Où sont stockées les données de vos visiteurs ? Une checklist de résidence des données pour les organisations européennes

Lorsque des visiteurs s’enregistrent auprès de votre organisation via un système d’enregistrement des visiteurs, des données personnelles sont traitées. Il s’agit souvent de bien plus que leur nom et leur heure d’arrivée : ils communiquent par exemple aussi des coordonnées, une signature, une plaque d’immatriculation ou une photo.

Mais où ces données sont-elles stockées ? Où se trouve exactement l’information lorsqu’elle est « dans le cloud » ? Qui y a accès ? Et des fournisseurs, des sous-traitants ultérieurs ou des collaborateurs du support situés en dehors de l’Espace économique européen (EEE) peuvent-ils consulter les données ? Depuis l’entrée en application du RGPD en 2018, ces questions se posent avec encore plus d’acuité.

La résidence des données, c’est-à-dire le lieu géographique où les données sont physiquement stockées, est un point d’attention majeur dans le traitement des données des visiteurs au regard de la législation européenne sur la protection de la vie privée. Pour les dirigeants d’entreprise, les responsables IT et les délégués à la protection des données (DPO), c’est donc un critère de sélection pertinent lors du choix d’un système de gestion des visiteurs (VMS).

L’emplacement du centre de données principal n’est toutefois qu’une partie de l’histoire. Un stockage dans l’UE ne signifie pas automatiquement qu’un système est entièrement conforme au RGPD. L’emplacement des sauvegardes, les transferts internationaux de données, les droits d’accès et les durées de conservation jouent également un rôle.

Notre checklist pratique vous aide à vérifier où un système de gestion des visiteurs stocke et traite les données, qui y a accès et si des transferts internationaux ont lieu. Vous pouvez ainsi évaluer les arguments marketing d’un œil critique et comparer les fournisseurs sur la base d’informations concrètes.

Dans cet article :

• Pourquoi l’emplacement des données des visiteurs est important
• Le RGPD exige-t-il que les données des visiteurs restent dans l’UE ?
• Checklist pour évaluer la résidence des données d’un système de gestion des visiteurs
• Signaux d’alerte lors de la comparaison des fournisseurs
• Comment Vizito stocke, traite et supprime les données des visiteurs
• Conclusion

Pourquoi l’emplacement des données des visiteurs est important

Chez Vizito, on nous demande régulièrement lors des démonstrations où les données des visiteurs sont stockées. Rien d’étonnant à cela. Pour de nombreuses organisations, la résidence des données est, à juste titre, un critère de sélection important.

L’enregistrement des visiteurs implique en effet le traitement de données personnelles, comme des noms, des coordonnées, des photos, des signatures et des heures d’arrivée et de départ. L’endroit où ces données sont stockées et traitées a son importance pour le respect de la législation sur la vie privée et pour la gestion des risques de votre organisation. La transparence sur le lieu de stockage peut en outre renforcer la confiance des visiteurs.

Législation sur la vie privée

Si votre organisation traite des données personnelles de visiteurs dans l’UE, ce traitement doit être conforme au RGPD. Le lieu où les données sont stockées et traitées détermine en partie les règles et les garanties juridiques applicables. Lorsque des données sont traitées en dehors de l’EEE ou accessibles depuis l’extérieur de celui-ci, des exigences supplémentaires s’appliquent aux transferts internationaux de données.

La législation étrangère peut également jouer un rôle. Un exemple bien connu est le CLOUD Act américain, en vertu duquel les prestataires de services américains peuvent, sous certaines conditions, être contraints de communiquer des données.

Gestion des risques

Une organisation est responsable des données des visiteurs qu’elle collecte. Vous devez donc savoir où les données d’origine, les sauvegardes et les éventuelles copies sont stockées, et qui y a accès. Moins il subsiste de zones d’ombre à ce sujet, mieux vous pouvez limiter les risques. C’est pourquoi de nombreuses organisations définissent dans leur politique de confidentialité et de sécurité où les données personnelles peuvent être stockées et traitées.

Lire aussi : Mettre en place une politique visiteurs : mode d’emploi (modèle gratuit)

Confiance des visiteurs

De plus en plus de personnes sont sensibles aux questions de vie privée et de protection des données. Un stockage au sein de l’EEE peut renforcer la confiance des visiteurs soucieux de leur vie privée, surtout si vous communiquez de manière transparente sur l’endroit où vous conservez leurs données personnelles, sur la raison et la durée de cette conservation, et sur la façon dont vous les protégez.

Le RGPD exige-t-il que les données des visiteurs restent dans l’UE ?

La réponse courte en surprend plus d’un : non.

Le RGPD n’impose pas que les données personnelles, y compris les données des visiteurs, restent physiquement dans l’UE. Le règlement impose en revanche des conditions supplémentaires lorsque des données personnelles sont transférées en dehors de l’Espace économique européen (EEE).

