Glossaire · Concept de protection des données Résidence des données (Data Residency)
Engagement contractuel et technique selon lequel les données sont physiquement stockées dans une juridiction spécifique (typiquement l'UE/EEE). Distinct de la souveraineté des données : la résidence traite du lieu où résident les données, pas de qui a une portée juridique sur celles-ci. Un fournisseur à maison mère américaine offrant une résidence des données UE reste soumis au CLOUD Act.
## Le concept
La **résidence des données** est un engagement du fournisseur — généralement contractuel — selon lequel les données du client sont physiquement stockées dans une juridiction définie, le plus souvent l'UE ou l'EEE. Elle fait souvent partie d'un accord de traitement des données au titre de l'article 28 du RGPD et est la réponse que la plupart des fournisseurs donnent lorsqu'un client européen demande : où sont nos données ?
## Pourquoi la résidence n'est pas la souveraineté
La résidence des données et la **souveraineté des données** sont des concepts liés mais distincts, et les traiter comme interchangeables est une erreur courante et coûteuse.
- **Résidence des données** répond à : *Où les données sont-elles physiquement stockées ?*
- **Souveraineté des données** répond à : *Qui a la capacité juridique de contraindre la divulgation ou l'accès aux données, quel que soit le lieu où elles se trouvent ?*
Un fournisseur ayant son siège aux États-Unis peut sincèrement s'engager à stocker les données des clients européens uniquement dans un data center de Francfort. Cet engagement est techniquement réel. Il n'empêche cependant pas les autorités américaines de contraindre le fournisseur à divulguer ces données hébergées à Francfort en vertu du **CLOUD Act** ou de la **Section 702 du FISA**.
La Cour de justice de l'Union européenne l'a énoncé explicitement dans Schrems II (2020) : les clauses contractuelles, le chiffrement et les engagements de résidence ne suppriment pas le risque de portée juridique extraterritoriale lorsque l'entité juridique mère du fournisseur relève d'une juridiction étrangère dotée de pouvoirs de divulgation obligatoire.
## Ce que la résidence permet réellement
La résidence des données n'est pas sans valeur — elle traite plusieurs risques réels :
1. **Latence et performance** — les données physiquement plus proches des utilisateurs offrent de meilleures performances.
2. **Cadres réglementaires régionaux** — certains États membres de l'UE ont des règles nationales de localisation des données (secteur public, santé, défense) qui exigent un stockage dans le pays.
3. **Certaines obligations RGPD** — les règles de transfert du chapitre V deviennent plus faciles lorsque les données ne quittent pas l'EEE.
4. **Force exécutoire du contrat** — un fournisseur promettant une résidence UE peut y être tenu contractuellement, et les manquements sont actionnables.
Elle ne traite tout simplement pas le problème d'exposition au CLOUD Act / FISA 702 — cela nécessite la *souveraineté*, pas la résidence.
## Le modèle « région UE » chez les fournisseurs cloud
Chaque grand fournisseur cloud américain commercialise désormais des régions UE :
- AWS UE (Francfort, Paris, Stockholm, Milan, Zurich, Irlande, Espagne)
- Microsoft Azure Europe (Amsterdam, Dublin, Paris, Zurich, Milan, Berlin, Francfort)
- Google Cloud Europe (Belgique, Pays-Bas, Finlande, Francfort, Paris, Madrid, Milan, Varsovie, Zurich)
Chacune de ces offres est un engagement de résidence des données, pas une garantie de souveraineté des données. La société mère — Amazon.com Inc., Microsoft Corporation, Alphabet Inc. — est constituée aux États-Unis. L'obligation du CLOUD Act suit la société mère, pas l'emplacement physique du serveur.
Même l'« EU Data Boundary » de Microsoft (déployée en 2023-2024, encore étendue en 2026) — véritable prouesse d'ingénierie qui contraint un ensemble plus large de traitements aux régions UE — reste un engagement de résidence. Elle réduit l'exposition opérationnelle quotidienne mais ne supprime pas la portée structurelle du CLOUD Act.
## Cloud souverain vs résidence seule
Deux catégories d'offres cloud européennes traitent la question de la souveraineté, pas seulement de la résidence :
1. **Certification française Cloud de Confiance** — SecNumCloud + Qualification-SecNumCloud, exigeant que l'opérateur soit sous propriété et contrôle exclusifs UE. Bleu (coentreprise Orange + Capgemini autour de Microsoft) et S3NS (Google + Thales) visent cet objectif mais leur structure avec un partenaire technologique américain reste débattue.
2. **Fournisseurs véritablement établis dans l'UE** — Hetzner (Allemagne), Scaleway (France), OVHcloud (France), Infomaniak (Suisse), Bunny.net (Slovénie), UpCloud (Finlande). Structurellement UE au niveau de la maison mère.
## Comment évaluer la différence en pratique
Lorsqu'un fournisseur commercialise une « résidence des données UE conforme au RGPD », les questions de suivi utiles sont :
1. Où l'entité juridique mère est-elle constituée ? (Delaware ou UE ?)
2. La maison mère est-elle cotée sur une bourse américaine et dépose-t-elle donc des déclarations auprès de la SEC ?
3. Existe-t-il des filiales américaines dans la chaîne d'entreprise qui pourraient être contraintes de remettre des données UE au titre du CLOUD Act ?
4. Quelle est la réponse si une National Security Letter américaine arrive — et quelle est la réponse si le fournisseur n'est pas autorisé à divulguer qu'une NSL est arrivée ?
Pour des charges de travail véritablement sensibles — données de santé réglementées, données de transactions financières, informations liées à la défense, données citoyennes du secteur public — seules des réponses affirmatives à la question 1 et des réponses négatives à la question 3 constituent une protection significative. La résidence des données seule est insuffisante.
## En résumé
La résidence des données est un contrôle utile et souvent nécessaire, mais la traiter comme équivalente à la souveraineté des données est l'erreur de catégorie la plus courante dans l'achat de fournisseurs européens. Si votre responsable conformité accepte « les données sont à Francfort » comme réponse à l'exposition au CLOUD Act, vous avez la résidence, pas la souveraineté — et selon les conditions réglementaires de 2026 (NIS2, DORA, règles sectorielles), cela peut ne plus suffire.
Cela vous a-t-il été utile ?
Merci pour votre retour !