Hébergement conforme au RGPD en Allemagne

L'hébergement conforme au RGPD en Allemagne signifie que vos serveurs et les données personnelles qu'ils contiennent restent dans un centre de données allemand soumis au droit européen, ce qui écarte la question la plus délicate du RGPD, les transferts internationaux, pour ces données. Cela ne rend pas votre projet conforme à lui seul : c'est toujours à vous de décider ce que vous collectez, de le documenter, de le protéger et de choisir vos autres services avec soin.

Ce guide fournit des informations pratiques, pas un conseil juridique. Pour les décisions qui ont une portée juridique, adressez-vous à un professionnel de la protection des données.

Ce que le RGPD attend de vous

Le Règlement général sur la protection des données (en allemand : DSGVO) s'applique dès que vous traitez des données personnelles de personnes situées dans l'UE. Pour qui exploite un site web, une application ou un SaaS sur un serveur, les principales obligations sont :

• Base légale. Chaque traitement en nécessite une : consentement, contrat, obligation légale, intérêt légitime et quelques autres.
• Minimisation des données. Ne collectez que ce dont vous avez besoin, et ne le conservez que le temps nécessaire.
• Transparence. Une politique de confidentialité qui explique en termes simples ce que vous faites des données.
• Sécurité. Des « mesures techniques et organisationnelles appropriées » au regard du risque.
• Sous-traitants. Des contrats avec chaque service qui traite des données personnelles pour vous.
• Transferts. Des garanties quand les données quittent l'UE ou l'EEE.
• Droits. Les personnes peuvent demander l'accès, la rectification, l'effacement et plus encore.
• Violations. Notifier l'autorité sous 72 heures lorsqu'une violation présente probablement un risque.

Le choix de l'hébergement touche directement trois de ces points : sous-traitants, transferts et sécurité.

Pourquoi l'emplacement du serveur compte

L'endroit où les données se trouvent physiquement détermine quel droit peut s'y appliquer et si un transfert a lieu.

• Un serveur en Allemagne stocke les données dans l'UE. Aucune garantie de transfert n'est nécessaire pour ce stockage.
• Un serveur dans un pays tiers nécessite une base juridique pour le transfert : une décision d'adéquation, des clauses contractuelles types accompagnées d'une analyse d'impact du transfert, ou un autre mécanisme. Cela représente de la paperasse et un risque.
• Un fournisseur dont le siège est hors de l'UE peut être soumis à des lois étrangères d'accès aux données même lorsque le serveur est en Europe. De nombreuses organisations en tiennent compte au moment de choisir un fournisseur.

Pour un public européen, un serveur en Allemagne apporte aussi une faible latence depuis le centre de l'Europe : le choix de la confidentialité et celui de la performance vont dans le même sens.

Votre hébergeur en tant que sous-traitant

Lorsqu'un hébergeur stocke ou manipule des données personnelles pour votre compte, il est sous-traitant et vous êtes responsable du traitement. L'article 28 du RGPD exige un contrat écrit (un DPA, en allemand AVV) qui couvre :

• un traitement uniquement sur vos instructions ;
• la confidentialité du personnel ;
• les mesures de sécurité ;
• les règles applicables aux sous-traitants ultérieurs ;
• l'aide pour les demandes des personnes concernées et les violations ;
• la suppression ou la restitution des données à la fin du contrat.

Demandez à votre hébergeur son DPA et la liste de ses sous-traitants ultérieurs avant de placer des données personnelles sur ses serveurs.

Comment Wolkra s'y prend

Wolkra exploite aujourd'hui un seul emplacement : Francfort-sur-le-Main, en Allemagne. Les serveurs, les volumes de stockage en bloc, les sauvegardes et instantanés y sont stockés, et les données restent en Allemagne et dans l'UE. La politique de confidentialité nomme les services qui traitent les données du compte : les e-mails sont envoyés via AWS dans sa région de Francfort, les paiements par carte passent par Stripe et Cloudflare protège le site web et la console. Les questions passent par un ticket dans la console. Pour en savoir plus, voir VPS dans l'UE et RGPD.

Les services autour de votre serveur

Les problèmes de RGPD commencent rarement sur le serveur. Les coupables habituels sont les services annexes :

Dressez une liste simple de chaque service, des données personnelles qu'il reçoit, de sa localisation et de l'existence d'un DPA. Cette liste est le point de départ de votre registre des activités de traitement (article 30).

