Data Residency
Aussi : Data Localization, Data Localisation, Data Sovereignty, Résidence des données, Localisation des données, Datenresidenz, Datenlokalisierung
L'exigence de stocker et traiter les données physiquement dans un pays ou une région précise, souvent pour des raisons légales ou contractuelles.
De quoi il s'agit
La data residency définit l'endroit physique où vos données résident et sont traitées, c'est-à-dire le pays ou la région où les serveurs hébergent les fiches clients, les données financières ou les jeux d'entraînement des modèles. C'est une notion métier et juridique, pas technique. Une base clients hébergée dans un centre de données à Francfort a une résidence allemande; la même base répliquée vers une région américaine ne l'a plus. On confond souvent résidence, souveraineté (qui a juridiction sur les données) et localisation (obligation légale de garder certaines données dans le pays), mais la question pratique reste la même: quel drapeau flotte sur le bâtiment qui abrite vos données?
Pourquoi c'est important
Les décisions de résidence structurent les contrats, l'accès aux marchés et le risque. Une entreprise de services financiers incapable de prouver que les données de ses clients européens restent dans l'UE peut perdre le contrat ou subir des sanctions. Les acheteurs publics, les clients de la santé et les secteurs régulés inscrivent de plus en plus des clauses de résidence dans leurs appels d'offres. Pour un CMO, la résidence détermine quels outils d'analyse et de personnalisation vous pouvez déployer légalement sur un marché. Pour un CFO, elle influence les coûts cloud (le stockage régional est souvent plus cher) et l'exposition aux audits. Pour un CDO, elle limite la consolidation des données entre zones géographiques. L'ignorer peut bloquer un lancement, déclencher des amendes ou imposer une refonte coûteuse après signature.
Comment ça marche
En pratique, la résidence s'applique via vos choix chez les fournisseurs cloud et les éditeurs. Vous sélectionnez une région géographique précise lors de la mise en place du stockage et configurez des contrôles empêchant la réplication ailleurs. Exemple concret: un CMO déployant une customer data platform en Europe et aux États-Unis demande à l'éditeur de faire tourner des instances régionales distinctes, afin que les profils clients français ne quittent jamais l'UE et que les profils américains restent aux États-Unis. Les contrats précisent ensuite les garanties de résidence, et les audits les vérifient. Les sauvegardes, l'accès du support depuis l'étranger et les modèles d'IA entraînés sur des données mutualisées compliquent le tableau. Trois questions à poser aux fournisseurs: où sont stockées les données, qui peut y accéder et depuis quel pays, et comment le prouver lors d'un audit.
Questions fréquentes
Qu'est-ce que la résidence des données ?
La résidence des données désigne le pays ou la région où vos données sont physiquement stockées et traitées. Une base clients hébergée dans un centre de données de Francfort a une résidence allemande ; la même base répliquée vers une région américaine ne l'a plus. C'est une notion juridique et commerciale, imposée par la loi ou le contrat, pas un réglage technique.
Quelle différence entre résidence, souveraineté et localisation des données ?
La résidence indique où les données se trouvent physiquement, la souveraineté désigne la juridiction qui peut exercer son autorité sur elles, et la localisation est une obligation légale de garder certaines données dans le pays. Les trois se recoupent sans se confondre : des données peuvent résider à Francfort tout en relevant d'une juridiction étrangère via la maison mère du fournisseur. La question utile pour un dirigeant reste la même : quel drapeau flotte sur le bâtiment qui héberge vos données ?
En quoi la résidence des données concerne-t-elle un CMO ou un CFO, et pas seulement la DSI ?
Parce qu'elle détermine les marchés accessibles, les outils utilisables et leur coût. Un CMO se trouve limité dans les outils d'analytics et de personnalisation déployables légalement sur un marché donné ; un CFO subit un stockage régional souvent plus cher et une exposition aux audits. Une société de services financiers incapable de prouver que les données de ses clients européens restent dans l'UE peut perdre le contrat ou s'exposer à des sanctions.
Comment la résidence des données s'applique-t-elle concrètement chez un fournisseur cloud ?
Vous choisissez une région géographique précise au moment de provisionner le stockage, puis vous configurez des contrôles qui empêchent la réplication ailleurs. Le contrat formalise les garanties de résidence et l'audit les vérifie. Une customer data platform déployée en Europe et aux États-Unis tourne généralement en instances régionales séparées : les profils clients français ne quittent jamais l'UE, les profils américains restent sur place.
Que faut-il demander à un fournisseur pour vérifier ses engagements de résidence ?
Trois questions : où les données sont-elles stockées, qui peut y accéder et depuis quel pays, et comment le prouver lors d'un audit. Les réponses font généralement ressortir les angles morts : les sauvegardes, les équipes de support qui accèdent aux systèmes depuis l'étranger, et les modèles d'IA entraînés sur des données mutualisées entre régions. Traitez ces points avant signature, car une ré-architecture après coup coûte cher.