« Nous avons besoin d'une résidence des données dans l'UE » est l'une des phrases les plus fréquentes dans le questionnaire fournisseur d'une banque ou d'un assureur européen. C'est aussi l'une des plus mal comprises. Aucun règlement de l'UE n'oblige une institution financière à conserver l'ensemble de ses données à l'intérieur de l'Union européenne. Ce que le droit exige est plus précis : le RGPD fixe des règles pour le transfert de données personnelles hors de l'UE, et DORA vous impose de savoir, de documenter et de fixer contractuellement où vos prestataires TIC traitent et stockent les données.

Cet article distingue les obligations légales du choix commercial. Il explique ce que disent réellement le RGPD, DORA et NIS2, dans quels cas un hébergement dans l'UE vous facilite la tâche, et quelles questions poser à tout outil de conformité avant d'y déposer vos preuves d'audit.

Résidence, localisation, souveraineté : trois notions différentes

Ces termes sont souvent confondus. Il est donc utile de les définir d'abord.

La résidence des données désigne le lieu où les données sont stockées. « Résidence des données dans l'UE » signifie en général que le fournisseur stocke vos données dans des centres de données situés dans l'UE.
La localisation des données est une exigence légale imposant que les données restent dans un pays ou une région. Le droit de l'UE en contient très peu pour le secteur privé. Le RGPD et DORA n'en contiennent aucune.
La souveraineté des données concerne le système juridique qui peut accéder aux données. Un serveur à Francfort exploité par une entreprise tenue d'obéir à une autorité étrangère est situé dans l'UE, mais il n'est pas pleinement souverain.

La plupart des affirmations des fournisseurs portent sur la résidence. La plupart des risques réels portent sur les transferts et l'accès. Gardez cette différence à l'esprit pour la suite de cet article.

Ce que le RGPD exige réellement

Le RGPD ne dit pas où les données personnelles doivent être stockées. Son chapitre V (articles 44 à 50) précise quand des données personnelles peuvent être transférées vers un pays situé hors de l'Espace économique européen. Un transfert est licite si l'une des conditions suivantes s'applique :

Une décision d'adéquation (article 45). La Commission européenne a constaté que le pays offre un niveau de protection essentiellement équivalent. Depuis juillet 2023, cela inclut les organisations américaines certifiées au titre du Data Privacy Framework UE-États-Unis.
Des garanties appropriées (article 46), le plus souvent les clauses contractuelles types (CCT), ou des règles d'entreprise contraignantes (article 47) au sein d'un groupe.
Une dérogation (article 49) pour des situations particulières, comme le consentement explicite. Ces dérogations sont étroites et ne sont pas destinées aux transferts courants.

Depuis l'arrêt Schrems II de la Cour de justice (C-311/18, juillet 2020), qui a invalidé l'ancien Privacy Shield, les CCT seules ne suffisent pas toujours. Vous devez évaluer si le droit du pays de destination les prive d'effet, et ajouter des mesures supplémentaires si c'est le cas. C'est l'analyse d'impact des transferts.

Enfreindre les règles de transfert coûte cher. En vertu de l'article 83, paragraphe 5, point c), les amendes peuvent atteindre 20 millions d'EUR ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Notez toutefois ce que l'amende sanctionne : un transfert illicite, et non le simple fait qu'un serveur se trouve hors de l'UE.

Ce que DORA exige réellement

Le règlement sur la résilience opérationnelle numérique (règlement (UE) 2022/2554) s'applique depuis le 17 janvier 2025. Il ne contient aucune règle de résidence des données. Il contient en revanche plusieurs obligations relatives à la localisation des données :

Article 30, paragraphe 2, point b) : tout contrat de services TIC doit indiquer les régions ou les pays où les services sont fournis et où les données sont traitées, y compris le lieu de stockage. Le prestataire doit vous informer à l'avance s'il prévoit de les modifier.
Article 28, paragraphe 3 : vous devez tenir un registre d'informations sur tous les accords contractuels conclus avec des prestataires tiers de services TIC. Les autorités de surveillance l'utilisent pour voir de qui, et d'où, dépendent vos fonctions critiques.
Article 29 : avant de signer, vous évaluez le risque de concentration, y compris les longues chaînes de sous-traitance et les prestataires établis dans des pays tiers.
Article 28, paragraphe 8 : pour les services qui soutiennent des fonctions critiques ou importantes, vous avez besoin d'une stratégie de sortie.
Article 31, paragraphe 12 : vous ne pouvez recourir à un prestataire TIC désigné comme critique par les autorités européennes de surveillance et établi hors de l'UE que s'il crée une filiale dans l'Union dans un délai de 12 mois. Cette règle porte sur l'établissement juridique du prestataire, et non sur le lieu de stockage de vos données.

