RGPD et hébergement : où héberger ses données

Certains liens de cette page sont des liens d'affiliation : si vous souscrivez après avoir cliqué, nous percevons une commission, sans surcoût pour vous. Cela ne change ni notre classement ni nos réserves, qui reposent sur les caractéristiques réelles des offres. En savoir plus

Le sujet est entouré d'affirmations approximatives, dans les deux sens : certains soutiennent que le RGPD impose un hébergement français, d'autres que la localisation n'a aucune importance. Les deux sont faux.

Ce guide distingue ce que le règlement exige réellement de ce qui relève du confort ou de la prudence, sans se substituer à un conseil juridique adapté à votre situation.

Ce que le règlement exige réellement

Contrairement à une idée répandue, le RGPD n'impose aucune localisation géographique précise. Il encadre les transferts de données personnelles hors de l'Union européenne, ce qui est différent.

Héberger en France ou en Europe ne rend donc pas votre site conforme : cela supprime simplement une catégorie d'obligations documentaires. Le reste de la conformité, information des personnes, base légale, durées de conservation, droits des utilisateurs, ne dépend pas de l'hébergeur.

Localisation et juridiction : la distinction qui compte

C'est le point le plus mal compris du sujet, et celui qui a le plus de conséquences pratiques.

La localisation désigne l'endroit où se trouvent physiquement les serveurs. La juridiction désigne le droit auquel est soumise la société qui les exploite. Un prestataire relevant d'une législation extraterritoriale peut être tenu de communiquer des données même stockées dans un datacenter européen.

Concrètement, un hébergeur américain disposant d'un datacenter à Paris satisfait au critère de localisation, mais pas à celui de juridiction. Les deux critères sont indépendants et doivent être vérifiés séparément.

Votre hébergeur est un sous-traitant

C'est sa qualification juridique au sens du règlement, et elle a des conséquences concrètes de part et d'autre.

Vous restez responsable du traitement : c'est vous qui décidez quelles données sont collectées, pourquoi et combien de temps. L'hébergeur agit sur vos instructions et doit vous fournir des garanties suffisantes.

• Un contrat écrit encadrant la sous-traitance, que les hébergeurs sérieux intègrent à leurs conditions générales et publient.
• La liste des sous-traitants ultérieurs, c'est-à-dire les prestataires auxquels votre hébergeur fait lui-même appel.
• Les mesures de sécurité mises en œuvre, décrites de façon suffisamment précise pour être évaluées.
• L'engagement de vous notifier en cas de violation de données affectant votre site.
• Les modalités de restitution et de suppression des données en fin de contrat.

Les points concrets à vérifier sur votre site

L'hébergement n'est qu'une partie du sujet. Voici ce qui, dans le fonctionnement courant d'un site, relève directement de votre responsabilité.

• Les journaux de connexion conservent des adresses IP, qui sont des données personnelles. Leur durée de conservation doit être définie et justifiée.
• Les formulaires de contact collectent des données : informez sur leur finalité et leur durée de conservation, et ne conservez pas indéfiniment les messages reçus.
• Les sauvegardes contiennent des données personnelles. Une demande de suppression doit être traitée en cohérence avec leur cycle de rotation.
• Les traceurs et services tiers transmettent souvent des données hors de l'Union. C'est en pratique le principal point de non-conformité des sites, bien avant l'hébergement.
• Les adresses e-mail professionnelles hébergées chez un prestataire soumis à une législation extraterritoriale posent la même question que l'hébergement du site.

Le déséquilibre est frappant : beaucoup de sites choisissent un hébergeur européen par souci de conformité tout en chargeant une demi-douzaine de scripts tiers qui transmettent les données de leurs visiteurs à l'autre bout du monde.

Choisir en fonction de la sensibilité réelle

Toutes les situations n'appellent pas le même niveau d'exigence. Calibrer évite autant la négligence que la sur-ingénierie coûteuse.

Ce guide donne des repères généraux et ne remplace pas l'avis d'un professionnel du droit, seul à même d'apprécier une situation particulière.

Pour aller plus loin

• Hébergeurs français
• Cloud souverain
• Hébergement cloud