Box continue de construire sa « Zone » France

Métadonnées, recherche, workflows et IA pas encore régionalisés

La France avait déjà sa « zone ». Cet été, Box a ajouté des capacités de « compute » comme le chiffrement et le déchiffrement ou encore la génération de miniatures. La résidence des métadonnées devrait suivre d’ici la fin de l’année.

Autant de mécanismes, donc, qui auparavant pouvaient impliquer un traitement hors de la région. Box prévoit d’ajouter la résidence pour Box AI, les workflows et la recherche en 2027. Autrement dit, et là encore, ces fonctionnalités sont aujourd’hui exclues du périmètre des zones qui sont donc encore un « work in progress ».

« Ces mises à jour aident les entreprises à respecter les exigences locales en matière de conformité et de résidence des données », vante Box.

« La résidence des données est devenue un enjeu incontournable pour les entreprises multinationales et les secteurs réglementés », insiste Samantha Wessels, senior vice-president EMEA chez Box.

Pas souverain au sens français

Pour autant, la localisation seule ne répond à aucune exigence réglementaire stricte.

« Certaines réglementations sectorielles (comme le cadre HDS en France), les exigences en matière de marchés publics (comme la doctrine du “cloud souverain” en France) et les règles d’externalisation des services financiers peuvent pousser les clients à opter pour un hébergement local ou régional, même si ni le RGPD ni la Loi sur la Protection des Données suisse n’imposent d’obligation générale de localisation des données », explique Box dans un échange avec LeMagIT.

Mais à l’inverse, la « doctrine française », incarnée dans SecNumCloud et évoquée par Box dans cet échange, impose plus que la seule localisation. Elle exige de surcroît l’immunité au droit extraterritorial.

Les limites de la localisation

« Pour de nombreuses entreprises, notamment dans des secteurs réglementés, la localisation est devenue un critère », constatent eux aussi Marc Schuler et Hugo Khalfallaoui, avocats chez Taylor Wessing. « Mais cette approche repose sur l’idée, trop largement répandue, selon laquelle l’hébergement des données dans l’Union européenne permettrait de les sécuriser », enchaînent-ils immédiatement.

« L’hébergement sur un territoire donné revêt une importance certaine, mais il ne saurait, à lui seul, constituer une garantie suffisante de maîtrise des données face à l’application de droits de pays tiers », préviennent-ils.

Conclusion

Box Zone en France est donc un bon début, mais pas encore une option « souveraine ». D’autant que le SaaS s’appuie à l’international sur les IaaS d’AWS, Google, IBM et Microsoft.

Une couche supplémentaire avec la gestion des clefs par le client (Box KeySafe) est au minimum nécessaire pour s’assurer d’un début d’immunité au droit étasunien, même si la question de l’extraterritorialité reste posée tant que le service demeure opéré par un éditeur américain.