L'hébergement offshore et le RGPDLe règlement vous suit, pas la baie.

La phrase que ce marché comprend mal

L'affirmation n'est presque jamais formulée clairement, et c'est ce qui lui permet de survivre. Elle arrive comme une implication : les serveurs sont offshore, la société est offshore, donc les règles européennes sont quelque part derrière vous. Lisez le règlement, et l'implication s'effondre en une phrase.

L'article 3 définit à qui le RGPD s'applique, et il ne mentionne jamais où se trouve le matériel. Le paragraphe 1 dit que le règlement s'applique au traitement effectué par un responsable du traitement ou un sous-traitant établi dans l'Union que le traitement ait lieu ou non dans l'Union. Le paragraphe 2 va dans l'autre sens : une société sans aucun établissement dans l'Union reste couverte dès lors qu'elle offre des biens ou des services à des personnes dans l'Union, ou qu'elle surveille leur comportement.

Ce n'est pas une déception, et il vaut la peine de dire pourquoi avant toute chose. La raison de déplacer un serveur est qu'un tribunal d'un pays ne peut pas ordonner la remise d'un disque situé dans un autre. Cette raison reste intacte. Ce qui voyage avec la machine, c'est une obligation de conformité, pas une exposition juridique, et les deux sont constamment confondues parce que toutes deux sont décrites par le mot « juridiction ».

À qui, parmi vous, le règlement s'adresse

Deux rôles, définis à l'article 4, séparés par une seule question : qui a décidé de la finalité des données.

Presque tous les débats sur l'hébergement et le RGPD sont en réalité un débat sur ce tableau. Un fournisseur ne peut pas être conforme à votre place, car la majorité des obligations incombent au responsable du traitement et ne peuvent pas être déléguées par contrat. Ce qu'un fournisseur peut être, c'est un sous-traitant que vous êtes en mesure de justifier avoir choisi, ce qui est l'article 28 — un document plutôt qu'un sentiment.

L'article 28, paragraphe 3, énumère ce que ce contrat doit contenir, et la liste est assez courte pour être comparée à la vôtre. Ne traiter que sur instructions documentées. Astreindre toute personne ayant accès aux données à la confidentialité. Prendre les mesures de sécurité de l'article 32. N'ajouter aucun sous-traitant ultérieur sans autorisation. Vous aider à répondre aux personnes concernées. Vous aider en cas de violation et pour les analyses d'impact. Supprimer ou restituer l'ensemble des données à la fin. Vous donner ce dont vous avez besoin pour tout vérifier.

Ce qui compte comme un transfert

Le chapitre V — articles 44 à 49 — encadre l'envoi de données personnelles vers un pays tiers. Un pays tiers désigne tout territoire situé hors de l'Espace économique européen, c'est-à-dire les vingt-sept États membres plus l'Islande, le Liechtenstein et la Norvège. Le RGPD a été intégré à l'accord EEE en 2018, ce qui explique pourquoi ces trois pays sont à l'intérieur de la ligne plutôt que simplement à proximité.

L'article 44 pose le principe : un transfert ne peut avoir lieu que si le reste du chapitre est respecté. Il existe alors trois voies, classées par ordre décroissant de facilité.

La dernière ligne est là où la conformité improvisée finit habituellement, et elle ne tient pas. L'article 49 est écrit pour l'occasionnel et le spécifique. Héberger une base de données clients sur un serveur pendant trois ans n'est ni l'un ni l'autre.

Les huit régions, classées selon leur qualification au regard du chapitre V

C'est la partie à laquelle une société d'hébergement peut répondre et un blog juridique ne le peut pas, car c'est un fait propre à un parc précis plutôt qu'un principe général. Les huit régions de ce réseau se répartissent en trois groupes, et la distance entre le premier groupe et le dernier tient en deux documents.

Quatre des huit ne constituent pas des transferts du tout. Cela vaut plus que la majorité de ce qui est publié sur l'hébergement offshore et la conformité, et c'est une phrase qu'aucun vendeur de l'un ou l'autre n'a intérêt à prononcer, car elle rend le produit compliqué inutile pour la moitié du parc.

La moitié de la question qui ne concerne pas la baie

L'endroit où se trouve le disque détermine s'il y a transfert. La société avec laquelle vous avez contracté détermine qui le détient, et ces deux éléments se dissocient plus souvent qu'ils ne le devraient.

