Héberger ses données en France : RGPD, Cloud Act et cloud souverain
Héberger ses données en France ne suffit pas, à lui seul, à les protéger de lois étrangères : ce qui compte aussi, c’est le droit auquel est soumis votre hébergeur. Un fournisseur américain qui stocke vos fichiers à Paris reste concerné par le Cloud Act ; un hébergeur français ou européen, dont la maison mère est en Europe, ne l’est pas de la même façon. Voici ce que disent le RGPD, le Cloud Act et la qualification SecNumCloud, et les questions à poser avant de signer.
1. Localisation des données et nationalité de l’hébergeur : deux questions différentes
Quand on parle d’« hébergement en France », on mélange souvent deux choses :
- La localisation des données : dans quel pays se trouvent physiquement les serveurs (le datacenter, ou centre de données) qui stockent vos fichiers, vos sauvegardes ou votre site.
- Le droit applicable au fournisseur : dans quel pays est établie la société qui exploite ces serveurs, et surtout sa maison mère.
Les grands fournisseurs américains ouvrent des centres de données en France et en Europe. Vos données y sont bien stockées en France, mais l’entreprise qui les gère reste une société de droit américain, ou la filiale d’une telle société. C’est là qu’intervient le Cloud Act.
2. Le Cloud Act : une loi américaine à portée extraterritoriale
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en 2018. Elle permet aux autorités américaines, dans le cadre d’une procédure judiciaire, d’exiger d’un fournisseur de services soumis au droit américain qu’il communique les données qu’il détient ou contrôle, y compris lorsque ces données sont stockées hors des États-Unis.
Concrètement, un fournisseur américain peut être contraint de transmettre des données hébergées dans un centre de données parisien. C’est précisément ce risque que vise la qualification SecNumCloud : selon l’ANSSI, elle protège les données sensibles à la fois contre la cybercriminalité et contre l’application de lois extraterritoriales comme le Cloud Act.
Pour une PME, il ne s’agit pas de dramatiser : la plupart des entreprises ne seront jamais concernées par une telle demande. Mais si vous traitez des données sensibles (santé, défense, recherche, marchés publics) ou si un client l’exige dans un contrat, la question doit être posée.
3. Le RGPD et les transferts de données hors de l’Union européenne
Le RGPD (Règlement général sur la protection des données) encadre les transferts de données personnelles vers un pays situé hors de l’Union européenne et de l’Espace économique européen. Comme le rappelle la CNIL, un tel transfert n’est possible que s’il s’appuie sur un outil prévu par le règlement :
| Outil de transfert | En pratique |
|---|---|
| Décision d’adéquation de la Commission européenne | Le pays est jugé offrant une protection équivalente ; le transfert est libre. |
| Clauses contractuelles types | Clauses rédigées par la Commission, signées entre l’exportateur et l’importateur des données. |
| Règles d’entreprise contraignantes (BCR) | Règles internes à un groupe international, approuvées par une autorité de protection des données. |
| Dérogations | Cas particuliers et limités (consentement explicite, exécution d’un contrat…). |
Pour les États-Unis, la décision d’adéquation en vigueur est le Data Privacy Framework (cadre de protection des données UE–États-Unis), adopté par la Commission européenne le 10 juillet 2023. Elle ne couvre que les entreprises américaines qui y ont adhéré. Elle a déjà été contestée : le Tribunal de l’Union européenne a rejeté un recours en annulation le 3 septembre 2025, et un pourvoi a été formé devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P, publiée au Journal officiel de l’UE). En octobre 2026, ce cadre s’applique donc, mais son avenir dépend de cette procédure ; ses deux prédécesseurs, le Safe Harbor et le Privacy Shield, avaient été invalidés par la Cour de justice.
Un point important : même quand vos données restent en France, le recours à un sous-traitant soumis au droit américain peut constituer un transfert si ce dernier y accède depuis les États-Unis (support, maintenance, administration). C’est pourquoi la liste des sous-traitants compte autant que l’adresse du centre de données.
4. SecNumCloud : la qualification du « cloud de confiance »
SecNumCloud est la qualification délivrée par l’ANSSI (l’Agence nationale de la sécurité des systèmes d’information) aux offres cloud qui respectent son référentiel d’exigences, à la fois techniques (sécurité) et juridiques (protection contre les lois extraterritoriales). C’est aujourd’hui le niveau le plus exigeant en France pour un service cloud.