Au sein de l’EEE

Au sein de l’Union européenne, le RGPD est directement applicable. Les règles s’appliquent aussi dans les autres pays de l’EEE : la Norvège, l’Islande et le Liechtenstein. Si votre organisation stocke ou traite des données des visiteurs dans un autre pays de l’EEE, aucune condition supplémentaire ne s’applique en matière de transferts internationaux.

En dehors de l’EEE

Tous les pays situés en dehors de l’EEE sont appelés pays tiers. Lorsque des données personnelles quittent l’EEE, on parle de transfert international de données (ou international data transfer). C’est le cas, par exemple, lorsqu’elles sont stockées sur un serveur dans un pays tiers, mais aussi lorsqu’un fournisseur ou un sous-traitant ultérieur accède depuis un tel pays à des données qui se trouvent dans l’EEE.

Le transfert international de données est autorisé, mais uniquement si les conditions du chapitre V, articles 44 à 50, du RGPD sont respectées. Plusieurs mécanismes existent à cet effet :

1. Décision d’adéquation

La Commission européenne peut constater qu’un pays, un territoire ou un secteur spécifique offre un niveau de protection des données adéquat. C’est le cas, par exemple, du Royaume-Uni, de la Suisse, du Japon, de la Corée du Sud et de la Nouvelle-Zélande. Pour le Canada, la décision ne s’applique qu’aux organisations commerciales soumises à la loi sur la protection de la vie privée PIPEDA.

Un transfert fondé sur une décision d’adéquation ne nécessite pas de garanties appropriées distinctes. Comme les décisions d’adéquation sont régulièrement réévaluées, il est préférable de toujours consulter la liste actuelle de la Commission européenne.

2. Garanties appropriées

En l’absence de décision d’adéquation, des mesures supplémentaires sont nécessaires pour protéger les données. Cela peut se faire sur la base de garanties appropriées. Il s’agit par exemple des clauses contractuelles types (CCT) de la Commission européenne, aussi appelées Standard Contractual Clauses (SCC), et des règles d’entreprise contraignantes (Binding Corporate Rules, BCR).

Un contrat ne suffit pas toujours à lui seul. Les organisations concernées doivent aussi évaluer si la législation du pays destinataire permet de respecter effectivement les engagements pris. Selon le risque, des mesures supplémentaires peuvent être nécessaires.

3. Exceptions

Le RGPD prévoit également quelques exceptions. Un transfert peut par exemple être possible avec le consentement explicite de la personne concernée, ou lorsqu’il est nécessaire à l’exécution d’un contrat ou pour des motifs d’intérêt public. Ces exceptions sont prévues pour des situations spécifiques, et non pour traiter systématiquement des données des visiteurs en dehors de l’EEE.

Qu’en est-il des États-Unis ?

C’est une histoire compliquée. La Commission européenne a déjà approuvé trois dispositifs pour le transfert de données personnelles vers des organisations américaines. Le premier, Safe Harbor, a été invalidé en 2015 par la Cour de justice de l’Union européenne. Son successeur, l’EU-US Privacy Shield, a connu le même sort en 2020.

Depuis juillet 2023, c’est l’EU-US Data Privacy Framework qui s’applique. Les données personnelles peuvent ainsi à nouveau être stockées aux États-Unis sans garanties supplémentaires pour le transfert international, mais uniquement par des organisations américaines certifiées figurant sur la liste officielle des participants. Dans les autres cas, des garanties appropriées sont nécessaires.

Les deux dispositifs précédents ayant été invalidés, le transfert vers les États-Unis reste un point d’attention. Vérifiez donc toujours si la décision est encore en vigueur et si l’organisation concernée est certifiée.

En résumé : le RGPD n’oblige pas de manière générale les organisations à conserver les données des visiteurs en Europe. Un stockage et un traitement au sein de l’EEE simplifient toutefois généralement l’analyse juridique, puisque les règles supplémentaires applicables aux transferts vers des pays tiers ne s’appliquent alors pas. Vérifiez à cet égard non seulement le lieu de stockage principal, mais aussi l’emplacement des sauvegardes et des copies, ainsi que les pays depuis lesquels les fournisseurs et les sous-traitants ultérieurs ont accès aux données.

Lire aussi : RGPD et gestion des visiteurs : un guide pratique

Checklist pour évaluer la résidence des données d’un système de gestion des visiteurs

Utilisez cette checklist pour vérifier où les données des visiteurs sont réellement stockées et traitées.

1. Vérifiez tous les lieux de stockage

• Dans quel pays ou quelle région cloud se trouve la base de données principale ?
• Où sont stockées les sauvegardes et les copies destinées à la restauration du système ?
• Où sont conservés les photos et les documents signés ?
• Où aboutissent les fichiers journaux et les copies temporaires ?
• Des données personnelles sont-elles stockées en dehors de l’EEE ? Si oui, lesquelles et où ?

