Ce que l'auto-hébergement fait pour le RGPD
L'auto-hébergement vous donne le contrôle de l'endroit où vivent physiquement les données personnelles et de qui peut y accéder — clés de chiffrement, règles de conservation, politiques d'accès et pistes d'audit sont à vous de régler. Pour une équipe attachée à la résidence des données et à minimiser les tiers, c'est vraiment utile. Mais le contrôle est le moyen, pas la fin : le RGPD juge ce que vous faites de la donnée, pas où est le serveur.
Le mythe : auto-hébergement égale conformité
Ce n'est pas le cas. Si vous décidez pourquoi et comment les données clients sont traitées, vous êtes le responsable de traitement et portez la responsabilité première, auto-hébergé ou en SaaS. Déplacer les serveurs dans votre VPC change la résidence et la surface de risque ; ça ne vous décharge d'aucune obligation. C'est la chose la plus importante à bien comprendre, et la plus souvent survendue.
La résidence n'est pas une règle de stockage
Une lecture courante mais fausse : que le RGPD imposerait de garder les données personnelles en UE. Non. Le chapitre V du RGPD encadre les transferts de données hors EEE, sauf décision d'adéquation ou garanties appropriées — c'est une règle sur les transferts, pas une obligation de tout stocker localement. L'auto-hébergement vous laisse choisir la juridiction de vos données, ce qui peut simplifier les transferts, mais l'obligation porte sur la façon dont vous déplacez la donnée, pas seulement sur l'endroit où vous la gardez.
Vos logs sont aussi des données personnelles
Un point sous-estimé : les registres de consentement et logs d'audit que vous tenez pour prouver la conformité contiennent eux-mêmes des données personnelles. Ils ont besoin d'une base légale, de minimisation, de sécurité et d'une limite de conservation comme toute autre donnée. Un suivi du consentement, une suppression et des logs d'audit intégrés sont un outillage qui soutient la conformité — ils rendent les obligations opérables. Ce n'est pas un substitut au travail juridique, et ça ne remplace ni un DPO ni un conseil juridique.