Hébergement des données en Asie : quand s’agit-il d’un transfert international ?
Pour une entreprise européenne, héberger des données personnelles en Asie peut entraîner un transfert international au sens du RGPD. Le critère ne se limite pas à l’emplacement physique d’un serveur : il faut aussi identifier les organisations qui reçoivent les données ou peuvent y accéder.
Selon le RGPD, les transferts vers des pays situés hors de l’Espace économique européen sont encadrés par les articles 44 et suivants. Une société française qui confie son fichier clients à un prestataire établi en Inde, ou qui permet à une équipe située en Chine d’accéder à son outil de support, doit donc examiner ce traitement.
La localisation des données ne suffit pas à qualifier le transfert
La localisation des données reste un indice important, mais elle ne répond pas à toutes les questions juridiques. Il faut connaître l’entité contractante, les sous-traitants ultérieurs, les lieux d’accès et les responsabilités de chacun dans la chaîne de traitement.
Prenons l’exemple d’une PME française qui utilise une plateforme de service client hébergée à Singapour. Même si les données sont chiffrées, l’entreprise doit vérifier qui détient les clés, quelles équipes peuvent intervenir et si le fournisseur fait appel à d’autres prestataires hors EEE.
Les données concernées dépassent les fichiers clients
Les identifiants professionnels, les coordonnées de salariés, les journaux de connexion et les informations de prospects peuvent aussi être des données personnelles. Un simple accès de maintenance à distance peut donc mériter une analyse, même si l’entreprise ne télécharge pas volontairement une base complète.
Pour éviter les angles morts, l’inventaire doit couvrir les outils de stockage, de sauvegarde, d’analyse et d’assistance technique. Cette cartographie permet ensuite de choisir une garantie adaptée plutôt que de se fier uniquement à l’adresse du centre de données.
RGPD et hébergement en Asie : quelles garanties vérifier ?
Une fois le transfert identifié, l’entreprise doit déterminer le mécanisme juridique qui peut l’encadrer. La réglementation européenne prévoit plusieurs voies, mais elles ne sont pas interchangeables : le pays de destination et la situation du destinataire orientent le choix.
Décision d’adéquation, clauses contractuelles et règles internes
Selon la Commission européenne, une décision d’adéquation reconnaît qu’un pays assure un niveau de protection des données jugé adéquat pour les transferts visés. Le Japon et la Corée du Sud disposent notamment d’une telle décision ; il faut toutefois vérifier son périmètre et son statut au moment de l’analyse.
Pour une destination sans décision applicable, les clauses contractuelles types peuvent fournir une garantie, sous réserve d’évaluer les risques liés au droit local et de prévoir des mesures complémentaires si nécessaire. Les groupes internationaux peuvent aussi recourir aux règles d’entreprise contraignantes, après validation par les autorités compétentes.
Selon le Comité européen de la protection des données, l’évaluation du transfert ne s’arrête pas à la signature du contrat. L’exportateur doit examiner si les garanties sont effectivement efficaces dans le contexte juridique et pratique du pays destinataire.
Comparer les situations avant de choisir une solution
Le tableau ci-dessous sert de repère pour préparer les vérifications. Il ne remplace pas l’examen du destinataire, du service concerné et des catégories de données traitées.
| Situation | Point à vérifier | Mesure envisageable |
|---|---|---|
| Destination avec décision d’adéquation | Portée de la décision pour le destinataire et les données | Documenter la décision applicable |
| Destination sans décision applicable | Lois locales et accès possibles des autorités | Clauses contractuelles et évaluation du transfert |
| Accès distant depuis un pays tiers | Identité des intervenants et droits d’accès | Limiter, tracer et sécuriser les accès |
| Transfert entre sociétés d’un même groupe | Entités concernées et transferts ultérieurs | Clauses adaptées ou règles internes approuvées |
| Transfert ponctuel exceptionnel | Caractère réellement exceptionnel de la situation | Examiner les dérogations prévues par le RGPD |
Prestataires asiatiques : contrôler les accès et les risques
Le choix d’une garantie juridique ne suffit pas si le fonctionnement réel du service reste opaque. Pour l’hébergement des données en Asie, la protection des données dépend aussi des accès humains, des sous-traitants et des mesures techniques déployées au quotidien.