Un fournisseur qui a des baies à Francfort et une société mère en Californie exporte vos données, que quoi que ce soit transite réellement par un câble ou non, car le sous-traitant est soumis à une juridiction capable de l'atteindre. Ce n'est pas une distinction hypothétique. C'est la raison pour laquelle la structure juridique d'un hébergeur est un fait relevant de la protection des données plutôt qu'une question de culture générale.

Le dispositif ici, ce sont huit juridictions et huit sociétés distinctes, énoncées à la clause 1 des conditions. Un serveur à Reykjavík est contracté avec l'entité islandaise, qui se trouve à l'intérieur de l'EEE, ce qui explique ce que dit la première ligne du tableau ci-dessus. Si vous lisez la page d'un autre hébergeur, voilà la question à lui poser : non pas où est le serveur, mais quelle société figure sur la facture, et où se trouve cette société.

Ce que l'article 46 exige réellement de vous

Si vous utilisez l'un des trois pays tiers, le travail est réel mais borné, et il n'a pas beaucoup changé depuis 2021.

1. Consignez le transfert par écrit. Quelles catégories de données personnelles, sur qui, vers quelle entité, dans quel pays, et sous quelle forme elles arrivent — lisibles, ou chiffrées sous une clé que vous avez conservée.
2. Mettez l'instrument en place. En pratique, cela signifie les clauses contractuelles types adoptées par la Commission en juin 2021, dans le module qui correspond à la relation. Responsable de traitement à sous-traitant, c'est le module 2, ce qu'est précisément la location d'un serveur.
3. Évaluez la destination. Depuis que la Cour de justice a tranché l'affaire Schrems II en juillet 2020, signer les clauses ne suffit plus : il faut examiner si le droit du lieu où atterrissent les données permet à une autorité publique de les atteindre d'une manière à laquelle les clauses ne survivent pas. Le Comité européen de la protection des données a publié la méthode en 2021, et elle comporte six étapes.
4. Ajoutez ce qui comble l'écart constaté par l'évaluation, ce qui fait l'objet de la section suivante, car il n'existe en réalité qu'une seule mesure qui le comble.
5. Datez-le. L'évaluation porte sur le droit d'un pays, et le droit d'un pays change sans vous prévenir. Le faire une fois n'est pas de la conformité ; un intervalle de révision, si.

La mesure qui comble réellement l'écart

Les mesures supplémentaires que décrit le Comité sont, à y regarder de près, décevantes pour la plupart. Les mesures contractuelles et organisationnelles n'arrêtent pas un État doté du pouvoir de contraindre, et le Comité le dit sans détour. Une seule mesure technique résiste à l'analyse, et c'est la même que celle recommandée partout ailleurs sur ce site, pour des raisons qui n'ont rien à voir avec le RGPD.

Si les données arrivent chiffrées sous une clé qui ne quitte jamais votre contrôle, le sous-traitant qui les détient ne peut rien produire de lisible pour personne — ni pour un tribunal, ni pour vous, ni pour lui-même. Les recommandations du Comité considèrent qu'un chiffrement fort avec une clé conservée par l'exportateur est efficace pour les données au repos, et qu'un sous-traitant ayant besoin des données en clair est un cas où aucune mesure n'est identifiée. C'est la position honnête : on ne peut pas se sortir par contrat de la capacité de quelqu'un à lire un disque.

La distinction qui compte en pratique est celle entre le stockage et le traitement. Un stockage objet contenant des archives chiffrées est le cas facile. Une base de données active sur une machine virtuelle est le cas difficile, car la clé doit résider en mémoire sur un matériel que quelqu'un d'autre peut toucher. Ce que votre fournisseur peut encore lire examine précisément où se situe cette limite, et cela ne se termine pas par un réconfort.

L'article 48, qui joue en sens inverse

Le chapitre V contient un article rarement cité dans ce marché et qui mériterait de l'être. L'article 48 dit qu'un jugement d'une juridiction, ou une décision d'une autorité administrative, d'un pays tiers, exigeant d'un responsable du traitement ou d'un sous-traitant qu'il divulgue des données personnelles, ne peut être reconnu ou rendu exécutoire que s'il repose sur un accord international — un traité d'entraide judiciaire, en pratique.

Lu comme une instruction adressée à un hébergeur, cela dit quelque chose de précis : une ordonnance provenant d'un pays sans juridiction compétente n'est pas, en droit européen, un motif de tout remettre. Un fournisseur qui s'y conforme quand même ne fait pas preuve de prudence. Il effectue un transfert illicite et l'appelle coopération.

