Un guide pratique de Souveraineté numérique en Europe

La souveraineté numérique en Europe ne se limite pas à une préférence pour les centres de données locaux. Il s'agit de la capacité de décider qui peut accéder aux données, quelles lois s'appliquent, où le traitement a lieu, comment les fournisseurs sont régis et si une entreprise peut continuer à fonctionner si les conditions géopolitiques ou réglementaires changent.

Pour les équipes chargées de la protection de la vie privée, la souveraineté est importante car le GDPR régule les transferts internationaux et oblige les responsables du traitement à protéger les données personnelles tout au long de la chaîne de traitement. Pour les chefs d’entreprise, c’est important car les plateformes d’analyse, de cloud, d’IA et de données clients sont devenues des infrastructures opérationnelles.

L'emplacement est nécessaire mais pas suffisant

Le stockage des données dans le EU est utile. Cela peut réduire la latence, simplifier les achats et éviter certains risques de transfert. Mais l’emplacement seul ne répond pas :

• Le fournisseur est-il détenu ou contrôlé par un parent autre que EU ?
• Les équipes d'assistance à distance en dehors du EEA peuvent-elles accéder aux données ?
• Les sauvegardes, les journaux ou la télémétrie sont-ils traités ailleurs ?
• Quels sous-traitants sont utilisés ?
• Qui détient les clés de chiffrement ?
• Le fournisseur peut-il résister ou contester les demandes d’accès d’un gouvernement étranger ?

C'est pourquoi les discussions sur la souveraineté incluent souvent la juridiction du fournisseur et le contrôle opérationnel, et pas seulement la géographie des serveurs.

Le contexte du droit des mutations

Les règles de transfert international du GDPR se trouvent au Chapitre V. Les transferts en dehors du EEA peuvent s'appuyer sur des décisions d'adéquation, des clauses contractuelles types, des règles d'entreprise contraignantes ou d'autres mécanismes. Après Schrems II, les organisations utilisant les SCC ont également dû évaluer si la législation du pays de destination portait atteinte à la protection et si des mesures supplémentaires pouvaient être utiles.

Le cadre de vie privée des données EU-US a créé une nouvelle voie d'adéquation pour les organisations américaines certifiées, mais elle n'est pas universelle. Les transferts vers des fournisseurs non certifiés nécessitent toujours un autre mécanisme, et même les fournisseurs certifiés nécessitent une surveillance continue.

Ce que change le CLOUD Act

Le US CLOUD Act est souvent invoqué dans les débats sur la souveraineté car il peut obliger certains fournisseurs américains à produire des données dans le cadre d’une procédure légale américaine, y compris des données stockées en dehors des États-Unis. L'impact pratique dépend de la structure du fournisseur, du type de données, du cryptage, des contrôles contractuels et de la possibilité pour le fournisseur d'accéder au texte brut. Il ne s’agit pas d’une règle simple selon laquelle tout serveur EU appartenant aux États-Unis est automatiquement illégal, mais il s’agit d’un véritable problème d’approvisionnement et d’évaluation des risques.

Niveaux de souveraineté pour l'analyse

Pensez en niveaux :

Niveau 1 : résidence des données EU. Les données sont stockées dans le EU, mais le fournisseur peut être autre que EU et la prise en charge peut être globale.

Niveau 2 : contrôles de traitement EU. Le stockage, les sauvegardes, l'accès au support et les sous-traitants sont limités aux pays EU/EEA ou adéquats.

Niveau 3 : contrôle du fournisseur européen. Le fournisseur a son siège, est détenu et est principalement exploité sous la juridiction de EU ou du pays d'adéquation.

Niveau 4 : contrôle dédié ou auto-hébergé. Le client contrôle l'infrastructure, les clés, l'accès au réseau, la rétention et l'accès administrateur.

La plupart des entreprises n'ont pas besoin du niveau 4 pour chaque outil. Mais les secteurs sensibles doivent savoir à quel niveau correspond chaque système.

Comment évaluer les fournisseurs

Pour les fournisseurs d’analyses, demandez :

• Engagements de résidence des données.
• Liste des sous-traitants.
• Politique d'accès à distance.
• Détails du chiffrement et propriété de la clé.
• Accord de traitement des données.
• Documentation sur l’impact du transfert.
• Contrôles de conservation et de suppression.
• Conditions de notification des incidents.
• Droits d’exportation et processus de délocalisation.

