Les données RH peuvent-elles être hébergées à l'étranger ?
Réponse courte
Oui, et sans formalité particulière au sein de l'Union européenne : aucun texte luxembourgeois n'impose un hébergement national, et le RGPD garantit le même niveau de protection dans tous les États membres.
Hors de l'Union, le transfert n'est possible que sur l'un des fondements du chapitre V du RGPD : une décision d'adéquation de la Commission, des garanties appropriées — clauses contractuelles types, règles d'entreprise contraignantes — ou, à titre résiduel, une dérogation de l'article 49. L'employeur reste responsable du traitement et doit encadrer le prestataire par le contrat de sous-traitance de l'article 28.
Une contrainte pratique prime souvent sur ces considérations : l'article L.614-4 permet à l'ITM d'exiger communication des documents dans les meilleurs délais. Un hébergement dont l'extraction dépend d'un fuseau horaire ou d'une procédure lourde met l'entreprise en difficulté.
Définition
Le transfert au sens du RGPD n'est pas seulement l'envoi de données : l'accès depuis un pays tiers en constitue un, même si les serveurs se trouvent dans l'Union.
L'hébergement est le lieu de stockage. Il se distingue du traitement, qui peut être réalisé ailleurs — un support technique assuré depuis un pays tiers accède aux données et relève donc du chapitre V.
Conditions d’exercice
La question porte sur qui accède aux données et depuis où, plus que sur l'emplacement des serveurs.
| Situation | Régime | Base |
|---|---|---|
| Hébergement dans un autre État membre | Libre | RGPD applicable dans toute l'Union |
| Pays bénéficiant d'une décision d'adéquation | Transfert admis | RGPD, article 45 |
| Absence d'adéquation, avec garanties appropriées | Transfert admis sous conditions | RGPD, article 46 |
| Absence de garanties | Dérogations limitées et d'interprétation stricte | RGPD, article 49 |
| Support technique assuré depuis un pays tiers | Constitue un transfert, même sans déplacement des données | RGPD, chapitre V |
| Recours à un prestataire | Contrat de sous-traitance obligatoire | RGPD, article 28 |
Modalités pratiques
Ce qui se vérifie est la chaîne complète : hébergeur, sous-traitants ultérieurs, et personnes accédant aux données.
| Point | Marche à suivre |
|---|---|
| Cartographie | Identifier l'hébergeur, ses sous-traitants et les pays d'accès |
| Contrat | Encadrer les instructions, la sécurité et le recours à des sous-traitants ultérieurs |
| Transfert hors Union | Identifier le fondement retenu et le documenter |
| Information des salariés | Mentionner les destinataires et les transferts éventuels |
| Registre des traitements | Y faire figurer l'hébergement et les transferts |
| Accessibilité | Vérifier le délai réel d'extraction en cas de contrôle |
Pratiques et recommandations
L'accès à distance est le point le plus souvent négligé. Une entreprise dont les données sont hébergées dans l'Union, mais dont le support technique est assuré depuis un pays tiers, effectue un transfert : la cartographie doit suivre les personnes, pas seulement les serveurs.
La copie locale reste la précaution la plus efficace pour les contrôles. Elle permet de produire les registres et les pièces dans le délai imparti sans dépendre du prestataire, de sa disponibilité ni de son fuseau horaire — ce que l'ITM n'a pas à prendre en considération.
La sous-traitance ne déplace jamais la responsabilité. L'employeur reste responsable du traitement : c'est à lui de démontrer la licéité, de répondre aux demandes d'accès des salariés et de produire les documents demandés, même lorsque les données sont détenues ailleurs.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 28 | Contrat de sous-traitance encadrant l'hébergeur et ses sous-traitants ultérieurs |
| RGPD, article 45 | Transferts fondés sur une décision d'adéquation |
| RGPD, article 46 | Garanties appropriées, dont les clauses contractuelles types |
| RGPD, article 49 | Dérogations résiduelles, d'interprétation stricte |
| RGPD, article 30 | Registre des activités de traitement mentionnant les transferts |
| Article L.614-4 du Code du travail | Communication des fichiers à l'ITM dans les meilleurs délais |
Note
L'hébergement dans l'Union est libre ; hors de l'Union, il suppose un fondement du chapitre V du RGPD. Cartographiez les accès et non les seuls serveurs : un support technique assuré depuis un pays tiers constitue un transfert.