La localisation des données des citoyens relève d’une décision de souveraineté, pas d’un choix d’hébergement par défaut

Une agence gouvernementale peut généralement indiquer dans quel pays sont hébergés les dossiers de ses citoyens. Rares sont celles qui peuvent confirmer si le prestataire qui exploite cette infrastructure relève lui-même d’une juridiction étrangère susceptible d’exiger l’accès à ces données, quel que soit l’emplacement des serveurs. Cette question, aux conséquences politiques et juridiques directes, se pose dès lors que citoyens, législateurs et organismes de contrôle la formulent explicitement.

Stocker les données des citoyens dans la région répond à une exigence de résidence. Cela ne règle en rien la question de savoir si le prestataire en charge de l’infrastructure pourrait être contraint, par une décision de justice étrangère, de fournir des dossiers lisibles, indépendamment de l’emplacement des serveurs. Cet article explique pourquoi la souveraineté des données pour les organismes publics relève d’une problématique d’architecture, et non d’une simple case à cocher sur la localisation de l’hébergement, et comment combler l’écart entre l’emplacement d’un dossier et la personne qui peut être contrainte de le fournir.

Résumé exécutif

Les agences gouvernementales font face à des exigences de souveraineté à la fois politiques et techniques : citoyens et législateurs attendent la garantie que les données des citoyens ne puissent pas être accessibles par une autorité étrangère. La résidence ne répond qu’à la question de l’emplacement du stockage. La question déterminante est de savoir si le prestataire de la plateforme pourrait être contraint de fournir des données citoyennes lisibles, ce qui dépend de la juridiction et de la gestion des clés. Pour les responsables IT et achats du secteur public, cela détermine si une revendication de souveraineté résiste à l’examen d’un comité de contrôle, et non simplement si elle satisfait à une liste d’exigences d’achat.

Résumé des points clés

1. L’emplacement de l’hébergement ne détermine pas la portée juridique sur les données citoyennes. La juridiction du prestataire est la question centrale, rarement mentionnée sur la page régionale d’un fournisseur.
2. Les lois d’accès extraterritoriales s’appliquent au-delà des frontières, indépendamment de l’emplacement de l’hébergement. Un prestataire soumis à une juridiction étrangère peut être contraint de fournir des dossiers citoyens, même si le centre de données se trouve entièrement hors du pays du régulateur concerné.
3. Les plateformes cloud gouvernementales mutualisées concentrent les risques pour les agences et les citoyens. Une seule faille peut exposer les données de plusieurs agences à la fois via une couche d’infrastructure partagée.
4. Des clés de chiffrement détenues par le client garantissent qu’une injonction étrangère ne donne accès qu’à des données chiffrées. Il s’agit d’une véritable garantie de souveraineté, et non d’une promesse contractuelle dépendant de la bonne volonté du fournisseur.
5. Le choix du mode de déploiement relève d’une décision de souveraineté que les agences doivent prendre en toute connaissance de cause. Le déploiement sur site, en auto-hébergement ou en hébergement dédié détermine le contrôle effectif de la juridiction, et non l’offre standard du fournisseur.

La réalité juridique de l’hébergement national des données citoyennes

Un prestataire soumis à une juridiction étrangère y reste soumis, quel que soit l’emplacement physique des données d’une agence donnée. Cette distinction, de plus en plus posée explicitement par les citoyens et les organismes de contrôle, ne saurait se limiter à la seule garantie d’une région d’hébergement.

Pourquoi l’adresse d’un centre de données ne détermine pas la portée juridique

Les lois extraterritoriales obligent un prestataire à fournir les données dont il a la possession, la garde ou le contrôle, sans tenir compte de leur emplacement physique. Un prestataire dont le siège est situé dans une juridiction donnée, mais qui exploite un centre de données régional pour ses clients publics, reste soumis aux lois de son pays d’origine, quel que soit le lieu où se trouvent les serveurs d’une agence.

Ce que cela change dans l’évaluation des risques fournisseurs pour les agences

La diligence raisonnable d’une équipe achats ne s’arrête pas à la vérification du pays d’un centre de données. La vraie question est de savoir si une autorité, où qu’elle soit, peut contraindre le prestataire à fournir des données citoyennes, et si le prestataire en a même la capacité technique en cas d’injonction. C’est précisément la question qu’une enquête parlementaire ou de contrôle posera tôt ou tard.

Pourquoi les plateformes cloud gouvernementales mutualisées concentrent les risques pour les agences

Les plateformes mutualisées desservant plusieurs agences signifient qu’une seule faille peut exposer les données citoyennes de fonctions gouvernementales distinctes, hébergées sur la même infrastructure partagée.

Infrastructure partagée, risques partagés pour les agences

Lorsque plusieurs agences fonctionnent sur la même plateforme mutualisée, un identifiant compromis ou une injonction légale visant cette plateforme peut avoir des conséquences bien au-delà des citoyens d’une seule agence. Une architecture à locataire unique supprime totalement ce risque partagé au niveau de l’infrastructure.

Ce que la véritable souveraineté des données exige, au-delà de la localisation, pour les agences

La souveraineté réelle repose sur trois éléments indissociables : l’isolation de l’infrastructure, la gestion des clés et le choix de la juridiction. L’emplacement n’est qu’un facteur dans le choix de la juridiction, et il n’a de sens qu’associé aux deux autres.

L’architecture à locataire unique comme fondement

Un déploiement à locataire unique signifie que les bases de données, systèmes de fichiers, environnements d’exécution applicatifs et systèmes d’exploitation d’une agence ne sont partagés avec aucun autre client. L’agence choisit ainsi précisément où exécuter son infrastructure dédiée, que ce soit sur site, en auto-hébergement ou en instance dédiée hébergée.

Des clés de chiffrement détenues par le client : la garantie de souveraineté que les contrats ne peuvent offrir

Lorsqu’une agence détient ses propres clés de chiffrement, généralement via un module matériel de sécurité, une injonction étrangère adressée au fournisseur ne donne accès qu’à des données chiffrées. Il s’agit d’une véritable garantie technique de souveraineté, et non d’une clause d’achat dépendant de la coopération du fournisseur.

Opérationnaliser la souveraineté au lieu de la supposer

Les responsables IT et achats du secteur public doivent vérifier la souveraineté des données sur le plan architectural : identifier la juridiction à laquelle le prestataire est soumis, confirmer que le déploiement est réellement à locataire unique, et établir qui détient effectivement les clés de chiffrement. Répondre systématiquement à ces trois questions permet de faire de la souveraineté une réalité démontrable auprès des législateurs et des citoyens, et non une simple hypothèse dans un dossier d’achat.

Comment un Data Control Plane garantit la souveraineté démontrable des données gouvernementales

Le Data Control Plane de Kiteworks repose sur une architecture à locataire unique, déployable sur site, dans le cloud de l’agence ou en instance dédiée hébergée, avec des clés de chiffrement détenues par le client via un module matériel de sécurité, garantissant qu’aucun tiers ne puisse déchiffrer les données citoyennes. Sur cette architecture, des contrôles zero trust pilotés par la donnée régissent chaque envoi, partage et accès sur tous les canaux, y compris la messagerie électronique, le partage de fichiers, les API et les agents IA. Chaque action est consignée dans un journal d’audit infalsifiable et non limité alimentant directement les outils SIEM, fournissant ainsi aux agences les preuves exigées par les organismes de contrôle.

Les agences souhaitant évaluer leur propre souveraineté des données citoyennes selon ce standard peuvent planifier une démo personnalisée.