Souveraineté européenne des données pour les documents de conformité : pourquoi la juridiction compte quand vous ne pouvez pas supprimer le fichier
La souveraineté des données fait partie de ces sujets qui suscitent plus de passion que de clarté. Elle est parfois présentée comme du protectionnisme habillé en langage juridique, parfois comme une véritable préoccupation de gouvernance. Dans le contexte des données applicatives du quotidien, la distinction est souvent théorique.
Pour les documents sensibles en matière de conformité (factures soumises à une obligation de conservation de 7 ans, contrats sous conservation légale, déclarations réglementaires qui ne peuvent être ni modifiées ni supprimées), la distinction n’a rien de théorique. Elle a des conséquences juridiques.
Cet article défend une thèse précise : quand vous ne pouvez pas supprimer un document, l’endroit où il se trouve compte plus que d’habitude, et “où” désigne la juridiction, pas seulement la géographie.
L’argument classique de la résidence des données
L’argument le plus courant en faveur d’une infrastructure hébergée dans l’UE est la conformité au RGPD : les données personnelles ne doivent pas quitter l’Espace économique européen sans garanties appropriées. C’est une exigence réelle, et pour les applications qui traitent des données personnelles, elle est importante.
Mais ce n’est pas l’argument le plus fort pour conserver les documents de conformité en Europe. L’argument du RGPD s’applique à des données qui peuvent contenir ou non des données personnelles. Les documents de conformité contiennent souvent des données personnelles, mais c’est presque secondaire par rapport à la question centrale.
L’argument le plus fort porte sur ce qui arrive aux documents que vous êtes légalement tenu de conserver et que vous ne pouvez légalement pas supprimer.
Le droit de la conservation et le problème de l’accès à l’infrastructure
Les obligations de conservation des factures dans l’UE sont généralement de 7 ans. Les archives du secteur public néerlandais relevant de l’Archiefwet peuvent exiger une conservation de 20 ans. Ce ne sont pas des recommandations souples. Ne pas conserver les documents requis expose les organisations à des pénalités fiscales, à la perte du droit à déduction de la TVA et à des sanctions réglementaires.
Le revers des obligations de conservation, c’est que les documents conservés ne peuvent pas être supprimés pendant la période de conservation. Les documents sous conservation légale ne peuvent pas être supprimés du tout tant que la conservation légale n’est pas levée.
Cela crée une situation inhabituelle du point de vue de l’infrastructure : vous détenez des données que vous êtes légalement tenu de conserver, qu’il peut vous être légalement interdit de supprimer, et qui sont stockées sur une infrastructure contrôlée par un tiers. La question est la suivante : qui d’autre a accès à ces données, en vertu de quelle autorité légale, et que peut-il en faire ?
La question du CLOUD Act
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) est une loi fédérale américaine, adoptée en 2018, qui permet aux autorités répressives américaines de contraindre les entreprises américaines, y compris les fournisseurs cloud, à produire les données stockées sur leurs serveurs, quel que soit l’emplacement physique de ces serveurs.
L’effet pratique : les données d’une entreprise européenne stockées sur l’infrastructure d’un hyperscaler américain peuvent en principe être consultées par les autorités répressives américaines sans que l’entreprise européenne en soit informée, sous réserve des exigences procédurales du CLOUD Act.
Pour la plupart des données, c’est une préoccupation théorique. Le volume de données commerciales courantes qui font réellement l’objet de demandes au titre du CLOUD Act est faible, et les procédures pour obtenir ces données ne sont pas anodines.
Pour les documents de conformité, le calcul est différent, pour deux raisons.
Premièrement, les documents de conformité portent souvent sur les aspects commercialement les plus sensibles d’une entreprise : prix fournisseurs, conditions clients, valeurs contractuelles, déclarations réglementaires. Ce sont des documents auxquels des concurrents et des gouvernements ayant des intérêts commerciaux pourraient activement vouloir accéder.
Deuxièmement, les obligations de conservation font que les données existent pendant de longues périodes. Une demande au titre du CLOUD Act la 5ᵉ année d’une période de conservation de 7 ans porte sur des données qui, par définition, comptent pour les activités en cours de l’entreprise.
Le CLOUD Act ne signifie pas qu’utiliser l’infrastructure d’un hyperscaler américain soit illégal, ni que les données seront consultées de façon routinière. Il signifie que le cadre juridique qui crée cette possibilité s’applique, et que le fournisseur cloud n’a qu’une capacité limitée à résister à une injonction légale valable. Le profil de risque diffère de celui d’une infrastructure exclusivement européenne.
Ce que signifie “souverain européen” en pratique
“Souverain européen” est employé de manière approximative dans le marketing, et il vaut la peine de préciser ce que cela exige.
Au minimum, une infrastructure souveraine européenne signifie :
Toutes les données restent dans l’Espace économique européen. Pas seulement la région principale : les sauvegardes, la reprise après sinistre et toute réplication doivent également rester dans l’EEE. Les transferts transfrontaliers de données vers des juridictions hors EEE exigent soit une décision d’adéquation (qui peut être révoquée), soit des garanties appropriées contraignantes.
