Clause de localisation des données : définition et rédaction

Exemple de rédaction commenté

L’exemple ci-dessous suppose que le prestataire héberge ou traite des données pour le compte du client. Il se combine avec les obligations du RGPD, sans les remplacer.

Article X. Localisation des données

X.1. Le Prestataire garantit que l’ensemble des Données traitées au titre du Contrat sont hébergées et stockées exclusivement sur des serveurs situés sur le territoire de l’Union européenne. Toute donnée de sauvegarde et toute copie de secours sont soumises à la même exigence.

X.2. Tout accès aux Données, y compris à des fins d’administration, de maintenance ou de support, s’effectue depuis le territoire de l’Union européenne. Le Prestataire s’interdit de rendre les Données accessibles, directement ou indirectement, depuis un pays tiers sans l’accord écrit et préalable du Client.

X.3. Le Prestataire informe le Client de l’identité et du lieu d’établissement de tout sous-traitant ultérieur appelé à héberger ou à consulter les Données. Le recours à un sous-traitant établi hors de l’Union européenne, ou soumis à une législation extraterritoriale imposant la communication de données, est subordonné à l’accord préalable du Client.

X.4. En cas de nécessité d’un transfert hors de l’Union européenne, celui-ci n’intervient que dans le respect du chapitre V du règlement (UE) 2016/679, sur le fondement d’une décision d’adéquation ou de garanties appropriées documentées, et après information du Client.

X.5. Le Prestataire justifie, à première demande et au moins une fois par an, du respect des engagements du présent article, par la production de la liste des lieux d’hébergement et des sous-traitants concernés.

Commentaire de X.1 : la localisation vise le stockage et les sauvegardes, pas seulement la production. L’oubli le plus courant concerne les copies de secours et les environnements de test, souvent hébergés ailleurs que les serveurs principaux. Viser expressément « toute donnée de sauvegarde » ferme cette brèche. Le périmètre retenu ici, l’Union européenne, peut être resserré à la France selon la sensibilité des données.

Commentaire de X.2 : le lieu d’accès compte autant que le lieu de stockage. Des données hébergées en Europe mais administrées depuis un pays tiers restent exposées au droit de ce pays et aux réquisitions qu’il autorise. Distinguer le stockage (X.1) de l’accès (X.2) est la précaution qui donne sa portée réelle à la clause. Cette exigence rejoint la logique d’une clause de confidentialité, qui limite qui peut voir l’information.

Commentaire de X.3 : la sous-traitance ultérieure est le point de fuite habituel. Un prestataire conforme peut confier l’hébergement à un tiers qui ne l’est pas. Soumettre tout sous-traitant ultérieur à la même exigence, et viser la question de la loi extraterritoriale, évite que la garantie se dilue en cascade. Ce mécanisme s’articule avec une clause de sous-traitance des données au titre de l’article 28.

Commentaire de X.4 : prévoir l’exception plutôt que la subir. Interdire tout transfert de façon absolue est parfois irréaliste. Encadrer les rares transferts par le chapitre V du RGPD, avec information du client, préserve le principe tout en gardant une soupape maîtrisée. [À VÉRIFIER JURISTE : l’opportunité de conditionner tout transfert à un accord préalable écrit plutôt qu’à une simple information.]

Commentaire de X.5 : une garantie sans preuve reste théorique. L’obligation de justifier, périodiquement et à la demande, transforme un engagement déclaratif en engagement vérifiable. Sans ce droit de contrôle, le client découvre les manquements trop tard, souvent lors d’un incident.

Ce que dit le droit

Le RGPD encadre les transferts, il n’impose pas la localisation. Le chapitre V du règlement (UE) 2016/679, articles 44 à 49, organise les conditions d’un transfert de données hors de l’Union européenne : décision d’adéquation (article 45), garanties appropriées comme les clauses contractuelles types (article 46), ou dérogations pour situations particulières (article 49). Le règlement autorise donc les transferts encadrés ; il n’exige pas que les données restent en Europe. Une clause de localisation ajoute une contrainte que le droit européen ne pose pas de lui-même.

