Hébergement UE : vérifier la télémétrie du fournisseur

Une région européenne sélectionnée dans une console peut déterminer le stockage de la base métier sans couvrir tous les traitements du service. Les comptes administrateurs, journaux, diagnostics et demandes d’assistance peuvent suivre d’autres circuits. La vérification utile consiste à comparer l’engagement exact du fournisseur avec les données et destinations de chaque flux.

L’objectif n’est pas de supprimer aveuglément les journaux nécessaires à la sécurité. Il est de savoir ce qu’ils contiennent, pourquoi ils existent, qui les reçoit et ce que le contrat garantit réellement. Une mention « hébergement UE » ne répond pas seule à ces quatre questions.

Ce qu’il faut retenir

• La télémétrie peut contenir des données personnelles, y compris des éléments du contenu métier.
• La localisation de la base, les lieux d’accès et les destinations des diagnostics doivent être distingués.
• Qualifiez les rôles par opération : fourniture, amélioration et sécurité ne relèvent pas automatiquement du même régime.
• Une réduction des champs ne règle pas, à elle seule, les questions de licéité, de conservation et de transfert du flux restant.

Lire ce que couvre exactement la promesse européenne

Demandez la définition contractuelle des données couvertes. Elle peut viser les données déposées dans le service, les copies de sauvegarde ou certaines informations de compte, avec des exceptions. Vérifiez aussi si l’engagement concerne le stockage au repos, tout traitement, ou seulement une fonction particulière.

Ces expressions ne sont pas interchangeables. Une clause portant sur le stockage d’un fichier ne démontre pas que son nom ne sera jamais copié dans un ticket d’assistance. Une option de région ne prouve pas non plus que toutes les fonctionnalités ajoutées ultérieurement respecteront le même périmètre.

Pour les comparer, posez trois questions successives : quelle catégorie est couverte, quelle opération est couverte, quelles exclusions subsistent ? Conservez le document applicable à l’offre et sa version. Une page générale sur l’infrastructure ne remplace pas l’engagement concernant votre abonnement.

Cette démarche complète les obligations RGPD des services cloud. Elle permet notamment de distinguer une exigence d’achat plus stricte, telle qu’un périmètre exclusivement européen, et l’analyse des conditions légales d’un transfert éventuel. Respecter l’une ne prouve pas automatiquement l’autre.

Ouvrir la catégorie « données techniques »

La télémétrie désigne ici les informations envoyées pour observer le fonctionnement du service : événements, diagnostics, volumes ou mesures d’usage. Leur qualification dépend de leur contenu et des possibilités d’identification, pas du nom donné à la rubrique. L’Art. 4(1) vise aussi les identifiants en ligne et l’identification indirecte. RGPD, définitions.

Un nombre total de requêtes peut être très différent d’un historique détaillé par utilisateur. Un nom de fichier peut contenir le nom d’un client. Un message d’erreur peut recopier un champ saisi dans un formulaire. Le mot « diagnostic » ne rend aucun de ces éléments automatiquement anonyme.

Demandez un dictionnaire des champs et un exemple expurgé ou fabriqué, sans réclamer les véritables journaux d’autres clients. Pour chaque champ, identifiez sa source, son utilité et les rapprochements possibles. Un identifiant aléatoire peut rester personnel si le fournisseur ou le client peut le relier à un utilisateur ou à un dossier.

La nécessité doit être examinée séparément de la disponibilité technique. Le fait qu’une bibliothèque puisse transmettre tout le contenu d’une requête ne démontre pas que ce contenu soit nécessaire à chaque erreur. Art. 5(1)(c) et Art. 25(2), RGPD.

Qualifier les rôles par finalité

La CNIL distingue la fourniture du service, son amélioration et sa sécurité. Le fournisseur peut agir pour le compte d’un client dans certaines opérations et déterminer seul d’autres traitements, notamment pour ses propres besoins. Une qualification conjointe reste possible selon les décisions effectivement prises. CNIL, orientations cloud du 28 mai 2026.

Appliquez les définitions de l’Art. 4(7) et (8) à chaque opération. Qui décide du résultat recherché, des données utilisées et des moyens essentiels ? Votre journal d’audit interne, un diagnostic réalisé sur vos instructions et une analyse transversale décidée par le fournisseur ne doivent pas être regroupés sous une unique case « sous-traitant ». RGPD, responsables et sous-traitants.

Pour la sous-traitance, vérifiez les instructions et preuves prévues à l’Art. 28(3)(a) et (h). Pour un traitement propre au fournisseur, examinez sa finalité, son fondement, son information et ses destinataires. Le fait de sortir du périmètre du contrat de sous-traitance ne signifie pas que le traitement échappe au RGPD.

Une matrice de vérification renseignée

Prenons T-11, un dossier fictif d’achat de logiciel de maintenance. Les noms A et B désignent des sociétés hypothétiques, sans correspondre à une offre commerciale. La PME cliente reçoit une promesse de stockage des dossiers en France. Elle documente les autres circuits avant l’import réel.

La matrice ne prétend pas certifier tout le service. Elle rend la réserve visible : le stockage principal est documenté, les diagnostics ne le sont pas suffisamment. La PME ne peut pas déduire le pays de B de celui d’A, ni interpréter une absence de réponse comme une absence de transfert.

