymisation, la minimisation des données et une journalisation stricte des accès sont les mesures habituelles. Indiquez celles sur lesquelles vous vous appuyez et pourquoi, et dites clairement lorsque vous n'en retenez aucune parce que le risque dans votre cas précis est faible.
5. Documenter, dater et réviser
Consignez qui a validé et sur quels faits. Rouvrez le dossier lorsque l'architecture change, que la liste des sous-traitants ultérieurs évolue ou que les catégories de données que vous détenez changent.
6. Accepter une réponse courte et légitime
Si la charge de travail ne contient aucune donnée à caractère personnel — un runner CI, un agent de build, un environnement de préproduction sur données synthétiques — la conclusion honnête est qu'aucun transfert restreint n'a lieu. C'est une vraie conclusion, pas une échappatoire, et elle doit être consignée par écrit dans tous les cas.
L'accès du support : le transfert que la plupart des acheteurs ne cartographient jamais
Les acheteurs cartographient l'emplacement du disque et s'arrêtent là. La question plus utile est de savoir qui peut accéder aux données, et depuis où.
Si un ingénieur du support se connecte à votre machine virtuelle pour diagnostiquer une panne, restaure une sauvegarde contenant des données à caractère personnel ou consulte un journal d'hyperviseur affichant des adresses IP et des tentatives de connexion, il s'agit d'un accès depuis un pays tiers. C'est un transfert restreint à part entière, et il peut se produire même lorsque tous les disques se trouvent dans l'EEE, car un hôte situé dans l'EEE peut router un ticket vers un centre de support extérieur. C'est précisément ce que fait un modèle de support fortement externalisé.
La logique joue aussi dans l'autre sens, et c'est la partie que l'on oublie. Placer le disque dans un pays tiers ne dit rien de la traversée d'une frontière par le chemin d'accès, et déplacer le disque vers un pays jugé plus sûr ne supprime pas le chemin d'accès que vous aviez déjà. Un fournisseur dont les datacenters sont hors de l'EEE ne représente que la moitié de l'analyse ; ses ingénieurs sont l'autre moitié.
- Qui peut accéder à la production, en rôles nommés plutôt qu'en « l'équipe ».
- Depuis quels pays, y compris tout sous-traitant ou centre d'assistance externalisé.
- Sous quelle authentification et quelle journalisation, et si les journaux vous sont accessibles.
- Sur instruction de qui, et comment une demande émanant de votre côté est authentifiée.
- Comment la réponse a été vérifiée, et non simplement affirmée lors d'un appel commercial.
Un fournisseur incapable de répondre ne cache pas nécessairement quelque chose, mais vous ne pouvez pas mener une TIA sans ces faits. Si la cartographie de vos propres flux de données est le point de blocage, il s'agit d'un travail de conseil plutôt que d'une décision d'hébergement, et il vaut la peine de le faire avant de migrer quoi que ce soit.
Ce qu'un fournisseur peut faire pour vous — et ce qu'il ne peut pas
Ce qu'un fournisseur peut faire
- Signer un accord de traitement des données conforme à l'article 28 du RGPD.
- Publier la liste des sous-traitants ultérieurs et s'engager à vous prévenir avant toute modification.
- Décrire honnêtement les accès du support, y compris les pays depuis lesquels travaillent ses ingénieurs.
- Fournir les éléments techniques nécessaires à une analyse d'impact des transferts (TIA) : régions, chemins d'accès, journalisation, options de chiffrement, comportement à la suppression.
- Réduire l'exposition de manière structurelle, par exemple en vous donnant le contrôle exclusif des données, de sorte qu'il n'ait aucune raison de lire quoi que ce soit.
Ce qu'aucun fournisseur ne peut faire
- Vous donner une décision d'adéquation, ni faire en sorte qu'elle arrive plus vite.
- Proposer une résidence des données dans l'UE depuis des datacentres qui ne s'y trouvent pas.
- Vous décharger de votre obligation d'exportateur. Elle n'est pas transférable par contrat.
- Rendre une TIA inutile, ni vous remettre une TIA qui vous appartienne véritablement.
- Remplacer le mécanisme de transfert lui-même par une certification, un label ou un numéro ISO.
Pour les fournisseurs établis aux États-Unis, une vérification supplémentaire s'impose. Le cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) ne confère l'adéquation qu'aux organisations certifiées au titre de ce cadre, et la certification est accordée entité juridique par entité juridique : elle peut expirer et ne couvre pas automatiquement les filiales ni les fournisseurs en amont. Vérifiez l'entité sur la liste officielle du DPF plutôt que de vous fier au site web d'un groupe.
La position réelle d'OpenVista
C'est généralement ici qu'un guide comme celui-ci se transforme en argumentaire commercial. Nous allons faire l'inverse, car la version honnête vous sera plus utile, même si vous finissez par acheter ailleurs.
- Nous n'avons aucun datacentre dans l'UE. OpenVista en exploite deux, à Rabat au Maroc et à New York aux États-Unis. Nous n'avons aucune installation dans l'UE, au Royaume-Uni, au Canada ni en Australie, et nous ne pouvons offrir une résidence des données dans l'UE à aucun prix.
- Le Maroc ne bénéficie d'aucune décision d'adéquation de l'UE, pour les raisons exposées ci-dessus. Transférer des données personnelles vers notre infrastructure de Rabat exige donc une garantie appropriée, en général des CCT complétées par une TIA que vous produisez et dont vous êtes responsable.
