Qu’est-ce que la résidence des données ?

La résidence des données désigne leur emplacement géographique ou physique. Elle peut être déterminée à partir du pays ou de la région où se trouvent les centres de données, les serveurs ou les autres infrastructures qui traitent et stockent les données.

Il est important de planifier et de suivre la résidence des données pour contribuer au respect des lois sur la sécurité et la confidentialité des données, qui évoluent partout dans le monde. Comme les lois sur la protection des données varient souvent selon les territoires, l’emplacement géographique des actifs de données d’une entreprise peut déterminer les obligations légales applicables.

Ces obligations vont des règles d’obtention du consentement à la collecte des données aux limites de durée de stockage. Certains pays imposent également des exigences de résidence des données aux entreprises qui exercent des activités sur leur territoire : ils exigent la localisation des données dans un lieu précis, avec des transferts limités ou interdits.

Les entreprises se tournent de plus en plus vers des solutions logicielles pour déterminer et suivre la résidence de leurs données et contribuer ainsi au respect des obligations réglementaires. Ces solutions surveillent les flux de données entre différents emplacements, y compris au-delà des frontières nationales, afin de s’assurer que les exigences réglementaires sont respectées à chaque destination.

Pour comprendre l’importance actuelle de la résidence des données, il est utile de revenir sur l’évolution du stockage et de la protection des données dans le monde.

Au début des années 2000, les infrastructures cloud modernes et les fournisseurs de services cloud ont transformé la gestion et le traitement des données. L’accès à la demande à des serveurs distants a permis aux entreprises de ne plus dépendre uniquement de la puissance de calcul et des capacités de stockage disponibles sur site. Elles ont ainsi pu utiliser des centres de données implantés dans différents pays et exploités par des fournisseurs cloud comme Amazon Web Services (AWS), Microsoft Azure et Google Cloud.

Cette infrastructure cloud offre de la flexibilité, permet une mise à l’échelle rapide et réduit la latence dans des cas d’utilisation comme l’edge computing (où les ressources informatiques doivent se trouver près du lieu de création des données). Avec l’adoption des workloads d’IA par un nombre croissant d’entreprises, l’utilisation des centres de données ne fera qu’augmenter. Selon une étude McKinsey de 2025, la demande de capacité des centres de données devrait presque tripler d’ici 2030.¹

Les avancées technologiques ont permis aux entreprises de collecter, de traiter et de stocker davantage de données clients. Les gouvernements ont alors commencé à élaborer des lois sur la confidentialité des données pour protéger les consommateurs. L’Union européenne a ouvert la voie à l’encadrement de la collecte et de la protection des données avec la directive de 1995 sur la protection des données, puis avec le règlement général sur la protection des données (RGPD), un texte majeur entré en vigueur en 2018. Le RGPD a fixé des exigences concernant la protection des données personnelles par les entreprises et définit les droits des résidents de l’UE, également appelés « personnes concernées », en matière de collecte, d’utilisation et de détention de leurs données personnelles.

Des pays hors de l’UE, comme l’Australie, le Brésil, le Canada, la Chine, l’Inde, le Japon, l’Afrique du Sud et les Émirats arabes unis, ont à leur tour adopté leurs propres mesures de protection des données. Aujourd’hui, près de 80 % des pays disposent de lois sur la confidentialité et la protection des données.²

Dans de nombreux cas, les initiatives législatives de protection des données ont également inclus des lois sur leur localisation. Ces dispositions limitent la possibilité pour les entreprises de transférer des données hors d’une région donnée et imposent qu’elles y résident. Outre les préoccupations liées au droit au respect de la vie privée, les partisans de la localisation des données ont invoqué des enjeux de sécurité et de cybersécurité : les données sensibles stockées hors de leur pays d’origine pourraient être plus difficiles d’accès pour les services de sécurité de ce pays, tout en étant potentiellement exposées à la surveillance étrangère et aux violations de données commises par des réseaux criminels internationaux.

