Ce que signifie initialement l’hébergement en Allemagne
Lorsqu’un fournisseur propose un hébergement en Allemagne, cela doit se référer à une partie spécifique de son service. Les entrées, les sorties ou les fichiers stockés peuvent être traités sur des serveurs situés dans des centres de données allemands. Il s’agit d’un point de départ utile pour les organisations, car la localisation physique des données est plus facile à définir et à spécifier contractuellement.
L'appellation « hébergement allemand » ne précise pas quelles données restent effectivement en Allemagne. Les journaux, les sauvegardes, les données de support ou les informations de compte peuvent être traités sur d'autres systèmes. De plus, le lieu d'hébergement d'un service ne correspond pas automatiquement au lieu de stockage d'un compte client. Les acheteurs doivent donc toujours considérer l'ensemble du service, et non pas seulement le lieu de traitement des données.
L'appellation « hébergement allemand » ne constitue pas non plus une garantie de protection des données. Le Règlement général sur la protection des données (RGPD) exige que les données personnelles soient traitées de manière licite, avec des finalités claires et des garanties appropriées. L'emplacement du serveur peut réduire les risques et simplifier la documentation. Toutefois, il ne rend pas licite la collecte inutile de données ni un accès insuffisamment protégé. Les droits des personnes concernées doivent également être respectés concrètement, quel que soit l'emplacement. Par conséquent, cette appellation doit toujours être accompagnée d'une description précise des services.
Il convient d'examiner séparément l'emplacement du serveur et le siège social du fournisseur.
Un centre de données peut être situé à Francfort, tandis que le partenaire contractuel est établi dans un autre État membre de l'UE ou en dehors de l'Espace économique européen. Ces situations ne sont pas automatiquement interdites. Toutefois, elles ont une incidence sur la loi applicable au fournisseur, les sociétés du groupe concernées et la possibilité pour des entités étrangères d'exiger légalement ou en pratique un accès aux données.
Les employés peuvent également accéder aux systèmes depuis un autre pays. La maintenance à distance, le dépannage et l'assistance client doivent donc être pris en compte. Si des données personnelles provenant d'un pays tiers deviennent visibles ou accessibles, cet accès doit être considéré comme un transfert vers un pays tiers conformément au chapitre V du RGPD, même si aucune copie permanente ne quitte le serveur allemand.
La question contractuelle pertinente est de savoir à partir de quels lieux et par quelles sociétés les données personnelles peuvent être traitées. Cela inclut le stockage, le traitement continu, l'assistance et les sauvegardes. Une réponse claire permet de distinguer les traitements planifiés des rares situations d'urgence et de préciser les garanties. Des engagements vagues, tels que « infrastructure européenne », laissent des décisions essentielles en suspens. Une liste des localisations doit donc préciser la partie du service concernée dans chaque cas. Elle doit également faire clairement la distinction entre l'Allemagne, l'UE et l'EEE.
Traitement et stockage spatialement séparés
Dans un service linguistique fondé sur l’IA, le traitement et le stockage peuvent avoir lieu dans des lieux différents. Un texte peut être stocké en Allemagne, tandis que le calcul du modèle est effectué dans une autre région. Inversement, une requête peut être traitée en Allemagne, mais son résultat stocké sur un compte client européen. L'engagement relatif à la localisation doit nommer explicitement les deux processus.
Le traitement continu implique bien plus que le simple appel de modèle visible. Les files d'attente, les tampons, les filtres de contenu et les systèmes d'équilibrage de charge peuvent contenir des parties d'une entrée ou des identifiants techniques. Si seul le stockage central du modèle est situé en Allemagne, le cheminement des données reste incomplet. Les acheteurs ont besoin de connaître les régions de tous les composants susceptibles de traiter le contenu client.
Les termes « données au repos » et « données en cours de traitement » doivent également être clairement définis. Ils ne doivent pas entraîner l'exclusion de copies temporaires de l'engagement. Une région allemande garantie est particulièrement robuste si le fournisseur indique clairement quelles données temporaires sont générées, où elles sont stockées et à quel moment elles peuvent quitter le cheminement de traitement prévu. Ceci inclut également les nouvelles tentatives automatiques en cas d'échec des requêtes.
Incluez les sauvegardes et les systèmes de secours dans l'engagement.
Les données de production ne constituent pas la seule copie d'un service. Les systèmes de sauvegarde, de réplication et de restauration peuvent résider dans une région secondaire. Cela permet de se prémunir contre les interruptions de service, mais peut modifier l'engagement relatif à l'emplacement en Allemagne. Le fournisseur doit indiquer si les sauvegardes restent exclusivement en Allemagne ou sont réparties sur une zone européenne plus étendue.
