Que Faire si Vous ne Savez pas si Vos Donnees Sont Stockees dans l'UE ?

Pourquoi la localisation du stockage est importante

Le RGPD impose des exigences strictes pour le transfert de donnees personnelles vers des pays hors de l’UE. Lorsque vous utilisez un logiciel qui stocke des donnees sur des serveurs aux Etats-Unis, en Inde ou dans un autre pays non-UE, des regles supplementaires s’appliquent.

Cela ne signifie pas que vous ne pouvez pas utiliser ces outils. Mais vous devez savoir ou les donnees se trouvent et documenter les garanties en place.

Comment savoir ou vos donnees sont stockees ?

La plupart des editeurs de logiciels publient leur localisation de stockage. Voici ou chercher :

1. L’accord de traitement des donnees (DPA)

Si vous avez un DPA avec le fournisseur, il indique presque toujours dans quelle region les donnees sont traitees. Les grands fournisseurs comme Google, Microsoft et Amazon publient leur DPA sur leur site web.

2. La politique de confidentialite du fournisseur

Sous les rubriques “Transferts de donnees” ou “International data transfers,” vous trouverez generalement si les donnees quittent l’UE et quelles garanties s’appliquent.

3. Contact direct

Si vous ne trouvez pas l’information, envoyez un e-mail au fournisseur : “Les donnees personnelles que nous traitons via votre service sont-elles stockees sur des serveurs dans l’UE ?” La plupart des fournisseurs sont tenus de vous donner une reponse claire.

Que faire si les donnees sont hors de l’UE ?

Ce n’est pas un probleme tant que des garanties appropriees sont en place. La garantie la plus courante est les Clauses Contractuelles Types (CCT), un ensemble de clauses contractuelles approuvees par la Commission europeenne. Les grands fournisseurs cloud les ont deja integrees dans leurs conditions.

De plus, certains pays beneficient d’une decision d’adequation. La Commission europeenne a determine que ces pays offrent un niveau de protection comparable. Le transfert de donnees vers ces pays est autorise sans garanties supplementaires.

Documenter dans GDPRWise

Dans votre dossier tiers, vous pouvez specifier par fournisseur :

• Si les donnees sont stockees dans ou hors de l’UE
• Dans quel pays se trouvent les serveurs
• Quelle garantie s’applique (CCT, decision d’adequation, ou autre)

GDPRWise vous avertit si vous ajoutez un fournisseur sans localisation de stockage, pour que vous n’oubliiez pas de la renseigner.

Regles pratiques

• Fournisseurs europeens : les donnees sont generalement stockees dans l’UE, mais verifiez par precaution
• Fournisseurs americains : les donnees sont souvent (aussi) traitees aux Etats-Unis, mais ils proposent generalement des CCT
• Un doute ? Documentez votre incertitude et contactez le fournisseur. L’honnetete dans votre dossier vaut toujours mieux qu’une hypothese