Résidence données

IBM définit la résidence comme l'emplacement physique ou géographique des données, la localisation des données comme une obligation que les données restent dans un lieu et une juridiction précis, et la souveraineté des données comme le contrôle des données selon l'endroit où elles sont stockées et traitées. Teradata précise que les sauvegardes et les copies de reprise après sinistre font partie du périmètre de résidence, et un basculement vers une région d'un autre pays fait passer des données de l’autre côté d’une frontière sans que personne ne l'ait décidé.

La résidence ne règle pas quel État peut exiger les données. Un data center européen exploité par une entreprise soumise au droit des États-Unis est à la portée du CLOUD Act, donc une banque lit la résidence et la juridiction comme deux clauses distinctes lors de l’évaluation d’un cloud souverain pour les banques.

La communication de la BaFin énumère ce qu'une banque évalue avant un contrat cloud: l'endroit où les données sont stockées ou traitées, l'emplacement du siège du fournisseur, la situation géopolitique et les lois de ces juridictions, y compris la protection des données, l'application de la loi et les règles d'insolvabilité qui s'appliqueraient si le fournisseur faisait défaut. Parmi les clauses contractuelles qu'elle suggère figure une restriction des services cloud autorisés et des emplacements ou régions des data centers.

Le guide de la BCE sur l'externalisation vers le cloud va dans le même sens pour les banques qu'elle supervise directement: les données restent dans des juridictions approuvées, choisies en tenant compte du risque juridique et politique, et la banque vérifie avec des outils de traçage où les données se trouvent réellement.

Microsoft a achevé son EU Data Boundary en février 2025, avec une dernière phase qui garde dans l'UE et l'AELE les données des services professionnels, comme les journaux clients envoyés au support et les notes de dossier du personnel de support. Amazon Web Services a lancé son European Sovereign Cloud en janvier 2026, avec une première région dans le Brandebourg séparée des autres régions AWS.

Lors d'une audition au Sénat français en juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a déclaré sous serment qu'il ne pouvait pas garantir que des données françaises n'atteindraient jamais les autorités américaines sans consentement français. La juridiction pose une question distincte concernant les obligations de divulgation prévues par le CLOUD Act.

Un service d'IA générative déplace des données d'une manière qu'une base de données ne connaît pas. Chaque prompt qui contient un nom de client est un transfert de données personnelles vers l'endroit où tourne le modèle, et le fournisseur peut conserver des journaux des prompts et des réponses. Une clause de résidence pour l'IA nomme donc le lieu d'inférence et la durée de conservation des prompts. Les options d'infrastructure IA dans la banque vont d'une API hébergée à un modèle sur les propres serveurs de la banque.

La résidence des données dit où les données sont stockées et traitées. La souveraineté des données dit quel droit national régit les données et quelles autorités peuvent y accéder. Des données à Francfort peuvent résider en Allemagne et rester soumises à une injonction de divulgation étrangère si l'exploitant relève d'un droit étranger.

Le RGPD encadre les transferts hors de l'UE et de l'EEE par des décisions d'adéquation, des clauses contractuelles types ou des règles d'entreprise contraignantes, et ne les interdit pas en tant que tels. Les exigences de résidence pour les banques viennent surtout des contrats et de ce qu'attendent les superviseurs.

Ni DORA ni la communication de la BaFin sur l'externalisation cloud ne fixent de règle imposant que les données restent en Allemagne. Les deux attendent que la banque sache où sont ses données et évalue le risque juridique et politique de chaque emplacement, et le contrat peut restreindre les emplacements là où ce risque l'exige.