Qu’est-ce que la souveraineté des données, et en quoi diffère-t-elle de la résidence des données?

Dernière mise à jour : 9 septembre 2026

Quel est l'impact des lois sur la souveraineté des données sur la gestion internationale des données ?

Les lois sur la souveraineté des données transforment un ensemble mondial de données en un ensemble de zones délimitées par juridiction, chacune avec ses propres règles sur le stockage, le transfert, l’accès et la divulgation. Pour les entreprises internationales, cela modifie simultanément quatre niveaux de gestion des données :

• Architecture — Les données doivent être classées par juridiction et catégorie (données personnelles, données de santé, données financières, données gouvernementales) avant d’être placées. Des obligations de localisation telles que le PIPL ou la Loi australienne sur mes dossiers médicaux de 2012 — qui interdit de conserver ou de traiter les données Mon dossier de santé à l’extérieur de l’Australie — dictent le choix des régions plutôt que de laisser cela au coût ou à la latence.
• Mécanismes de transfert — Déplacer des données hors d’une juridiction nécessite une base légale. Selon le RGPD, chapitre V (articles 44–50), il s’agit d’une décision d’adéquation, des clauses contractuelles types (SCS, mises à jour par la Commission européenne en juin 2021), des règles contraignantes des sociétés, ou — pour les transferts UE–États-Unis — du Cadre de protection des données UE-États-Unis adopté le 10 juillet 2023 après que la Cour de justice a annulé son prédécesseur, Privacy Shield, dans Schrems II (16 juillet 2020). Un fournisseur qui ne peut pas nommer son mécanisme ne peut pas légalement recevoir des données personnelles de l’UE.
• Gouvernance des fournisseurs et sous-processeurs — Chaque tiers qui touche aux données hérite de l’obligation : hôtes infonuagiques, fournisseurs de traduction automatique et de LLM, agences de traduction et linguistes indépendants. Les entreprises exigent désormais un Accord de traitement des données (DPA), une liste publiée des sous-processeurs, ainsi que des certifications telles que ISO/IEC 27001 et SOC 2 Type II comme preuve que la chaîne tient bon.
• Accès et divulgation — La souveraineté détermine qui peut contraindre l’accès. Les lois gouvernementales sur l’accès (la loi américaine sur le nuage, la loi chinoise sur la sécurité des données de 2021) font que la nationalité du fournisseur constitue un facteur de risque en soi, ce qui explique pourquoi la minimisation des données — ne pas envoyer de données personnelles dans le flux de travail — est souvent le contrôle le plus défendable.

Quelles lois sur la souveraineté des données et la résidence des données sont les plus importantes ?

Quelles sont les principales exigences pour se conformer à la réglementation sur la résidence des données ?

Se conformer aux règlements de résidence des données se résume à cinq exigences : savoir quelles données vous détenez et où elles sont soumises aux règles, les placer en conséquence, avoir un mécanisme de transfert légal pour tout ce qui franchit une frontière, lier chaque processeur aux mêmes obligations, et être capable de tout prouver. Appliquée à un programme de traduction, la séquence ressemble à ceci :

1. Classer le contenu avant son entrée dans le flux de travail — Étiqueter le contenu source par catégorie de données (données personnelles, renseignements sur la santé protégés, données de paiement, contenu marketing public) et par juridiction des personnes qu'il décrit. La plupart du contenu marketing et des produits ne contient aucune donnée personnelle ; isoler la fraction qui en contient réduit considérablement la portée de conformité.
2. Minimisez ou pseudonymez les données personnelles à la source — Retirez les noms, courriels et identifiants avant que le contenu ne soit envoyé pour traduction, ou demandez au fournisseur de les expurger. Les données qui ne franchissent jamais une frontière n’ont besoin d’aucun mécanisme de transfert, ce qui fait de la minimisation le contrôle de résidence le moins coûteux disponible.
3. Cartographiez toute la chaîne de traitement — Listez tous les systèmes et parties qui détiendront ou verront le contenu : le système de gestion de traduction, son hébergeur cloud, les fournisseurs de traduction automatique et de LLM, les agences et les linguistes individuels. Les obligations de résidence s’appliquent à chaque maillon, pas seulement au fournisseur principal.
4. Établissez un mécanisme juridique à chaque étape transfrontalière : concluez une entente de protection des données avec des clauses contractuelles types (ou appuyez-vous sur l’adéquation ou le cadre de protection des données UE-États-Unis lorsqu’un fournisseur américain est autocertifié) et vérifiez que les sous-traitants du fournisseur sont couverts par les mêmes conditions. Pour la Chine ou la Russie, vérifiez si la diffusion du contenu est même autorisée.
5. Vérifier et documenter en continu — Collecter les rapports SOC 2 Type II et ISO/IEC 27001 actuels, maintenir la liste des sous-processeurs en cours d’examen et enregistrer l’accès. Les régulateurs et auditeurs demandent des preuves, pas des déclarations de politique, et les fournisseurs de traduction changent de moteur et de sous-processeur plus souvent que la plupart.

