Où sont réellement stockées vos données ? La question, longtemps secondaire, est devenue stratégique. Le cloud souverain répond aux enjeux de...
La question de savoir où sont stockées les données d'une entreprise est longtemps restée technique. Elle est devenue contractuelle et juridique. Deux raisons expliquent ce basculement : la multiplication des exigences de conformité, et la prise de conscience qu'un hébergeur peut être soumis à des lois étrangères qui s'appliquent à des données pourtant physiquement situées en France.
C'est la confusion la plus répandue, et les argumentaires commerciaux l'entretiennent volontiers. Un fournisseur peut héberger vos données dans un centre de données parisien tout en étant une société de droit américain. Dans ce cas, certaines législations extraterritoriales permettent aux autorités de son pays d'origine de réclamer l'accès à ces données, indépendamment de leur emplacement physique. La localisation géographique répond à une question de latence, parfois de conformité contractuelle ; elle ne répond pas à la question de savoir qui peut légalement exiger l'accès.
La souveraineté, elle, se juge sur trois éléments : le droit applicable au contrat, la nationalité de la société qui exploite le service, et la maîtrise des clés de chiffrement. Ce dernier point est le plus opérationnel et le moins discuté. Lorsque l'entreprise détient elle-même les clés, une demande adressée à l'hébergeur ne donne accès qu'à des données illisibles. Lorsque le fournisseur les détient, le chiffrement protège contre le vol de disques, pas contre une réquisition légale.
Il existe enfin une dimension que les entreprises découvrent tardivement : la dépendance opérationnelle. Un service dont on ne peut pas sortir n'est pas souverain, même hébergé en France. Si les données sont enfermées dans un format propriétaire, si l'export coûte des dizaines de milliers d'euros, ou si aucun concurrent ne peut reprendre le service, le choix initial devient irréversible. La souveraineté se mesure aussi à la facilité avec laquelle on peut partir.
Un dernier critère, rarement examiné, achève de distinguer les deux notions : la chaîne de sous-traitance. Un hébergeur français peut confier sa supervision, sa sauvegarde ou son support à des prestataires établis ailleurs, avec des accès techniques étendus. Le contrat principal ne le mentionne pas toujours, alors que le RGPD impose de connaître ces sous-traitants ultérieurs. La question mérite d’être posée explicitement, avec la liste à jour et l’engagement d’être informé en cas de changement.
Ce que cela change en pratique pour une PME
Toutes les données ne méritent pas le même niveau d'exigence, et vouloir tout traiter au même niveau conduit à ne rien faire, faute de budget. La démarche utile consiste à classer sommairement, en une demi-journée : les données publiques ou peu sensibles, les données courantes de l'entreprise, et les données réellement sensibles — santé, données bancaires, secrets industriels, informations couvertes par le secret professionnel.
Pour la première catégorie, la question ne se pose guère et un service grand public bien configuré suffit. Pour la deuxième, un hébergement européen avec un contrat clair répond dans la grande majorité des cas. Pour la troisième, l'exigence monte nettement : hébergeur de droit européen, chiffrement dont l'entreprise garde la maîtrise, et pour les données de santé, un hébergement certifié HDS qui n'est pas une option de confort mais une obligation légale.
Un point pratique mérite d'être vérifié systématiquement : les sauvegardes. Il arrive fréquemment que les données de production soient hébergées en France tandis que les copies de sauvegarde partent ailleurs, ce qui vide l'engagement de sa substance. La même vigilance vaut pour les services annexes — outil de support, moteur de recherche interne, service de messagerie transactionnelle — qui traitent souvent les mêmes données sans figurer au contrat principal. La question à poser au fournisseur est précise : où sont stockées les sauvegardes et les données confiées aux sous-traitants, et sous quel droit.
Cette classification a un avantage secondaire souvent décisif : elle permet de répondre aux questionnaires de vos propres clients. Les grands comptes et les acteurs publics interrogent de plus en plus leurs fournisseurs sur la localisation et la protection des données qu’ils leur confient. Une PME capable de répondre en une page, chiffres et contrats à l’appui, gagne du temps commercial et parfois des marchés que ses concurrents perdent faute de documentation.
Quatre questions écrites suffisent à éclairer un contrat, et le fait de les poser par écrit a une vertu en soi : elle oblige le fournisseur à s'engager. Dans quel pays sont hébergées les données de production et les sauvegardes ? Quelle est la nationalité de la société signataire et quel droit régit le contrat ? Qui détient les clés de chiffrement et l'entreprise peut-elle les gérer elle-même ? Enfin, quelles sont les modalités de réversibilité : comment récupérer l'intégralité des données en cas de changement de fournisseur, dans quel format, dans quel délai et à quel coût ?
Cette dernière question est celle qui révèle le plus. Un fournisseur qui répond précisément sur la réversibilité, en citant un format standard et un délai, est un fournisseur avec lequel on peut travailler. Un fournisseur qui reste vague mérite une réponse écrite avant signature, car c'est au moment de partir que la question se posera, dans un rapport de force défavorable. Il est utile d'ajouter au contrat une clause de restitution précisant le format et le délai, ainsi qu'un test d'export effectué une fois par an.
Chez TICLIC, nous aidons les PME d'Île-de-France à classer leurs données et à choisir un hébergement proportionné à leur sensibilité réelle, sans surenchère inutile ni angoisse mal placée. Un diagnostic gratuit permet de faire le point sur vos hébergements actuels, sur les clauses de vos contrats et sur les sous-traitants qui manipulent vos données sans que vous le sachiez.