Localisation des données

La législation sur la localisation ou la résidence des données exige que les données sur les citoyens ou les résidents d'un pays soient collectées, traitées et/ou stockées à l'intérieur du pays, souvent avant d'être transférées à l'étranger. Ces données ne sont généralement transférées qu'après avoir respecté les lois locales sur la confidentialité ou la protection des données , par exemple en informant l'utilisateur de la manière dont les informations seront utilisées et en obtenant son consentement.

La localisation des données s'appuie sur le concept de souveraineté des données qui réglemente certains types de données par les lois applicables aux personnes concernées ou aux sous-traitants. Alors que la souveraineté des données peut exiger que les dossiers concernant les citoyens ou les résidents d'un pays respectent les lois sur le traitement des données personnelles ou financières de ce pays, la localisation des données va plus loin en exigeant que la collecte, le traitement et le stockage initiaux s'effectuent d'abord à l'intérieur des frontières nationales. Dans certains cas, les données concernant les citoyens ou les résidents d'un pays doivent également être supprimées des systèmes étrangers avant d'être supprimées des systèmes du pays de la personne concernée.

L'une des premières mesures en faveur de la localisation des données a eu lieu en 2005, lorsque le gouvernement du Kazakhstan a adopté une loi pour que tous les domaines « .kz » soient gérés au niveau national (avec des exceptions ultérieures pour Google ). Cependant, la pression en faveur de la localisation des données s'est considérablement accrue après les révélations d' Edward Snowden concernant les programmes de surveillance antiterroriste des États-Unis en 2013. Depuis lors, divers gouvernements en Europe et dans le monde ont exprimé le désir de pouvoir contrôler le flux de données des résidents grâce à la technologie. Certains gouvernements sont accusés d'utiliser les lois sur la localisation des données comme un moyen de surveiller leur propre population ou de stimuler l'activité économique locale, et certains l'admettent ouvertement.

Les entreprises technologiques et les organisations multinationales s'opposent souvent aux lois sur la localisation des données car elles ont un impact sur l'efficacité obtenue par l'agrégation régionale des centres de données et l'unification des services au-delà des frontières nationales. Certains fournisseurs, tels que Microsoft , ont utilisé les contrôles régionaux de stockage des données comme une caractéristique différenciante dans leurs services cloud .

Après que l'Allemagne et la France ont adopté ou presque adopté des lois sur la localisation des données, l'Union européenne envisageait d'imposer des restrictions aux lois sur la localisation des données adoptées par les États membres en 2017. Les lois sur la localisation des données sont souvent considérées comme protectionnistes . Conformément à la philosophie selon laquelle les barrières commerciales devraient être abolies au sein de l'UE mais érigées entre l'UE et d'autres pays, l'UE estime que la localisation des données devrait être laissée à l'UE pour réglementer à un niveau paneuropéen, et les lois nationales sur la localisation des données des États membres violeraient le droit de la concurrence de l'Union européenne . Le règlement général sur la protection des données de l'UE contient une réglementation étendue du flux et du stockage des données, y compris des restrictions sur l'exportation de données personnelles en dehors de l'UE.

Pour contrer les impulsions protectionnistes de l’UE et d’autres pays, un certain nombre d’accords régionaux de libre-échange interdisent les exigences de localisation des données et les restrictions sur les flux transfrontaliers. Le Partenariat transpacifique en est un exemple : il comprenait des dispositions interdisant les restrictions de localisation des données entre les participants, qui ont été reprises dans l’ Accord de partenariat transpacifique global et progressiste . L’ Accord États-Unis-Mexique-Canada en est un autre exemple .

Alors que l’Europe et les États-Unis estiment que les données doivent circuler librement, la Chine a adopté une position opposée et a adopté la localisation des données, mais avec des réglementations plus strictes. Cette stratégie n’est pas largement utilisée par les autres pays. D’autres pays et parties prenantes ont protesté contre cette stratégie chinoise de restriction de la libre circulation des données.