Hébergement e-mail et RGPD : ce que le règlement exige vraiment

Sous le RGPD, votre hébergeur de messagerie est sous-traitant et vous êtes responsable du traitement. Cette seule répartition, issue de l’article 4, points 7 et 8, détermine presque tout le reste : l’hébergeur vous doit un contrat et des mesures de sécurité, et vous devez au régulateur l’explication de la raison d’être de ces boîtes, de leur durée de conservation, et de ce qui arrive quand quelqu’un demande ses données.

« Hébergement e-mail conforme au RGPD » est donc, tel qu’on le vend d’ordinaire, une erreur de catégorie. Un prestataire peut être un sous-traitant conforme. La conformité, elle, est une propriété de votre traitement, pas de votre fournisseur.

Qu’exige réellement le RGPD d’un hébergement de messagerie ?

Quatre choses : un contrat de sous-traitance comportant les clauses de l’article 28, paragraphe 3, une sécurité adaptée au risque au titre de l’article 32, une base licite de transfert au titre du chapitre V si des données quittent l’EEE, et une chaîne de notification des violations conforme à l’article 33.

L’article 28, paragraphe 3, est une liste de contrôle : lisez-la plutôt que de lui faire confiance. Le contrat doit être écrit et obliger le sous-traitant à : n’agir que sur vos instructions documentées ; imposer la confidentialité à quiconque manipule les données ; appliquer les mesures de l’article 32 ; ne recruter aucun sous-traitant ultérieur sans votre autorisation et vous informer des changements envisagés ; vous aider à répondre aux droits des personnes concernées ; vous aider à respecter vos obligations des articles 32 à 36 ; supprimer ou renvoyer les données à la fin de la prestation ; et mettre à disposition les informations nécessaires pour démontrer tout cela, audits compris.

L’article 32 demande des mesures adaptées au risque et cite le chiffrement et la pseudonymisation comme exemples. L’article 30 vous impose, à vous et non à votre hébergeur, de tenir un registre des activités de traitement — et des boîtes aux lettres sont un traitement.

Viennent ensuite les parties que les responsables de traitement oublient. La limitation de la conservation, article 5, paragraphe 1, point e : du courrier gardé indéfiniment par défaut est la conservation illicite que je rencontre le plus souvent, parce que personne n’a jamais décidé de le garder — le système n’a simplement jamais rien supprimé. Et le droit d’accès, article 15 : c’est dans la recherche en boîte aux lettres que la plupart des demandes d’accès trouvent réellement leur réponse, ce qui fait des capacités de recherche et d’export de votre hébergeur une dépendance de conformité, écrite ou non.

Que veut dire, en général, une promesse de « conformité RGPD » ?

En pratique quatre choses, toutes réelles et aucune suffisante : un contrat de sous-traitance signable en ligne, un stockage dans une région de l’Union, un certificat ISO 27001, et le chiffrement en transit et au repos.

C’est un ensemble raisonnable côté sous-traitant. Voici ce qu’il ne couvre pas, et ce qui vous reste quel que soit le fournisseur.

Votre base licite, et la mention d’information qui la décrit. Les durées de conservation par catégorie de boîte, et le mécanisme de suppression qui les applique. Le circuit qui répond aux demandes d’accès, de rectification et d’effacement en moins d’un mois. Votre registre de l’article 30. Votre analyse d’impact sur les transferts lorsque le sous-traitant ou ses sous-traitants ultérieurs se trouvent dans des pays tiers. Les règles de surveillance des salariés — lire la boîte d’un collègue parti relève d’un droit national qui se superpose au RGPD, et en France comme en Allemagne cette couche n’est pas décorative. Et une analyse d’impact relative à la protection des données au titre de l’article 35 lorsque le traitement présente un risque élevé, ce qui est généralement le cas de boîtes contenant des données de catégorie particulière.

Aucun fournisseur ne peut faire cela à votre place. Qui le laisse entendre vend de la tranquillité.

