Le Comité européen de la protection des données a précisé en juin 2025 que l’injonction d’une autorité d’un pays tiers ne constitue pas, à elle seule, un fondement permettant de communiquer des données à caractère personnel. Au titre de l’article 48 du RGPD, une telle injonction ne peut être reconnue ou rendue exécutoire que si elle est fondée sur un accord international, tel qu’un traité d’entraide judiciaire. Le CLOUD Act américain exige l’inverse d’un fournisseur qui en relève.
Savoir si un fournisseur se trouve dans cette situation dépend du fournisseur lui-même et non de son implantation. Le contrat de sous-traitance ne le consigne pas.
La résidence des données dit où se trouvent les dossiers des patients. La souveraineté des données dit quelles autorités peuvent en ordonner la communication. Pour les données concernant la santé, que l’article 9 du RGPD protège au titre des catégories particulières, la seconde question pèse plus lourd. C’est elle qui nous occupe ici.
Dans un déploiement VDI, la chaîne compte souvent plusieurs intervenants : l’éditeur du logiciel, le partenaire d’hébergement, le cloud sous-jacent, le prestataire de support. Pour chacun d’eux, l’article 28 du RGPD impose un contrat de sous-traitance, et son paragraphe 4 soumet tout sous-traitant ultérieur aux mêmes obligations. Ce qu’aucun de ces contrats ne consigne, c’est le pays dans lequel la société est établie, le droit dont elle relève, ou la possibilité pour une autorité extérieure au contrat de la contraindre à livrer ce qu’elle détient.
Le mécanisme
Au titre du CLOUD Act américain, un fournisseur soumis à la juridiction des États-Unis peut être contraint par les autorités américaines de communiquer les données qu’il détient, dont il a la garde ou le contrôle, même lorsque ces données sont stockées hors des États-Unis. L’obligation s’attache au fournisseur, non à l’emplacement du serveur. Un centre de données local règle donc la question de la résidence des données et laisse celle de la juridiction ouverte.
Le CLOUD Act entre ainsi en collision frontale avec l’article 48 du RGPD. Un fournisseur qui relève des deux ordres juridiques devra trancher lui-même, le moment venu.
Un second passage du texte montre à quel point le contrat est étroit sur ce point. L’article 28, paragraphe 3, point a) du RGPD oblige le sous-traitant à n’agir que sur instruction documentée, et à informer le responsable du traitement lorsqu’une obligation juridique lui impose autre chose. Cette obligation d’information vise le droit de l’Union et celui des États membres. Une injonction venue d’un pays tiers n’entre pas dans ce cadre.
Une partie de cet examen est déjà formalisée en Europe. L’analyse d’impact des transferts, issue de Arrêt « Schrems II » demande à l’exportateur si le droit du pays de destination autorise les autorités publiques à exiger l’accès, et prend expressément en compte la portée extraterritoriale. Elle suppose toutefois un transfert vers un pays tiers, et tout déploiement associant un fournisseur hors de l’Union ne déclenche pas nécessairement un tel transfert.
Où cela se situe dans une évaluation VDI
Trois conséquences en découlent. La première est une bonne nouvelle. Les deux autres tiennent encore lorsqu’une décision semble avoir clos la question.
- Les contrats existent déjà. L’endroit où consigner la juridiction est ce même ensemble contractuel que le RGPD impose de toute façon. Une rubrique de plus, pas un chantier de plus.
- La détention des clés est une question distincte. Pour chaque intervenant de la chaîne, déterminez qui détient les clés. C’est une question de droit applicable et pas seulement de sécurité.
- Un déploiement sur site ne referme pas automatiquement la question. Les mises à jour, les contrôles de licence, les données de diagnostic et la maintenance à distance peuvent chacun faire sortir de l’information de l’environnement. Faites nommer par écrit le destinataire de chacun de ces canaux, ainsi que la juridiction dont il relève.
Nous avons réuni cinq questions permettant de tester la chaîne de sous-traitance d’un fournisseurElles portent sur les entités juridiques concernées, sur ce que chaque intervenant peut atteindre et sur la manière dont un fournisseur traite une injonction administrative. Elles sont rédigées pour entrer telles quelles dans un appel d’offres.
Où se situe Inuvika
Voici notre position sur ces questions.
Nous concluons nos contrats depuis le Canada ou le Royaume-Uni et ne relevons pas de la juridiction des États-Unis. Pour les clients établis dans l’Union européenne, nos conditions contractuelles relèvent de l’Irlande. Cela couvre notre propre société. Le reste de la chaîne dépend de votre mode de déploiement.
Dans un déploiement sur site, Inuvika OVD Enterprise ne collecte aucune donnée client (hormis les informations volontaires relatives à l’échéance de l’abonnement et aux volumes d’utilisation globaux). Cela réduit considérablement ce que nous pourrions un jour être amenés à communiquer. Lorsqu’un déploiement doit aller plus loin, Inuvika OVD Enterprise peut fonctionner en environnement entièrement « air-gapped ». Si vous préférez consommer le service en mode géré, nous le livrons par l’intermédiaire de partenaires d’hébergement locaux indépendants, dans votre pays, plutôt que par un opérateur mondial unique.
OVD Enterprise repose sur Linux, délivre applications et bureaux Windows et Linux sur tout terminal, et fonctionne indépendamment de l’hyperviseur et du cloud, avec n’importe quel annuaire Active Directory ou LDAP. Sur ce sujet, un point compte avant tout : la chaîne reste un ensemble de choix que vous faites, et ne devient pas une empreinte juridique dont vous héritez.
Genomics England nous a retenus pour fournir l’environnement sécurisé d’applications et de bureaux virtualisés du 100,000 Genomes Project. Canadian Health Systems délivre des applications en tant que service à des cabinets médicaux. Droguería DelSud, premier distributeur du secteur de la santé en Argentine, a fait passer son réseau de partenaires d’un accès VPN classique à des espaces de travail virtuels sécurisés.
Les questions ci-dessus méritent d’être posées à tous les fournisseurs d’une liste restreinte, y compris à nous. Découvrez comment nous délivrons des bureaux virtuels dans le secteur de la santé.
Questions fréquentes
Un contrat de sous-traitance règle-t-il la question de la souveraineté des données ?
Non. Il encadre ce qu’un intervenant peut faire des données. L’ordre juridique dont cet intervenant relève est un fait distinct. Il doit être consigné plutôt que déduit du contrat.
Le RGPD impose-t-il d’examiner le lieu d’établissement d’un fournisseur ?
Pas en tant qu’obligation autonome. Le chapitre V encadre les transferts vers les pays tiers, et l’article 48 précise que l’injonction d’une autorité d’un pays tiers ne justifie pas à elle seule une communication. Les deux se rattachent au transfert. Savoir de quel droit relève un fournisseur est la version plus précise de la même question, et cela relève de l’analyse de risques.
Nous réalisons déjà une analyse d’impact des transferts. Est-ce la même question ?
C’est ce qui s’en approche le plus. L’examen issu de l’arrêt Schrems II demande si le droit du pays de destination autorise les autorités publiques à exiger l’accès, ce qui est la question de la juridiction sous une autre forme. Il est toutefois construit autour des transferts de données à caractère personnel hors de l’EEE. Un déploiement qui maintient les données dans le pays, alors que le fournisseur ou une partie de sa chaîne de support se trouve à l’étranger, ne le déclenche pas nécessairement. Il vaut la peine de vérifier lesquels de vos accords il couvre réellement.