Pour le secteur public, la santé, l'éducation, la finance et les infrastructures critiques, ajoutez des exigences d'approvisionnement concernant les droits d'audit, l'emplacement de l'assistance, les options de cloud souverain et les clés gérées par le client.

La connexion axée sur la vie privée

L’analyse axée sur la vie privée réduit la pression sur la souveraineté en réduisant les données qui doivent être souveraines. Les données de pages consultées agrégées sans cookies, empreintes digitales, stockage IP ou profils utilisateur présentent un risque moindre qu'un ensemble de données d'analyse comportementale lié aux comptes et à la publicité IDs. La minimisation des données n’est donc pas seulement un principe de vie privée ; c'est une stratégie de souveraineté.

La bonne question n'est pas « Les serveurs sont-ils en Europe ? La question est : « Pouvons-nous prouver qui peut accéder à ces données, en vertu de quelle loi, dans quel but et pour combien de temps ? C’est la souveraineté numérique sous une forme opérationnelle.

Clauses contractuelles à rechercher

Un langage fort en matière de souveraineté devrait couvrir bien plus que des affirmations marketing. Recherchez les clauses qui définissent les emplacements de traitement, les sous-traitants ultérieurs, la notification préalable des modifications apportées aux sous-traitants ultérieurs, les limites d'accès, les droits d'audit, la suppression après la résiliation et la notification des demandes d'accès juridiquement contraignantes lorsque le fournisseur est autorisé à notifier. Si le contrat indique que la résidence des données est disponible uniquement pour le contenu stocké mais exclut les journaux, les diagnostics ou les pièces jointes de support, le risque résiduel peut toujours être important.

Quand l’auto-hébergement aide

L'auto-hébergement est utile lorsque l'organisation dispose de la maturité opérationnelle nécessaire pour exécuter le service en toute sécurité. Il peut améliorer le contrôle des clés, des réseaux, des sauvegardes et des accès. Mais un mauvais auto-hébergement peut être pire qu’un fournisseur géré solide. La gestion des correctifs, la surveillance, la restauration des sauvegardes, l'accès administrateur et la réponse aux incidents deviennent tous votre responsabilité. Choisissez l’auto-hébergement pour le contrôle, pas parce que cela semble automatiquement conforme.

Une approche de notation des fournisseurs

Évaluez les fournisseurs d’analyses sur bien plus que l’emplacement du serveur. Donnez des points pour EU ou traitement adéquat dans le pays, aucune utilisation publicitaire ultérieure, sous-traitants limités, droits de conservation, d'exportation et de suppression contrôlés par le client, règles claires d'accès au support et contrat couvrant les journaux et les diagnostics ainsi que les données primaires. Déduisez des points pour un langage vague sur « l'infrastructure mondiale », des droits étendus en matière d'amélioration des produits ou des changements peu clairs de sous-traitants.

Ensuite, évaluez les données elles-mêmes. Un outil qui collecte uniquement des statistiques globales sur les pages et les campagnes peut être acceptable avec un niveau de souveraineté inférieur à celui d'un outil stockant les profils d'utilisateurs, le IDs de compte, les enregistrements de session et les journaux d'événements détaillés. La souveraineté ne se limite pas à l’endroit où se trouvent les données. Il s’agit du pouvoir que les données confèrent à quiconque peut y accéder.

Liste de contrôle pour l’examen de la souveraineté

La localisation des données n’est qu’un contrôle, pas la réponse complète. Demandez qui peut accéder aux données analytiques, en vertu de quelle loi, à partir de quels emplacements de support, via quels sous-traitants ultérieurs, avec quelles clés et à quelles fins. Une région d’hébergement européenne ne résout pas automatiquement les risques de transfert, d’accès ou de réutilisation par le fournisseur.

Évaluez les fournisseurs en fonction du contrôle de l'infrastructure, des limites contractuelles, de la transparence des sous-traitants, de l'accès au support, des options clés gérées par le client, de la suppression, de l'exportation et du processus d'incident. Utilisez l'auto-hébergement uniquement lorsque votre équipe peut mieux exploiter les contrôles qu'un fournisseur documenté.