Il en va de même pour les opérations de basculement. En cas de défaillance d'un centre de données allemand, le service peut basculer vers une autre région. Ce basculement améliore la disponibilité, mais ne doit pas implicitement supprimer les contraintes contractuelles d'emplacement. Les acheteurs doivent savoir si le service est interrompu en cas d'indisponibilité des capacités en Allemagne, s'il continue avec des fonctionnalités limitées ou s'il traite les données dans une autre région.
Un engagement fiable spécifie les régions principales, de sauvegarde et de basculement autorisées. Il décrit également si les clients peuvent initier eux-mêmes un basculement de région et comment ils seront informés d'un basculement d'urgence. Cela permet un choix éclairé entre une stricte résidence des données et une disponibilité géographique accrue, plutôt que de supposer les deux. Au retour des données, les copies temporaires sur le site alternatif doivent être traitées conformément à la réglementation.
Les transferts de données vers des pays tiers ne s'arrêtent pas au centre de données allemand.
Le chapitre V du RGPD encadre les transferts de données personnelles vers des pays tiers et des organisations internationales. Un lieu de stockage en Allemagne peut empêcher ces transferts si l'ensemble du traitement pertinent reste effectivement effectué au sein de l'Espace économique européen (EEE). Cependant, en présence d'accès, de sous-traitants ou d'autres systèmes situés en dehors de cet EEE, le transfert concerné doit faire l'objet d'une évaluation distincte.
Pour certains pays, la Commission européenne a rendu une décision d'adéquation. Dans d'autres cas, des garanties appropriées, telles que des clauses contractuelles types, peuvent être requises. Ces instruments ne permettent pas de répondre automatiquement à toutes les questions techniques relatives aux risques. Les organisations doivent identifier les données concernées, la législation applicable dans le pays de destination et les garanties supplémentaires efficaces dans le cas d'espèce.
La société mère d'un fournisseur européen peut également être pertinente pour l'évaluation. Ce qui importe, ce ne sont pas seulement sa nationalité, mais aussi les obligations légales, les droits de contrôle et les options d'accès existants. Les acheteurs ne doivent donc pas présumer automatiquement qu'un serveur allemand les met à l'abri de tout risque provenant de pays tiers. Ils doivent obtenir des explications claires sur le flux de données réel et les parties impliquées. L'accès régulier doit être évalué différemment des cas exceptionnels strictement définis. Chaque cas exceptionnel, cependant, requiert une base juridique et technique solide.
Vérifier physiquement les journaux et les données opérationnelles
Les journaux techniques sont souvent stockés séparément des données textuelles saisies. Ils peuvent contenir des identifiants de compte, des horodatages, des adresses IP, des messages d'erreur ou, dans certains cas, des extraits de contenu. Si le fournisseur indique uniquement l'emplacement de la base de données clients, il reste impossible de savoir où sont stockées les données opérationnelles personnelles et quelle équipe les analyse.
Les systèmes de détection des abus, de mesure des performances et de support peuvent également utiliser leurs propres régions. Une instance modèle allemande ne garantit pas que tous les diagnostics soient effectués en Allemagne. Les acheteurs doivent s'informer sur l'emplacement de ces données opérationnelles et vérifier si les journaux contiennent uniquement des identifiants techniques ou également des extraits du contenu saisi.
L'engagement relatif à l'emplacement des données doit explicitement inclure les journaux actifs, les journaux archivés et leurs sauvegardes. Les exceptions pour les analyses de sécurité exigent également des emplacements spécifiés, un accès restreint et un stockage traçable. Si le fournisseur utilise un outil d'analyse centralisé situé en dehors de la région engagée, ce chemin de données doit également être évalué. Ce n'est qu'alors que l'expression « hébergement allemand » désigne plus que la simple localisation de l'appel de modèle visible.
Localisation des clés et accès administratif
Le chiffrement complète l'engagement de localisation, mais ne le remplace pas. Les clés peuvent être gérées en Allemagne, tandis que le personnel autorisé y accède via une équipe d'exploitation située dans un autre pays. Inversement, un fournisseur de clés global peut sécuriser une région de données allemande. Les acheteurs doivent donc savoir où les clés sont stockées et gérées, et quelles entités sont habilitées à les utiliser.
L'accès administratif mérite la même précision spatiale que les serveurs. Une équipe d'exploitation en Allemagne, un service d'astreinte dans l'EEE et une équipe de support dans un pays tiers impliquent des chemins de données différents. Les documents contractuels doivent faire la distinction entre accès normal, accès d'urgence et simple surveillance du système, et préciser dans chaque cas si le texte en clair peut être consulté.
Des preuves peuvent étayer ces affirmations si leur portée couvre les systèmes et les régions concernés. La norme BSI C5 exige la transparence concernant la localisation géographique des données et les fonctions externalisées dans la description du système. Pour le choix du site, il est crucial que le rapport soumis décrive précisément l'environnement allemand réservé, et non le nombre de certifications générales détenues par le fournisseur. La période d'audit doit également couvrir l'environnement actuellement déployé.