Ce parc arrive à la même réponse par l'autre bout, et ce depuis 2019, ce qui est vérifiable plutôt qu'affirmé : 164 demandes des forces de l'ordre, dont 31 ont abouti à quelque chose, aucune ordonnance-bâillon en vingt-neuf trimestres publiés, et ce qui a été produit était une adresse e-mail et un relevé de montants. Le guide des forces de l'ordre énonce le seuil en une ligne : une ordonnance d'un tribunal ayant juridiction sur l'entité qui en a fait l'objet.

Ce qui ne change pas, où que soit la machine

C'est la section qui coûte une vente, c'est donc celle qui mérite d'être lue deux fois. Chacun des points suivants vous incombe en tant que responsable du traitement, et aucun choix d'hébergement n'y change rien.

Six lignes, une seule réponse. Le mot qui entretient la confusion est « juridiction », qui remplit deux fonctions à la fois : c'est la réponse à qui peut contraindre le disque, et c'est la réponse à quelles règles vous suivez. Déplacer un serveur change la première et laisse la seconde exactement où elle était.

Ce qu'une frontière change

• Qui doit être persuadé. Une ordonnance doit émaner d'un tribunal ayant juridiction sur la société qui détient le disque, et huit sociétés dans huit pays, ce sont huit débats distincts plutôt qu'un seul.
• Si une notification a une quelconque force. Une notification de retrait est un simple courrier partout ; dans certains endroits, c'est un courrier auquel un hébergeur est tenu de donner suite, et être offshore signifie que ce n'est pas le cas. C'est le sujet du guide sur le DMCA.
• Ce que l'hébergeur peut être contraint de conserver. Les obligations de conservation sont nationales. La Roumanie a annulé la sienne à deux reprises et rien ne l'a remplacée ; la Moldavie et le Panama n'en imposent aucune. Ce qu'un fournisseur ne peut pas être contraint de conserver, il ne peut pas être contraint de le produire.
• Si le transfert nécessite un instrument. Ce qui est le sujet de cette page — et qui est un coût administratif plutôt qu'un risque.

Ce qui ne change pas

• Si le RGPD s'applique à vous. L'article 3, déterminé par votre lieu d'établissement et les données que vous détenez.
• Toute obligation du tableau ci-dessus. Registre, sécurité, notification de violation, analyses d'impact, droits des personnes concernées.
• Vos propres journaux. La machine que vous louez consigne les visiteurs selon votre configuration, sous votre garde, et c'est à vous que quelqu'un écrira à ce sujet — ce qui fait l'objet d'un guide séparé car c'est un problème distinct.
• Si vous pouvez être atteint. Si vous êtes établi dans l'Union, votre autorité de contrôle n'a pas besoin d'atteindre le serveur. Elle a besoin de vous atteindre, vous.

Un après-midi qui règle la question

Rien ci-dessous n'exige un outil à acheter, et la démarche complète est plus courte que ne le laisse entendre le marché.

1. Déterminez si vous traitez, ne serait-ce qu'un peu, des données personnelles de personnes situées dans l'Union. Si la réponse honnête est non — et pour un grand nombre de projets, c'est le cas — tout ce qui précède n'est qu'une lecture de fond, et vous avez terminé.
2. Notez avec quelle entité vous contractez pour chaque région que vous utilisez, et dans quel pays se trouve cette entité. Pas la région : la société sur la facture.
3. Répartissez-les dans les trois groupes du tableau. À l'intérieur de l'EEE, adéquat, ni l'un ni l'autre.
4. Pour tout ce qui relève du troisième groupe, mettez en place les clauses de 2021 et rédigez l'évaluation de la destination. Deux documents, une seule fois, par pays.
5. Regardez ce qui y atterrit réellement. Si la réponse est une archive chiffrée dont la clé se trouve sur votre propre matériel, dites-le dans l'évaluation, car c'est ce fait qui rend le reste simple.
6. Intégrez le tout à votre registre au titre de l'article 30, qui est le document qu'une autorité de contrôle demande en premier et celui que la plupart des responsables du traitement rédigent en dernier.
7. Fixez une date de révision sur l'évaluation et laissez-la là où la prochaine personne à s'en occuper la trouvera.

C'est l'exercice dans son intégralité, et il n'entre en conflit avec rien d'autre sur ce site — ce qui est précisément la phrase que ce guide existe pour mettre à disposition. Choisir une juridiction qui protège vos données et respecter les règles qui protègent vos utilisateurs ne sont pas des décisions opposées. C'est la même décision, lue depuis ses deux extrémités.

Questions réellement posées

Chaque prix de ce parc de serveurs est publié intégralement, à un seul endroit. Voir le catalogue complet