Les exigences de localisation vont de l’interdiction totale des transferts transfrontaliers de données personnelles (comme en Russie) à des restrictions sur les transferts de certains types de données, telles que les données de santé sensibles (comme en Australie).³ Selon McKinsey, les trois quarts des pays ont mis en place des règles de localisation des données.⁴

La convergence de ces tendances (l’essor du cloud computing et l’élaboration de lois sur la confidentialité et la localisation des données dans différents pays) a rendu indispensable, pour les entreprises, de savoir précisément où résident leurs données à tout moment. Les entreprises doivent aujourd’hui déterminer si leurs écosystèmes de données en expansion, répartis entre des centres de données partout dans le monde, respectent les exigences de conformité des juridictions concernées. Pour déterminer quelles lois s’appliquent à quels actifs de données, il faut connaître et suivre la résidence des données soumises à réglementation.

La résidence et la souveraineté des données sont deux notions distinctes, mais étroitement liées. La résidence des données désigne leur emplacement précis, tandis que la souveraineté des données est le principe selon lequel les États disposent d’une autorité juridique et réglementaire sur les données générées ou traitées sur leur territoire. En somme, la résidence des données est une notion géographique, tandis que leur souveraineté est une notion juridique.

La résidence des données est souvent un critère essentiel pour déterminer quelles lois nationales sur la souveraineté des données s’appliquent. Selon les flux de données, leur résidence et la souveraineté qui s’exerce sur elles peuvent concerner plusieurs pays.

Par exemple, une entreprise établie aux États-Unis doit respecter les exigences du RGPD si elle collecte et stocke des données dans un État membre de l’UE. En effet, dans ce cas, les données résideraient dans cet État et l’UE exercerait donc sa souveraineté sur elles. Si cette entreprise transférait ensuite les données pour qu’une application SaaS les traite au Canada, celles-ci résideraient également dans ce pays. La souveraineté sur ces données s’étendrait alors au Canada, ce qui imposerait probablement de respecter sa Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE).

À l’échelle mondiale, les lois et réglementations relatives à la résidence et à la localisation des données forment un ensemble complexe et évolutif, dont certaines règles sont plus restrictives que d’autres. Les chercheurs de McKinsey classent les mesures de localisation en quatre catégories.⁵

• Obligations de stockage et de traitement des données dans une région géographique précise, qui contraignent les entreprises à y construire ou à y utiliser des infrastructures locales.
  
  
  
  
  
• Réglementations autorisant la réplication des données hors de leur région géographique d’origine, tout en exigeant qu’une copie soit conservée dans cette région d’origine.
  
  
  
  
  
• Réglementations imposant aux entreprises de recueillir le consentement des personnes pour transférer leurs données personnelles hors de la juridiction d’origine des données.
  
  
• Réglementations autorisant les transferts de données hors de leur juridiction d’origine, mais exigeant la mise en œuvre de mesures pour en protéger la confidentialité.

Les exigences peuvent varier d’une juridiction à l’autre et ne concerner, dans certains cas, que certains types de données sensibles.

Les entreprises s’exposent à diverses conséquences si elles ne suivent pas et ne gèrent pas la résidence de leurs données dans l’ensemble de leurs espaces de stockage.

Les entreprises, en particulier celles des secteurs réglementés dont les données franchissent les frontières, utilisent des logiciels pour suivre la résidence des données et assurer leur conformité réglementaire dans différentes juridictions. Le type de solution le plus courant est la gestion de la posture de sécurité des données (DSPM).

Les plateformes DSPM localisent les données et suivent leurs flux dans l’ensemble des ressources sur site et dans le cloud. Elles peuvent repérer et classifier les données sensibles, ainsi qu’identifier les risques de non-conformité aux cadres réglementaires applicables. Autrement dit, une solution DSPM peut avertir les entreprises lorsque des données stockées ou traitées dans un pays ne sont pas gérées conformément à sa législation.

De nombreuses solutions DSPM fournissent également des consignes de résolution, étape par étape, pour traiter les risques potentiels. Elles permettent ainsi aux entreprises de traiter les problèmes de résidence et de souveraineté des données avant qu’ils ne deviennent coûteux.