- Notre propre support constitue en soi un transfert restreint. Nos ingénieurs travaillent depuis Rabat. Chaque fois qu'ils accèdent à des données personnelles de clients — répondre à un ticket, lancer une restauration, consulter un journal — cet accès est un transfert de l'EEE vers le Maroc, et c'est un transfert même lorsque la charge de travail tourne sur notre nœud de New York. Nous n'allons pas enfouir cela dans une annexe sur les sous-traitants.
- Nous sommes un fournisseur en mode auto-géré. Vous détenez le root, vous administrez le système d'exploitation, et nous n'exploitons pas votre application ni ne lisons ses données. Ce modèle a une conséquence en matière de conformité plutôt que de marketing : pour une charge de travail sans données personnelles, la conclusion la plus défendable est souvent qu'il n'y a rien à évaluer. Lorsque des données personnelles sont en jeu, c'est à vous d'aboutir à cette conclusion, pas à nous de vous la vendre.
- Ce que nous vous fournirons : un accord de traitement des données signé, une liste documentée des sous-traitants ultérieurs, et une réponse écrite et franche sur qui peut accéder à votre machine, depuis où et avec quelle journalisation. Posez la question avant d'acheter, et tenez-nous à cette réponse.
Une recommandation et un avertissement. Si votre charge de travail comporte des données personnelles réglementées ou à haut risque — santé, données financières, données d'enfants, dossiers du secteur public — un datacentre dans l'EEE ou au Royaume-Uni est presque toujours la réponse proportionnée, et nous vous le dirons lors de l'appel plutôt que de prendre la commande. Et rien sur cette page ne constitue un conseil juridique. Votre position en matière de transfert dépend de vos données, de votre rôle et de votre secteur : demandez conseil à votre avocat ou à votre délégué à la protection des données avant de vous appuyer sur l'un de ces éléments.
Si la latence vous a conduit ici
Nos deux sites sont situés hors de l'EEE, et le choix entre eux relève de la latence plutôt que de la conformité. Les temps de trajet aller-retour mesurés sont des valeurs typiques et non des garanties.
| Datacentre | Aller-retour typique | Idéal pour |
|---|---|---|
| Rabat, Maroc | Madrid 20–35 ms, Paris 30–45 ms, Londres 40–60 ms | Audiences européennes et nord-africaines, avec le travail de transfert décrit ci-dessus |
| New York, États-Unis | New York (ville) moins de 5 ms, Montréal 10–20 ms, Toronto environ 14 ms | Audiences nord-américaines et sud-américaines, et réplication transatlantique |
La latence est une bonne raison de préférer un site à l'autre. Ce n'est pas une raison de sauter les sections ci-dessus, et ce n'est pas non plus un argument de conformité, dans un sens comme dans l'autre.
Questions fréquentes
Héberger chez un fournisseur hors de l'EEE constitue-t-il en soi une violation du RGPD ?
Non. Un transfert vers un pays tiers est licite lorsqu'il repose sur un mécanisme valable : une décision d'adéquation, ou une garantie au titre de l'article 46, comme les CCT appuyées par une TIA. Il devient illicite lorsqu'aucun mécanisme ne s'applique. Le travail vous incombe en tant qu'exportateur, et c'est pourquoi la réponse dépend de vos documents plutôt que de votre fournisseur.
Ai-je vraiment besoin d'une analyse d'impact des transferts pour un petit site web ?
Proportionnellement, oui, dès lors que des données personnelles concernant quiconque sont transférées. Un formulaire de contact, un tag analytique et les journaux d'accès serveur contiennent tous des données personnelles. Une TIA courte et spécifique suffit pour une charge de travail à faible risque, et une TIA longue et générique vaut moins que rien parce qu'elle décrit faussement ce que vous faites réellement.
Un client britannique peut-il simplement utiliser les CCT de l'UE ?
Pas à eux seuls. Le Royaume-Uni dispose de son propre mécanisme : l'International Data Transfer Agreement (IDTA), ou l'Addendum britannique annexé aux CCT de l'UE, assorti d'une analyse des risques du transfert. La plupart des exportateurs britanniques utilisent l'Addendum afin qu'un seul contrat satisfasse les deux régimes, et l'évaluation du pays de destination reste indispensable.
OpenVista peut-elle signer les CCT avec moi ?
Les CCT sont un contrat entre l'exportateur et l'importateur ; en principe, un fournisseur les signe en tant qu'importateur. Savoir si nous le pouvons, selon quel module et avec quelles annexes est une question à laquelle nous répondrons par écrit avant votre achat. Ce que nous publions par défaut, c'est un DPA signé et une liste documentée des sous-traitants ultérieurs, et nous ne vous dirons pas que les CCT sont inutiles.
Le datacentre de New York permet-il de contourner le problème ?
Pas automatiquement. Les États-Unis ne bénéficient d'une décision d'adéquation que pour les organisations certifiées au titre du cadre de protection des données UE–États-Unis, et le chemin d'accès du support depuis Rabat subsiste dès que nos ingénieurs touchent à vos données. Choisir New York change la latence et l'audience ; cela ne supprime pas l'évaluation.
Clarifiez votre position en matière de transferts avant de migrer
Nous vous indiquerons par écrit quel datacentre héberge vos données, depuis quels pays nos ingénieurs peuvent y accéder, et ce que nous signerons ou non. Si la réponse est qu'il vous faut un hébergeur dans l'UE, nous vous le dirons aussi. Notre équipe conseil prend également en charge la migration cloud, le SEO technique et l'implémentation Odoo si c'est d'abord un travail de cartographie que vous attendez.