Si vous collectez des données personnelles de personnes en Europe, l’endroit où vous les hébergez et la façon dont vous les traitez sont deux questions distinctes, avec des réponses distinctes. Ce guide les démêle en langage clair. Ce sont des informations générales, pas un avis juridique.
Le RGPD suit les personnes, pas le serveur
Le Règlement général sur la protection des données de l’UE s’applique lorsque vous proposez des services à des personnes dans l’UE ou surveillez leur comportement, où que se trouvent votre entreprise ou vos serveurs. Déplacer un serveur dans un autre pays ne supprime pas vos obligations envers ces utilisateurs.
Ce que l’emplacement de l’hébergement change
- Quelles autorités peuvent demander l’accès. Les données stockées dans un pays sont soumises aux règles d’accès légal de ce pays.
- Transferts de données. Transférer des données personnelles hors de l’UE exige une base juridique, comme une décision d’adéquation ou des clauses contractuelles types.
- Risque pratique. Les lois sur la conservation, les procédures judiciaires et les pratiques d’application diffèrent selon les pays.
- Latence et coût. Plus près, c’est plus rapide, et certains emplacements coûtent moins cher.
Les emplacements en pratique
| Emplacement | Cadre en bref |
|---|---|
| Allemagne, Pays-Bas, Finlande, Roumanie | États membres de l’UE : le RGPD s’applique donc directement et les données restent dans l’UE. |
| Suisse | Sa propre loi fédérale sur la protection des données, que l’UE reconnaît comme adéquate. |
| États-Unis | Pas de loi fédérale unique sur la vie privée ; les lois des États varient et les transferts exigent une base juridique. |
| Panama, Singapour, Seychelles, Moldavie | Chacun a sa propre loi de protection des données, de portée différente. Vérifiez les règles en vigueur pour votre cas. |
Les lois changent : confirmez les détails auprès d’un professionnel qualifié avant de vous fier à un résumé.
Ce que vous devez faire quel que soit l’emplacement
- Ne collectez que les données dont vous avez besoin, et supprimez-les quand vous n’en avez plus besoin.
- Chiffrez les données en transit (HTTPS) et au repos lorsque c’est possible.
- Publiez une politique de confidentialité claire et honorez les demandes d’accès et de suppression.
- Gardez les logiciels à jour et limitez qui peut se connecter.
- Tenez un registre de l’endroit où vous stockez les données personnelles et de qui les traite.
Offshore ne veut pas dire hors du droit
Héberger à l’étranger peut convenir pour la confidentialité, la résilience ou le coût, mais vous restez tenu de respecter les lois qui s’appliquent à vous et à vos utilisateurs. Voir ce qu’est un VPS offshore et comment choisir un emplacement.