Héberger ses données en France protège contre une seule chose : le transfert physique hors du territoire. Ce n’est pas rien, et ce n’est pas ce qui décide du reste. Le niveau réel de protection dépend de deux éléments que la localisation ne dit pas : à quel droit votre prestataire est soumis, et qui peut techniquement lire vos données.
Avec l’arrivée de plusieurs gigawatts de capacité dans la région, l’argument « c’est hébergé chez nous » va être servi partout. Il mérite d’être démonté, y compris quand il joue en notre faveur.
Trois couches, souvent confondues en une seule
La souveraineté d’un hébergement se décompose en trois questions indépendantes.
Où sont les machines. C’est la couche visible, la seule qu’un plan de salle démontre. Elle règle des sujets réels : latence, empreinte carbone, résilience réseau. Elle ne règle aucune question juridique.
À quel droit le prestataire est soumis. Une filiale française d’un groupe américain reste dans le périmètre du CLOUD Act de 2018, qui permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur juridiction la communication de données qu’il détient, quel que soit le pays où elles sont stockées. Le bâtiment est à Roubaix, l’obligation légale suit la maison mère.
Qui détient les clés. C’est la couche décisive et la moins regardée. La CNIL a publié en janvier 2024 deux fiches pratiques sur le chiffrement dans le cloud qui distinguent chiffrement au repos, en transit et de bout en bout, et pointent l’effet du mode de gestion des clés sur la dépendance au fournisseur. Un chiffrement dont le prestataire détient les clés protège des tiers, pas du prestataire.
Ce que la localisation apporte réellement mérite d’être dit, car ce n’est pas négligeable : une latence maîtrisée, un interlocuteur au même fuseau horaire, et un bilan carbone défendable, l’électricité française étant décarbonée à plus de 95 % selon RTE. Ce sont de bons arguments. Ce ne sont pas des arguments de souveraineté.
Le cadre juridique n’est pas stable, et c’est le vrai risque
Beaucoup d’entreprises raisonnent comme si la question des transferts vers les États-Unis était réglée. Elle l’est, à ce jour, et de façon révisable. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025, dans l’affaire T-553/23, le recours en annulation de la décision d’adéquation qui fonde le Data Privacy Framework. Le cadre reste donc valide, avec un pourvoi possible devant la Cour de justice.
C’est la troisième construction juridique en quinze ans après le Safe Harbor et le Privacy Shield, tous deux annulés. Une architecture qui ne survit que si une décision d’adéquation tient n’est pas une architecture, c’est un pari. La bonne question n’est pas « est-ce légal aujourd’hui » mais « que se passe-t-il pour mes traitements si l’adéquation tombe dans dix-huit mois ».
Une précision qui évite beaucoup de confusions : le RGPD et la souveraineté ne traitent pas du même risque. Le premier encadre le traitement des données personnelles et se satisfait d’un cadre de transfert valide. La souveraineté, elle, concerne aussi vos secrets industriels, vos contrats et vos prix, qui ne sont pas des données personnelles et qu’aucune décision d’adéquation ne protège. Une entreprise parfaitement conforme au RGPD peut avoir exposé l’intégralité de sa politique tarifaire.
Sur la troisième couche, deux modèles existent : les clés gérées par le fournisseur, confortables et sans réelle barrière, et les clés détenues par le client, dans un module externe que le fournisseur ne peut pas lire. Le second protège vraiment, et il se paie : perte de fonctionnalités serveur, indexation et recherche dégradées, et une responsabilité entière sur la gestion des clés. Perdre une clé, c’est perdre les données. Ce choix se fait par classe de données, jamais globalement.
Ce que SecNumCloud change, et ce qu’il coûte
SecNumCloud est le référentiel d’exigences de l’ANSSI pour les prestataires d’informatique en nuage. Il ne se limite pas à la sécurité technique : il impose des critères sur le siège social, l’actionnariat et l’immunité aux lois extraterritoriales. C’est le seul dispositif français qui traite la deuxième couche, celle du droit applicable.
Son adoption reste étroite. L’ANSSI recense 17 projets de qualification que les prestataires ont accepté de rendre publics, très majoritairement français, essentiellement en infrastructure. Autrement dit : la qualification existe, le catalogue de services qu’elle couvre est sans commune mesure avec celui d’un fournisseur mondial. Prétendre l’inverse serait malhonnête.