L’opérateur de l’infrastructure n’est pas soumis, pour les données concernées, à des lois d’accès aux données extra-européennes. Cela signifie que l’opérateur n’est ni une entreprise américaine ni une filiale qui serait soumise aux obligations du CLOUD Act pour les données que vous lui confiez. Les entreprises établies dans l’UE sans structure d’entreprise américaine ne sont pas soumises au CLOUD Act.
Les contrôles d’accès physiques relèvent de la juridiction européenne. L’exploitation des datacenters est soumise au droit européen, et non au droit de la juridiction où l’hyperscaler est constitué.
Il n’existe aucune dépendance à une infrastructure d’origine américaine qui pourrait servir à accéder aux données. Utiliser un datacenter européen pour le stockage principal tout en faisant passer tout le trafic par un CDN d’origine américaine, ou en s’appuyant sur une infrastructure de gestion des clés d’origine américaine, réintroduit des dépendances juridictionnelles par la petite porte.
La vraie souveraineté ne tient pas au drapeau sur le bâtiment. Elle tient au cadre juridique qui détermine qui peut accéder aux données, et dans quelles circonstances.
Pourquoi c’est particulièrement important pour les documents que vous ne pouvez pas supprimer
Revenons à l’observation de départ : les documents de conformité sont soumis à des obligations de conservation. Ils ne peuvent pas être supprimés pendant la période de conservation.
Combinez maintenant cela avec la question de l’infrastructure souveraine. Un document stocké sur une infrastructure non européenne, sous un cadre juridique non européen, et que vous ne pouvez pas supprimer pendant 7 ans, est un document dont vous ne pouvez pas entièrement maîtriser le profil d’accès pendant 7 ans.
Pour une facture soumise à des obligations de conservation standard, ce risque peut être acceptable. Pour un contrat comportant une structure tarifaire sensible, une déclaration réglementaire ou des documents sous conservation légale dans un litige en cours, le profil de risque est différent.
L’impossibilité de supprimer le document signifie aussi que vous ne pouvez pas réduire l’exposition en retirant les données. Avec un stockage objet cloud fonctionnant sous un Object Lock en mode COMPLIANCE, vous êtes, par conception, engagé à l’existence du document pendant toute la période de conservation. Le choix de la juridiction n’est donc pas facilement réversible une fois le verrou appliqué.
L’option sur site
Pour les organisations où la souveraineté des données est une exigence ferme (non pas une préférence, mais une obligation légale ou contractuelle), le déploiement sur site est la solution la plus complète.
Le déploiement sur site place les données entièrement au sein de la propre infrastructure de l’organisation, sous ses propres contrôles de sécurité, sans dépendance à des fournisseurs cloud externes. La question juridictionnelle devient : quelles lois s’appliquent à la propre infrastructure de l’organisation ? Pour les organisations européennes opérant dans l’UE, la réponse est le droit européen.
Le déploiement sur site s’accompagne de coûts opérationnels : l’organisation est responsable de la disponibilité, des sauvegardes, de la reprise après sinistre et de la planification des capacités. Mais pour les entités réglementées pour lesquelles la résidence des données est une exigence de conformité, ces coûts sont généralement déjà acceptés comme faisant partie de l’architecture de sécurité de base.
Le BYOS (apporter votre propre stockage compatible S3) est une option intermédiaire. La couche applicative reste un service, mais c’est le propre bucket de stockage de l’organisation, dans son propre compte cloud et sous la juridiction qu’elle a choisie, qui détient les données. Le fournisseur de l’application ne détient pas les documents : il les traite et les écrit dans le bucket de l’organisation.
La question pratique pour les équipes conformité
Pour les équipes conformité qui évaluent une infrastructure documentaire, la question n’est pas de savoir si la souveraineté européenne est un plus appréciable. Elle est de savoir si les exigences juridiques et de risque des documents stockés (obligations de conservation, procédures de conservation légale, sensibilité réglementaire) l’imposent.
Pour les documents courants soumis à la conservation standard de 7 ans, le risque lié à la dépendance à un hyperscaler américain peut être acceptable. De nombreuses organisations font ce compromis, et il pose rarement problème.
Pour les documents sous conservation légale, soumis à de longues périodes de conservation, d’une forte sensibilité commerciale ou visés par des exigences explicites de résidence des données dans des cadres sectoriels réglementés, la question mérite d’être posée sérieusement avant que la décision d’infrastructure ne soit figée.
Une fois l’Object Lock appliqué et l’horloge de conservation lancée, il devient plus difficile de revenir sur la question de la juridiction.
SealDoc fonctionne sur une infrastructure européenne, dans des datacenters européens certifiés ISO 27001, sans aucune dépendance à un hyperscaler américain. Avec Enterprise, le BYOS permet aux organisations d’apporter leur propre stockage compatible S3 et de décider elles-mêmes où leurs documents sont stockés et sous quelle juridiction.