L'employeur peut-il archiver ses preuves RH sur un cloud étranger ?
Réponse courte
Oui. Aucun texte n'impose d'héberger les documents RH au Luxembourg, et l'archivage dans un autre État membre de l'Union ne soulève aucune question particulière : le RGPD y garantit le même niveau de protection.
Hors de l'Union, le transfert n'est possible que sur l'un des fondements du chapitre V du RGPD : une décision d'adéquation de la Commission, des garanties appropriées — clauses contractuelles types, règles d'entreprise contraignantes — ou, à titre résiduel, une des dérogations de l'article 49. L'employeur reste responsable du traitement et doit encadrer le prestataire par le contrat de sous-traitance qu'exige l'article 28.
Une contrainte pratique prime souvent sur ces considérations : l'article L.614-4 permet à l'ITM d'exiger communication des documents dans les meilleurs délais. Un archivage dont l'extraction dépend d'un support distant, d'un fuseau horaire ou d'une procédure lourde met l'entreprise en difficulté.
Définition
Le transfert au sens du RGPD est la mise à disposition de données à un destinataire situé hors de l'Espace économique européen, y compris par simple accès à distance depuis un pays tiers.
Le sous-traitant est le prestataire qui traite les données pour le compte de l'employeur. Le recours à un sous-traitant ne déplace pas la responsabilité : le responsable du traitement demeure l'entreprise.
Questions fréquentes
Conditions d’exercice
Le lieu d'hébergement importe moins que le fondement juridique du transfert et la capacité à produire les documents.
| Élément | Régime |
|---|---|
| Hébergement au Luxembourg | Aucune obligation légale de localisation nationale |
| Hébergement dans l'Union | Pas de transfert au sens du RGPD ; régime ordinaire |
| Décision d'adéquation | Fondement le plus simple pour un pays tiers (RGPD, art. 45) |
| Garanties appropriées | Clauses contractuelles types ou règles d'entreprise contraignantes (art. 46) |
| Dérogations | Résiduelles et d'interprétation stricte (art. 49) |
| Contrat de sous-traitance | Obligatoire, avec le contenu fixé par l'article 28 du RGPD |
| Communication à l'ITM | Dans les meilleurs délais, quel que soit le lieu de stockage (L.614-4) |
Modalités pratiques
Le choix d'un hébergeur se juge sur trois critères : le fondement du transfert, le délai d'extraction et la réversibilité.
| Étape | Détail |
|---|---|
| Cartographie | Identifier où les données sont effectivement stockées et depuis où elles sont accessibles |
| Fondement du transfert | Documenter la base retenue : adéquation, clauses types, règles contraignantes |
| Contrat de sous-traitance | Vérifier la présence des clauses de l'article 28 : instructions, sécurité, sous-traitants ultérieurs |
| Accès en cas de contrôle | Tester une extraction réelle et mesurer le délai obtenu |
| Registre des traitements | Y inscrire le transfert, sa finalité et ses garanties |
| Détachement | Tenir les documents accessibles sur le lieu de la prestation (L.142-3) |
| Réversibilité | Négocier les conditions de récupération des données avant la signature |
Pratiques et recommandations
Le fondement du transfert se documente avant le contrat, pas après un contrôle. Une entreprise qui découvre, à l'occasion d'une réclamation, qu'elle n'a jamais identifié où résident ses données ni sur quelle base elles quittent l'Union, se retrouve à régulariser dans l'urgence — avec un prestataire déjà en place et peu enclin à renégocier.
L'accès à distance depuis un pays tiers est un transfert, même sans copie. Une équipe de support située hors de l'Union qui consulte les dossiers pour dépanner constitue un transfert au sens du chapitre V, alors que les serveurs, eux, n'ont pas bougé. Ce cas est le plus souvent omis des analyses.
Testez l'extraction avant d'en avoir besoin. L'obligation de communiquer à l'ITM dans les meilleurs délais ne s'accommode pas d'un délai de plusieurs jours imposé par un prestataire lointain. Ce test révèle souvent, en outre, que le format restitué n'est pas exploitable.
Cadre juridique
| Référence | Objet |
|---|---|
| Règlement (UE) 2016/679, art. 28 | Contrat de sous-traitance : instructions, confidentialité, sécurité, sous-traitants ultérieurs |
| Règlement (UE) 2016/679, art. 45 | Transfert fondé sur une décision d'adéquation de la Commission |
| Règlement (UE) 2016/679, art. 46 | Garanties appropriées : clauses contractuelles types, règles d'entreprise contraignantes |
| Règlement (UE) 2016/679, art. 49 | Dérogations résiduelles pour des situations particulières |
| Art. L.614-4 | Communication des documents à l'ITM dans les meilleurs délais |
| Art. 16 du Code de commerce | Conservation des documents dix ans à compter de la clôture de l'exercice |
Note
Aucune règle n'impose un hébergement national : dans l'Union, le régime est ordinaire ; hors de l'Union, il faut un fondement du chapitre V du RGPD. La contrainte décisive est souvent pratique — pouvoir produire les documents à l'ITM dans les meilleurs délais.