Hébergement RGPD Belgique : ce que l'agence garantit
Un client fiduciaire m'a posé la question la plus simple qui soit avant de signer un site vitrine pour son cabinet à Namur. Où seront ses données. Pas une question technique, une question de responsabilité. Il collecte des coordonnées de prospects via un formulaire, il traite des noms, des adresses, parfois des informations sur la situation d'une entreprise cliente. Il voulait pouvoir répondre à l'Autorité de protection des données si on le lui demandait un jour. C'est exactement la question que l'agence qui lui vend le site doit savoir traiter, et beaucoup ne le savent pas.
L'agence qui héberge devient sous-traitant, qu'elle le veuille ou non
Dès qu'une agence héberge et maintient le site d'un client, elle traite des données personnelles pour le compte de ce client. Le RGPD appelle ça un sous-traitant. Le client final, lui, reste responsable de traitement. Cette distinction n'est pas un détail juridique lointain. Elle détermine qui répond de quoi devant l'APD et devant la personne dont les données ont fuité.
Concrètement, ça veut dire que l'agence doit avoir signé un contrat de sous-traitance avec son client, conforme à l'article 28 du RGPD, et un autre avec son propre hébergeur. La chaîne doit tenir de bout en bout. Si l'agence héberge chez un fournisseur sans accord de traitement en place, elle expose son client à un risque qu'il ne voit pas et qu'il découvrira au pire moment. J'ai détaillé la mécanique de cette chaîne côté prestataire dans mon article sur la sous-traitance de développement en Wallonie et à Bruxelles.
Ce que l'APD attend d'un traitement hébergé en Belgique
L'Autorité de protection des données ne certifie pas les hébergeurs et ne délivre pas de label. Elle contrôle le respect des principes. En pratique, elle regarde si le responsable de traitement peut démontrer trois choses. Que les données sont sécurisées par des mesures techniques proportionnées au risque. Que la localisation des données et les éventuels transferts hors UE sont documentés et justifiés. Et qu'un registre des traitements existe et reflète la réalité.
Le registre est le point que je vois le plus souvent négligé. Une agence qui gère trente sites clients tient rarement un registre des catégories de traitements qu'elle effectue en tant que sous-traitant. Pourtant l'article 30 du RGPD l'exige dès qu'on traite des données pour le compte d'autrui, sans seuil de taille réel pour ce type d'activité régulière. Le client final tient le sien, l'agence tient le sien. Les deux documents ne se remplacent pas.
Les questions auxquelles une agence doit savoir répondre
Voici la grille que j'utilise avec les agences avec qui je travaille. Ce sont les questions qu'un client final averti, ou son avocat, ou un contrôleur, peut poser. Si l'agence bloque sur l'une d'elles, c'est le signe que la chaîne d'hébergement n'est pas maîtrisée.
| Question du client | Ce que l'agence doit pouvoir montrer |
|---|---|
| Où sont physiquement stockées mes données ? | Le pays et la région du datacenter, en clair, pas dans le cloud |
| Qui d'autre y a accès ? | La liste des sous-traitants ultérieurs de l'hébergeur, et l'accord qui les encadre |
| Y a-t-il un transfert hors Union européenne ? | Non, ou oui avec la base légale (Data Privacy Framework, clauses types) |
| Comment sont sécurisées les sauvegardes ? | Chiffrement, fréquence, durée de rétention, localisation des backups |
| Que se passe-t-il si vous cessez l'activité ? | La clause de réversibilité et de restitution des données du contrat |
| Avez-vous un accord de sous-traitance signé ? | Le document article 28, daté, avec les mesures de sécurité annexées |
Cette grille n'est pas une checklist de conformité complète, c'est un test de maîtrise. Une agence qui répond calmement à ces six lignes inspire confiance à un client fiduciaire ou consultant, précisément le profil qui a lui-même une obligation de sérieux vis-à-vis de ses propres clients. C'est aussi ce genre de sujet qui fait qu'un cabinet accepte de recommander un prestataire web à ses clients, parce qu'il ne veut pas engager sa réputation sur une chaîne d'hébergement floue.
Serveurs européens face aux fournisseurs américains
La tentation, pour une agence, est de tout poser sur un grand fournisseur cloud américain parce que c'est simple, documenté et bon marché. Le problème n'est pas la qualité technique, elle est excellente. Le problème est la garantie que l'agence peut donner ensuite à son client. Un hébergement en Union européenne, chez un fournisseur dont le siège et les serveurs sont dans l'UE, se raconte en une phrase. Vos données restent en Europe, sous droit européen, point.
Dès qu'on sort de l'UE, la phrase devient un paragraphe. Il faut expliquer le Data Privacy Framework, vérifier que le fournisseur y est bien certifié pour les données concernées, prévoir des clauses contractuelles types en secours, et parfois documenter une analyse d'impact du transfert. C'est faisable, ce n'est pas interdit, mais ça déplace la charge de preuve sur l'agence. Pour un site vitrine belge avec un formulaire de contact, je ne vois aucune raison de s'imposer ça. Pour une application qui a besoin d'un service américain sans équivalent européen, ça peut se justifier avec les garanties adéquates.
La limite : hors UE reste légal avec les bonnes garanties
Je veux être clair sur ce point, parce que le tout doit rester en Belgique est une simplification fausse qui circule beaucoup. Le RGPD n'interdit pas d'héberger hors UE. Il encadre le transfert. Si le fournisseur américain est certifié Data Privacy Framework pour la catégorie de données concernée, le transfert dispose d'une base légale valable aujourd'hui. À défaut, les clauses contractuelles types de la Commission européenne, complétées par une évaluation du niveau de protection réel dans le pays de destination, restent une voie légale.
La vraie question n'est donc pas légal ou illégal. Elle est proportionnée ou pas. Pour la plupart des sites que je livre à des professionnels belges, un hébergement européen est le choix de bon sens parce qu'il réduit la surface d'explication à donner et rend l'agence sereine face à son client. Mais je ne dirai jamais qu'un hébergement hors UE est disqualifiant en soi. Ça dépend du traitement, du volume de données sensibles et des garanties en place.
Ce que je mets en place pour les agences avec qui je travaille
Quand une agence me sous-traite le développement et l'hébergement de ses sites clients, je livre systématiquement trois choses. L'hébergement en UE par défaut, avec la localisation précise indiquée par écrit. Un modèle d'accord de sous-traitance que l'agence peut faire signer à son client final, adossé à celui qui me lie à l'agence. Et une fiche par site qui récapitule où sont les données, les sauvegardes et les accès, pour que l'agence n'ait jamais à me rappeler en urgence quand un client pose une question.
Ça ne remplace pas un conseil juridique et je le dis franchement à mes partenaires. Pour les cas limites, transfert hors UE, données de santé, gros volumes, il faut un avocat spécialisé ou lire directement les recommandations de l'APD. Mon rôle est de faire en sorte que la chaîne technique soit propre et documentée, pour que la partie juridique ait quelque chose de solide sur quoi s'appuyer. C'est ce type de socle que je décris dans mon offre de partenariat avec les agences, et il se combine avec le cadre de l'abonnement où l'hébergement est inclus dans le temps.
Le client fiduciaire de Namur a signé. Pas parce que je lui ai récité le RGPD, mais parce que l'agence a pu répondre à ses six questions sans hésiter. C'est ça, la garantie qui se vend.