Commencez par les entités réelles
Identifiez le prestataire contractant, l'exploitant de l'infrastructure et les sous-traitants concernés. Une entreprise peut avoir un domicile légal différent de l'emplacement physique du serveur. Votre propre localisation et les personnes présentes dans vos données peuvent également compter.
Comprenez le cadre régional
La Suède et la Finlande font partie de l'UE ; la Norvège et l'Islande participent à l'EEE. Les obligations spécifiques dépendent toujours du service, de l'activité et des parties. Faites appel à un avis qualifié pour une exigence juridique ou réglementaire concrète.
Examiner la carte des données
Consignez l'emplacement du serveur principal, des sauvegardes, des journaux et de l'accès au support. Un serveur dans l'UE ou l'EEE ne signifie pas automatiquement que chaque sous-traitant et administrateur reste au même endroit.
Préférez un engagement documenté
Un contrat conclu, des conditions de traitement et une politique claire constituent des preuves plus solides qu'une déclaration selon laquelle une région serait privée par nature. Confirmez l'exploitant, l'accord applicable et l'installation réelle pour la commande que vous évaluez.
N'héritez pas des prétentions juridiques d'un autre fournisseur
Une déclaration concernant une entreprise, un établissement ou une procédure judiciaire ne s'applique pas à un service nouvellement créé sous une autre marque. Vérifiez l'exploitant réel et faites examiner les politiques pertinentes pour cet arrangement. Confirmez directement les informations sur l'exploitant de KoalaVPS plutôt que de lui attribuer l'identité, les enregistrements ou l'historique d'un autre fournisseur.
Tenez l'examen à jour
Consignez la date et la version de l'accord et de la politique sur lesquels vous vous êtes appuyé. Révisez la cartographie des données après tout changement de localisation, de processeur de paiement, d'outil de support ou de destination de sauvegarde. Un audit de conformité doit décrire le système tel qu'il existe aujourd'hui.
Utilisez les quatre pays comme points de départ d'analyse
La Suède et la Finlande sont des pays de l'UE ; la Norvège et l'Islande sont des pays de l'EEE hors UE. Leurs autorités de protection des données constituent un point de départ officiel utile : l'IMY suédoise, le Bureau du médiateur de la protection des données finlandais, le Datatilsynet norvégien et le Persónuvernd islandais. Cela ne classe pas un pays comme immunisé contre une divulgation légale ni n'établit quelle autorité est compétente pour une réclamation particulière.
- Stockholm / Suède : vérifiez l'opérateur réel et ses engagements contractuels avant de vous fier à l'emplacement.
- Helsinki / Finlande : vérifiez séparément le stockage principal, la géographie des sauvegardes et l'accès au support.
- Oslo / Norvège : distinguez la participation à la protection des données de l'EEE de l'adhésion à l'UE.
- Reykjavík / Islande : évaluez l'entité contractante, les routes réseau et le plan de sauvegarde plutôt que de déduire une immunité du nom du pays.
Documentation officielle : CEPD : autorités de contrôle nationales
Demandez qui peut accéder aux données, et pas seulement où se trouve le disque
Créez un registre des flux de données couvrant la production, les réplicas, les sauvegardes, la télémétrie et le support. Une organisation distincte située hors de l'EEE qui reçoit ou accède à des données personnelles peut soulever des questions de transfert international dans les conditions applicables ; une simple étiquette de serveur régional ne suffit pas à trancher l'analyse. Demandez au fournisseur d'identifier ses sous-traitants et ses modalités d'accès. Faites évaluer le traitement et le contrat réels pour votre charge de travail lorsqu'ils créent des obligations légales.
- Identifiez votre rôle et celui du fournisseur pour chaque activité de traitement, plutôt que de supposer que toutes les relations de service sont identiques.
- Demandez l'accord de traitement, la procédure de changement de sous-traitant, les conditions de suppression et le contact en cas d'incident.
- Lorsqu'un outil de support ou une destination de sauvegarde change, mettez à jour l'évaluation avant de vous fier à l'ancienne déclaration de localisation.
Documentation officielle : EDPB : transferts internationaux de données · EDPB : responsabilités du responsable du traitement et du sous-traitant