RGPD et loi du 1er août 2018 (CNPD) : héberger des données personnelles avec un DPA art. 28

Guide pratique pour les entreprises au Luxembourg qui hébergent un site, une boutique ou une application et veulent comprendre le contrat de traitement exigé par le RGPD. Situation au 30.09.2026.

Réponse courte

1Au Luxembourg, le RGPD (règlement (UE) 2016/679) s'applique directement. La loi du 1er août 2018 organise la Commission nationale pour la protection des données (CNPD) et complète le règlement sur le plan national.
2Si votre hébergeur traite des données personnelles pour votre compte, vous êtes le responsable de traitement et il est votre sous-traitant : l'article 28 du RGPD exige un contrat écrit, donc un DPA.
3Héberger dans l'Union européenne, à Francfort, ne dispense pas de ce contrat : il faut le signer, même si les serveurs ne sont pas au Luxembourg.
4Une violation de données doit être notifiée à l'autorité de contrôle dans les 72 heures lorsque c'est requis (art. 33 RGPD). Le DPA doit donc prévoir comment l'hébergeur vous prévient.

Le cadre juridique au Luxembourg

Le RGPD est un règlement européen : il s'applique tel quel, sans transposition. Au Luxembourg, la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et mise en œuvre du règlement (UE) 2016/679, publiée au Mémorial A n° 686, fixe le cadre national. Elle institue la CNPD comme autorité de contrôle. Le texte consolidé est consultable sur Legilux, le site officiel de la législation luxembourgeoise, et la CNPD publie ses lignes directrices sur cnpd.public.lu.

Pour un hébergement, le point central est l'article 28 du RGPD. Lorsqu'un traitement est effectué pour le compte d'un responsable de traitement, celui-ci ne doit recourir qu'à des sous-traitants présentant des garanties suffisantes. Le traitement est encadré par un contrat ou un autre acte juridique, qui précise notamment l'objet, la durée, la nature des données et les instructions documentées du responsable.

L'article 28 prévoit aussi que le sous-traitant ne recrute pas un autre sous-traitant sans autorisation du responsable, qu'il l'aide à répondre aux demandes des personnes concernées et qu'il le notifie en cas de violation. C'est ce que recouvre, en pratique, un DPA (Data Processing Agreement).

Violation de données et transferts

L'article 33 du RGPD impose au responsable de traitement de notifier à l'autorité de contrôle compétente une violation de données à caractère personnel dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Le sous-traitant, lui, notifie le responsable de traitement dans les meilleurs délais après en avoir pris connaissance.

Les serveurs de 4hosting se trouvent à Francfort, donc dans l'Union européenne : héberger chez nous n'est pas, en soi, un transfert vers un pays tiers au sens du chapitre V du RGPD. Si un sous-traitant ultérieur ou un prestataire situé hors de l'Union intervenait, il faudrait un mécanisme prévu par ce chapitre, par exemple les clauses contractuelles types de la décision d'exécution (UE) 2021/914 de la Commission européenne.

Les sanctions sont prévues par l'article 83 du RGPD. La loi du 1er août 2018 donne à la CNPD les pouvoirs d'enquête et de sanction nécessaires. Les montants et les conditions se lisent dans le règlement et dans le texte de la loi, pas dans cette page.

Trois situations concrètes

Boutique en ligne à Luxembourg-Ville

Le site stocke noms, adresses et historiques de commandes sur un VPS. L'entreprise est responsable de traitement, l'hébergeur sous-traitant. Elle signe le DPA, l'inscrit dans son registre des traitements et note où sont les serveurs : Francfort, donc dans l'Union européenne.

Cabinet de conseil avec un espace client

Le cabinet met à disposition un portail où ses clients déposent des documents. Avant de choisir l'hébergeur, il demande la liste des sous-traitants ultérieurs, la description des sauvegardes et un contact pour les incidents. Ces points vont dans le contrat.

Application SaaS pour des clients français et belges

Les utilisateurs ne sont pas tous au Luxembourg. Le RGPD s'applique à leurs données comme à celles des résidents luxembourgeois. La question pratique reste la même : qui traite quoi, où, et selon quelles instructions écrites.

Erreurs courantes

Penser que « l'hébergeur est européen, donc tout est couvert ». Le contrat de l'article 28 reste à signer, et la responsabilité de traitement reste la vôtre.
Laisser un hébergeur traiter des données sans DPA signé : c'est précisément ce que l'article 28 interdit.
Ne pas savoir où sont physiquement les serveurs ni qui intervient comme sous-traitant ultérieur.
Attendre un incident pour chercher qui prévient qui : les 72 heures de l'article 33 courent à partir du moment où vous avez connaissance de la violation.
Confondre une aide technique de l'hébergeur avec une garantie de conformité. Elle ne remplace ni votre analyse ni votre registre.

Comment 4hosting vous aide

Infrastructure dans l'Union européenne, à Francfort. Il n'y a pas de centre de données au Luxembourg : nous le disons clairement pour que vous puissiez l'indiquer dans votre registre.
Contrat de traitement (DPA) au titre de l'article 28 du RGPD et clauses contractuelles types pour les transferts lorsqu'ils sont nécessaires.
Alignement sur ISO 27001. Ce n'est pas un certificat ISO 27001.
Heures DevOps et cybersécurité incluses dans les abonnements : Hardening & Compliance, WAF & DDoS, SIEM & Incident Response. Ces services soutiennent vos mesures de sécurité, ils ne les remplacent pas.
4hosting ne certifie pas votre conformité au RGPD et ne signe pas de conformité juridique à votre place. Nous ne détenons pas de certification NIS2, ISO ou SOC 2.

Le support est assuré en anglais et en roumain.

Questions fréquentes

Faut-il un DPA avec un hébergeur situé hors du Luxembourg ?

Oui. Le contrat de l'article 28 du RGPD est exigé dès que l'hébergeur traite des données personnelles pour votre compte, quel que soit le pays où se trouvent ses serveurs.

4hosting garantit-elle ma conformité au RGPD ?

Non. 4hosting fournit l'infrastructure, un contrat de traitement et des services DevOps et cybersécurité. La conformité de votre entreprise reste de votre responsabilité.

Où sont hébergées mes données ?

Dans l'Union européenne, à Francfort. Il n'y a pas de centre de données au Luxembourg.