Les autorités nationales compétentes peuvent imposer des sanctions administratives et des mesures correctives en cas de manquement (article 50). En pratique, le constat le plus fréquent n'est pas « données stockées au mauvais endroit », mais « vous ne saviez pas ou n'aviez pas documenté où elles sont stockées, et vous n'avez pas évalué le risque ».

Ce que NIS2 exige

NIS2 (directive (UE) 2022/2555) demande aux entités essentielles et importantes de gérer la sécurité de la chaîne d'approvisionnement dans le cadre de leurs mesures de gestion des risques en matière de cybersécurité (article 21). Elle n'exige pas non plus de stockage dans l'UE.

Pourquoi tant d'acheteurs demandent-ils alors un hébergement dans l'UE ?

Parce qu'il supprime du travail et des risques, même si aucune loi ne l'impose. Pour un outil de conformité en particulier, l'hébergement dans l'UE signifie :

Moins de transferts à évaluer. Si les données persistantes restent dans l'UE, il y a moins d'éléments à couvrir par des CCT et des analyses d'impact des transferts.
Une documentation DORA plus simple. La mention de localisation dans votre contrat et votre registre est courte et stable.
Une moindre exposition aux lois étrangères d'accès aux données. Les données détenues par un fournisseur américain peuvent, en vertu du CLOUD Act américain, faire l'objet d'injonctions de communication américaines même lorsqu'elles sont stockées en Europe. Un fournisseur de l'UE sur une infrastructure de l'UE réduit cette exposition.
Des échanges plus simples avec les autorités de surveillance et les clients. Nombre de vos propres clients, ainsi que certains marchés publics, exigent un hébergement dans l'UE dans leurs conditions d'achat. Il s'agit d'une exigence contractuelle et non légale, mais elle est tout aussi contraignante une fois signée.

Les preuves de conformité sont sensibles. Elles décrivent les faiblesses de vos contrôles, vos incidents et vos fournisseurs. Le lieu où elles sont stockées et les personnes qui peuvent y accéder méritent le même examen que celui que vous appliquez aux données de vos clients.

Les questions à poser à tout outil de conformité

Ne vous arrêtez pas à « Proposez-vous une résidence des données dans l'UE ? ». Posez plutôt ces questions :

Où les données clients persistantes sont-elles stockées, sauvegardes comprises ? Demandez des régions, pas des formules marketing.
Quels sous-traitants traitent nos données, et où ? Un fournisseur sérieux publie la liste complète.
Un traitement a-t-il lieu hors de l'UE ? Les fonctionnalités d'IA font souvent appel à des fournisseurs de grands modèles de langage. Identifiez-les, vérifiez où ils opèrent et sur quelle base de transfert (adéquation, CCT).
Pouvons-nous maintenir le traitement par IA dans l'UE si nécessaire ?
Qu'inscrirez-vous dans le contrat ? Vérifiez que les réponses ci-dessus figurent dans l'accord, comme l'exige l'article 30, paragraphe 2, point b), de DORA, avec une clause de notification des changements.
Comment sortons-nous ? Formats d'export, suppression et délais pour la stratégie de sortie attendue par DORA.

Erreurs courantes

Considérer la résidence comme la réponse complète. Un outil peut stocker les données dans l'UE et les envoyer ailleurs pour traitement. Interrogez le fournisseur sur le traitement, pas seulement sur le stockage.
Oublier les sous-traitants. Les prestataires de votre prestataire comptent aussi. L'évaluation du risque de concentration prévue par DORA couvre expressément les chaînes de sous-traitance.
S'appuyer sur les CCT sans évaluation. Depuis Schrems II, vous devez documenter pourquoi les clauses sont efficaces pour la destination concernée.
Omettre les localisations dans le contrat. Au regard de DORA, c'est en soi une lacune de conformité, même si le site web du fournisseur dit ce qu'il faut.
Négliger les sauvegardes et la reprise après sinistre. Les régions de sauvegarde sont aussi des lieux de stockage des données.

