Actualités

Souveraineté des données : pourquoi leur lieu compte

Le lieu d’hébergement des données détermine la loi applicable et qui y accède. Critères pour les PME d’Andorre et de Catalogne : RGPD et Llei 29/2021.

Publié le Par BDR Group12 min de lecture

Le lieu d’hébergement des données d’une entreprise détermine la loi qui s’y applique, qui peut contraindre le prestataire à les remettre et comment les récupérer si le service tombe en panne. Pour une PME d’Andorre ou de Catalogne, le savoir fait partie du respect de la réglementation sur la protection des données et permet d’éviter de dépendre d’un seul prestataire sans s’en rendre compte.

Ce que signifie la souveraineté des données pour une PME

Parler de souveraineté des données, c’est répondre à trois questions avec des noms précis : dans quel pays se trouvent physiquement les données, à quelle juridiction est soumise l’entreprise qui les conserve et qui peut y accéder techniquement. Beaucoup de contrats ne répondent qu’à la première.

La deuxième est celle qu’on oublie le plus souvent. Le droit américain oblige les fournisseurs de communications électroniques et de services informatiques à distance à conserver ou à remettre, s’ils reçoivent une demande fondée sur cette loi, les données qu’ils détiennent, conservent ou contrôlent, qu’elles se trouvent à l’intérieur ou à l’extérieur des États-Unis (titre 18 du Code des États-Unis, section 2713, ajoutée en 2018). Un serveur à Francfort appartenant à une entreprise américaine continue de dépendre, sur ce point, d’une loi américaine.

Cela ne rend pas illégal le fait de travailler avec un prestataire américain, mais l’emplacement du serveur n’explique pas, à lui seul, qui peut accéder à l’information.

Andorre : hors de l’UE, avec un niveau de protection reconnu

L’Andorre n’est pas dans l’UE, mais la Commission européenne a constaté le 19 octobre 2010 qu’elle assure un niveau de protection adéquat des données à caractère personnel transférées depuis l’Union (décision 2010/625/UE). Le règlement général sur la protection des données (RGPD) maintient ces décisions en vigueur tant que la Commission ne les modifie pas (article 45, paragraphe 9) et, au 25 octobre 2026, l’Andorre figure toujours sur la liste des pays bénéficiant d’une décision d’adéquation. Un transfert fondé sur cette décision ne nécessite aucune autorisation spécifique (article 45, paragraphe 1).

La décision a été réexaminée : le 15 janvier 2024, la Commission a conclu, lors du premier réexamen des onze décisions antérieures au RGPD, que l’Andorre continue d’offrir un niveau adéquat, et elle a souligné que la Llei 29/2021 est très proche du RGPD.

Du côté andorran, le cadre est la Llei 29/2021 du 28 octobre, loi qualifiée sur la protection des données à caractère personnel (publiée au BOPA, le Butlletí Oficial del Principat d’Andorra, n° 119, le 17 novembre 2021). Elle interdit les communications internationales de données vers les pays sans niveau de protection équivalent (article 42), niveau déterminé par la liste de l’UE ou par l’adhésion effective à la Convention 108+ du Conseil de l’Europe ; les transferts vers des membres de l’UE sont prévus (article 43). En dehors de ces cas, des garanties appropriées sont nécessaires (article 44).

Pour une entreprise andorrane, envoyer des données de clients à un service hébergé dans un pays qui n’est ni dans l’UE ni couvert par une décision d’adéquation constitue un transfert international qu’elle doit pouvoir justifier. Et si elle offre des biens ou des services à des résidents de l’Union, le RGPD peut aussi lui être applicable (article 3, paragraphe 2).

En Catalogne, le RGPD impose des conditions au prestataire

Pour une entreprise de Gérone ou de L’Hospitalet de Llobregat, le cadre est le règlement (UE) 2016/679. Quiconque fait appel à un service qui traite des données à caractère personnel pour son compte doit choisir un sous-traitant présentant des garanties suffisantes et encadrer la relation par un contrat (article 28). Le contrat doit prévoir que le prestataire ne traite les données que sur instructions documentées, y compris pour les transferts vers des pays tiers, et qu’il les supprime ou les restitue au terme du service. Il ne peut pas non plus recourir à un autre sous-traitant sans autorisation écrite préalable.

