Pourquoi l'hébergement dans l'UE compte pour les équipes SaaS et IA : RGPD, Schrems II et CLOUD Act

Le RGPD s'applique lorsque vous traitez des données à caractère personnel dans le cadre des activités d'un établissement dans l'UE (article 3, paragraphe 1) et, si vous n'avez pas d'établissement dans l'UE, au traitement de données à caractère personnel de personnes qui se trouvent dans l'UE lorsqu'il est lié à l'offre de biens ou de services à ces personnes ou au suivi de leur comportement dans l'UE (article 3, paragraphe 2). Le lieu d'hébergement de ces données et l'entreprise qui les héberge déterminent ensuite dans quelle mesure les transferts internationaux et l'accès par des autorités étrangères entrent en jeu. Le RGPD restreint les transferts de données personnelles hors de l'EEE, le droit américain peut obliger les fournisseurs de cloud et de communications américains à remettre des données qu'ils détiennent à l'étranger, et les prompts d'IA sont souvent remplis de données personnelles.

Cet article explique les règles simplement et se termine par une checklist pour choisir un fournisseur. Il ne constitue pas un avis juridique : pour votre cas précis, adressez-vous à votre délégué à la protection des données (DPO) ou à un avocat.

La règle du RGPD sur les transferts

Le chapitre V du RGPD (articles 44 à 50) porte sur les « transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales ». Un pays tiers est tout pays situé hors de l'UE et de l'Espace économique européen. L'article 44 pose le principe : les données personnelles ne peuvent sortir que si les conditions de ce chapitre sont remplies. Il existe trois voies principales :

• Décision d'adéquation (article 45) : la Commission européenne décide qu'un pays protège les données personnelles à un niveau essentiellement équivalent à celui de l'UE. Les données peuvent alors y être transférées sans autres garanties.
• Garanties appropriées (article 46) : par exemple les clauses contractuelles types adoptées par la Commission dans la décision d'exécution (UE) 2021/914, ou les règles d'entreprise contraignantes au sein d'un groupe de sociétés (article 47).
• Dérogations (article 49) : des exceptions étroites pour des situations particulières, pas une base pour un hébergement courant.

Enfreindre ces règles relève du niveau d'amendes le plus élevé du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 5).

Schrems II : pourquoi un contrat seul ne suffisait pas

Le 16 juillet 2020, la Cour de justice de l'Union européenne a tranché l'affaire C-311/18, dite Schrems II. Elle a invalidé le Privacy Shield UE-États-Unis, qui était alors la décision d'adéquation pour les États-Unis. La Cour a estimé que les programmes de surveillance américains n'étaient pas limités au strict nécessaire et que les personnes dont les données étaient transférées n'avaient aucun moyen de saisir un organe indépendant offrant des garanties équivalentes à celles du droit de l'Union.

Les clauses contractuelles types restent valables, mais sous conditions. La protection doit être essentiellement équivalente à celle de l'UE, et l'évaluation doit tenir compte des éléments pertinents du système juridique du pays de destination, en particulier de l'accès des autorités publiques. L'exportateur et le destinataire doivent le vérifier avant le transfert. Si les clauses ne peuvent pas être respectées, le transfert doit être suspendu ou arrêté.

Pour les équipes, signer ne suffit plus : avant de vous appuyer sur les clauses, examinez le droit du pays vers lequel partent vos données.

Le cadre de protection des données UE-États-Unis (DPF)

Le 10 juillet 2023, la Commission a adopté la décision d'exécution (UE) 2023/1795, une nouvelle décision d'adéquation pour le EU-US Data Privacy Framework (DPF, cadre de protection des données UE-États-Unis). Les données personnelles peuvent être transférées sans garanties supplémentaires vers les entreprises américaines qui participent au cadre. Les entreprises y adhèrent en s'engageant à respecter une série d'obligations en matière de protection de la vie privée ; le ministère américain du Commerce administre le cadre, et la Federal Trade Commission ou le ministère des Transports, selon l'organisation, fait respecter les engagements. Côté gouvernement, le cadre limite l'accès des services de renseignement américains à ce qui est nécessaire et proportionné, et a créé une Data Protection Review Court pour les plaintes de personnes de l'UE.

Deux points à garder en tête :

• Il ne couvre que les entreprises participantes. Un fournisseur américain non certifié a besoin d'une autre voie, comme les clauses contractuelles types.
• Il a été contesté. Le Tribunal de l'Union européenne a rejeté un recours en annulation le 3 septembre 2025 (affaire T-553/23), et le requérant a formé un pourvoi devant la Cour de justice (affaire C-703/25 P) ; le pourvoi était toujours pendant au moment de la rédaction de cet article. Les deux cadres précédents pour les États-Unis, Safe Harbour et Privacy Shield, ont été invalidés par cette Cour.

Le CLOUD Act américain : la localisation ne fait pas tout

Le Clarifying Lawful Overseas Use of Data Act a été promulgué le 23 mars 2018 dans le cadre du Consolidated Appropriations Act, 2018. Il a ajouté le 18 U.S.C. 2713 : les fournisseurs de services de communications électroniques ou de services informatiques à distance doivent remplir leurs obligations, au titre de ce chapitre (chapitre 121 du titre 18), de conserver, sauvegarder ou divulguer les communications et les données de leurs clients qui sont en leur « possession, custody, or control » (possession, garde ou contrôle), par la procédure légale applicable, que ces données se trouvent à l'intérieur ou à l'extérieur des États-Unis.