La position de Matproof

Matproof est une plateforme d'automatisation de la conformité pour les services financiers de l'UE. Pour être concrets sur notre propre configuration :

Les données clients persistantes, y compris vos preuves d'audit, sont hébergées en Allemagne.
Nos fonctionnalités d'IA standard utilisent OpenAI et Anthropic, des fournisseurs américains, sur la base des clauses contractuelles types. Les clients réglementés peuvent activer une option UE qui maintient le traitement par IA dans l'UE.
La liste complète des sous-traitants, avec leurs localisations, est publiée sur notre page de confidentialité.

Nous préférons que vous vérifiiez ces informations plutôt que de vous fier à un slogan.

Pour commencer

Cartographiez vos flux de données pour vos outils de conformité et de GRC : quelles données vont où, en stockage comme en traitement.
Mettez à jour votre registre d'informations avec les localisations identifiées, et signalez les lacunes.
Vérifiez chaque contrat TIC quant aux clauses de localisation et de notification des changements.
Examinez les bases de transfert de tout traitement hors de l'EEE, et réalisez des analyses d'impact des transferts lorsque des CCT sont utilisées.
Déterminez dans quels cas l'hébergement dans l'UE est une exigence pour vous, en fonction des contrats de vos clients et de votre appétence au risque, et faites-en un critère de sélection plutôt qu'une hypothèse.

Questions fréquentes

Q : Le RGPD nous oblige-t-il à stocker les données personnelles dans l'UE ?
Non. Le RGPD encadre les transferts de données personnelles vers des pays situés hors de l'EEE (chapitre V). Les transferts sont licites sur la base d'une décision d'adéquation, de garanties appropriées telles que les clauses contractuelles types, ou de règles d'entreprise contraignantes.

Q : DORA exige-t-il une résidence des données dans l'UE ?
Non. DORA exige que les contrats TIC indiquent où les services sont fournis et où les données sont traitées et stockées (article 30, paragraphe 2, point b)), la tenue d'un registre d'informations (article 28, paragraphe 3) et une évaluation du risque lié aux pays tiers et du risque de concentration (article 29).

Q : Le Data Privacy Framework UE-États-Unis suffit-il pour les outils américains ?
Il constitue une base de transfert valable depuis juillet 2023, mais uniquement pour les organisations américaines certifiées à ce titre. Vérifiez la certification, et gardez à l'esprit que les cadres antérieurs (Safe Harbor, Privacy Shield) ont été invalidés par la Cour de justice.

Q : Quelles sont les sanctions ?
Les transferts illicites de données personnelles peuvent être sanctionnés par une amende pouvant atteindre 20 millions d'EUR ou 4 % du chiffre d'affaires annuel mondial en vertu de l'article 83, paragraphe 5, du RGPD. Au titre de DORA, les autorités nationales fixent les sanctions administratives et les mesures correctives en cas de défaillance dans la gestion du risque lié aux prestataires tiers de services TIC (article 50).

Q : L'hébergement dans l'UE en vaut-il encore la peine ?
Souvent, oui. Il réduit les analyses de transfert, simplifie la documentation DORA et répond aux conditions d'achat fixées par de nombreux clients. Considérez-le comme un choix délibéré fondé sur votre évaluation des risques, et non comme une obligation légale.

Points clés à retenir

Aucune loi de l'UE n'oblige les institutions financières à conserver toutes leurs données dans l'UE.
Le RGPD encadre les transferts de données personnelles hors de l'EEE. DORA exige des localisations de données documentées et fixées contractuellement, ainsi qu'une évaluation des risques.
L'hébergement dans l'UE est un choix pertinent pour des données sensibles comme les preuves de conformité, car il réduit les transferts, le risque d'accès étranger et l'effort de documentation.
Interrogez les fournisseurs sur le stockage, le traitement, les sous-traitants et l'IA, et faites inscrire les réponses dans le contrat.

Pour une évaluation gratuite de votre dispositif de conformité, rendez-vous sur https://matproof.com/contact.

Résidence des données dans l'UE : ce que la loi exige et quand elle est utile

Sommaire