Pourquoi les prestataires américains restent-ils un problème de transfert ?

Parce que c’est le contrôle, et non la localisation, qui déclenche le chapitre V, et parce qu’un prestataire sous contrôle américain importe avec lui la portée du droit américain en Europe.

La chaîne est courte. Schrems II (affaire C-311/18, 16 juillet 2020) a annulé la décision d’adéquation du Privacy Shield et jugé que les clauses contractuelles types ne restent valables que si l’exportateur vérifie, au cas par cas, que le droit du pays de destination ne les prive pas d’effet. Le CLOUD Act, en vigueur depuis 2018, oblige un prestataire soumis à la juridiction des États-Unis à produire les données qui se trouvent en sa possession, sous sa garde ou sous son contrôle, où qu’elles soient stockées. L’article 48 du RGPD ne reconnaît la décision d’une autorité d’un pays tiers exigeant le transfert de données personnelles que lorsqu’elle repose sur un accord international, tel qu’un traité d’entraide judiciaire. Une réquisition adressée directement à un prestataire n’en est pas une.

Le cadre de protection des données UE–États-Unis, adopté en juillet 2023, rouvre une voie d’adéquation pour les destinataires américains certifiés, et allège considérablement la paperasse. C’est aussi le troisième pont de ce genre ; les deux précédents ont été annulés en 2015 et en 2020. Prévoir qu’une autorité de contrôle ou une juridiction s’y intéresse à nouveau relève de la prudence, pas de la paranoïa.

Rien de tout cela n’interdit de recourir à un prestataire américain. Cela signifie que l’analyse de transfert vous appartient : à documenter, à tenir à jour, à défendre — et qu’un organisme public européen préférera souvent renoncer à l’exercice plutôt que de le mener.

Que vérifier avant de signer ?

Neuf points. Je les poserais dans cet ordre, et je voudrais les réponses par écrit.

Où est immatriculée l’entité qui détient les octets stockés, et a-t-elle une société mère ou une filiale américaine ? C’est ce qui détermine l’analyse de transfert, et c’est la question à laquelle les fournisseurs répondent le moins directement.

Qui peut techniquement déchiffrer le courrier ? Si le prestataire sait afficher votre boîte dans un navigateur, il détient la clé. C’est une architecture légitime, mais ce n’est pas la même chose qu’un chiffrement que vous maîtrisez, et votre documentation de l’article 32 devrait dire laquelle des deux vous avez achetée.

Existe-t-il un contrat au sens de l’article 28, paragraphe 3, avec une liste complète des sous-traitants ultérieurs, leurs implantations et un délai de préavis en cas de changement ? Un contrat de sous-traitance sans cette liste est un demi-contrat.

Depuis quels pays le support peut-il accéder au contenu des boîtes, et cet accès est-il journalisé de façon visible pour vous ?

Quel est l’engagement de notification des violations, en heures, du sous-traitant vers vous ? Votre propre délai de 72 heures au titre de l’article 33 court dès que vous en avez connaissance : un vague « dans les meilleurs délais » vous fait porter la latence du fournisseur.

Comment exécutez-vous la conservation et l’effacement ? Pas l’existence d’un bouton de suppression : sa portée sur les sauvegardes, et selon quel calendrier.

Quel est le format d’export, et pouvez-vous le lire sans le logiciel du prestataire ? Du courrier dans une disposition standard documentée est portable. Du courrier dans un magasin propriétaire est une dépendance déguisée en archive.

Que devient la donnée à la fin du contrat, et comment la suppression est-elle prouvée ?

Et, si cela compte dans votre secteur : quelles attestations couvrent ce service précis, et non la maison mère. C5, HDS, SecNumCloud et ISO 27001 ont tous un périmètre, et c’est dans le périmètre que se trouvent les détails intéressants.

Je suis fondateur plutôt que juriste, et rien de ceci n’est un conseil juridique. Ce sont le règlement et les arrêts publiés — citez-les, pas moi.