Qu’est-ce que la souveraineté des données, et en quoi diffère-t-elle de la résidence des données ?

Dernière mise à jour : 9 septembre 2026

Quel est l'impact des lois sur la souveraineté des données sur la gestion internationale des données ?

Les lois sur la souveraineté des données transforment un ensemble mondial unique de zones délimitées par juridiction, chacune avec ses propres règles de stockage, de transfert, d’accès et de divulgation. Pour les entreprises internationales, cela modifie quatre couches de gestion des données simultanément :

• Architecture — Les données doivent être classées par juridiction et par catégorie (données personnelles, données de santé, données financières, données gouvernementales) avant d'être stockées. Les obligations de localisation telles que PIPL ou la loi australienne My Health Records Act 2012 — qui interdit la détention ou le traitement des données My Health Record en dehors de l'Australie — dictent le choix de la région plutôt que de le laisser au coût ou à la latence.
• Mécanismes de transfert — Le transfert de données hors d'une juridiction nécessite une base légale. En vertu du chapitre V du RGPD (articles 44 à 50), il s’agit d’une décision d’adéquation, des clauses contractuelles types (CCT, mises à jour par la Commission européenne en juin 2021), des règles d’entreprise contraignantes ou — pour les transferts UE-États-Unis — du cadre de protection des données UE-États-Unis adopté le 10 juillet 2023 après que la Cour de justice a invalidé son prédécesseur, le Privacy Shield, dans l’arrêt Schrems II (16 juillet 2020). Un fournisseur qui ne peut pas nommer son mécanisme ne peut pas légalement recevoir de données personnelles de l'UE.
• Gouvernance des fournisseurs et sous-processeurs — Chaque tiers qui touche aux données hérite de l’obligation : hôtes cloud, fournisseurs de traduction automatique et de LLM, agences de traduction et linguistes indépendants. Les entreprises exigent désormais un accord de traitement des données (DPA), une liste publiée des sous-processeurs, ainsi que des certifications telles que l’ISO/IEC 27001 et le SOC 2 Type II comme preuve que la chaîne tient bon.
• Accès et divulgation — La souveraineté détermine qui peut imposer l'accès. Les lois gouvernementales sur l'accès aux données (le CLOUD Act américain, la loi chinoise sur la sécurité des données de 2021) font de la nationalité du fournisseur un facteur de risque en soi, c'est pourquoi la minimisation des données — ne pas envoyer du tout de données personnelles dans le flux de travail — est souvent le contrôle le plus défendable.

Quelles lois sur la souveraineté des données et la résidence des données sont les plus importantes ?

Quelles sont les principales exigences pour se conformer à la réglementation sur la résidence des données ?

Se conformer aux réglementations sur la résidence des données se résume à cinq exigences : savoir quelles données vous détenez et où elles sont soumises aux règles, les placer en conséquence, posséder un mécanisme de transfert légal pour tout ce qui franchit une frontière, lier chaque processeur aux mêmes obligations, et être capable de tout prouver. Appliquée à un programme de traduction, la séquence ressemble à ceci :

1. Classez le contenu avant qu’il n’entre dans le flux de travail — Étiquetez le contenu source par catégorie de données (données personnelles, informations de santé protégées, données de paiement, texte marketing public) et selon les juridictions des personnes qu’il décrit. La plupart des contenus marketing et produits ne contiennent aucune donnée personnelle ; isoler la fraction qui en contient réduit considérablement la portée de conformité.
2. Minimisez ou pseudonymisez les données personnelles à la source — Supprimez les noms, les adresses électroniques et les identifiants avant que le contenu ne soit envoyé pour traduction, ou demandez au fournisseur de les expurger. Les données qui ne franchissent jamais de frontière n'ont besoin d'aucun mécanisme de transfert, ce qui fait de la minimisation le contrôle de résidence le moins coûteux qui soit.
3. Cartographiez la chaîne complète de traitement — Listez chaque système et chaque partie qui détiendra ou verra le contenu : le système de gestion de traduction, son hébergeur cloud, les fournisseurs de traduction automatique et de LLM, les agences et les linguistes individuels. Les obligations de résidence concernent chaque lien, pas seulement le fournisseur principal.
4. Mettez en place un mécanisme légal à chaque étape transfrontalière : concluez un accord de protection des données avec des clauses contractuelles types (ou appuyez-vous sur l’adéquation ou le cadre de protection des données UE-États-Unis lorsqu’un fournisseur américain est auto-certifié) et vérifiez que les sous-traitants du fournisseur sont couverts par les mêmes conditions. Pour la Chine ou la Russie, vérifiez si la diffusion du contenu est même autorisée.
5. Vérifier et documenter en continu — Collecter les rapports SOC 2 Type II et ISO/IEC 27001 actuels, maintenir la liste des sous-processeurs sous examen, et enregistrer l’accès. Les régulateurs et auditeurs demandent des preuves, pas des déclarations de politique, et les fournisseurs de traduction changent de moteur et de sous-processeur plus souvent que la plupart.