Nous avons détaillé, dans notre article sur l’hébergement chez OVHcloud, ce que cette qualification apporte et dans quels cas une PME en a réellement besoin. Retenez l’essentiel : SecNumCloud vise d’abord les administrations et les données sensibles. Pour la plupart des PME, un hébergeur européen, avec des données en France et un contrat clair, répond déjà au besoin.
5. Les questions à poser à votre hébergeur
Avant de confier vos serveurs, votre site ou vos sauvegardes à un prestataire, posez-lui ces questions et demandez des réponses écrites :
- Où sont stockées mes données ? Dans quel pays, quelle région, quels centres de données, y compris pour les sauvegardes et les copies de secours.
- Où est établie votre maison mère ? Une filiale française d’un groupe américain reste exposée au Cloud Act.
- Qui sont vos sous-traitants, et où sont-ils ? Support technique, infogérance, outils de supervision : chacun peut accéder à vos données. Le RGPD impose d’ailleurs un contrat de sous-traitance (article 28) qui encadre ces accès.
- Vos offres sont-elles qualifiées SecNumCloud ? Utile seulement si vous en avez besoin, mais révélateur du niveau d’exigence du fournisseur.
- Comment récupérer mes données en fin de contrat ? C’est la réversibilité : formats d’export, délais, coûts éventuels de sortie, suppression effective des données.
- Que se passe-t-il en cas d’incident ? Sauvegardes, plan de reprise, délais de notification d’une violation de données.
La réversibilité est souvent oubliée. Pourtant, un hébergement dont on ne peut pas sortir simplement devient une dépendance. Pensez aussi à vos propres sauvegardes : notre article sur l’importance de la sauvegarde des données explique pourquoi garder une copie hors de chez votre hébergeur principal.
6. OVHcloud : l’exemple d’un hébergeur français
OVHcloud illustre bien ce que recouvre un hébergeur « souverain » au sens courant : une société française, qui exploite ses propres centres de données, dont plusieurs en France, et propose des offres qualifiées SecNumCloud. Vos données y sont stockées en France et le fournisseur relève du droit français et européen.
Ce n’est pas le seul acteur européen, et un hébergeur français ne dispense pas de vérifier le contrat, les sous-traitants et les sauvegardes. Mais pour une PME qui veut garder la maîtrise de ses données sans complexité excessive, c’est une option cohérente. Pour comparer avec un géant américain, consultez notre article OVH ou AWS : choisir son hébergeur.
Questions fréquentes
Des données hébergées en France sont-elles protégées du Cloud Act ?
Pas forcément. Le Cloud Act s’applique aux fournisseurs soumis au droit américain, où que soient stockées les données. Des données hébergées à Paris par la filiale d’un groupe américain peuvent donc être concernées ; c’est la nationalité du fournisseur et de sa maison mère qui fait la différence.
Peut-on encore utiliser un service américain en respectant le RGPD ?
Oui, à condition que le transfert repose sur un outil prévu par le RGPD, par exemple le Data Privacy Framework si l’entreprise américaine y a adhéré, ou des clauses contractuelles types. En octobre 2026, ce cadre est en vigueur, mais un pourvoi est pendant devant la Cour de justice de l’Union européenne.
Ma PME a-t-elle besoin d’un hébergeur qualifié SecNumCloud ?
Rarement. Cette qualification est surtout exigée pour des données sensibles ou par certains clients publics. Pour la plupart des PME, un hébergeur européen avec des données en France, un contrat de sous-traitance clair et des sauvegardes externes suffit.
Qu’est-ce que la réversibilité d’un hébergement ?
C’est la possibilité de récupérer l’ensemble de vos données, dans un format exploitable, et de changer de prestataire à la fin du contrat. Elle doit être prévue par écrit : formats, délais, coûts éventuels et suppression des données chez l’ancien hébergeur.
Choisir un hébergement en France avec ITAK IT
Héberger ses données en France, c’est d’abord choisir un fournisseur dont vous connaissez la localisation, la maison mère, les sous-traitants et les conditions de sortie. Chez ITAK IT, nous concevons, migrons et infogérons des hébergements pour les TPE et PME d’Île-de-France, notamment chez OVHcloud. Découvrez notre offre d’hébergement cloud ou contactez-nous pour faire le point sur l’hébergement de vos données.
