Qu'est-ce que la souveraineté des données, et pourquoi est-ce important pour vos photos ?

La souveraineté des données apparaît dans presque toutes les politiques de confidentialité et les pages marketing que vous lisez. Les fournisseurs cloud y font référence. Les gouvernements l’emploient dans leurs législations. Des startups en font l’axe entier de leur marque. Mais si vous demandez à trois personnes ce que cela signifie, vous obtiendrez généralement quatre réponses différentes.

C’est un problème, car le terme a bien une signification précise, et la différence entre la définition technique et la version marketing est celle qui sépare une protection réelle d’une simple porte dérobée juridique.

Ce que la souveraineté des données signifie vraiment

La souveraineté des données est le principe selon lequel les données sont soumises aux lois du pays dans lequel elles sont physiquement stockées. Si vos photos sont sur des serveurs en Allemagne, la loi allemande s’applique. Si elles sont en Irlande, la loi irlandaise s’applique. Et comme l’Irlande et l’Allemagne sont toutes deux États membres de l’UE, des règlements comme le GDPR encadrent la manière dont les données peuvent être collectées, traitées et partagées.

Le concept semble simple. En pratique, il est compliqué par trois éléments que la plupart des pages de confidentialité ne détaillent pas.

Les trois couches de la souveraineté

Pour comprendre si un service offre réellement la souveraineté des données, vous devez poser trois questions distinctes.

Où les données résident-elles physiquement ? C’est la couche sur laquelle la plupart des gens se concentrent. Quand un service annonce “données stockées dans l’UE”, cela signifie généralement que ses serveurs sont dans un centre de données européen. C’est nécessaire, mais pas suffisant.

Qui exploite l’infrastructure ? Le serveur physique peut se trouver à Francfort, mais s’il est exploité par un fournisseur cloud américain, l’exploitant est soumis à la loi américaine. Lorsque le gouvernement américain émet une demande, l’exploitant répond, quel que soit l’endroit où la machine se trouve.

Où l’entreprise est-elle enregistrée ? C’est la couche qui détermine quelles lois l’entreprise elle-même doit suivre. Une entreprise enregistrée en Californie est soumise à la loi américaine, y compris au CLOUD Act, peu importe où se trouvent ses serveurs ou ses clients.

Pour que la souveraineté des données tienne, les trois couches doivent s’aligner. Le serveur doit être dans la juridiction concernée, l’exploitant doit être soumis à la loi de cette juridiction, et l’entreprise ne doit pas être légalement contrainte de répondre aux demandes d’un gouvernement étranger.

Pourquoi “stocké dans l’UE” ne suffit pas

L’écart entre la promesse marketing et la réalité juridique est devenu clair avec une décision de la Cour de justice de l’Union européenne en 2020, connue sous le nom de Schrems II. La Cour a jugé que le transfert de données personnelles de l’UE vers les États-Unis ne protégeait pas suffisamment les Européens contre les lois de surveillance américaines, même lorsque les données ne traversaient jamais l’Atlantique.

Le raisonnement de la Cour était direct. Si une entreprise américaine détient les données, la loi américaine y accède, peu importe où sont les serveurs. Le lieu de stockage à lui seul ne détermine pas quelles lois s’appliquent.

C’est pourquoi “hébergé dans l’UE” est une formule courante et une revendication faible. Elle ne couvre que la première des trois couches. Sans les deux autres, la protection qu’elle laisse entendre ne tient pas.

Ce que le CLOUD Act change

Le CLOUD Act américain a été adopté en 2018. Il donne aux autorités américaines le pouvoir de contraindre les entreprises basées aux États-Unis à remettre les données qu’elles détiennent ou contrôlent, quel que soit le lieu de stockage physique de ces données.

Cela signifie qu’un fournisseur cloud américain exploitant des serveurs aux Pays-Bas peut être légalement contraint de remettre les données stockées sur ces serveurs aux autorités américaines. Le gouvernement néerlandais n’a pas besoin d’être informé. L’utilisateur concerné n’a pas besoin d’être notifié. Les protections du GDPR n’annulent pas la demande.

Le GDPR limite ce que les entreprises font de vos données de leur propre initiative. Le CLOUD Act autorise un acteur externe spécifique à contourner cette limite. Les deux lois sont en vigueur en même temps, et elles pointent dans des directions opposées.

Notre collègue a rédigé une explication plus détaillée du fonctionnement du CLOUD Act et de ce qu’il implique pour le stockage de photos.

Ce que la véritable souveraineté européenne des données exige

Pour qu’un service offre une véritable souveraineté européenne des données, trois conditions doivent être réunies.

Les données doivent être stockées sur des serveurs situés dans l’UE. L’exploitant de l’infrastructure doit être soumis au droit européen. L’entreprise propriétaire du service doit être enregistrée dans l’UE et libre de tout contrôle par une société mère américaine.

Quand les trois sont réunies, le service est régi par le droit européen, et uniquement le droit européen. Une demande du gouvernement américain n’a aucune voie légale vers les données.

Si l’une des trois manque, la revendication de souveraineté est partielle. Elle peut toujours représenter une amélioration par rapport à d’autres options, mais elle n’offre pas la protection que le terme laisse entendre.

Pourquoi c’est important pour vos photos

Les photos sont l’une des catégories de données les plus personnelles que vous téléversez quelque part. Elles contiennent votre visage, celui des personnes proches de vous, les endroits où vous allez et les horodatages de votre vie quotidienne. L’article sur les métadonnées montre à quel point un seul fichier photo contient d’informations.

Lorsque vous choisissez où stocker cette bibliothèque, la question de la souveraineté n’est pas abstraite. Elle détermine qui peut contraindre l’accès à ces photos, sous quel cadre juridique, et avec quel recours.

Ce que fait PixelUnion

PixelUnion est enregistrée dans l’UE. Nos serveurs sont situés dans l’UE. Notre infrastructure est exploitée sous le droit européen. Il n’y a pas de société mère américaine, et aucune voie légale par laquelle le CLOUD Act atteindrait les données de nos clients.

Ce n’est pas une décision marketing. C’est une décision structurelle sur ce que “stocké dans l’UE” doit signifier pour que la phrase soit honnête.

L’article sur le GDPR couvre les droits que le règlement vous donne et comment ils s’appliquent en pratique. La souveraineté des données est la condition sous-jacente qui rend ces droits applicables au départ.

Vous voulez voir comment la souveraineté européenne se traduit en une alternative concrète aux services américains ? Notre collègue a préparé un guide pratique pour quitter complètement les Big Tech, avec des alternatives concrètes pour chaque service.