CLOUD Act et RGPD : ce que l'hébergement en Irlande ne règle pas

Un fournisseur vous annonce que vos données sont hébergées en Irlande. Votre DPO coche une case, peut-être sans gaité de coeur. Tout le monde passe à autre chose.

Cette case vaut moins qu'il n'y paraît pour une raison simple, mais qu'on énonce rarement.

Ce que dit le CLOUD Act

Le Clarifying Lawful Overseas Use of Data Act, promulgué aux États-Unis le 23 mars 2018, a tranché une question dont les tribunaux américains débattaient : une autorité américaine peut-elle contraindre une société américaine à livrer des données qu'elle détient à l'étranger ?

La réponse est oui. Un fournisseur américain doit produire les données qui sont en sa possession, sa garde ou son contrôle lorsqu'il en reçoit l'injonction régulière, quel que soit l'endroit où ces données sont stockées. Le ministère américain de la Justice l'explique lui-même dans un livre blanc de 2019.

L'adresse du serveur, c'était ce qui comptait avant. Le CLOUD Act a fait de la nationalité de la société ce qui compte.

Ce que la résidence des données vous apporte

La « résidence des données », ce terme employé par vos fournisseurs, désigne l'engagement que vos données sont stockées dans une région donnée. Rien dans le mot ne dit laquelle : la même promesse se vend pour l'Oregon. Nous parlons ici du cas où cette région est européenne.

Une résidence européenne, donc, veut dire que les données sont physiquement dans des centres de données européens. Cela réduit la latence, satisfait des clauses contractuelles qui imposent un emplacement, et aide sur les règles de transfert du RGPD. Cela veut également dire que les accès de routine par le personnel du fournisseur se font depuis l'UE.

Pour beaucoup d'organisations, c'est réellement suffisant. Si vous êtes une agence de design qui stocke des notes de projet, la résidence européenne est proportionnée au risque et vous pouvez arrêter votre lecture ici.

Là où la résidence européenne ne suffit plus

L'écart s'ouvre quand les données sont assez sensibles pour que la question ne soit plus « où sont-elles ? » mais « qui, en dernier ressort, peut être contraint de les produire ? »

Un fournisseur constitué aux États-Unis relève du droit américain partout où il opère. Sa filiale irlandaise reste sous son contrôle. Le RGPD dit une chose sur la divulgation à une autorité étrangère, le CLOUD Act en dit une autre, et le fournisseur est pris entre les deux. Le droit qu'il doit finalement suivre n'est pas une question que votre contrat tranche.

C'est la tension qui a fait tomber les deux arrangements précédents. Le Safe Harbour a été invalidé en 2015 par la Cour de justice de l'Union européenne (arrêt Schrems I, C-362/14), puis le Privacy Shield à son tour le 16 juillet 2020 (arrêt Schrems II, C-311/18). La Cour visait notamment les pouvoirs de surveillance américains au titre de la section 702 du FISA et de l'executive order 12333, ainsi que l'absence de recours effectif pour les personnes concernées.

C'est le Data Privacy Framework, en vigueur depuis le 10 juillet 2023, qui gère aujourd'hui cette tension. « Gérer » est le mot juste : c'est le troisième dispositif de la série, les deux précédents sont tombés, et un recours contre celui-ci a été annoncé dès son adoption. Le Comité européen de la protection des données publie une FAQ à destination des entreprises européennes.

Considérer que c'est réglé pour toujours relève de l'hypothèse, la saga semble loin d'être terminée.

En pratique, la manière la plus simple d'être juridiquement en ordre reste de choisir un logiciel européen, qui héberge les données dans un centre de données d'un fournisseur européen ou sur vos propres serveurs. Ce que « européen » recouvre au juste, et comment le vérifier, tient dans un tour d'horizon des éditeurs.

Ce que cela change concrètement

Quatre cas où la distinction cesse d'être théorique.

Les données de citoyens détenues par un pouvoir public. État civil, action sociale, contrôle. Le citoyen n'a pas choisi le fournisseur et ne peut pas s'y soustraire.

Les marchés et les contrats. Sensibles commercialement, parfois juridiquement restreints, avec une obligation de confidentialité que l'autorité ne peut pas déléguer.

Les données réglementées. Validations pharmaceutiques, données cliniques, inspections de sécurité, tout ce qu'un régulateur peut exiger.

Tout ce qui touche à la sécurité nationale. Infrastructures critiques, fournisseurs de la défense, énergie. Là, la question est en général tranchée pour vous par quelqu'un d'autre.

Si vos données ne relèvent d'aucune de ces catégories, la résidence européenne est probablement proportionnée. Si elles relèvent de l'une d'elles, elle ne répond pas à elle seule à la question que votre service juridique finira par poser.

La question à poser à un fournisseur

Une seule, et elle est courte.

De quel droit national relève votre société ?

Pas où sont les données. Pas qui est le sous-traitant. Mais bien de quel droit relève la société, c'est-à-dire l'entité juridique qui détient les clés du logiciel que vous avez acheté.

Je l'ai posée assez souvent pour avoir remarqué une chose : quand la réponse est simple, elle tient en une phrase. Quand elle s'allonge, c'est déjà la réponse. Tout le reste d'un questionnaire fournisseur relève quelque part du détail.

Écrire tout cela dans un contrat, avec les sous-traitants, la réversibilité, la notification et le changement de contrôle, est un autre métier. Nous y consacrons un épisode entier, clause par clause.

Pourquoi le sujet nous intéresse

Autant le dire franchement : ce n'est pas un sujet neutre pour nous.

Klaro Cards est construit et exploité par une société belge, dans des centres de données européens (Scaleway en France, Hetzner en Allemagne) ou sur vos propres serveurs si c'est une exigence. Nous relevons du droit belge et européen, et il n'y a pas de maison mère américaine au-dessus pour changer cela.

Ce qui veut dire que nous passons la question ci-dessus, et qu'une bonne partie de notre concurrence ne la passe pas. Vous devriez quand même nous la poser plutôt que nous croire sur parole, et la poser à tous les autres aussi.

Si vous lisez ceci parce que Jira Data Center s'éteint et que votre DPO a commencé à demander où les choses vivront ensuite, l'échéance tombe plus tôt que la date annoncée et le décompte pose les dates et les prix.

Cet article décrit un paysage juridique ; ce n'est pas un conseil juridique. Pour une situation précise, adressez-vous à quelqu'un qui est qualifié pour en donner.

Sources : CLOUD Act (Public Law 115-141, 23 mars 2018) et le livre blanc du DOJ ; arrêts de la CJUE C-362/14 (Safe Harbour, 2015) et C-311/18 (Privacy Shield, 16 juillet 2020) ; EU-U.S. Data Privacy Framework et la FAQ du CEPD pour les entreprises européennes.