2. Vérifiez qui a accès

• Qui est le fournisseur du système de gestion des visiteurs et dans quel pays est-il établi ?
• Quel prestataire cloud le fournisseur utilise-t-il, et où ce prestataire et sa société mère sont-ils établis ?
• Quels sous-traitants ultérieurs traitent les données des visiteurs, et depuis quels pays ?
• Les collaborateurs du support ou de l’ingénierie peuvent-ils consulter les données des visiteurs ? Si oui, quand et depuis quels pays ?
• Cet accès est-il limité aux collaborateurs habilités, correctement sécurisé et journalisé ?
• Une personne située en dehors de l’EEE peut-elle accéder aux données ?

3. Vérifiez les transferts internationaux de données

• Les données des visiteurs sont-elles stockées, traitées ou rendues accessibles en dehors de l’EEE ?
• Vers quels pays et quelles organisations sont-elles transférées ?
• Le pays destinataire fait-il l’objet d’une décision d’adéquation ?
• S’agit-il d’une organisation américaine ? Est-elle certifiée dans le cadre de l’EU-US Data Privacy Framework ?
• En l’absence de décision d’adéquation : des garanties appropriées, comme des clauses contractuelles types, ont-elles été mises en place ?
• Les risques liés au transfert ont-ils été évalués et, si nécessaire, des mesures techniques ou organisationnelles supplémentaires ont-elles été prises ?
• Le fournisseur peut-il démontrer ces engagements par écrit ?

Attention : la résidence des données n’est qu’un aspect de la protection des données et ne garantit pas à elle seule votre conformité au RGPD. Vérifiez aussi que vous ne collectez que les données personnelles nécessaires à la finalité de l’enregistrement des visiteurs (minimisation des données), et évaluez les durées de conservation, les procédures de suppression, le chiffrement et la sécurisation des accès du système.

Signaux d’alerte lors de la comparaison des fournisseurs

La checklist ci-dessus vous aide à évaluer les fournisseurs de manière ciblée. Soyez attentif au caractère concret et complet des réponses. Méfiez-vous lorsqu’un fournisseur :

• indique seulement que les données se trouvent « dans le cloud » ou « en Europe » ;
• ne communique que l’emplacement de la base de données principale ;
• ne donne aucune précision sur les sauvegardes, les copies et les fichiers journaux ;
• ne peut pas fournir une liste à jour des sous-traitants ultérieurs ;
• n’indique pas depuis quels pays ses collaborateurs ont accès aux données ;
• ne cite aucune base juridique claire pour les transferts en dehors de l’EEE ;
• ne peut pas confirmer par écrit ses affirmations en matière de résidence des données.

Comment Vizito stocke, traite et supprime les données des visiteurs

Si vous utilisez Vizito, les données de vos visiteurs restent dans l’Union européenne. Vizito les héberge sur des serveurs à Amsterdam et à Francfort. Pour l’hébergement, Vizito collabore avec Leaseweb Global B.V. Les autres sous-traitants ultérieurs et leurs localisations figurent dans l’accord de traitement des données (DPA).

En tant que client, vous déterminez vous-même quelles données des visiteurs vous collectez et combien de temps vous les conservez. Dès que la durée de conservation définie est écoulée, l’enregistrement est automatiquement supprimé. Vizito traite les données des visiteurs uniquement pour fournir le service et ne les utilise pas à des fins publicitaires, de profilage ou pour d’autres finalités commerciales propres.

Les données des visiteurs sont chiffrées aussi bien en transit qu’au repos. Vizito est en outre certifié ISO 27001, ce qui signifie que son système de management de la sécurité de l’information a été audité de manière indépendante.

Pour en savoir plus, consultez notre page sur Vizito et le RGPD.

Conclusion

L’endroit où les données des visiteurs sont stockées n’est pas une simple question technique. L’emplacement détermine en partie les règles de protection de la vie privée et les conditions de transfert international applicables, ainsi que la visibilité dont dispose votre organisation sur le traitement de ces données.

Il ne s’agit pas seulement de la base de données principale, mais aussi des sauvegardes et autres copies, des sous-traitants ultérieurs impliqués et des pays depuis lesquels des collaborateurs peuvent accéder aux données.

Le RGPD n’impose pas que les données des visiteurs restent dans l’EEE. Un stockage et un traitement au sein de l’EEE facilitent toutefois généralement la mise en conformité. Mais la résidence des données n’est qu’un aspect de la protection des données : la minimisation des données, la sécurité, les durées de conservation et la suppression en temps utile restent tout aussi essentielles.

Vous voulez découvrir par vous-même comment Vizito vous aide à gérer les données des visiteurs de manière sûre et claire ? Essayez Vizito gratuitement pendant 14 jours ou réservez une démonstration.