Où vos données RH sont-elles traitées ? Questions à poser à votre prestataire

Choisir une plateforme RH implique de comprendre où sont stockées les données des salariés, qui peut y accéder et quelles sont les mesures de sécurité mises en place. Une réponse claire doit porter sur la base de données, les documents, les sauvegardes, l’accès au support technique et les services connectés.

Vérification des faits effectuée le 21 septembre 2026.

L’hébergement au sein de l’UE et la conformité au RGPD sont deux questions distinctes

L’hébergement au sein de l’UE peut constituer une exigence utile dans le cadre d’un marché public. Il ne garantit toutefois pas à lui seul la conformité, et le RGPD n’impose pas d’interdiction générale de stockage ou de traitement des données à caractère personnel en dehors de l’Espace économique européen. Les transferts internationaux nécessitent une voie de transfert valide au titre du chapitre V, parallèlement aux autres exigences applicables au traitement. EDPB : transferts internationaux de données

Demandez au prestataire de faire la distinction entre son siège social et ses sites de traitement. Une entreprise de l’UE peut recourir à des infrastructures ou à des équipes d’assistance situées ailleurs. L’adresse d’un serveur ne permet pas à elle seule de déterminer qui détient les clés de chiffrement ou qui peut accéder aux données à distance.

Qu'est-ce qui a changé après l'arrêt Schrems II ?

L’arrêt Schrems II de 2020 a invalidé le Privacy Shield mais a confirmé la validité des clauses contractuelles types (SCC) en tant qu’outil de transfert, sous réserve de l’évaluation et des mesures de protection requises. Les SCC ne constituent pas une autorisation générale pour tous les transferts : les parties doivent vérifier si elles sont adaptées au contexte et mettre en place des mesures supplémentaires si nécessaire. EDPB : mesures supplémentaires

La Commission a adopté en 2023 la décision d’adéquation relative au cadre de protection des données UE-États-Unis. Celle-ci couvre les transferts vers les organisations américaines participantes dans le cadre de leur certification. Vérifiez que le destinataire figure bien sur la liste actuelle et que celle-ci couvre les données concernées, y compris les données RH le cas échéant. Commission européenne : transferts UE-États-Unis

En septembre 2025, le Tribunal a rejeté le recours dans l’affaire Latombe c. Commission, en appréciant la décision au moment où elle a été adoptée. Cet arrêt ne doit pas être considéré comme une garantie quant à l’issue de futurs litiges ou à la politique gouvernementale. Vérifiez la position actuelle en matière d’adéquation lorsque vous prenez une décision d’achat. Tribunal : arrêt Latombe

Que signifie le CLOUD Act pour un acheteur ?

Le CLOUD Act a précisé que les prestataires soumis à une procédure judiciaire américaine pertinente peuvent être tenus de divulguer les données en leur possession, sous leur garde ou sous leur contrôle, même lorsqu'elles sont stockées à l'étranger. Il ne s'agit pas d'un accès illimité à toutes les bases de données étrangères, et le simple fait d'être constitué en société ne répond pas à toutes les questions relatives à la juridiction ou au contrôle. Ministère américain de la Justice : explication du CLOUD Act

Voici quelques questions complémentaires utiles : quelle entité peut accéder aux données, qui contrôle les clés d’accès, comment les demandes des autorités sont-elles examinées, et quel préavis le prestataire est-il tenu de donner ? Ces réponses sont plus éclairantes qu’une simple promesse selon laquelle la localisation d’une entreprise ou d’un serveur élimine tout risque juridique.

Demandez une cartographie complète du traitement des données

Avant de choisir une plateforme, demandez les informations suivantes :

• L’emplacement de la base de données principale, des documents et des sauvegardes.
• Les entités juridiques fournissant des services d’hébergement, de messagerie électronique, d’intelligence artificielle, d’assistance et de facturation.
• Tout accès à distance ou tout traitement ultérieur en dehors de l'EEE.
• Le mécanisme de transfert utilisé pour chaque destinataire concerné.
• Les clauses contractuelles relatives aux changements de sous-traitants, à l'exportation et à la suppression des données.
• Preuves étayant les affirmations relatives au chiffrement, aux contrôles d'accès et à la récupération des données.

Séparez les données d’application des données de facturation, mais ne partez pas du principe que les informations de facturation sont anonymes. Les coordonnées d’un titulaire de compte identifié peuvent toujours constituer des données à caractère personnel. Les intégrations facultatives doivent être évaluées tant au regard des informations qu’elles envoient que de celles qu’elles reçoivent.

Comment exploiter ces réponses

Conservez l'accord de traitement des données (DPA) et les informations relatives au traitement fournies par le prestataire avec votre évaluation. Notez toute exigence importante pour votre organisation, telle qu'une région d'hébergement particulière ou une restriction d'accès à l'assistance. Demandez des précisions par écrit sur les points en suspens avant de vous fier à une simple mention générale indiquant « hébergé dans l'UE ».

Pour PersoHR, commencez par consulter nos mesures de sécurité, notre accord de traitement des données et notre liste des sous-traitants. Ces documents décrivent les différentes composantes du service et doivent être lus conjointement. Un compte rendu complet du flux de données est plus utile qu’une simple affirmation selon laquelle la seule situation géographique rendrait un produit conforme.