Ce que veut dire « posséder » ses données
Posséder ses données clients n'est pas un slogan ; c'est une propriété de l'endroit où vit la donnée. Une donnée possédée vit dans une base que vous contrôlez, dans un format structuré que vous pouvez lire, exporter et auditer à tout moment. L'inverse, c'est une donnée que vous n'atteignez que par l'interface d'un fournisseur, à ses conditions — à vous de nom, mais pas sous votre contrôle.
Pourquoi le verrouillage est un vrai risque
Le verrouillage concentre le risque entre les mains d'un autre. Si un prestataire SaaS augmente ses prix, retire une fonctionnalité dont vous dépendez ou ferme, vos données clients peuvent devenir inaccessibles ou difficiles à exporter sous une forme utilisable. La donnée reste « à vous », mais la capacité concrète de l'utiliser ailleurs a disparu. La possession — la donnée dans votre propre base, dans un format portable — supprime cette dépendance. Faire tourner une plateforme open source auto-hébergée est un moyen d'y arriver.
La portabilité est un droit, mais étroit
Le RGPD donne aux personnes un droit à la portabilité : les données personnelles qu'elles ont fournies doivent être restituées dans un format structuré, courant et lisible par machine. C'est un filet utile — mais étroit. L'article 20 ne s'applique qu'au traitement fondé sur le consentement ou un contrat et automatisé, et couvre les données que la personne a fournies, pas les inférences ou profils qu'un fournisseur a construits par-dessus. La vraie possession est plus large que le minimum légal : c'est avoir tout le stock en main par défaut.
La possession n'est pas la conformité
Garder la donnée dans votre propre base change la résidence et le contrôle. Ça ne change pas votre statut légal : si vous collectez des données clients et décidez de leur usage, vous êtes le responsable de traitement et portez les obligations RGPD, où qu'elles vivent. La possession rend les obligations plus faciles à tenir — vous pouvez vraiment trouver, exporter et supprimer la donnée — mais ce n'est pas la conformité en soi. RGPD et auto-hébergement couvre ce qui reste à faire.