La liberté contractuelle est le fondement de la clause. Puisqu’aucun texte général n’oblige à localiser les données en France ou en Europe, l’exigence naît du contrat. L’article 1102 du Code civil consacre la liberté contractuelle, et l’article 1103 donne aux conventions légalement formées la force obligatoire entre les parties. La clause de localisation tire de là sa validité : les parties peuvent convenir d’une contrainte plus forte que la loi, dès lors qu’elle est licite.

Le droit de l’Union limite certains transferts imposés par une autorité étrangère. L’article 48 du RGPD prévoit qu’une décision d’une autorité d’un pays tiers exigeant la communication de données n’est reconnue que si elle repose sur un accord international. Cette disposition éclaire la crainte, courante, d’une réquisition fondée sur une loi extraterritoriale. La clause de localisation, en visant le lieu d’accès et la nature du sous-traitant, prolonge cette préoccupation sur le terrain contractuel. [À VÉRIFIER JURISTE : la portée exacte de l’article 48 face à une injonction fondée sur une législation extraterritoriale et son articulation avec la clause de localisation.]

Des exigences sectorielles peuvent renforcer le besoin. Certains secteurs, comme la santé ou les données publiques sensibles, connaissent des cadres propres qui orientent vers un hébergement qualifié. La qualification d’un hébergeur de données de santé et les référentiels de cloud de confiance relèvent de régimes spécifiques. [À VÉRIFIER JURISTE : l’identification précise des secteurs imposant un hébergement localisé ou qualifié et les référentiels applicables à la date de la rédaction.]

Les erreurs fréquentes

Confondre stockage et accès. Garantir un hébergement en Europe sans encadrer le lieu depuis lequel les données sont administrées laisse subsister l’essentiel du risque. Une équipe de support située hors d’Europe accède aux mêmes données que si elles y étaient stockées.

Oublier les sauvegardes et les journaux. Les copies de secours, les journaux techniques et les environnements de test échappent souvent à la clause, alors qu’ils contiennent les mêmes données. Le périmètre doit les viser expressément.

Négliger la sous-traitance en cascade. Un prestataire conforme peut sous-traiter à un tiers qui ne l’est pas. Sans obligation de transparence et d’accord préalable, la garantie se perd d’un maillon à l’autre.

Croire que la localisation vaut conformité RGPD. Localiser les données en France ne dispense d’aucune obligation du règlement. La clause de localisation complète, mais ne remplace jamais, une clause RGPD de protection des données et un acte de sous-traitance en bonne forme.

Poser une interdiction absolue impossible à tenir. Une clause qui proscrit tout transfert sans aucune exception peut se retourner contre le client le jour où un traitement légitime l’exige. Mieux vaut encadrer strictement l’exception que l’ignorer.

Négociation : position du client contre position du prestataire

Ce que défend le client. Un périmètre géographique clair et resserré, l’extension de la garantie à l’accès et aux sauvegardes, la transparence complète sur les sous-traitants ultérieurs, un droit de contrôle périodique effectif, et le choix d’un hébergeur non soumis à une législation extraterritoriale imposant la communication des données lorsque leur sensibilité le justifie. Le client cherche à réduire son exposition à un droit qu’il ne maîtrise pas et à préserver la maîtrise de ses données dans la durée, ce qui rejoint les enjeux d’une clause de durée de confidentialité.

Ce que défend le prestataire. Un périmètre plus large, souvent l’Union européenne plutôt que la France, pour préserver sa liberté d’architecture technique, la possibilité de recourir à des sous-traitants majeurs dont l’implantation dépasse l’Europe, et un droit de contrôle allégé, limité à une attestation plutôt qu’à un audit sur site. Il refuse une garantie de résultat qu’une évolution de son infrastructure pourrait remettre en cause.

Où se situe l’équilibre. Sur le périmètre et sur la preuve, le plus souvent. Un compromis fréquent retient l’Union européenne comme socle, avec un engagement de localisation en France pour les seules données les plus sensibles identifiées en annexe. La transparence sur les sous-traitants et un droit d’information annuel remplacent alors l’audit sur site, le client conservant la faculté de le déclencher en cas d’incident avéré. Le prestataire accepte plus volontiers l’exigence d’accès localisé si le client admet des exceptions ponctuelles, encadrées et notifiées.