Qu’est-ce que la résidence des données ?

Réponse rapide : La localisation des données désigne les lieux physiques où une organisation les stocke et les traite. Elle contribue à déterminer les lois, autorités de contrôle et pouvoirs d’accès publics susceptibles de s’appliquer. C’est donc une question essentielle pour le RGPD, le choix des prestataires et les revues de sécurité, à examiner avec les transferts, l’identité des prestataires et les garanties contractuelles.

La localisation indique le pays, la région ou le centre de données où les informations sont physiquement conservées. Lorsqu’une entreprise dépose ses documents dans un service cloud, ils sont hébergés sur des serveurs dont le lieu a une portée juridique. Un stockage à Francfort relève notamment du droit de l’UE ; un stockage en Virginie pose aussi la question du droit américain. Les lois telles que le CLOUD Act peuvent concerner certains prestataires américains indépendamment du seul emplacement des serveurs. L’analyse doit porter sur les circonstances et les entités concernées.

Dans les secteurs réglementés, la localisation est souvent un critère imposé par les autorités, les clients ou les marchés publics. La question revient régulièrement : où se trouvent exactement nos données ?

Localisation, souveraineté et obligation de stockage local

Ces termes sont parfois confondus, mais décrivent des questions différentes.

La localisation des données répond à la question factuelle : où sont-elles stockées ? Une entreprise peut exiger, par politique ou par contrat, qu’elles restent dans une zone déterminée, par exemple dans l’Union européenne.

La souveraineté des données porte sur les lois susceptibles de s’appliquer. Celles du lieu d’hébergement comptent, mais aussi, selon les cas, celles du pays du prestataire ou d’autres entités intervenantes. Un centre de données européen exploité par un groupe américain peut donc poser des questions de souveraineté malgré son emplacement dans l’UE. La seule localisation ne règle pas la compétence juridique.

L’obligation de stockage local désigne une exigence légale imposant de conserver certaines catégories de données dans un territoire, parfois avec des restrictions de transfert. Des pays comme la Chine ou la Russie prévoient des règles spécifiques ; des obligations sectorielles peuvent également concerner les données de santé ou publiques en Europe. Leur portée doit être vérifiée pour le pays et le traitement considérés.

En pratique, les PME examinent souvent d’abord le lieu de stockage, puis les lois et pouvoirs d’accès applicables. Les obligations de stockage local deviennent prioritaires lorsqu’un texte ou un contrat les impose à leur activité.

Pourquoi la localisation compte-t-elle pour les entreprises attentives à la conformité ?

Trois raisons dominent : la réglementation, les audits et la confiance des clients.

La réglementation. Le RGPD encadre les transferts de données personnelles hors de l’EEE : une décision d’adéquation ou des garanties appropriées peuvent être nécessaires selon le cas. L’arrêt Schrems II a invalidé le Privacy Shield en 2020 ; depuis 2023, le cadre UE–États-Unis de protection des données permet certains transferts aux organismes américains participants dans les conditions prévues. Un hébergement dans l’UE peut limiter certains transferts, sans supprimer les questions d’accès à distance et de sous-traitance. À titre de repère historique, le CMS GDPR Enforcement Tracker faisait état de plus de 4,5 milliards d’euros d’amendes cumulées en 2024 ; ce chiffre illustre l’enjeu d’application du RGPD et ne constitue pas un total actuel. La localisation peut aussi être examinée dans les analyses de risques HIPAA, les contrôles ISO 27001 sur les fournisseurs et les marchés publics en Europe, en Australie ou au Canada. Les exigences varient selon le cadre et le contrat ; leur examen fait partie de la conformité documentaire au RGPD.

Les audits. Les audits ISO 27001 ou ISO 9001 peuvent examiner où sont conservés les documents, les enregistrements et les données personnelles, ainsi que les personnes autorisées à y accéder. Disposer de la région d’hébergement et de sa justification contractuelle aide à répondre. Ces informations, avec le chiffrement et les contrôles d’accès, font partie des éléments permettant de préparer l’audit de façon documentée.

Les exigences clients et contractuelles. Les acheteurs B2B peuvent imposer des clauses de localisation. Un fabricant fournissant une grande entreprise allemande ou un cabinet travaillant pour une administration peut rencontrer une exigence d’hébergement dans l’UE dans le questionnaire de sécurité. L’impossibilité d’y répondre peut écarter une offre avant même la discussion tarifaire.

Comment évaluer la localisation dans une GED ?

Quatre questions permettent d’évaluer une GED ou un prestataire cloud au-delà des messages commerciaux :

1. Où sont les serveurs principaux ? Demandez la région précise plutôt qu’une simple mention d’« infrastructure mondiale ». Vérifiez les engagements du contrat ou de l’accord de traitement des données.
2. Où sont les sauvegardes et répliques ? L’engagement doit également couvrir les sauvegardes et la redondance. Vérifiez leur emplacement et leur conformité au périmètre territorial convenu.
3. Quelle entité fournit juridiquement le service ? Un prestataire établi à l’étranger peut relever de règles d’accès publiques étrangères même si les serveurs sont locaux. Cette question explique l’intérêt de certaines organisations européennes pour des fournisseurs implantés en Europe. Consultez aussi la liste des sous-traitants : les lieux et accès des intervenants peuvent soulever les mêmes questions.
4. Quelles options de déploiement existent si les exigences évoluent ? Certaines organisations de santé, de finance ou liées au secteur public peuvent avoir besoin d’un cloud dédié ou d’un déploiement sur site. Pouvoir étudier cette évolution avec le fournisseur limite le risque d’une migration imposée vers un autre produit.

Folderit présente ses implantations en Estonie et en Allemagne, un hébergement client sur AWS dans l’UE, des sauvegardes à triple redondance dans des centres distants de plus de 100 kilomètres, ainsi que des offres de cloud dédié et sur site. Le périmètre précis de votre déploiement et les lieux applicables doivent être confirmés dans les documents contractuels. Notre présentation de la sécurité détaille les contrôles. Ces informations permettent au responsable informatique ou conformité de documenter la localisation, les entités concernées et la géographie des sauvegardes pour les revues de sécurité et les audits.

Un critère de sélection à examiner dès le départ

Changer la localisation après l’achat peut être complexe. Les permissions et workflows se reconfigurent, mais déplacer plusieurs téraoctets de documents contrôlés entre juridictions constitue un projet de migration avec des vérifications juridiques et opérationnelles.

Utiliser la localisation comme critère initial, avant les fonctions et les tarifs, réduit le risque de découvrir une incompatibilité lors d’un audit client ou d’un contrôle. Pour une PME européenne, choisir un hébergement dans l’UE peut limiter certaines situations de transfert ; il reste nécessaire d’examiner les accès, les sous-traitants et les garanties. Consultez aussi les enjeux de conformité des données pour votre entreprise pour définir votre exigence interne.