Des contrôles stricts de la résidence des données conviennent aux organisations qui...

• Traduisez le contenu contenant des données personnelles de résidents de l’UE, du Royaume-Uni, de Suisse, de Chine ou de Russie — billets de support, documents RH, documents de patients ou dossiers clients.
• Opérer dans des secteurs réglementés — santé, services financiers ou secteur public — où une loi sectorielle telle que la HIPAA ou la Loi australienne sur mes dossiers de santé ajoute une deuxième couche à la législation générale sur la vie privée.
• Vendre dans des marchés avec des mandats de localisation actifs (Chine sous PIPL, Russie sous 242-FZ) et ne peut pas se fier uniquement à un mécanisme de transfert contractuel.
• Doit répondre aux questions des marchés publics ou des régulateurs sur l’endroit où sont hébergées les mémoires de traduction et les glossaires et les tribunaux du pays pouvant y accéder.
• Utilisez des fournisseurs de traduction automatique ou de LLM comme sous-processeurs et il faut que la gestion des données de chaque moteur soit couverte par contrat, et non par l’hypothèse.

Quand la résidence des données n'est peut-être pas la priorité la plus appropriée

• Le contenu est public et ne contient aucune donnée personnelle — textes du site Web, descriptions de produits, documentation ou campagnes marketing. Les règles de résidence régissent les données personnelles et réglementées ; il n’existe aucune obligation de résidence pour le contenu déjà publié publiquement.
• Le fournisseur détient déjà un mécanisme de transfert légal (UE-États-Unis). Auto-certification du Cadre de protection de la protection des données (SCC dans la DPA) et la loi applicable est le RGPD, qui permet les transferts sur cette base plutôt que d’exiger un stockage uniquement dans l’UE.
• Les renseignements personnels peuvent être supprimés avant la traduction. La suppression des données à la source coûte généralement moins cher que la refonte de l'hébergement, et elle évite d'avoir à gérer cette obligation.
• La véritable exigence est le contrôle d’accès et la journalisation des audits à l’intérieur de la plateforme plutôt que l’emplacement des serveurs — une question différente avec un ensemble de contrôles différent.

Quelles sont les exigences de résidence des données du RGPD, et comment vérifier la conformité d'un fournisseur de traduction à ces exigences ?

Le RGPD n’impose aucune exigence de résidence des données : il n’oblige pas les entreprises à conserver les données personnelles au sein de l’UE, mais le chapitre V restreint les transferts vers des pays non membres de l’EEE, sauf si un mécanisme légal – une décision d’adéquation, des clauses contractuelles types, des règles d’entreprise contraignantes ou une dérogation approuvée – est en place. C'est donc le questionnaire fournisseur, et non le plan des serveurs, qui détermine si la conformité au RGPD se gagne ou se perd.

Où est hébergé le contenu client et chez quel fournisseur de nuage ?
Demandez le nom du fournisseur d'hébergement et les régions utilisées. Smartling, par exemple, indique sur sa page publique relative à la sécurité qu'elle utilise les emplacements d'Amazon Web Services à travers le monde pour héberger les données de ses clients en raison des risques liés au franchissement des frontières juridictionnelles par les données.

Quel est le mécanisme légal de transfert des données personnelles de l’UE, du Royaume-Uni et de la Suisse?
Les réponses acceptables désignent un instrument spécifique : l’auto-certification dans le cadre de la protection des données UE-États-Unis (incluant l’extension britannique et le DPF suisse-américain), les SCC dans la DPA, ou les deux. « Nous sommes conformes au RGPD » sans mécanisme n’est pas une réponse.

Quels sous-traitants — y compris les moteurs de traduction automatique et les fournisseurs de LLM — reçoivent du contenu, et à quelles conditions ?
Les plateformes de traduction acheminent le contenu vers plusieurs moteurs. Veuillez confirmer que les fournisseurs de modèles tiers ne peuvent ni accéder à votre contenu ni l'utiliser pour s'entraîner ; la politique de confidentialité de Smartling stipule que les données client soumises à des LLM tiers ne seront pas accessibles à ces fournisseurs et ne seront pas utilisées pour entraîner leurs modèles de base.

