Data Residency vs Data Sovereignty : quelle est la différence lors du choix d’un Cloud Storage ?

Un fournisseur de Cloud Storage peut indiquer que les fichiers sont stockés en Allemagne, dans l’UE ou dans une autre région spécifique. Cette information est importante, mais elle ne donne pas une vision complète. Les sauvegardes, les versions de fichiers, les systèmes de support et les intégrations avec des services tiers peuvent créer des emplacements supplémentaires de stockage ou de traitement des données.

C’est pourquoi il est important de comprendre la différence entre Data Residency et Data Sovereignty. Data Residency répond à la question de savoir où les données sont stockées ou traitées. Data Sovereignty répond à la question de savoir quelles juridictions légales peuvent s’appliquer à ces données. Cette distinction peut sembler mineure au premier abord, mais elle peut influencer le choix d’une solution pour stocker des photos privées, des documents clients ou des dossiers d’entreprise.

Ce guide explique ces deux notions et présente également les éléments à vérifier avant de choisir un fournisseur de Cloud Storage.

Data Residency : où vivent vos données dans le cloud ?

La Data Residency désigne simplement l’endroit où un fournisseur de cloud stocke ou traite vos données. Il peut s’agir d’un data centre physique ou d’une région cloud située dans un pays précis. En d’autres termes, elle répond à une question simple : "Où mes fichiers et les données associées sont-ils conservés ?"

L’emplacement de vos données peut avoir une incidence sur les performances, la conformité légale et la protection de la vie privée. Certains contrats, politiques d’entreprise ou réglementations exigent que les données restent dans un pays ou une région déterminés. C’est pourquoi il est important de vérifier l’emplacement de stockage proposé par le fournisseur avant de prendre une décision.

Cela est particulièrement important pour les organisations qui traitent des données personnelles dans l’Union européenne en vertu du General Data Protection Regulation(GDPR). Le GDPR n’impose pas que toutes les données personnelles restent au sein de l’UE. En revanche, les transferts en dehors de l’Espace économique européen doivent respecter des règles et des garanties spécifiques.

Vérifier uniquement l’emplacement principal des fichiers ne suffit pas. Les fichiers peuvent être stockés dans un data centre allemand, tandis que les backups, les copies de récupération ou les versions de fichiers sont conservés ailleurs. Avant de choisir un fournisseur, consultez sa documentation, son SLA ou ses conditions de traitement des données afin de confirmer où chaque copie des données est stockée et traitée.

Data Sovereignty : quelles lois et quelles autorités légales peuvent s’appliquer aux données ?

La Data Sovereignty fait référence aux lois et aux autorités légales susceptibles de s’appliquer aux données. Elle répond à une question différente de celle de la Data Residency : "Quelles juridictions peuvent avoir des règles ou une autorité sur ces données ?"

L’endroit où les données sont stockées ou traitées reste important. Des données hébergées dans un pays donné peuvent être soumises aux lois de ce pays en matière de confidentialité, de sécurité et de divulgation des informations. Parmi les principaux cadres réglementaires figurent le GDPR dans l’Union européenne, le PIPEDA au Canada ainsi que le Privacy Act et les Australian Privacy Principles en Australie. Toutefois, l’emplacement du serveur ne permet pas, à lui seul, de déterminer toutes les lois qui peuvent s’appliquer.

La Data Sovereignty dépend également de la manière dont le fournisseur exploite son service. Un fournisseur peut être établi dans un pays, stocker les fichiers dans un autre et faire appel à d’autres entreprises pour le support ou l’infrastructure. Ses conditions d’utilisation doivent préciser qui peut accéder aux données et où celles-ci peuvent être traitées.

Les données peuvent être soumises à plusieurs cadres juridiques lorsque le stockage, le traitement, les opérations du fournisseur ou les modalités d’accès dépassent les frontières nationales. Stocker des fichiers dans un seul pays ne signifie pas automatiquement que seules les lois de ce pays s’appliquent. Avant de choisir un fournisseur de Cloud Storage, examinez ses conditions de traitement des données, les informations relatives à ses subprocessors ainsi que les modalités d’accès du support, en les comparant à vos propres exigences.

Data Residency vs. Data Sovereignty : quelle est la différence ?

La Data Residency vous indique où vos fichiers et leurs copies associées, telles que les backups et les versions de fichiers, sont physiquement stockés ou traités. Elle vous aide à vérifier si un fournisseur conserve les données dans le pays ou la région que vous attendez.

La Data Sovereignty examine le contexte juridique dans son ensemble. Elle prend en compte les juridictions susceptibles d’avoir des règles ou une autorité sur les données, en fonction de leur lieu de stockage, de la manière dont le fournisseur exploite son service et du fait que d’autres entreprises puissent les traiter ou y accéder.

Ces deux notions sont liées, mais elles ne sont pas identiques. Un fournisseur peut stocker les données dans le pays que vous souhaitez, mais vous devez tout de même vérifier quelles lois peuvent s’appliquer à ces données.

Pourquoi les Backups, les versions de fichiers et les copies de récupération sont importants pour l’emplacement des données

Les fichiers visibles dans un dossier cloud ne sont pas les seules données qu’un service peut conserver. Une infrastructure de Cloud Storage peut également inclure des backups, des copies de reprise après sinistre (disaster-recovery copies), des versions antérieures de fichiers, des bases de données et des metadata. Les metadata sont les informations complémentaires qui permettent à un service de gérer les fichiers, telles que les paramètres de partage, les autorisations et les informations de compte.

