En bref
La souveraineté des données, c'est garder le contrôle sur ses données : qui y accède, où elles sont traitées et sous quel droit.
Elle va plus loin que la résidence (le lieu de stockage) et la localisation (l'obligation de rester sur un territoire).
Pour la garder, on traite les données sur ses propres serveurs et on les anonymise avant tout transfert.
La souveraineté des données est souvent réduite à une question : où sont hébergées les données ?
C’est une partie de la réponse, pas la totalité.
Une donnée stockée en Europe peut rester accessible à un fournisseur, copiée dans un environnement de test ou envoyée à un prestataire.
La vraie question est donc : qui garde le contrôle ?
Qu’est-ce que la souveraineté des données ?
La souveraineté des données désigne la capacité d’une organisation à garder le contrôle de ses données.
Elle décide qui peut y accéder, où elles sont traitées et sous quel droit elles restent.
Elle s’applique aux bases de données comme aux fichiers : contrats, tableaux Excel, comptes rendus, exports.
Souveraineté, résidence et localisation des données : quelle différence ?
Les trois termes sont souvent confondus.
| Notion | Question à laquelle elle répond | Ce qu’elle recouvre |
|---|---|---|
| Résidence des données | Où les données sont-elles stockées ? | Le pays ou la région de stockage, choisi par l’organisation. |
| Localisation des données | Les données doivent-elles rester sur un territoire ? | Une obligation de stockage dans un pays, imposée par une règle ou un contrat. |
| Souveraineté des données | Qui contrôle les données et sous quel droit ? | La maîtrise des accès, des traitements et des transferts. |
La résidence et la localisation parlent d’un lieu.
La souveraineté parle de contrôle.
Pourquoi l’hébergement en Europe ne suffit pas à lui seul
Choisir un hébergeur européen est un bon socle juridique et contractuel.
Trois points restent pourtant à traiter.
- Le fournisseur a des accès techniques.
Administration, maintenance, support : l’hébergeur opère l’infrastructure sur laquelle vos données sont stockées. - Le droit applicable dépend aussi du fournisseur.
Selon sa nationalité, un fournisseur peut être soumis à des lois étrangères qui s’appliquent aux données qu’il contrôle, quel que soit le lieu de stockage. - Les données circulent.
Copies de bases pour les tests, exports pour une analyse, fichiers envoyés à un prestataire ou collés dans un outil en ligne : chaque copie peut sortir du périmètre prévu.
Les risques viennent souvent de ces usages périphériques.
En 2021, l’AP-HP a subi une fuite touchant 1,4 million de personnes.
Les données provenaient d’un outil utilisé ponctuellement pour le suivi des tests Covid, en dehors des flux principaux.
Dès que des données personnelles partent hors de l’Union européenne, le chapitre V du RGPD encadre ce transfert : voir notre article sur le transfert de données hors UE.
Comment garder la maîtrise de ses données ?
- Savoir où se trouvent les données sensibles.
Colonnes mal nommées, fichiers oubliés, champs de texte libre : sans cartographie, la protection repose sur des hypothèses. - Traiter sur ses propres serveurs.
Un traitement réalisé chez vous n’envoie rien à un service extérieur. - Anonymiser avant tout transfert.
Avant une migration vers le cloud, un envoi à un prestataire ou une copie de test, les identités n’ont pas besoin de partir. - Ne transmettre que le nécessaire.
Le RGPD impose la minimisation : seules les données utiles à la finalité doivent circuler. - Garder une trace.
Un rapport de ce qui a été détecté et traité permet de prouver la démarche en cas de contrôle.
Des données réellement anonymisées ne sont plus des données personnelles au sens du RGPD (considérant 26).
Des données pseudonymisées, elles, le restent.
Pour un projet de migration, voir faut-il anonymiser avant de passer dans le cloud.
Pour les collectivités et les administrations, voir la souveraineté des données dans le secteur public.
Exemple : la copie de test
Une équipe de développement a besoin d’une copie de la base de production pour tester une nouvelle fonctionnalité.
Sans anonymisation, les données personnelles sont dupliquées dans un environnement moins protégé.
Avec une anonymisation préalable, l’équipe reçoit une base exploitable, sans les identités.
La base d’origine reste intacte et sous votre contrôle.
Avec NymData
NymData détecte et anonymise les données sensibles de vos fichiers et de vos bases, sans qu’elles quittent vos serveurs.
- Installé sur vos serveurs.
Aucune donnée traitée n’est transmise à NymData ni à un service extérieur, et aucune télémétrie n’est envoyée. - Sans connexion Internet.
Après l’activation de la licence, réalisée une seule fois, NymData fonctionne hors ligne. - Cartographie avant traitement.
Un mode d’analyse repère les données sensibles sans rien modifier. - Fichiers et bases de données.
PDF, Word, Excel, PowerPoint, CSV et fichiers texte, ainsi que les bases PostgreSQL et MySQL. - Originaux intacts et rapport d’audit.
La version anonymisée est écrite à part, et chaque traitement produit son rapport.
Le détail des garanties techniques est sur notre page Sécurité.
Questions fréquentes
Qu'est-ce que la souveraineté des données ?
C'est la capacité d'une organisation à garder le contrôle de ses données.
Elle décide qui y accède, où elles sont traitées et sous quel droit elles restent.
Quelle différence entre souveraineté des données et résidence des données ?
La résidence désigne le lieu où les données sont stockées.
La souveraineté porte sur le contrôle : qui peut y accéder et quelles lois s'appliquent, quel que soit ce lieu.
Un cloud hébergé en Europe garantit-il la souveraineté des données ?
Pas à lui seul.
Le fournisseur garde des accès techniques, et il peut être soumis à des lois étrangères selon sa nationalité.
Le lieu de stockage est un socle, pas une garantie complète.
Comment garder la souveraineté de ses données ?
En traitant les données sensibles sur ses propres serveurs.
En anonymisant avant tout transfert vers un cloud, un prestataire ou un outil en ligne.
En ne transmettant que ce qui est nécessaire (principe de minimisation du RGPD).
L'anonymisation aide-t-elle à respecter le RGPD lors d'un transfert hors UE ?
Oui.
Des données réellement anonymisées ne sont plus des données personnelles : les règles du RGPD sur les transferts ne s'y appliquent plus.
Des données pseudonymisées, elles, restent des données personnelles.