Lieu de stockage des données : où une plateforme stocke-t-elle physiquement vos données, et pourquoi cela relève d'une question contractuelle ?

Qu'est-ce que la résidence des données ?

La « résidence des données » désigne l'emplacement physique de vos données. Une plateforme hébergée dans une seule région stocke les dossiers de ses clients sur des serveurs situés dans cette région ; une plateforme proposant un hébergement régional peut stocker les données des clients européens en Europe et celles des clients nord-américains en Amérique du Nord.

Il vaut la peine de poser la question sans détours, car la réponse est souvent plus limitée que ne le laisse entendre le discours marketing. Un fournisseur disposant de bureaux sur trois continents peut tout de même n'exploiter qu'une seule zone d'hébergement, et une équipe d'assistance internationale ne vaut pas un engagement en matière de stockage régional.

‍

En quoi cela diffère-t-il de la souveraineté des données ?

La résidence est une question de lieu. La souveraineté, quant à elle, concerne la question de savoir quelles lois nationales s'appliquent aux données, ce qui est une question différente et plus large.

Les données peuvent être stockées dans un pays tout en relevant de la compétence juridique d’un autre, généralement en raison de la nationalité juridique du fournisseur ou de la localisation de sa société mère. L’engagement de stocker les données dans une région donnée répond donc pleinement à la question de la résidence, mais seulement en partie à celle de la souveraineté. Un acheteur qui s’intéresse davantage à la compétence juridique qu’à l’emplacement physique doit se renseigner sur ces deux aspects.

‍

Pourquoi est-ce important pour les plateformes de subventions et de RSE ?

En effet, ces systèmes sont conçus pour contenir des données à caractère personnel. Une demande de subvention mentionne des personnes par leur nom, leurs coordonnées et, parfois, des informations financières et médicales concernant les bénéficiaires. Un registre des activités bénévoles identifie les employés et précise les tâches qu’ils ont effectuées ainsi que les jours où ils les ont réalisées.

Cela place la plateforme dans le cadre des obligations en matière de protection des données plutôt que dans celui de la politique informatique générale, et fait de la question de la localisation un sujet sur lequel un bailleur de fonds européen sera probablement interrogé par sa propre équipe juridique avant la signature, et non après. Elle s'inscrit ainsi dans le cadre des autres exigences de conformité relatives aux subventions, en tant qu'élément devant être prouvé plutôt que présumé.

Trois questions suffisent à trancher lors d'une discussion sur un marché public. Dans quelle région les données sont-elles stockées, et cela est-il stipulé dans le contrat ? Quels sous-traitants ont accès à ces données, et où se trouvent-ils ? Et qu'advient-il des données à l'expiration du contrat : sous quel format et dans quel délai ?

‍

Localisation des données sur une plateforme de subventions

Une plateforme logicielle de gestion des subventions devrait être en mesure d'indiquer sa région d'hébergement, de dresser la liste de ses sous-traitants secondaires et de préciser ses conditions d'exportation et de suppression sans qu'il soit nécessaire d'en faire la demande expresse. L'existence même de ces documents constitue un indicateur raisonnable du sérieux avec lequel un fournisseur aborde cette question.

Cela s'inscrit également dans le cadre global du dossier. C'est cette même rigueur, qui permet d'établir une piste d'audit solide concernant les décisions de financement, qui permet à un fournisseur de préciser où se trouvent les documents sous-jacents.