Un outil de mesure hébergé hors d'Europe : ce que cela implique
Le sujet est technique, encadré, et il ne se règle pas par une case à cocher. Les trois questions à poser à votre prestataire.
Beaucoup d’outils de mesure sont hébergés hors de l’Union européenne. Ce n’est pas interdit, et ce n’est pas neutre.
Le principe
Un transfert de données personnelles hors de l’Union doit être encadré : par une décision reconnaissant un niveau de protection adéquat, par des clauses contractuelles types, ou par un autre mécanisme prévu.
Ce que cela veut dire pour vous : votre prestataire doit pouvoir vous dire lequel s’applique, et vous devez le documenter.
Les trois questions à poser
1. Où sont hébergées les données, et où sont-elles traitées ? Les deux peuvent différer : un stockage en Europe avec une administration depuis l’extérieur reste un accès depuis l’extérieur.
2. Sur quel mécanisme repose le transfert ?
3. Qui peut y accéder, et sur quel fondement ? L’accès du personnel du prestataire pour des raisons d’exploitation est normal ; il doit être encadré.
Ce qui simplifie radicalement la question
Un outil qui ne détient aucune donnée personnelle n’a pas de transfert de données personnelles à encadrer.
C’est le cas d’une mesure qui ne conserve que des agrégats : un nombre de vues par site, par jour et par chemin ne concerne personne en particulier.
Attention à ne pas surestimer l’argument : il ne vaut que si l’architecture est réellement sans donnée individuelle, et cela doit s’expliquer et se vérifier, pas s’affirmer.
Notre situation, dite platement
Nos agrégats sont hébergés dans l’Union européenne, et ils ne contiennent aucune donnée individuelle : ni adresse réseau, ni agent utilisateur, ni identifiant persistant dans les clés conservées.
Le contrôle qui vous appartient
Notre moteur d’audit ne dit rien de l’hébergement d’un outil : il regarde ce que votre page charge, pas où va ce qu’elle envoie. Nous ne prétendrons pas mesurer ce que nous ne mesurons pas.
La seule méthode fiable reste contractuelle : demandez à votre prestataire un document, et classez-le. C’est fastidieux, cela prend un courriel, et c’est ce qui vous sera demandé en cas de contrôle.