Il est fréquent qu’un cabinet de conseil et de gestion administrative ou une clinique ait accumulé des outils en ligne (messagerie, stockage, CRM, signature) sans examiner aucun contrat, et que personne ne sache dire où sont les données.

Comment dresser l’inventaire des données et des prestataires

Un tableur suffit pour commencer. Le RGPD (article 30) et la Llei 29/2021 (article 34) réglementent le registre des activités de traitement, avec des exceptions selon l’organisation et le traitement ; même si vous n’y êtes pas tenu, c’est le point de départ naturel.

Pour chaque système qui conserve des données (messagerie, ERP, CRM, fichiers, comptabilité, signature, sauvegardes), notez :

  • Qui l’utilise et quelles données il contient : de clients, de salariés, de santé, financières, couvertes par le secret professionnel.
  • Quel prestataire le fournit, dans quel pays il est établi et à quel groupe il appartient.
  • Dans quel pays se trouvent les données et les sauvegardes, et quels sous-traitants ultérieurs interviennent.
  • Qui détient les clés de chiffrement.
  • Quel contrat de sous-traitance existe et quand il a été révisé.
  • Comment les données sont exportées et si l’export a déjà été testé.

Ce qui change selon le type de données

La souveraineté ne pèse pas de la même façon pour toutes les données, et il vaut mieux décider par catégories.

Type de donnéesCe que dit la normeConséquence pratique
Coordonnées de clientsContrat de sous-traitance et sécurité adaptée au risque (RGPD art. 28 et 32 ; Llei 29/2021 art. 31 et 35)Contrat, sous-traitants ultérieurs et sauvegardes sont le minimum
SantéTraitement interdit, sauf exceptions (RGPD art. 9 ; Llei 29/2021 art. 9) ; analyse d’impact si le traitement est à grande échelle (RGPD art. 35, par. 3, point b ; Llei 29/2021 art. 32, par. 3, point b)Le lieu, les accès et la sortie du prestataire pèsent davantage
Financières de clientsPas une catégorie particulière (art. 9), mais sécurité adaptée au risque requise (art. 32)Chiffrement, sauvegardes testées et contrôle des accès
Couvertes par le secret professionnelLa Llei 48/2014 le définit comme un devoir de l’avocat et un droit du client (art. 13)Le cabinet en répond ; le choix du prestataire en fait partie

Banque et cabinets d’avocats en Andorre

Les entités opérationnelles du système financier andorran sont soumises à une règle d’externalisation dans la Llei 7/2024 du 27 mai (article 8). Pour externaliser des fonctions opérationnelles importantes, systèmes informatiques compris, elles doivent informer l’Autorité financière andorrane (AFA) et obtenir son autorisation préalable, après analyse du prestataire, des risques et des clauses du contrat. L’externalisation ne décharge pas la haute direction ni ne modifie les obligations envers les clients, et l’entité reste pleinement responsable du prestataire.

Une entité financière catalane relève du règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), applicable depuis le 17 janvier 2025 : les contrats avec les prestataires TIC doivent indiquer les pays où les services sont fournis et où les données sont traitées, stockage compris, et garantir leur récupération si le prestataire devient insolvable ou si le contrat prend fin (article 30, paragraphe 2).

Pour les cabinets d’avocats, la Llei 48/2014 du 18 décembre (relative à l’exercice de la profession d’avocat et à l’Ordre officiel des avocats d’Andorre) ne permet de lever le secret professionnel que dans les cas prévus par la loi, avec l’autorisation expresse du client ou, à titre exceptionnel, par décision motivée du conseil de direction de l’Ordre. La loi ne parle pas de cloud. Notre lecture est qu’un cabinet qui conserve ses dossiers dans un service externe doit pouvoir justifier où ils se trouvent et qui y accède.