Mesures techniques sur un VPS

Les « mesures appropriées » dépendent du risque. Pour un serveur classique, une base solide comprend :

Accès

• Clés SSH uniquement, pas de mots de passe (guide des clés SSH).
• Authentification à deux facteurs sur le compte d'hébergement et sur les interfaces d'administration.
• Des membres d'équipe avec le rôle le plus restreint possible. Wolkra prend en charge les organisations avec les rôles propriétaire, administrateur, facturation et membre, des rôles par projet et un journal d'activité (équipes et sécurité).

Réseau

• Un pare-feu qui refuse tout par défaut, sans jamais exposer publiquement bases de données et outils d'administration.
• Des réseaux privés pour le trafic entre vos propres serveurs, afin que les bases de données n'aient aucune IP publique.
• TLS partout. Un reverse proxy comme Caddy gère les certificats automatiquement (guide Caddy).

Données

• Chiffrez les sauvegardes qui quittent le serveur, par exemple avec restic ou age.
• Chiffrez dans l'application les champs particulièrement sensibles.
• Fixez des durées de conservation : supprimez journaux et anciens enregistrements à intervalles réguliers.

Un exemple simple de conservation des journaux avec journald :

sudo mkdir -p /etc/systemd/journald.conf.d
sudo tee /etc/systemd/journald.conf.d/retention.conf >/dev/null <<'EOF'
[Journal]
MaxRetentionSec=30day
SystemMaxUse=1G
EOF
sudo systemctl restart systemd-journald

Pour les journaux du serveur web, supprimez l'adresse IP ou tronquez-la. Beaucoup d'équipes conservent les journaux complets quelques jours pour la sécurité, puis les anonymisent.

Mises à jour et surveillance

• Mises à jour de sécurité automatiques (sécuriser un serveur Ubuntu).
• Surveillez les graphiques de ressources pour repérer des pics anormaux, qui peuvent signaler un abus.

Reprise

Le RGPD mentionne « des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés ». En pratique : des sauvegardes que vous avez testées. Voir le guide de stratégie de sauvegarde.

Traiter les demandes des personnes concernées

Prévoyez votre réponse avant que quelqu'un ne la demande :

• Accès : pouvez-vous exporter tout ce que vous détenez sur une personne ?
• Effacement : pouvez-vous le supprimer, y compris des index de recherche et des caches ? Les sauvegardes expirent généralement selon leur durée de conservation normale, ce qui est en général accepté si c'est documenté.
• Rectification : un utilisateur peut-il corriger ses propres données ?

Une courte note interne avec les requêtes SQL ou les étapes d'administration vous épargnera beaucoup de stress plus tard.

Violations de données

Si des données personnelles sont perdues, divulguées ou consultées sans autorisation :

1. Limitez l'incident : renouvelez les clés, comblez la faille, mettez le serveur hors ligne si nécessaire.
2. Évaluez le risque pour les personnes concernées.
3. Notifiez votre autorité de contrôle sous 72 heures s'il existe un risque.
4. Informez les personnes concernées si le risque est élevé.
5. Documentez ce qui s'est passé, même si vous décidez de ne pas notifier.

Des instantanés pris avant le nettoyage vous aident ensuite à comprendre ce qui s'est passé.

Une liste de contrôle pratique

• Serveur et sauvegardes dans l'UE (par exemple à Francfort)
• DPA en place avec l'hébergeur et les autres sous-traitants
• Liste de tous les services qui reçoivent des données personnelles
• Politique de confidentialité à jour
• Clés SSH, 2FA, rôles au moindre privilège
• Pare-feu en refus par défaut, réseau privé pour les bases de données
• TLS sur chaque point d'accès public
• Durée de conservation des journaux définie, sauvegardes externes chiffrées
• Restauration testée
• Un plan pour les demandes d'accès, d'effacement et les violations

Héberger en Allemagne vous donne un point de départ sain. Le reste relève des bonnes habitudes, et la plupart rendent de toute façon votre projet plus sûr. Pour comparer les fournisseurs sur tous les critères, lisez comment choisir un VPS en Allemagne.