Schrems II, le CLOUD Act, et pourquoi les clauses contractuelles types ne suffisent pas à protéger les données de vos salariés lorsqu'elles sont stockées aux États-Unis.
Lorsque vous souscrivez à une plateforme RH, vous lui confiez certaines des données les plus sensibles de votre entreprise : salaires, dossiers médicaux, procédures disciplinaires, coordonnées bancaires. Le lieu où ces données sont stockées a une importance réelle, et la mention « nous respectons le RGPD » sur le site d'un prestataire ne signifie pas que vos données sont protégées par le droit européen.
Voici pourquoi la question du lieu d'hébergement est bien plus sérieuse qu'une simple case à cocher sur un formulaire de conformité.
En juillet 2020, la Cour de justice de l'Union européenne a invalidé le dispositif « Privacy Shield » UE-États-Unis dans son arrêt Schrems II. Ce mécanisme permettait jusqu'alors de transférer légalement des données personnelles depuis l'UE vers les États-Unis dans des conditions simplifiées.
La Cour a jugé que le droit américain en matière de surveillance — notamment l'article 702 du Foreign Intelligence Surveillance Act (FISA) et le décret présidentiel 12333 — confère aux agences de renseignement américaines un accès aux données incompatible avec les droits fondamentaux garantis par le droit de l'Union. Le Privacy Shield n'offrait donc pas une protection réelle.
Un nouveau cadre, le Data Privacy Framework UE-États-Unis, a été adopté en 2023. Il fait actuellement l'objet d'un recours juridique porté par Max Schrems et l'organisation noyb. Dans la mesure où l'arrêt Schrems II avait invalidé le Privacy Shield sur des motifs quasi identiques, il ne serait pas surprenant qu'un nouveau recours aboutisse.
Si le Data Privacy Framework UE-États-Unis venait à être invalidé, les entreprises qui en dépendent devraient de nouveau trouver des solutions en urgence. Ce risque n'est pas théorique.
Même si une entreprise américaine stocke vos données dans un centre de données situé en Europe, celles-ci ne sont pas nécessairement protégées.
Le CLOUD Act américain (2018) autorise les forces de l'ordre américaines à exiger d'une entreprise de droit américain qu'elle leur remette des données, quel que soit le lieu de stockage. Une société américaine exploitant un serveur à Francfort peut être contrainte de communiquer des données aux autorités américaines sans ordonnance d'un tribunal européen et, dans certaines conditions, sans même en informer les personnes concernées.
C'est là que réside la tension fondamentale. Un centre de données peut être installé en Allemagne : si l'entité qui le contrôle est une société américaine, le droit américain peut néanmoins s'appliquer. Or le RGPD interdit le transfert de données à des autorités de pays tiers, sauf dans des conditions strictement définies. Le CLOUD Act crée donc des situations où des entreprises américaines peuvent être légalement contraintes de violer le RGPD.
Certains grands prestataires font valoir qu'ils contesteraient de telles demandes et que le chiffrement offre une protection suffisante. Cet argument peut être recevable dans certains cas, mais il s'agit d'un pari juridique et technique, non d'une garantie.
Les clauses contractuelles types (CCT) sont des contrats conclus entre un exportateur de données établi dans l'UE et un importateur de données établi hors de l'UE, visant à garantir un niveau de protection équivalent à celui du RGPD. Elles constituent le mécanisme le plus couramment utilisé pour légitimer les transferts de données de l'UE vers les États-Unis depuis l'arrêt Schrems II.
Le problème est que cet arrêt n'a pas seulement invalidé le Privacy Shield. La Cour a également précisé que les CCT seules sont insuffisantes lorsque le système juridique du pays de destination ne garantit pas une protection adéquate. La législation américaine sur la surveillance est au cœur du problème : les CCT ne peuvent pas primer sur l'article 702 du FISA.
Pour tout transfert vers les États-Unis, les CCT doivent donc être accompagnées d'une analyse d'impact des transferts (AIT), qui consiste à vérifier si le droit du pays de destination permet effectivement aux CCT de produire leurs effets. Pour la plupart des transferts vers des plateformes RH américaines, il serait difficile de conclure positivement à l'issue d'une telle analyse rigoureuse.
Dans les faits, plusieurs autorités de protection des données de l'UE ont commencé à prononcer des sanctions pour des transferts vers les États-Unis reposant sur les seules CCT, sans AIT dûment réalisée. Les autorités autrichienne, française, italienne et grecque ont toutes conclu que les transferts de données vers Google Analytics (une entreprise américaine) violaient le RGPD, précisément parce que les CCT n'assuraient pas une protection adéquate au regard du droit américain de la surveillance.
Le même raisonnement s'applique aux plateformes RH.
« Hébergé dans l'UE » ne se limite pas à un serveur situé en Europe. Pour écarter réellement le risque lié au CLOUD Act, plusieurs conditions doivent être réunies :
Une société de droit européen : L'entité qui contrôle les données doit être constituée et opérer conformément au droit de l'Union. Il ne suffit pas d'être une filiale européenne d'une maison mère américaine.
Aucun accès par une société mère américaine : Si une maison mère américaine peut accéder aux données détenues par une filiale européenne, les gérer ou être contrainte de les produire, le risque lié au CLOUD Act demeure entier.
Une infrastructure cloud relevant du droit de l'UE : Des données stockées chez Hetzner Cloud (Allemagne), OVHcloud (France) ou IONOS (Allemagne/UE) reposent sur une infrastructure contrôlée par des sociétés européennes soumises au droit de l'Union. Des données stockées sur AWS eu-west-1 (Irlande) reposent en revanche sur une infrastructure américaine soumise au CLOUD Act.
Les sous-traitants ultérieurs : Vérifiez si les propres sous-traitants du prestataire sont établis dans l'UE. Un prestataire RH de droit européen qui envoie des notifications par e-mail via SendGrid (américain) transfère partiellement vos données hors de l'UE.
PersoHR est une société de droit européen, hébergée sur Hetzner Cloud en Allemagne, qui sélectionne des sous-traitants établis dans l'UE. Ce choix d'architecture est délibéré : nous ne cherchons pas à adapter a posteriori un produit conçu pour le marché américain aux exigences du RGPD.
Si vous êtes un employeur établi dans l'UE et que vous stockez les données de vos salariés sur une plateforme américaine :
Il existe de véritables plateformes RH nativement européennes sur le marché. L'offre s'est considérablement étoffée depuis que l'arrêt Schrems II a créé une demande claire en ce sens.
Lorsque vous évaluez des alternatives, interrogez directement les prestataires :
Un prestataire capable de répondre à ces questions de manière claire et précise mérite d'être pris au sérieux. Celui qui se contente de formules vagues sur la « conformité au RGPD » et les « serveurs en Europe » n'a probablement pas mesuré tous les enjeux.
La question du lieu d'hébergement n'est pas une forme de paranoïa. C'est un risque juridique et opérationnel bien réel pour les employeurs européens. Les données que vos salariés vous confient méritent une infrastructure réellement placée sous la juridiction de l'Union européenne.
Essayez PersoHR gratuitement pendant 30 jours. Sans carte bancaire.
Démarrer votre essai gratuit