« Nos données sont hébergées en Europe. » Cette phrase rassure beaucoup de monde et ne garantit pas ce qu'on croit. Ce qui détermine le droit applicable n'est pas l'endroit où se trouvent les disques durs, mais l'entité qui les contrôle. Une filiale européenne d'un groupe américain relève du droit américain sur ce point précis.
Nous rapportions ce matin une entreprise déménageant sa maison mère en Allemagne pour cette raison. Voici le mécanisme.
Ce que la loi prévoit
Le Clarifying Lawful Overseas Use of Data Act, adopté en 2018, clarifie un point qui faisait débat : une entreprise relevant de la juridiction américaine peut être tenue de produire des données qu'elle détient ou contrôle, quel que soit le lieu de stockage.
L'intention initiale était pratique. Avant ce texte, une demande judiciaire pouvait être bloquée par un argument de localisation, ce qui compliquait les enquêtes dans un monde où les données circulent.
L'effet secondaire est que la localisation physique cesse d'être une protection. Un serveur à Francfort exploité par une filiale d'un groupe américain reste dans le champ.
La tension avec le droit européen
C'est là que la situation devient inconfortable pour une entreprise européenne.
Le règlement européen sur les données encadre strictement les transferts vers des pays tiers et impose des conditions précises. Une demande fondée sur une loi étrangère, sans passer par les mécanismes de coopération judiciaire prévus, ne constitue pas en soi une base légale suffisante au regard de ce cadre.
Un fournisseur soumis aux deux ordres juridiques peut donc se trouver dans une position où satisfaire l'un revient à enfreindre l'autre. Ce conflit est réel, documenté, et il n'a pas de solution générale — ce qui explique la prudence des services juridiques.
Qui contrôle l'entité contractante ? Pas où sont les serveurs : quelle société signe, et de quel groupe elle relève.
Qui détient les clés de chiffrement ? Si le fournisseur ne peut techniquement pas déchiffrer vos données, une demande de production ne lui donne pas grand-chose. C'est la protection la plus solide.
Que prévoit le contrat en cas de demande ? Vous prévient-on ? Peut-on contester ? Certains engagements prévoient une notification et une opposition systématique, d'autres non.
Ce que ça change dans les choix concrets
Ce mécanisme explique plusieurs mouvements que nous avons documentés sans toujours les relier.
Le basculement vers l'hébergement interne. Nous rapportions que la moitié des grandes entreprises américaines privilégient des modèles ouverts hébergés chez elles. Un modèle qui tourne sur vos machines ne relève d'aucune juridiction étrangère, parce qu'aucun tiers ne détient vos données.
La valeur d'un fournisseur européen. Ce n'est pas du patriotisme économique : c'est la suppression d'un risque juridique identifié.
Le chiffrement de bout en bout. Quand il est réellement mis en oeuvre, il rend la question largement théorique. C'est aussi pourquoi le chiffrement homomorphe intéresse tant : il permettrait de traiter sans jamais déchiffrer.
Ce qu'il faut retenir
Ce sujet paraît juridique et il est très concret : il décide chaque jour d'achats qui ne se font pas.
La règle pratique tient en une phrase : demandez qui contrôle, pas où c'est stocké. La localisation est une information marketing ; la juridiction est une information contractuelle.
Et pour tout ce qui est réellement sensible, la conclusion reste celle que nous formulons à chaque article sur ce thème : ce qui ne sort pas de chez vous ne relève d'aucun droit étranger, parce qu'il n'y a rien à produire.