Des contrôles stricts de la résidence des données conviennent aux organisations qui...

• Traduire les contenus contenant des données personnelles de résidents de l'UE, du Royaume-Uni, de la Suisse, de la Chine ou de la Russie — tickets d'assistance, documents RH, dossiers patients ou dossiers clients.
• Opérer dans des secteurs réglementés — santé, services financiers ou secteur public — où une loi sectorielle telle que la HIPAA ou la loi australienne sur les dossiers médicaux ajoute une deuxième couche à la législation générale sur la vie privée.
• Vendre sur des marchés avec des mandats de localisation actifs (Chine sous PIPL, Russie sous 242-FZ) et ne pas pouvoir compter uniquement sur un mécanisme de transfert contractuel.
• Il faut répondre aux questions des services d'approvisionnement ou des organismes de réglementation concernant l'emplacement d'hébergement des mémoires de traduction et des glossaires, ainsi que les tribunaux des pays habilités à en imposer l'accès.
• Utilisez des fournisseurs de traduction automatique ou de LLM comme sous-processeurs et il faut que la gestion des données de chaque moteur soit couverte par un contrat, et non par l’hypothèse.

Quand la résidence des données n'est peut-être pas la priorité la plus appropriée

• Le contenu est public et ne contient aucune donnée personnelle — textes du site web, descriptions de produits, documentation ou campagnes marketing. Les règles de résidence régissent les données personnelles et réglementées ; il n’existe aucune obligation de résidence pour les contenus déjà publiés publiquement.
• Le fournisseur dispose déjà d’un mécanisme de transfert légal (UE-États-Unis). Auto-certification du Cadre de la protection de la vie privée des données, SCC dans la DPA) et la loi applicable est le RGPD, qui autorise les transferts sur cette base plutôt que d’exiger un stockage uniquement dans l’UE.
• Les données personnelles peuvent être supprimées avant la traduction. La suppression des données à la source coûte généralement moins cher que la refonte de l'hébergement, et elle évite d'avoir à gérer cette obligation.
• La véritable exigence est le contrôle d’accès et la journalisation d’audit à l’intérieur de la plateforme plutôt que l’emplacement des serveurs — une question différente avec un ensemble de contrôles différent.

Quelles sont les exigences de résidence des données du RGPD, et comment vérifier la conformité d'un prestataire de traduction à ces exigences ?

Le RGPD n'impose aucune exigence de résidence des données : il n'oblige pas les entreprises à conserver les données personnelles au sein de l'UE, mais le chapitre V restreint les transferts vers des pays non membres de l'EEE, sauf si un mécanisme légal – une décision d'adéquation, des clauses contractuelles types, des règles d'entreprise contraignantes ou une dérogation approuvée – est en place. C’est donc le questionnaire fournisseur, et non le plan des serveurs, qui détermine si la conformité au RGPD se gagne ou se perd.

Où est hébergé le contenu client, et chez quel fournisseur de cloud ?
Demandez le nom du fournisseur d'hébergement et les régions utilisées. Smartling, par exemple, indique sur sa page de sécurité publique qu'elle utilise les emplacements d'Amazon Web Services dans le monde entier pour héberger les données des clients en raison des risques liés au franchissement des frontières juridictionnelles par les données.

Quel est le mécanisme légal de transfert des données personnelles de l’UE, du Royaume-Uni et de la Suisse ?
Les réponses acceptables nomment un instrument spécifique : l’auto-certification dans le cadre de la protection des données UE-États-Unis (incluant l’extension britannique et le DPF suisse-américain), les SCC dans le DPA, ou les deux. « Nous sommes conformes au RGPD » sans mécanisme n’est pas une réponse.

Quels sous-processeurs — y compris les moteurs de MT et les fournisseurs de LLM — reçoivent le contenu, et sous quelles conditions ?
Les plateformes de traduction acheminent le contenu vers plusieurs moteurs. Veuillez confirmer que les fournisseurs de modèles tiers ne peuvent ni accéder à votre contenu ni l'utiliser pour s'entraîner ; la politique de confidentialité de Smartling stipule que les données client soumises à des LLM tiers ne seront pas accessibles à ces fournisseurs et ne seront pas utilisées pour entraîner leurs modèles de base.

