1. Le Data Privacy Framework UE–US (DPF)
L'arrêt Schrems II a fragilisé les fournisseurs cloud américains, mais l'actuel Data Privacy Framework UE–US offre désormais une base juridique aux transferts de données. La conformité, en revanche, n'a rien d'automatique.
Le problème
Au titre du CLOUD Act américain, les agences fédérales peuvent en théorie exiger l'accès à des données détenues par un fournisseur US — même physiquement hébergées sur des serveurs européens.
Le risque
Les données comptables et de paie contiennent des informations personnelles sensibles : identités salariés, salaires, coordonnées bancaires. Utiliser un logiciel américain pour tenir des livres légaux français suppose une certification DPF vérifiée et des garanties contractuelles solides.
2. Conformité RGPD des données financières
Toutes les données traitées par une filiale française doivent respecter le RGPD, quel que soit le pays du siège de l'éditeur.
Minimisation des données
Les systèmes doivent être paramétrés pour ne traiter que les données personnelles strictement nécessaires aux opérations de l'entité française.
Résidence des données vs souveraineté
Héberger les données dans l'EEE est une première étape indispensable, mais elle ne règle pas la question de la souveraineté si la maison mère reste un « Electronic Communication Service Provider » américain.
Clauses contractuelles types (CCT)
Tout transfert de données personnelles vers le siège américain pour consolidation doit être encadré par les dernières CCT approuvées et faire l'objet d'un Transfer Impact Assessment (TIA) documentant le risque d'accès par des autorités étrangères.
3. Localisation vs souveraineté : une distinction critique
Au moment de choisir un ERP global, ne confondez pas ces deux notions :
- Localisation — la capacité du logiciel à gérer la TVA française et le reporting PCG (le sujet « comptable »).
- Souveraineté — le contrôle juridique et la protection des données sous-jacentes (le sujet « juridique »).
Scénario à haut risque : un ERP multinational peut être parfaitement localisé pour les formulaires fiscaux français tout en présentant un risque RGPD massif, si son architecture de données laisse passer un accès non contrôlé par la maison mère américaine ou les autorités US.
4. Recommandation stratégique
Pour limiter l'exposition sans sacrifier l'efficacité opérationnelle, nous recommandons une architecture de données hybride :
- Paie locale isolée — un SIRH/paie français dédié, hébergé localement, pour les données personnelles les plus sensibles.
- Consolidation agrégée — configurer le système global américain pour recevoir des montants agrégés, pas les écritures détaillées avec les données personnelles.
- « Pont » chiffré — chiffrement de bout en bout entre l'outil de conformité française et le siège américain, avec des clés détenues, autant que possible, par l'entité européenne.