Secret professionnel et outils de traduction : stockés en Suisse, mais traités où ?

Stocker n'est pas traiter

C'est la distinction que la plupart des documentations commerciales entretiennent dans le flou, et c'est celle qui décide de tout.

Une plateforme peut parfaitement héberger vos documents sur des serveurs suisses et transmettre chaque segment à un moteur hébergé ailleurs pour le traduire. Les deux affirmations sont vraies simultanément, et seule la seconde compte pour un dossier couvert par le secret. Un traitement transitoire reste un traitement : le texte a été transmis, lu, calculé et renvoyé, hors de votre juridiction.

C'est pourquoi la formulation à exiger d'un fournisseur n'est jamais « vos données sont en Suisse », mais une phrase qui sépare les deux : stockage sur des serveurs en Suisse dans tous les cas ; traitement en Suisse dans telle configuration, à l'étranger dans telle autre. Si votre interlocuteur ne sait pas répondre séparément, il ne sait pas répondre.

Ce qui se passe quand vous choisissez un moteur hébergé à l'étranger

Les plateformes de traduction professionnelles sont aujourd'hui multi-moteurs : elles orchestrent plusieurs modèles, dont certains sont exploités par des tiers hors de Suisse. C'est une bonne chose, parce que les moteurs n'ont pas les mêmes forces, et c'est un point de vigilance, parce que le lieu de traitement change avec le moteur sélectionné, à chaque envoi.

Trois choses se produisent alors, qu'il faut avoir en tête.

• Le texte sort du périmètre national. Il est transmis à un opérateur soumis à un autre droit, dans un pays dont les autorités peuvent disposer de pouvoirs d'accès différents des vôtres.
• La question de la réutilisation se pose. Un moteur peut conserver les contenus soumis, les utiliser pour améliorer ses modèles, ou les journaliser. Les conditions varient selon le contrat, l'offre et l'entité contractante : c'est une question à poser par écrit, pour chaque moteur, pas une hypothèse.
• La chaîne de sous-traitance s'allonge. Entre vous et le moteur, il peut exister un intégrateur, un hébergeur, un fournisseur d'infrastructure. Chaque maillon supplémentaire est un point d'accès de plus à documenter.

À l'inverse, un moteur exploité dans le même pays que le stockage supprime cette rupture. C'est la logique du mode le plus strict d'une plateforme : dans Corrext, l'option Highly sensitive content impose un stockage et un traitement exclusivement en Suisse pour l'allemand, le français, l'italien et l'anglais, et, selon la définition affichée par l'application, le contenu traduit n'est pas réutilisé dans une mémoire de traduction pour de futurs projets.

La pseudonymisation : ce qu'elle protège, ce qu'elle ne protège pas

Pseudonymiser un document avant de l'envoyer à un moteur étranger consiste à retirer ou remplacer les éléments qui identifient les personnes et l'affaire : noms des parties, sociétés, conseils, adresses, références de dossier, et parfois l'objet même du litige.

C'est une mesure de prudence sérieuse. Elle a deux limites qu'il faut énoncer clairement.

• Elle n'est pas une anonymisation. Le lien avec la personne subsiste chez vous, et le texte reste du contenu de dossier. On réduit le risque de divulgation, on ne le supprime pas.
• Le contexte réidentifie. Une opération singulière, une clause inhabituelle, une combinaison de dates, de juridictions et de secteurs peuvent suffire à reconnaître une affaire connue, même sans un seul nom propre. Plus le dossier est notable, moins la pseudonymisation protège.

Il faut aussi tenir compte du coût pratique : pseudonymiser correctement quarante pièces à la main prend du temps, et une pseudonymisation partielle donne une fausse sécurité qui est pire que pas de pseudonymisation du tout, parce qu'elle fait baisser la vigilance. Pour les dossiers réellement sensibles, la bonne réponse n'est pas de mieux caviarder : c'est de ne pas sortir du pays.