La décision de lancement doit couvrir chaque flux nécessaire au périmètre retenu. Si le diagnostic ne peut pas être désactivé, l’incertitude porte sur l’usage du service lui-même. Il faut alors obtenir les éléments manquants ou reporter cet usage ; une consigne interne ne supprime pas un envoi automatique obligatoire.

Réduire un diagnostic sans promettre son anonymat

L’exemple de message reçu dans T-11 contient six champs : heure, code d’erreur, composant, nom de fichier, corps de requête et identifiant utilisateur. Pour la difficulté étudiée, l’équipe technique estime qu’elle doit reconnaître le type d’erreur et retrouver une occurrence précise, sans lire le dossier du client.

Elle propose la spécification suivante, à vérifier avant adoption :

Le message proposé comporte quatre champs. Cette réduction ne constitue pas une preuve d’anonymisation : la référence d’occurrence et l’heure peuvent permettre un rapprochement avec un journal interne. Le principe de minimisation réduit l’exposition, même lorsque le résultat reste une donnée personnelle.

Si un incident nécessite exceptionnellement davantage d’informations, prévoyez une collecte ciblée, autorisée et limitée dans le temps, avec les garanties nécessaires. L’exception de dépannage ne doit pas devenir une capture permanente de toutes les requêtes.

Vérifier les transferts à partir des entités réelles

Le guide AITD de la CNIL retient trois critères cumulatifs : un exportateur soumis au RGPD pour l’opération, une mise à disposition à une autre entité et un destinataire situé hors de l’EEE ou une organisation internationale. Un accès distant peut constituer un transfert ; un accès interne à une même entité appelle une analyse distincte. CNIL, guide AITD, section 2.1.

Identifiez donc l’entité qui reçoit, le pays et les accès ultérieurs. L’appartenance au même groupe n’efface pas la distinction entre sociétés. À l’inverse, la présence d’une personne à l’étranger ne suffit pas à elle seule à établir tous les critères d’un transfert.

Le mécanisme retenu doit couvrir le flux et le destinataire concernés. Une décision d’adéquation doit être applicable à ce périmètre ; en son absence, les garanties appropriées doivent être examinées. L’Art. 44 impose aussi de respecter les autres dispositions du RGPD : un transfert encadré ne justifie pas une collecte inutile. Art. 44 à 46, RGPD.

Lorsque le transfert repose sur un outil de l’Art. 46, l’analyse d’impact des transferts doit précéder le transfert. Le guide sur les transferts de données hors UE développe ce travail. Dans T-11, le pays encore inconnu empêche de finaliser cette analyse ; signer une clause sans résoudre cette inconnue ne clôt pas la réserve.

Vérifier les réglages et les copies en aval

La configuration attendue doit être reliée aux événements observables. Pour T-11, la recette proposée consiste à provoquer une erreur avec un dossier entièrement fictif, puis à examiner le message envoyé et les destinations décrites. Ce guide ne rapporte aucun essai effectivement réalisé.

Contrôlez aussi ce qui se passe lors d’une demande d’assistance : les diagnostics peuvent être copiés dans un ticket ou joints manuellement par un administrateur. Une capture d’écran peut réintroduire le nom de fichier que le diagnostic automatique avait retiré.

Distinguez les traces accessibles depuis votre console des copies gérées par le fournisseur. Une capture de configuration ne prouve pas le contenu de ses traitements internes. Les confirmations documentaires et contractuelles complètent les vérifications réalisables côté client ; un point invisible ne doit pas être déclaré contrôlé.

Si la vérification révèle un champ exclu, maintenez le flux concerné désactivé, recherchez son origine et vérifiez la correction avant ouverture. Si des données réelles ont déjà été communiquées contrairement au périmètre prévu, examinez les destinataires, copies et risques ; une éventuelle violation relève des Art. 33 et 34. RGPD, gestion des violations.

Organiser la durée et les changements

Définissez les durées par finalité et prévoyez leur exécution dans les copies pertinentes. Un journal utilisé pour votre audit n’a pas nécessairement le même besoin qu’un diagnostic ponctuel. Votre politique de journalisation doit permettre de comprendre ces choix, les habilitations et les opérations de suppression.

Conservez la décision T-11 avec les versions des documents et réglages. Réexaminez-la lors d’un ajout de fonction, d’un changement de destinataire ou d’une modification de région. Une preuve datée décrit un état ; elle ne garantit pas que le service restera identique.

FAQ

Un hébergement européen interdit-il tout accès extérieur ?

Seul le périmètre de l’engagement permet de répondre. Distinguez stockage, accès et flux annexes, puis examinez les opérations effectivement prévues et leurs garanties.

Un identifiant remplacé par un code devient-il anonyme ?

Pas automatiquement. Les possibilités de rapprochement et d’identification doivent être examinées. Une réduction utile des informations peut rester une pseudonymisation ou une simple minimisation.

Faut-il désactiver tous les journaux pour éviter les risques ?

Non. Certains sont nécessaires à la sécurité et à la maîtrise du service. Limitez-les à leurs finalités, protégez leurs accès et organisez leur conservation plutôt que de supprimer sans analyse les moyens de détecter un incident.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.