Souveraineté informatique et hébergement en France : reprendre la main sur ses données

Vos factures sont dans un logiciel en ligne, vos courriels chez un autre fournisseur, vos fichiers dans un troisième service, et votre site chez un hébergeur dont vous ne savez pas où se trouvent les serveurs. Tant que tout fonctionne, la question ne se pose pas. Elle se pose le jour où un contrat change, où un service ferme, où un contrôle demande où sont les données de vos clients. Voici ce que recouvre la souveraineté informatique, pourquoi l’hébergement en France en est une brique (et seulement une), et comment reprendre la main par étapes. C’est un article de conseil général : il ne décrit pas l’hébergement d’un produit en particulier.

Ce que recouvre la souveraineté informatique

Le mot est large. À l’échelle d’une petite entreprise, je le ramène à trois questions simples :

• Où sont mes données ? Dans quel pays, chez quel hébergeur, avec quels sous-traitants ?
• Qui peut y accéder ? Mon prestataire, ses prestataires, des autorités étrangères dans certains cas ?
• Puis-je partir ? Si je change de prestataire, puis-je récupérer mes données dans un format exploitable, et dans quel délai ?

La souveraineté n’est donc pas un état binaire (« souverain » ou non) mais un degré de maîtrise, qui se mesure service par service.

Les risques d’une dépendance non maîtrisée

• Dépendance commerciale : un tarif, une offre ou des conditions d’utilisation qui changent, sans solution de remplacement prête.
• Dépendance technique : des données dans un format propriétaire, impossibles à exporter proprement.
• Dépendance juridique : des données soumises à un droit qui n’est pas celui que vous croyez.
• Dépendance opérationnelle : une panne ou une fermeture de compte qui paralyse l’activité, sans sauvegarde indépendante.
• Dépendance de connaissance : une configuration que seule une personne ou un prestataire comprend.

Le cadre juridique : RGPD et extraterritorialité

Le règlement général sur la protection des données (RGPD) encadre le traitement des données personnelles des personnes situées dans l’Union européenne. Il impose notamment de savoir qui traite les données, de formaliser la relation avec les sous-traitants et d’encadrer les transferts hors de l’Union.

Un point mérite l’attention : héberger des données dans l’Union européenne n’empêche pas qu’elles soient soumises au droit d’un autre pays si le fournisseur relève lui-même de ce droit. On parle d’extraterritorialité : certaines lois étrangères permettent à leurs autorités de demander des données détenues par une entreprise de leur ressort, y compris quand les serveurs sont situés ailleurs. Pour une donnée particulièrement sensible, la question n’est donc pas seulement « où est le serveur ? » mais aussi « de quel droit relève l’entreprise qui l’exploite ? ». Je ne suis pas juriste : pour un cas précis, un avis spécialisé est nécessaire.

Ce qu’apporte un hébergement en France

• Un cadre juridique lisible : droit français et européen applicable, interlocuteur identifiable, recours en cas de litige.
• Une localisation claire : pas de transfert de données hors de l’Union du seul fait de l’hébergement.
• Une proximité pratique : support dans votre langue et dans votre fuseau horaire.
• Une réponse simple à vos clients : vous savez dire où sont leurs données.

Ce n’est pas une garantie de sécurité. Un serveur en France mal configuré, sans sauvegarde ni mise à jour, est moins protégé qu’un service bien géré ailleurs. La localisation est un critère parmi d’autres.

Critères de choix d’un hébergeur ou d’un service

Critère	Question à poser
Localisation	Dans quels pays sont les serveurs, les sauvegardes et le support ?
Droit applicable	De quel droit relève l’entreprise qui exploite le service ?
Sous-traitants	Qui d’autre accède ou héberge ? La liste est-elle fournie ?
Sauvegardes	Où sont-elles, à quelle fréquence, testées comment ?
Chiffrement	Les données sont-elles chiffrées en transit et au repos ?
Réversibilité	Puis-je exporter mes données, dans quel format, sous quel délai ?
Contrat	Durée, préavis, responsabilité, sort des données à la fin du contrat ?
Durabilité	Quelle est la solidité de l’entreprise ? Que se passe-t-il si elle cesse son activité ?

