Un service cloud à l’étranger, c’est aussi un transfert de données

Quand on choisit l’infrastructure d’un logiciel, l’emplacement du serveur est souvent discuté sous l’angle du prix et de la vitesse. Ce choix a aussi un volet transfert de données, et il n’est pas facile à changer après coup.

Demandez à une organisation si elle transfère des données à l'étranger, la réponse est en général non. Demandez ensuite quels services elle utilise, et une liste apparaît : hébergement cloud, messagerie, logiciel de support client, un outil d'analyse, un prestataire de paiement, un service de sauvegarde.

Les serveurs de la plupart de ces services ne sont pas en Türkiye. La vraie réponse était donc oui, et l'organisation ne le savait pas.

Ce malentendu vient du mot "transfert" lui-même, qui évoque un acte délibéré : prendre un fichier et l'envoyer. Or, conserver des données sur un système à l'étranger, ou les y faire traiter, est aussi un transfert. Nul besoin de chercher un acte d'envoi distinct.

Voir où un transfert commence réellement

L'article 9 de la loi turque n° 6698 régit les transferts vers l'étranger. En pratique, la difficulté ne tient pas à la disposition elle-même, mais à déterminer quand un transfert a effectivement eu lieu.

Les trois situations suivantes donnent toutes lieu à un transfert : des données hébergées sur un serveur à l'étranger, une équipe à l'étranger pouvant accéder au système à des fins de support, et des données traitées à l'étranger dont le résultat est renvoyé. La troisième est celle qu'on oublie le plus souvent. Si vous utilisez un service d'analyse de texte situé à l'étranger, le texte que vous envoyez y est traité. Que le résultat vous revienne ne signifie pas qu'aucun transfert n'a eu lieu.

Notre propre site présente exactement cette caractéristique. Le champ de texte libre de la page d'accueil envoie le texte saisi à un prestataire à l'étranger pour analyse. C'est pourquoi notre notice de protection des données lui consacre une section à part, et un visiteur peut parcourir tout le reste du site sans jamais utiliser ce champ. Faire en sorte qu'aucun transfert ne se produise lorsque la fonction n'est pas utilisée a été une décision de conception au même titre que la fonction elle-même.

La colonne manquante dans l'inventaire

La plupart des inventaires de données mentionnent la catégorie, la finalité et la durée de conservation. La colonne manquante est celle-ci : dans quel pays ces données se trouvent-elles physiquement ?

Une fois cette colonne ajoutée, le tableau change. Une partie des données que l'organisation pensait conserver dans son propre centre de données se révèle en réalité à l'étranger. Les sauvegardes sont ce qu'on oublie le plus souvent, car le service de sauvegarde est en général confié à un prestataire distinct que personne ne pense à localiser.

Lors de l'élaboration de l'inventaire, il faut interroger directement le prestataire. Si le contrat comporte un engagement sur la résidence des données, il faut l'obtenir par écrit. À défaut, le prestataire peut modifier cette disposition unilatéralement sans que vous en soyez informé.

La chaîne de sous-traitants

Le second niveau est encore moins visible. Le prestataire que vous utilisez peut lui-même dépendre d'autres prestataires pour sa propre infrastructure.

Vous utilisez un logiciel de support client ; ce logiciel fonctionne chez un hébergeur cloud ; il fait appel à un autre service pour la recherche ; et se connecte à un troisième pour l'envoi de notifications. Vos données circulent dans toute cette chaîne.

Il n'est pas possible de contrôler entièrement cette chaîne, mais il est possible de la rendre visible. Le contrat doit imposer une notification en cas de recours à des sous-traitants et accorder un droit d'opposition à tout changement. La plupart des prestataires professionnels le proposent déjà, il suffit de le demander.

Que faire

La première étape consiste à établir un inventaire des services : le nom de chaque service externe utilisé, à quoi il sert, à quelles catégories de données personnelles il peut accéder et où se trouvent ses serveurs.

Une fois ce tableau établi, trois options s'offrent à vous : remplacer le service par une alternative hébergée en Türkiye, migrer vers la région turque du prestataire s'il en a une, ou donner au transfert une base juridique adéquate au moyen de l'un des mécanismes prévus par la loi.

Les trois ont un coût, et le bon choix dépend de la nature de l'activité. Mais n'en choisir aucun, c'est-à-dire ne même pas avoir remarqué la situation, est l'option la plus coûteuse : votre notice de protection des données donne alors aussi une information inexacte, et une seule lacune finit par enfreindre deux obligations à la fois.

La réglementation en la matière continue d'évoluer, et les décisions du Conseil redessinent le cadre de temps à autre. Il convient de vérifier la situation actuelle avant de choisir un mécanisme de transfert.