Héberger vos données en France change une chose précise : la juridiction qui s'applique en premier lieu à l'hébergeur et la facilité avec laquelle vous pouvez faire valoir vos droits en cas de litige. Cela ne change en revanche rien à vos obligations de sécurité, ni au fait que votre protection dépend d'abord de la façon dont vos comptes et vos accès sont gérés. Beaucoup de dirigeants abordent ce sujet en croyant qu'il s'agit d'un interrupteur de conformité alors qu'il s'agit d'un critère parmi d'autres, important dans certains secteurs et secondaire dans beaucoup d'autres.
En résumé
- Localisation physique des données et droit applicable à l'hébergeur sont deux questions différentes qu'il faut poser séparément.
- Le RGPD s'applique à votre traitement dès lors que vous êtes établi en Europe, quelle que soit la nationalité du prestataire.
- Un hébergement en France ne vous dispense d'aucune obligation de sécurité, de sauvegarde ou de gestion des accès.
- Le sujet devient structurant pour les données de santé, certains marchés publics et les secteurs réglementés.
- Les questions utiles à poser portent sur la localisation, la chaîne de sous-traitance, la détention des clés et la réversibilité.
Deux questions que l'on confond systématiquement
La première question est physique : dans quel pays se trouvent les serveurs qui contiennent vos fichiers, vos courriels et vos sauvegardes. C'est la plus simple à obtenir, et la plupart des fournisseurs sérieux la documentent, y compris les grands acteurs internationaux qui disposent de centres de données en Europe.
La seconde question est juridique : à quel droit est soumise l'entreprise qui exploite ces serveurs, et par extension quelles autorités peuvent lui adresser une demande d'accès. Une filiale européenne appartenant à un groupe extra-européen peut se voir appliquer des règles issues du droit de sa maison mère, indépendamment de l'emplacement du matériel. Ce point est au coeur du débat sur la souveraineté, et il ne se résout pas en regardant une carte de centres de données.
Ces deux questions ne se recouvrent pas. Un hébergement dans un centre de données situé à Roubaix ou à Marseille peut relever d'une société soumise à un droit étranger, et à l'inverse une société française peut sous-traiter une partie de son infrastructure hors de France. D'où l'intérêt de demander les deux réponses, par écrit.
Ce que la localisation change réellement
Le premier effet est pratique : la latence et la qualité de service pour des utilisateurs situés en France, ce qui compte surtout pour des applications interactives ou des transferts de gros volumes.
Le deuxième est contractuel : un litige avec un prestataire soumis au droit français se règle devant des juridictions françaises, avec un contrat en français et des délais que votre conseil habituel sait apprécier. Ce n'est pas un détail quand un service tombe et que vous cherchez un levier.
Le troisième est réglementaire, et il concerne des cas précis. Les données de santé à caractère personnel relèvent d'un cadre d'hébergement certifié spécifique. Certains marchés publics et certaines relations avec des donneurs d'ordre du secteur de la défense imposent des qualifications particulières. Si vous êtes dans l'un de ces cas, le sujet n'est plus une préférence mais une condition d'accès au marché.
Ce que la localisation ne change pas
Un serveur situé en France n'empêche pas un salarié de se faire dérober son mot de passe, ne sauvegarde pas vos données à votre place, ne détecte pas un rançongiciel et ne vous prévient pas qu'un ancien collaborateur a conservé un accès. La très grande majorité des incidents que rencontrent les PME relèvent de ces situations, et aucune n'a de rapport avec la nationalité de l'hébergeur.
Le RGPD, de son côté, s'applique à votre traitement parce que vous êtes responsable de traitement établi en Europe. Vos obligations d'information, de minimisation, de durée de conservation et de sécurité existent quelle que soit l'adresse de vos serveurs. La CNIL publie sur cnil.fr des repères clairs sur ces obligations et sur les transferts hors de l'Union européenne.
Enfin, choisir un fournisseur français ne vous exonère pas de vérifier ses pratiques. Un hébergeur national mal sécurisé ou sans plan de reprise vous exposera davantage qu'un acteur international rigoureux. La souveraineté est un critère de gouvernance, pas un label de qualité technique.
| Sujet | Ce que règle un hébergement en France | Ce qui reste à votre charge | Qui doit s'en occuper |
|---|---|---|---|
| Accès aux données par un tiers | Réduit l'exposition à des demandes extra-européennes | Contrôler qui, chez vous, accède à quoi | Direction avec appui du prestataire |
| Conformité RGPD | Simplifie la question des transferts hors Union européenne | Registre, durées de conservation, information des personnes | Responsable désigné en interne |
| Sécurité opérationnelle | Rien par elle-même | Mots de passe, double authentification, mises à jour | Prestataire informatique |
| Continuité d'activité | Rien par elle-même | Sauvegardes testées et procédure de reprise | Prestataire avec validation de la direction |
| Sortie du fournisseur | Facilite le recours juridique en cas de litige | Format d'export et délai de restitution négociés | Direction, au moment du contrat |
Les quatre questions à poser à votre fournisseur
Où sont mes données, précisément
Demandez le pays et, si possible, la région des centres de données pour les données actives et pour les sauvegardes. Ces deux emplacements diffèrent parfois. Faites préciser également si des copies transitent ailleurs pour des besoins techniques, comme l'analyse antivirus ou l'indexation.
Quelle est la chaîne de sous-traitance
Un fournisseur s'appuie presque toujours sur d'autres acteurs. Le RGPD impose que cette chaîne soit documentée et que vous en soyez informé. La liste des sous-traitants ultérieurs doit être disponible sur simple demande.
Qui détient les clés de chiffrement
Le chiffrement au repos est devenu standard, mais il ne protège que si les clés ne sont pas détenues par la même partie que celle qui pourrait être contrainte de fournir les données. Demandez si vous pouvez conserver la maîtrise de vos clés et ce que cela implique en cas de perte.
Comment je récupère mes données si je pars
La réversibilité est la clause la plus souvent oubliée et la plus utile. Faites inscrire le format d'export, le délai de mise à disposition, la durée pendant laquelle vos données restent accessibles après la fin du contrat et la date de leur suppression définitive. Ce point rejoint ce que nous détaillons sur les contrats d'infogérance.
Comment intégrer ce critère à une décision
Traitez la souveraineté comme un critère parmi cinq ou six, avec un poids qui dépend de votre secteur. Pour un cabinet de conseil, une entreprise du bâtiment ou un commerce de gros, elle pèsera moins que la qualité du support et que la solidité des sauvegardes. Pour un acteur de la santé, un sous-traitant industriel de la défense ou un organisme public, elle devient éliminatoire.
Dans tous les cas, écrivez vos exigences avant de consulter, et non après avoir reçu les propositions. Les repères publics destinés aux entreprises sont accessibles sur economie.gouv.fr, et un prestataire habitué à ces sujets saura vous dire en quelques minutes si votre activité relève d'un cadre particulier. Vous pouvez consulter plusieurs prestataires informatiques près de chez vous ou partir du classement national pour construire votre liste. Les enjeux de protection des accès qui accompagnent toujours cette réflexion sont abordés dans nos contenus de cybersécurité.