La réversibilité : le critère qu’on oublie

On choisit un service en regardant ce qu’il fait, rarement ce qu’il permet de quitter. Pourtant, la réversibilité est ce qui rend les autres critères supportables : si je peux partir, un mauvais choix reste réparable. Concrètement, je vérifie trois choses avant de m’engager : un export complet dans un format ouvert (CSV, JSON, SQL, fichiers d’origine), un délai et un coût de sortie connus, et la suppression des données chez l’ancien fournisseur, confirmée par écrit.

Trois cas d’usage

• Un site vitrine : un hébergement mutualisé en France, un nom de domaine enregistré à votre nom, un site statique ou un export du contenu. Peu de données personnelles, une sortie facile.
• Une boutique en ligne : données clients et commandes, donc contrat de sous-traitance, sauvegardes hors du serveur principal et plan de sortie documenté.
• Des outils de gestion (comptabilité, relation client, fichiers partagés) : un inventaire des services, une priorité aux données les plus sensibles, et la vérification que chaque outil permet l’export.

Reprendre la main par étapes

1. Inventorier les services utilisés et les données qu’ils contiennent (un simple tableau suffit).
2. Classer les données par sensibilité : publiques, internes, personnelles, très sensibles.
3. Prioriser : commencer par les données les plus sensibles et les moins réversibles.
4. Sécuriser les sorties : exports réguliers, sauvegardes indépendantes, nom de domaine et comptes à votre nom.
5. Migrer ce qui le justifie, sans tout déplacer d’un coup : un changement par service, avec un retour arrière possible.
6. Documenter : qui a accès à quoi, où sont les sauvegardes, comment sortir.

Trois idées reçues

• « Français veut dire sûr » : non. La localisation répond à une question juridique, pas à une question de protection technique. Il faut vérifier chiffrement, sauvegardes et mises à jour.
• « Le cloud, c’est forcément moins maîtrisé » : pas nécessairement. Un service en ligne bien choisi, avec export complet et contrat clair, peut être plus maîtrisé qu’un serveur mal entretenu dans un placard.
• « Tout héberger soi-même, c’est la souveraineté » : héberger soi-même impose de gérer la sécurité, les sauvegardes et la disponibilité. Pour une petite structure, c’est souvent plus risqué que de confier ces tâches à un professionnel sous contrat.

Questions à poser à votre prestataire actuel

• Où sont stockées mes données principales et mes sauvegardes ?
• Quels sous-traitants interviennent, et dans quels pays ?
• Comment puis-je exporter l’intégralité de mes données, et en combien de temps ?
• Que devient mon contenu si je résilie, et sous quel délai est-il effacé ?
• Qui, chez vous, peut accéder à mes données, et est-ce journalisé ?
• À qui s’adresser en cas d’incident de sécurité, et sous quel délai serai-je prévenu ?

Les réponses, même imparfaites, valent mieux qu’une absence de réponse : elles permettent de classer chaque service dans votre inventaire et de décider ce qui doit changer en premier.

Cas particulier : les données de vos clients

Dès que vous traitez des données personnelles pour vos clients, vous êtes responsable de leur protection, même si un prestataire les héberge. Le RGPD attend alors un contrat de sous-traitance avec chaque prestataire qui y accède, une information claire des personnes concernées et la capacité de répondre à une demande d’accès ou de suppression. Savoir où sont les données n’est donc pas un luxe : c’est la condition pour pouvoir répondre à ces demandes dans les délais.

En résumé

La souveraineté informatique, pour une petite structure, c’est savoir où sont ses données, qui peut y accéder et comment les récupérer. L’hébergement en France y contribue, avec un cadre juridique lisible, mais il ne remplace ni la sécurité, ni les sauvegardes, ni la réversibilité. Pour le volet technique d’un hébergement, lisez aussi nom de domaine, DNS, hébergement : qui fait quoi.