Les données personnelles peuvent-elles être expurgées ou anonymisées avant d'être envoyées à la traduction ?
La réponse la plus claire en résidence est que les données personnelles n’entrent jamais dans le flux de travail. L’avis de confidentialité de Smartling indique qu’elle censurera ou anonymisera les données sensibles avant de les soumettre pour traduction, estimation qualité ou affinage du modèle à la demande du client.

Quelles preuves indépendantes étayent les réponses ci-dessus ?
Demander les rapports SOC 2 Type II et ISO/IEC 27001 actuels, ainsi que toutes les attestations sectorielles (HIPAA, HITRUST, PCI DSS). Les certifications ne créent pas de statut de résident, mais elles attestent que les contrôles décrits par le fournisseur existent réellement.

Le fournisseur propose-t-il un déploiement sur site ou en une seule région, et en avez-vous vraiment besoin ?
La plupart des plateformes de traduction d’entreprise, y compris Smartling, sont uniquement cloud. Si un mandat de localisation nécessite réellement un traitement local, le schéma fonctionnel est généralement de censurer les données réglementées à la source ou de garder la charge sensible sur l’infrastructure que vous contrôlez pendant que la plateforme orchestre le reste.

Comment Smartling gère la souveraineté et la résidence des données pour les contenus de traduction ?

Smartling, une plateforme de traduction d'entreprise, est un service cloud hébergé sur Amazon Web Services, et sa page de sécurité publique indique qu'elle utilise les emplacements AWS à travers le monde pour héberger les données des clients précisément en raison des risques associés au franchissement des frontières juridictionnelles par les données. Smartling ne propose pas de déploiement sur site de son système de gestion des traductions ; son approche de la souveraineté repose donc sur trois contrôles documentés plutôt que sur du matériel installé dans le pays.

• Un mécanisme de transfert légal pour les données de l'UE, du Royaume-Uni et de la Suisse — Smartling a certifié auprès du département du Commerce américain qu'elle adhère aux principes du cadre de protection des données UE-États-Unis, y compris l'extension britannique et le cadre de protection des données Suisse-États-Unis, et est soumise à l'application de la loi par la Federal Trade Commission américaine dans le cadre de ce programme. Dans le cadre d'un audit RGPD, cela confère au fournisseur un mécanisme spécifique du Chapitre V au lieu d'une simple déclaration de conformité générale.
• Exclure les données personnelles du flux de travail — La FAQ sur la sécurité publique de Smartling décrit comment travailler avec les clients lors de l’intégration pour séparer les données personnelles et empêcher leur entrée sur la plateforme, et son avis de confidentialité indique qu’il censurera ou anonymisera les données sensibles avant de les soumettre pour traduction, estimation de la qualité ou affinage du modèle à la demande du client. La minimisation des données à ce stade supprime la plupart des obligations de résidence avant même qu’un mécanisme de transfert ne soit nécessaire.
• Contrôles sur l’IA et les moteurs tiers — L’avis de confidentialité de Smartling indique que les données clients envoyées à de grands modèles de langage tiers pour traduction ne seront pas accessibles à ces fournisseurs et ne seront pas utilisées pour entraîner leurs modèles de base. Les équipes qui nécessitent l’inférence de modèle pour rester sur l’infrastructure qu’elles contrôlent peuvent connecter un LLM auto-hébergé en tant que fournisseur de traduction via le fournisseur d’API REST commun de Smartling.

Les preuves à l'appui de ces contrôles sont publiées plutôt que promises : la page de sécurité de Smartling atteste d'une conformité SOC 2 maintenue sans interruption depuis 2013, des normes ISO/IEC 27001 et ISO/IEC 42001:2023 pour les systèmes de gestion de l'IA, de la conformité HIPAA depuis 2013, du niveau PCI 1 depuis 2012, de la conformité au RGPD depuis 2018 et d'une certification HITRUST e1 pour son système de gestion des traductions sur AWS. Pour une équipe de conformité, l'implication pratique est que la conversation sur la résidence avec Smartling est une conversation sur un mécanisme de transfert et de minimisation des données — et non sur l'hébergement dans le pays — et la documentation pour la clôturer existe déjà.

Questions connexes

• Quels sont les grands modèles de langage sur site, et quand ont-ils du sens pour la traduction ?
• Que requiert la gouvernance de la traduction ChatGPT en entreprise ?