Examiner les lois locales et les accès possibles
L’entreprise doit demander au prestataire où les données sont stockées, depuis quels pays ses équipes peuvent intervenir et comment il répond aux demandes d’autorités publiques. Ces informations alimentent l’évaluation du transfert et permettent de déterminer si les clauses contractuelles sont suffisantes.
Une société qui confie des dossiers de support à un prestataire établi en Inde peut, par exemple, limiter les champs visibles aux agents, masquer les informations inutiles et journaliser les consultations. Ces choix réduisent l’exposition, sans remplacer l’analyse juridique du transfert.
Réduire les données accessibles au prestataire
Le chiffrement en transit et au repos est utile, mais son efficacité dépend notamment de la gestion des clés et de la possibilité pour le fournisseur de déchiffrer les informations. La pseudonymisation, la réduction des données collectées et des droits d’accès plus stricts peuvent renforcer la sécurité.
Selon la CNIL, la responsabilité de l’organisme ne disparaît pas lorsqu’un traitement est confié à un sous-traitant. Il faut donc vérifier ses garanties, formaliser les instructions et contrôler les transferts ultérieurs au lieu de s’en remettre à une simple déclaration commerciale.
Conformité des transferts : documents et contrôles à organiser
La conformité se construit dans la durée : les fournisseurs changent, les équipes évoluent et un outil peut ajouter de nouveaux sous-traitants. Un registre régulièrement actualisé aide l’entreprise à relier chaque transfert à sa finalité, à son destinataire et à la garantie retenue.
Inscrire les transferts dans le registre des traitements
Le registre doit permettre de comprendre quelles données quittent l’EEE, vers quel pays et dans quel but. Il est également utile d’y référencer les contrats, l’évaluation des risques, les mesures de sécurité et les responsables internes capables de répondre aux questions.
Une PME peut commencer par examiner ses contrats cloud, ses outils de relation client, ses sauvegardes et son assistance informatique. Cet exercice révèle parfois des accès indirects, par exemple lorsqu’un éditeur européen confie le support technique à une équipe située en Asie.
Préparer une revue périodique des fournisseurs
Pour rendre le contrôle concret, une équipe peut suivre ces vérifications à chaque nouveau service ou changement important de contrat. Elles facilitent les échanges entre la direction juridique, les équipes techniques et les responsables métier.
Une souveraineté numérique plus maîtrisée ne signifie pas nécessairement supprimer tous les outils étrangers. Elle consiste à connaître les dépendances, à choisir délibérément les prestataires et à conserver des options réalistes lorsque le niveau de risque devient trop élevé.
Vérifications utiles pour chaque service :
- Identifier l’entité qui fournit le service et les sous-traitants ultérieurs
- Confirmer les lieux de stockage, d’assistance et d’accès aux données
- Déterminer le mécanisme de transfert applicable au pays concerné
- Évaluer les risques et documenter les mesures complémentaires retenues
- Réexaminer le contrat lors d’une évolution du service ou du fournisseur
Hébergement en Asie : arbitrer entre service, sécurité et souveraineté
Un prestataire asiatique peut répondre à un besoin légitime de proximité, de performance ou de continuité d’activité. La décision devient plus solide lorsque l’entreprise compare ces bénéfices aux exigences de protection des données, plutôt que de considérer le prix ou la région du serveur isolément.
Choisir une localisation adaptée au niveau de sensibilité
Les données de santé, les dossiers RH et les informations financières appellent une vigilance renforcée, notamment parce qu’une fuite ou un accès excessif pourrait avoir des conséquences importantes. L’entreprise peut envisager de conserver les données les plus sensibles dans l’EEE et de limiter les transferts nécessaires aux fonctions opérationnelles précises.
Un service d’assistance n’a pas toujours besoin de consulter l’intégralité d’un dossier client. En séparant les informations d’identification des éléments utiles au diagnostic, l’organisation réduit les données exposées tout en maintenant le fonctionnement du service.
Faire de la documentation un outil de décision
Une fiche fournisseur claire rassemble la finalité, les catégories de données, les pays concernés, les accès, la garantie juridique et les mesures de sécurité. Elle permet aussi de comparer plusieurs offres sur des critères concrets, au lieu de s’appuyer sur des promesses générales de conformité.
Les équipes techniques peuvent ensuite tester la désactivation des comptes inutilisés, la restriction des privilèges et la suppression des données devenues inutiles. Ces gestes réguliers donnent une portée opérationnelle aux engagements contractuels et rendent les choix d’hébergement plus faciles à défendre.