En pratique, un fournisseur américain qui dispose d'un datacenter à Francfort peut recevoir une injonction américaine couvrant les données qui y sont stockées. Le RGPD encadre toutefois cette divulgation : selon l'article 48, une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant un transfert ou une divulgation ne peut être reconnue ou rendue exécutoire dans l'UE que si elle est fondée sur un accord international, tel qu'un traité d'entraide judiciaire. Cela n'exclut pas toute divulgation, car l'article 48 s'applique « sans préjudice d'autres motifs de transfert », mais toute divulgation a toujours besoin d'une base juridique au titre de l'article 6 et d'un motif de transfert au titre du chapitre V. C'est au fournisseur de résoudre ce conflit, alors que vos données sont en jeu.

Pour un destinataire américain certifié au titre du DPF, la décision d'adéquation couvre le transfert lui-même : selon le CEPD, il n'a besoin ni d'un outil de transfert distinct ni de mesures supplémentaires. Vérifiez que le destinataire figure actuellement sur la DPF List, et continuez à remplir vos autres obligations au titre du RGPD. Le choix d'une région dans l'UE ne change pas, à lui seul, le droit auquel le fournisseur est soumis.

Pourquoi l'IA rend la question plus urgente

Le RGPD définit les données à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable, par exemple par référence à un nom, un numéro d'identification, des données de localisation ou un identifiant en ligne (article 4, point 1). Regardez ce que les fonctionnalités d'IA traitent habituellement :

• des tickets de support et des historiques de chat avec des noms, des adresses e-mail et des numéros de commande,
• des CV, des contrats, des factures et des courriers médicaux téléversés pour être résumés ou pour en extraire des données,
• des transcriptions d'appels et des notes de réunion,
• des bases documentaires entières indexées pour la génération augmentée par récupération (RAG).

Chaque prompt qui contient ce type de contenu est un traitement de données personnelles et, si le modèle s'exécute dans un pays tiers, il peut s'agir d'un transfert. Pour chaque composant d'IA, posez donc les mêmes questions que pour votre base de données : où l'inférence tourne-t-elle ? Les prompts et les réponses sont-ils stockés ou journalisés, et pendant combien de temps ? Sont-ils utilisés pour l'entraînement ? Et quel fournisseur de modèle se trouve derrière l'API en tant que sous-traitant ultérieur ?

Checklist : choisir un fournisseur

1. Siège et actionnariat. Où le fournisseur est-il immatriculé, et à qui appartient-il ? Le CLOUD Act porte sur les données en la possession, sous la garde ou sous le contrôle d'un fournisseur, donc l'entreprise derrière le service compte autant que le datacenter.
2. Région des données. Pouvez-vous choisir une région dans l'UE pour les apps, les bases de données, les backups et les logs, et les données y restent-elles tant que vous ne les déplacez pas ? Où tournent le dashboard, l'API et les données de compte ?
3. Accès à distance et transferts ultérieurs. Qui peut accéder aux données, et depuis où ? L'accès par le propre personnel du fournisseur depuis l'étranger exige une sécurité appropriée. Mettre des données à la disposition d'une autre entreprise hors de l'EEE, comme un sous-traitant ultérieur, exige une base de transfert au titre du chapitre V, que l'exportateur doit évaluer et documenter. Des serveurs à Francfort ne règlent pas cette question à eux seuls.
4. Sous-traitants ultérieurs. Demandez la liste avec le pays de chaque entreprise. Selon l'article 28, paragraphe 2, un sous-traitant ne peut pas recruter un autre sous-traitant sans votre autorisation écrite préalable, spécifique ou générale. Vérifiez comment le fournisseur vous informe des changements.
5. Accord de traitement des données (DPA). L'article 28, paragraphe 3, exige un contrat (ou un autre acte juridique) avec votre sous-traitant. Vérifiez que vous pouvez le signer sans contrat Enterprise, et sur quelle voie de transfert il s'appuie si les données quittent l'UE.
6. Certifications. Les rapports ISO 27001 ou SOC 2 du fournisseur et de ses datacenters montrent que les contrôles de sécurité sont audités. Ils ne disent rien du droit national applicable : interprétez-les donc à la lumière des points 1 et 2.
7. Spécificités de l'IA. Lieu de l'inférence, conservation des prompts et des réponses, utilisation pour l'entraînement et fournisseur du modèle derrière l'API.

L'approche de Nodion

Nodion est exploité par Nodion GmbH, une entreprise allemande dont le siège est à Stuttgart. Les API et le control plane de Nodion sont hébergés en Allemagne. La région EU Central se trouve à Francfort-sur-le-Main ; selon la documentation des régions, son datacenter est certifié ISO 27001, ISO 9001, ISO 14001 et ISO 50001, est conforme à PCI DSS et dispose d'un rapport SOC 2, et le fournisseur d'infrastructure est certifié ISO 27001, est conforme à PCI DSS et dispose d'un rapport SOC 1.

Vous choisissez la région lors de la création d'un service, et elle ne change plus ensuite. Les apps, bases de données, volumes, buckets, le registry, les logs et les métriques de ce service restent dans la région choisie. Les fournisseurs d'infrastructure de chaque région sont listés comme sous-traitants ultérieurs dans la documentation des régions, et vous concluez le DPA en libre-service. Nodion exploite aussi des régions aux États-Unis : choisissez donc EU Central lorsque vous créez un service qui doit tourner dans l'UE.