Questions à poser au prestataire

Avant de signer ou de renouveler, demandez par écrit :

  1. À quelle législation l’entreprise est-elle soumise, y compris ses sociétés mères et ses filiales ?
  2. Dans quels pays les données et les sauvegardes sont-elles traitées et conservées, et comment êtes-vous prévenu d’un changement ?
  3. Quels sous-traitants ultérieurs interviennent et comment pouvez-vous vous opposer à un changement (RGPD, article 28) ?
  4. Qui détient les clés de chiffrement ? Pouvez-vous utiliser les vôtres ?
  5. Que fait-il s’il reçoit une demande d’une autorité d’un pays tiers ? Le règlement (UE) 2023/2854 (règlement sur les données), applicable depuis le 12 septembre 2025, oblige les fournisseurs de services de traitement de données à empêcher l’accès et le transfert illicites de données à caractère non personnel détenues dans l’Union (article 32).
  6. Comment en sort-on ? Le même règlement exige un contrat prévoyant un préavis maximal de deux mois, une période de transition pouvant aller jusqu’à trente jours et au moins trente jours pour extraire les données (article 25) ; à partir du 12 janvier 2027, aucun frais de changement de fournisseur ne pourra être imposé (article 29).
  7. Où sont les sauvegardes et quand la dernière restauration a-t-elle été testée ?
  8. Sous quel délai vous prévient-il d’un incident ? Le responsable du traitement dispose de soixante-douze heures pour le notifier si des données à caractère personnel sont concernées (RGPD, article 33 ; Llei 29/2021, article 36).

L’emplacement ne règle pas tout : sauvegardes, clés et sortie

Notre position est que la souveraineté se vérifie à trois moments. Au quotidien : où sont les données et sous quelle loi. À l’incident : si les sauvegardes sont chez le même prestataire et dans le même compte que les originaux, une erreur ou un accès indu peut les affecter en même temps. À la sortie : pouvoir récupérer l’information dans un format exploitable et dans un délai raisonnable si l’on change de prestataire.

Un hôtel d’Andorre dont les réservations sont sur une plateforme étrangère, avec les sauvegardes sur la même plateforme et aucun export testé, dépend entièrement d’un tiers, et aucune clause ne le montre. Avoir les données à proximité aide, mais ne remplace pas une sauvegarde séparée et vérifiée. Et si les clés de chiffrement sont conservées par le prestataire qui héberge les données, elles protègent peu face à une demande qui lui est adressée.

Où nous avons un intérêt, et où nous n’en avons pas

Disons-le clairement : BDR Group propose des services cloud gérés sous la marque Andorra Cloud, avec un datacenter propre en Andorre et une équipe technique dans la Principauté, et nous avons donc un intérêt dans ce débat. Cela ne fait pas de l’hébergement local la réponse à tout : certaines charges de travail fonctionnent bien dans un cloud public et un environnement hybride est souvent l’option la plus raisonnable. Le critère devrait être le type de données et le risque d’en perdre le contrôle, pas le prix de la première facture.

Que faire maintenant

  1. Dressez l’inventaire des systèmes qui contiennent des données personnelles ou critiques, avec le pays des données et celui de chaque prestataire.
  2. Classez les données par sensibilité et décidez où va chaque groupe, plutôt que de prendre une seule décision pour toute l’entreprise.
  3. Révisez les contrats de sous-traitance : instructions, sous-traitants ultérieurs, transferts et sort des données à la fin du service.
  4. Identifiez les transferts hors de l’UE (ou hors d’Andorre et de l’UE, si vous êtes une entreprise andorrane) et la base juridique qui les couvre.
  5. Vérifiez que les sauvegardes sont en dehors du système principal et faites un test de restauration réel.

Questions fréquentes

Si mon prestataire a ses serveurs dans l’UE, cela suffit-il ?

Pas toujours. Si l’entreprise prestataire est soumise à la loi d’un autre pays, comme la loi américaine citée plus haut, celle-ci peut aussi produire des effets. Il faut examiner le contrat et la juridiction.

Une entreprise catalane peut-elle héberger des données personnelles en Andorre ?

Oui. La Commission européenne considère que l’Andorre assure un niveau de protection adéquat, et un transfert fondé sur une décision d’adéquation ne nécessite aucune autorisation spécifique. Le contrat de sous-traitance reste obligatoire.

Une entreprise andorrane peut-elle utiliser un cloud situé dans un pays de l’UE ?

Oui, la Llei 29/2021 prévoit les transferts vers les membres de l’UE. Il faut examiner les services qui, bien que contractés en Europe, envoient des données vers des pays tiers.

Sources

Vous voulez savoir où se trouvent les données de votre entreprise ?

Si vous souhaitez examiner où est hébergée votre information et quelles options vous avez en Andorre, commencez par la fiche du service : Cloud d’entreprise géré en Andorre

Retour aux actualités

Actualités

Articles liés