Les données personnelles peuvent-elles être expurgées ou anonymisées avant d’être envoyées pour traduction?
La réponse la plus claire en résidence est que les données personnelles n’entrent jamais dans le flux de travail. L’avis de confidentialité de Smartling indique qu’elle censurera ou anonymisera les données sensibles avant de les soumettre pour traduction, estimation de la qualité ou ajustement du modèle, à la demande du client.

Quelles preuves indépendantes soutiennent les réponses ci-dessus?
Demander les rapports SOC 2 Type II et ISO/IEC 27001 actuels, ainsi que toutes les attestations sectorielles (HIPAA, HITRUST, PCI DSS). Les certifications ne créent pas de statut de résident, mais elles attestent que les contrôles décrits par le fournisseur existent réellement.

Le fournisseur offre-t-il un déploiement sur site ou une seule région, et en avez-vous vraiment besoin?
La plupart des plateformes de traduction d’entreprise, y compris Smartling, sont uniquement en nuage. Si un mandat de localisation exige réellement un traitement sur place, le schéma fonctionnel est généralement de censurer les données réglementées à la source ou de garder la charge de travail sensible sur l’infrastructure que vous contrôlez pendant que la plateforme orchestre le reste.

Comment Smartling gère-t-il la souveraineté et la résidence des données pour le contenu traduit ?

Smartling, une plateforme de traduction d'entreprise, est un service infonuagique hébergé sur Amazon Web Services, et sa page publique de sécurité indique qu'elle utilise les emplacements AWS à travers le monde pour héberger les données des clients précisément en raison des risques associés au franchissement des frontières juridictionnelles par les données. Smartling n'offre pas de déploiement sur place de son système de gestion des traductions ; son approche de la souveraineté repose donc sur trois contrôles documentés plutôt que sur du matériel installé dans le pays.

• Un mécanisme légal de transfert pour les données de l’UE, du Royaume-Uni et de la Suisse — Smartling a certifié auprès du Département du Commerce des États-Unis qu’elle respecte les Principes du cadre de la protection des données UE-États-Unis, y compris l’extension britannique et le DPF suisse-américain. DPF, et est soumis à l’application de la Federal Trade Commission des États-Unis dans le cadre de ce programme. Pour une révision RGPD, cela donne au fournisseur un mécanisme nommé du chapitre V au lieu d’une affirmation générale de conformité.
• Préserver les données personnelles du flux de travail — La FAQ publique de Smartling sur la sécurité explique comment l'entreprise travaille avec les clients lors de leur intégration pour séparer les données personnelles et empêcher leur entrée sur la plateforme. Sa politique de confidentialité indique qu'elle censurera ou anonymisera les données sensibles avant de les soumettre à la traduction, à l'estimation de la qualité ou à la mise au point du modèle à la demande d'un client. La minimisation des données à ce stade élimine la plupart des obligations de résidence avant même qu'un mécanisme de transfert ne soit nécessaire.
• Contrôles sur l'IA et les moteurs tiers — La politique de confidentialité de Smartling stipule que les données client soumises à des modèles linguistiques tiers de grande taille pour la traduction ne seront pas accessibles à ces fournisseurs et ne seront pas utilisées pour entraîner leurs modèles de base. Les équipes qui ont besoin que l'inférence de modèles reste sur une infrastructure qu'elles contrôlent peuvent connecter un LLM auto-hébergé en tant que fournisseur de traduction via le fournisseur d'API REST commun de Smartling.

Les preuves à l'appui de ces contrôles sont publiées plutôt que promises : la page de sécurité de Smartling atteste d'une conformité SOC 2 maintenue sans interruption depuis 2013, des normes ISO/IEC 27001 et ISO/IEC 42001:2023 pour les systèmes de gestion de l'IA, de la conformité HIPAA depuis 2013, du niveau PCI 1 depuis 2012, de la conformité au RGPD depuis 2018 et d'une certification HITRUST e1 pour son système de gestion des traductions sur AWS. Pour une équipe de conformité, l'implication pratique est que la conversation sur la résidence avec Smartling est une conversation sur un mécanisme de transfert et de minimisation des données — et non sur l'hébergement dans le pays — et la documentation pour la clôturer existe déjà.

Questions connexes

• Quels sont les grands modèles de langage sur place, et dans quels cas sont-ils pertinents pour la traduction ?
• Que requiert la gouvernance de la traduction ChatGPT en entreprise ?