CLOUD Act et RGPD : ce que l'hébergement en Irlande ne règle pas

Un fournisseur vous annonce que vos données sont hébergées en Irlande. Votre DPO coche une case. Tout le monde passe à autre chose.

Cette case vaut moins qu'il n'y paraît, et la raison n'a rien de compliqué. Elle est juste rarement dite.

Ce que dit le CLOUD Act

Le Clarifying Lawful Overseas Use of Data Act, voté aux États-Unis en 2018, a tranché une question dont les tribunaux américains débattaient : une autorité américaine peut-elle contraindre une société américaine à livrer des données qu'elle détient à l'étranger ?

La réponse est oui. Un fournisseur américain doit produire les données qui sont en sa possession, sa garde ou son contrôle lorsqu'il en reçoit l'injonction régulière, quel que soit l'endroit où ces données sont stockées.

L'adresse du serveur, c'était ce qui comptait avant. Le CLOUD Act a fait de la nationalité de la société ce qui compte.

Ce que la résidence des données vous apporte

Ce n'est pas rien, et prétendre le contraire serait malhonnête.

La résidence signifie que les données sont physiquement dans des centres de données européens. Cela réduit la latence, cela satisfait des clauses contractuelles qui imposent un emplacement, cela aide sur les règles de transfert du RGPD, et cela veut dire que les accès de routine par le personnel du fournisseur se font depuis l'UE.

Pour beaucoup d'organisations, c'est réellement suffisant. Si vous êtes une agence de design qui stocke des notes de projet, la résidence est proportionnée au risque et vous pouvez arrêter votre lecture ici.

Là où les deux se rencontrent

L'écart s'ouvre quand les données sont assez sensibles pour que la question ne soit plus « où sont-elles ? » mais « qui, en dernier ressort, peut être contraint de les produire ? »

Un fournisseur constitué aux États-Unis relève du droit américain partout où il opère. Sa filiale irlandaise reste sous son contrôle. Le RGPD dit une chose sur la divulgation à une autorité étrangère, le CLOUD Act en dit une autre, et le fournisseur est pris entre les deux. Quel droit il doit finalement suivre n'est pas une question que votre contrat tranche.

C'est la tension qui a fait tomber le Safe Harbour puis le Privacy Shield, et que le Data Privacy Framework existe pour gérer. « Gérer » est le mot juste. Ça a été invalidé deux fois. Considérer que c'est réglé pour toujours est une hypothèse, pas un fait.

Ce que cela change concrètement

Quatre cas où la distinction cesse d'être théorique.

Les données de citoyens détenues par un pouvoir public. État civil, action sociale, contrôle. Le citoyen n'a pas choisi le fournisseur et ne peut pas s'y soustraire.

Les marchés et les contrats. Sensibles commercialement, parfois juridiquement restreints, avec une obligation de confidentialité que l'autorité ne peut pas déléguer.

Les données réglementées. Validations pharmaceutiques, données cliniques, inspections de sécurité, tout ce qu'un régulateur peut exiger.

Tout ce qui touche à la sécurité nationale. Infrastructures critiques, fournisseurs de la défense, énergie. Là, la question est en général tranchée pour vous par quelqu'un d'autre.

Si vos données ne relèvent d'aucune de ces catégories, la résidence est probablement proportionnée. Si elles relèvent de l'une d'elles, la résidence seule ne répond pas à la question que votre service juridique finira par poser.

La question à poser à un fournisseur

Une seule, et elle est courte.

De quel droit national relève votre société ?

Pas où sont les données. Pas qui est le sous-traitant. De quel droit relève la société — l'entité juridique qui détient les clés.

Posez-la simplement et la réponse tient en une phrase. Tout le reste d'un questionnaire fournisseur est du détail à côté.

Une courte check-list

À avoir par écrit avant de signer quoi que ce soit qui hébergera des données sensibles.

L'entité juridique avec laquelle vous contractez, et son pays d'immatriculation.
Sa maison mère ultime, et le pays d'immatriculation de celle-ci. C'est là que ça coince le plus souvent.
Où les données sont stockées, et si c'est contractuel ou de bonne volonté.
La chaîne complète des sous-traitants, avec les pays. Un seul sous-traitant américain suffit à rouvrir la question.
Si le fournisseur publie un rapport de transparence sur les demandes des autorités.
Ce que le fournisseur est contractuellement tenu de vous dire s'il en reçoit une.
Vos conditions de réversibilité : ce que vous récupérez, dans quel format, en combien de temps. Tout le monde écrit cette clause. Presque personne ne la teste.

Pourquoi le sujet nous intéresse

Autant le dire franchement : ce n'est pas un sujet neutre pour nous.

Klaro Cards est construit et exploité par une société belge, dans des centres de données européens — Scaleway en France, Hetzner en Allemagne — ou sur vos propres serveurs si c'est l'exigence. Nous relevons du droit belge et européen, et il n'y a pas de maison mère américaine au-dessus pour changer ça.

Ce qui veut dire que nous passons la question ci-dessus, et qu'une bonne partie de notre concurrence ne la passe pas. Vous devriez quand même nous la poser plutôt que nous croire sur parole — et la poser à tous les autres aussi.

Si vous lisez ceci parce que Jira Data Center s'éteint et que votre DPO a commencé à demander où les choses vivront ensuite, nous en avons parlé également.

Cet article décrit un paysage juridique ; ce n'est pas un conseil juridique. Pour une situation précise, adressez-vous à quelqu'un qui est qualifié pour en donner.