Visibilité des sociétés du groupe et des sites de support
Un fournisseur peut exploiter l'infrastructure allemande via une filiale locale tout en bénéficiant du support, du développement ou des analyses de sécurité d'autres sociétés du groupe. La marque commune masque facilement cette répartition géographique. Par conséquent, les acheteurs ont besoin de connaître non seulement la localisation du partenaire contractuel, mais aussi celle des équipes qui consultent les données client ou gèrent les systèmes ayant accès à ces données.
Le support est particulièrement important car les clients y partagent fréquemment des captures d'écran, des exemples de texte ou des fichiers d'exportation. Même si la plateforme de production est exploitée exclusivement en Allemagne, un système de gestion des tickets global peut ouvrir une nouvelle voie de transmission des données. La transmission sécurisée, le traitement régional et une limitation claire du contenu visible doivent figurer dans la description de la localisation.
Les exigences générales relatives aux sous-traitants et aux prestataires de services de traitement des données doivent être détaillées dans l'examen de l'accord de traitement des données (ATD). Pour l'hébergement en Allemagne, une question plus précise s'impose : quelle entreprise participante est autorisée à accéder à quelles données et depuis quel pays ? La réponse doit également couvrir les modifications apportées aux équipes de support ou d'astreinte, et pas seulement le remplacement d'un centre de données. L'accès temporaire aux projets doit également être inclus dans cette description.
Garantir contractuellement la localisation et fournir des garanties régionales.
La sélection de la région dans l'interface du produit est utile, mais plus facile à modifier qu'une garantie contractuelle. L'accord doit préciser les types de données et les étapes de traitement liés à l'Allemagne. Des termes comme « par défaut » ou « préféré » laissent place à des exceptions. Si de telles exceptions sont nécessaires, elles doivent être clairement définies et notifiées.
La vérification de la localisation peut s'appuyer sur une description du système, un rapport d'audit pertinent et des informations techniques. Elle doit couvrir le traitement en production, le stockage, les sauvegardes, les journaux et l'accès administratif. Une facture de centre de données prouve uniquement que l'infrastructure est utilisée en Allemagne, et non que toutes les données client y sont traitées exclusivement.
Les modifications doivent rester traçables. L'ajout de nouvelles régions, la modification des règles de basculement ou la relocalisation de l'équipe de support peuvent impacter l'évaluation initiale. Une obligation contractuelle de fournir des informations permet une réévaluation avant toute modification du cheminement des données. Ceci garantit que l'engagement d'hébergement en Allemagne reste vérifiable pendant toute la durée d'utilisation et n'est pas seulement documenté au moment de la vente. Des confirmations régulières de localisation peuvent efficacement compléter cette preuve.
L'hébergement en Allemagne est un élément clé d'une décision éclairée.
Une opération pilote en Allemagne peut offrir aux organisations un réel avantage. Elle établit un lien géographique clair, peut réduire les transferts de données vers des pays tiers et simplifie certaines exigences contractuelles. Cet avantage est maximal lorsque les entrées, les sorties, les sauvegardes, les journaux et le support sont considérés conjointement et clairement limités. L'engagement géographique doit rester contraignant pendant toute la durée du contrat. Il doit également couvrir explicitement toutes les fonctionnalités futures du service réservé.
Plusieurs réponses précises sont donc cruciales pour le processus de sélection. Qui est le partenaire contractuel et le sous-traitant des données ? Quels sont les sous-traitants impliqués ? Où les personnes et les systèmes peuvent-ils accéder aux données ? Le contenu est-il stocké ou utilisé à des fins de formation ? Quelles certifications de sécurité couvrent spécifiquement le service réservé ? Ce n'est que dans leur ensemble que ces réponses permettent de décrire l'efficacité réelle de l'offre en matière de protection.
La meilleure décision tient compte de la finalité et des risques liés à l'utilisation prévue. Les textes publiés sur un site web public sont soumis à des exigences différentes de celles applicables aux dossiers du personnel ou aux avis médicaux. L'hébergement en Allemagne ne remplace pas cette classification, mais peut la compléter efficacement. Lorsque les promesses marketing se traduisent par des contrats clairs et des mesures de protection vérifiables, la localisation devient un critère fiable et non une simple étiquette. Cette clarté facilite également les modifications ultérieures du service ou de son utilisation. Elle permet aussi d'identifier les situations nécessitant une nouvelle évaluation de la localisation.
Sources de référence
- Règlement général sur la protection des données (RGPD), notamment les articles 5, 28, 32 et 44
- Préposé fédéral à la protection des données et à la liberté d'information (BfDI) : Accord type pour le traitement des données
- Office fédéral de la sécurité de l'information (BSI) : Catalogue des critères de conformité C5 pour l'informatique en nuage
- Office fédéral de la sécurité de l'information (BSI) : Norme minimale pour l'utilisation des services de nuage externes