Notre lecture : SecNumCloud se justifie pour les traitements sensibles et les données réglementées, pas pour l’intégralité d’un système d’information. Un projet qui exige la qualification partout se paie en fonctionnalités absentes et en délais.
Héberger ses données en France : les questions à poser avant de signer
Quatre questions suffisent à trier un discours commercial.
- Quelle est la nationalité du capital et du siège du prestataire, pas du data center ? La réponse est publique, elle prend deux minutes à vérifier.
- Qui génère et détient les clés de chiffrement, et où ? Si la réponse est « nous, pour vous simplifier la vie », vous connaissez le niveau de protection.
- Quelles données partent réellement ? Les journaux, les métadonnées, les sauvegardes et les outils d’administration sortent souvent du périmètre que l’on croit avoir défini.
- Que coûte la sortie ? La réversibilité se négocie avant la signature. Après, elle se subit, et elle est chère.
Notre position
Nous ne vendons ni hébergement ni qualification, ce qui nous rend plutôt libres sur le sujet. Ce que nous constatons chez nos clients, c’est que la souveraineté est presque toujours abordée comme un choix de fournisseur, alors que c’est d’abord un travail de classification. Tant que les données ne sont pas triées par sensibilité, aucun arbitrage d’hébergement n’est possible : on applique le régime le plus strict partout, donc on le contourne partout.
La démarche utile tient en trois temps : classer, décider où chaque classe peut vivre, puis choisir les fournisseurs. Dans cet ordre. C’est moins spectaculaire qu’une annonce à plusieurs milliards, et c’est ce qui décide vraiment de votre exposition. L’arrivée des grands data centers régionaux, que nous avons analysée dans 45 milliards de data centers dans la région, ne modifie aucune de ces trois étapes.
Et une chose n’a pas changé : le premier levier sur une infrastructure reste l’usage, pas la localisation, comme dans reprendre la main sur sa facture cloud. Si vous voulez faire ce tri, notre pôle infrastructure le fait en quelques semaines, et nous en parlons volontiers avant même qu’il y ait un projet.
Questions fréquentes
Héberger ses données en France protège-t-il du CLOUD Act ?
Non, pas en soi. Le CLOUD Act, adopté aux États-Unis en 2018, s’applique aux fournisseurs soumis à la juridiction américaine, y compris pour des données stockées à l’étranger. Une filiale française d’un groupe américain hébergeant en France reste donc dans son périmètre. Seule une structure dont le capital, le siège et la gouvernance échappent à cette juridiction, condition posée par le référentiel SecNumCloud de l’ANSSI, traite ce risque.
Le Data Privacy Framework est-il toujours valide en 2026 ?
Oui. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025, dans l’affaire T-553/23, le recours demandant l’annulation de la décision d’adéquation. Le cadre reste applicable, et un pourvoi devant la Cour de justice de l’Union européenne demeure possible. Compte tenu de l’annulation des deux dispositifs précédents, le Safe Harbor et le Privacy Shield, il est prudent de prévoir ce qu’on ferait si celui-ci tombait.
Faut-il exiger SecNumCloud pour tous ses services ?
Rarement. La qualification SecNumCloud de l’ANSSI traite la question du droit applicable, mais le catalogue de services qualifiés reste limité : l’ANSSI recense 17 projets de qualification rendus publics, majoritairement en infrastructure. Une exigence uniforme se paie en fonctionnalités manquantes et en délais. L’approche réaliste consiste à classer les données par sensibilité et à réserver la qualification aux traitements qui le justifient.
Sources
- ANSSI, Prestataires de services d’informatique en nuage (SecNumCloud), consulté en septembre 2026
- ANSSI, Référentiel d’exigences SecNumCloud v3.2
- Tribunal de l’Union européenne, Philippe Latombe contre Commission européenne, affaire T-553/23, 3 septembre 2025
- RTE, Les data centers en chiffres clés, mai 2026
- CNIL, Informatique en nuage : deux fiches pratiques sur le chiffrement et la sécurité des données, janvier 2024