Pourquoi un avertissement dans l'outil vaut mieux qu'une charte

La plupart des organisations disposent d'une politique d'utilisation des outils numériques. Elle est signée à l'arrivée, rangée dans un intranet, et oubliée le jour où un collaborateur doit comprendre quarante pièces en allemand avant l'audience du lendemain. Ce n'est pas un problème de discipline : c'est un problème de moment.

Une règle n'est appliquée que si elle apparaît au moment de la décision, à la personne qui la prend. C'est exactement ce que fait un avertissement contextuel. Dans Corrext, la sélection d'un moteur hébergé à l'étranger fait apparaître l'avis suivant, tel qu'il s'affiche dans l'application :

Trois choses méritent d'être notées dans ce dispositif, indépendamment de l'outil.

• L'avis est déclenché par un acte, pas par un calendrier. Il ne s'affiche que lorsque le risque apparaît, ce qui lui conserve sa valeur d'alerte.
• Il énonce la politique de l'organisation, pas celle du fournisseur. C'est le cabinet qui décide ce qui est interdit ; l'outil se contente de le rappeler là où c'est utile.
• Il ne bloque pas. L'utilisateur reste responsable et peut passer outre en connaissance de cause. Un outil qui interdit tout finit contourné par des solutions grand public, qui elles n'avertissent de rien.

Ce dernier point est le plus important pour une direction juridique. Le risque principal n'est pas qu'un collaborateur choisisse un moteur étranger dans un outil gouverné : c'est qu'il colle un paragraphe dans un service en ligne gratuit parce que l'outil approuvé lui a dit non. Une politique praticable réduit davantage le risque qu'une politique parfaite.

Douze questions à poser à un fournisseur

Localisation

1. Où sont les serveurs de stockage, dans quel pays, et qui les exploite ?
2. Pour chaque moteur proposé, où s'effectue le traitement ?
3. Existe-t-il une configuration dans laquelle le traitement ne sort jamais du pays, et comment l'utilisateur la déclenche-t-il ?
4. À quel droit le contrat est-il soumis, et devant quelle juridiction ?

Intervenants

5. Quels sous-traitants interviennent dans la chaîne, et lesquels accèdent au contenu ?
6. Qui, chez le fournisseur, peut techniquement lire un document, et cette consultation est-elle journalisée ?
7. Les relecteurs humains sont-ils salariés ou indépendants, et par quel engagement de confidentialité sont-ils liés ?
8. Une notification est-elle prévue en cas de demande d'accès d'une autorité, dans la mesure où le droit applicable le permet ?

Données et preuve

9. Quelles données sont réutilisées, à quelle fin, et peut-on le désactiver par projet ?
10. Combien de temps les contenus sont-ils conservés, et selon quelle procédure sont-ils supprimés ?
11. Quelle certification est détenue, de quelle date, et sur quel périmètre exact ? Demandez le certificat, pas le logotype.
12. Un accord de traitement des données est-il proposé, et prévoit-il un droit d'audit réaliste ?

Ce que vous pouvez décider cette semaine

• Classez vos documents en trois paniers : ce qui peut être traduit par n'importe quel moteur, ce qui exige un traitement national, ce qui ne sort pas du cabinet. La plupart des organisations n'ont jamais fait cet exercice, et il prend une réunion.
• Donnez un outil approuvé par défaut. Tant qu'il n'existe pas, le comportement par défaut est le service en ligne le plus proche.
• Écrivez la règle sous forme de choix, pas d'interdiction : dans tel cas, ce mode ; dans tel autre, cet autre mode. Une règle qui commence par « il est interdit de » ne dit pas quoi faire.
• Vérifiez une fois par an les réponses des questions ci-dessus : les moteurs, les sous-traitants et les conditions changent plus vite que les contrats.

Enfin, un mot sur les textes. La protection des données relève de la loi fédérale sur la protection des données, et du règlement européen lorsque des personnes concernées de l'Union sont en cause ; le secret professionnel de l'avocat relève quant à lui du droit pénal fédéral et de la réglementation professionnelle. Ces cadres ne se substituent pas les uns aux autres et leur application à un outil donné dépend des circonstances. Le présent article décrit une pratique de prudence ; il ne remplace pas l'avis de votre responsable conformité ou de votre ordre professionnel.