D’autres composants du service peuvent également nécessiter votre attention. Les journaux (logs) et les systèmes de surveillance peuvent enregistrer l’activité technique, tandis que le stockage externe, les intégrations avec des services tiers, l’accès du support et l’accès administratif peuvent créer des chemins supplémentaires de traitement ou d’accès aux données. Ces éléments ne sont pas nécessairement stockés ou gérés au même endroit que les fichiers principaux.

Le traitement juridique de chacun de ces éléments dépend de la législation applicable, du contrat et de la configuration du service. Pour cette raison, ne supposez pas que le choix d’une seule région de stockage répond à toutes les questions liées à l’emplacement des données. Identifiez les chemins de stockage, de traitement et d’accès qui s’appliquent à votre compte, puis confirmez-les auprès du fournisseur.

CloudBased Backup propose un hébergement Nextcloud géré dans des data centres allemands et prend en charge l’infrastructure sous-jacente, les mises à jour de sécurité et les backups dans le cadre du service. Les procédures de récupération et les périodes de conservation varient selon l’offre choisie ; vérifiez donc la couverture de vos backups dans le contrat ou le Service-Level Agreement (SLA).

Idées reçues sur la Data Residency et la Data Sovereignty

• Le GDPR signifie que les données ne doivent jamais quitter l’UE.

Pas nécessairement. Selon les recommandations de la Commission européenne concernant les transferts internationaux de données, le GDPR autorise le transfert de données personnelles en dehors de l’Espace économique européen lorsque les conditions et garanties requises sont respectées. En d’autres termes, le GDPR permet également les transferts de données personnelles en dehors de l’UE, à condition que les garanties nécessaires soient mises en place.

• Un data centre situé dans l’UE ou en Allemagne rend automatiquement une organisation conforme au GDPR.

Non. L’emplacement du stockage peut contribuer à une démarche de conformité, mais il ne représente qu’une partie de l’ensemble. La licéité du traitement, les contrôles de sécurité, les périodes de conservation, les contrats et les pratiques internes sont également essentiels.

• Le chiffrement répond à toutes les questions liées à la Data Sovereignty.

Le chiffrement protège les données contre les accès non autorisés, mais il n’explique pas où les données sont stockées ou traitées. Il ne permet pas non plus de déterminer quelles juridictions peuvent s’appliquer au fournisseur, qui gère les clés de chiffrement ou quels partenaires de service peuvent accéder aux données.

• Seules les grandes entreprises doivent s’en préoccuper.

Ce n’est pas une préoccupation réservée aux grandes entreprises. Si vous stockez des photos de famille, envoyez des fichiers clients confidentiels ou travaillez sur des documents partagés avec votre équipe, vous confiez des données importantes à un fournisseur. Il est donc utile de vérifier où vos données, y compris les backups, sont conservées et qui peut y accéder.

Ce qu’il faut vérifier avant de choisir un Cloud Storage

Ces questions vous aideront à comprendre où vont vos données, qui peut y accéder et quels éléments vous devez confirmer avant de choisir un fournisseur de Cloud Storage.

• Dans quel pays ou quelle région vos données principales sont-elles stockées ?
• Où sont stockés les backups, les copies de récupération (recovery copies) et les versions de fichiers ?
• Le personnel du support peut-il accéder à vos données, et depuis quel endroit ?
• Le fournisseur peut-il confirmer ces informations dans le contrat, le SLA ou le Data Processing Agreement ?
• Combien de temps les fichiers, les backups et les logs sont-ils conservés avant leur suppression ?
• Le fournisseur vous informera-t-il avant de déplacer les données ou de faire appel à un nouveau prestataire de services ?
• Si des données personnelles sont traitées en dehors de l’EEE, quelles garanties de transfert sont appliquées ?

FAQs

Quelle est la différence entre la Data Residency et la Data Sovereignty ?

La Data Residency vous indique où les données sont stockées ou traitées. La Data Sovereignty vous indique quelles juridictions légales peuvent avoir des règles ou une autorité sur ces données.

Le GDPR exige-t-il que les données personnelles soient stockées dans l’UE ?

Non. Le GDPR n’impose pas que toutes les données personnelles restent dans l’Union européenne. Il autorise les transferts en dehors de l’Espace économique européen lorsque les conditions et les garanties requises sont respectées.

La Data Residency s’applique-t-elle aux cloud backups ?

Oui. Les cloud backups peuvent contenir les mêmes fichiers et informations que votre stockage principal ; leur emplacement est donc tout aussi important. Avant de choisir un fournisseur, vérifiez où les backups sont stockés, combien de temps ils sont conservés et s’ils sont transférés vers une autre région.

Le stockage des données en Allemagne rend-il automatiquement une organisation conforme au GDPR ?

Non. Héberger des données en Allemagne peut répondre à une préférence concernant leur emplacement, mais cela ne rend pas une organisation conforme au GDPR à lui seul. La conformité dépend également de la licéité du traitement, des mesures de sécurité, des conditions de traitement des données, des pratiques de conservation et de suppression des données, ainsi que des procédures internes de l’organisation.