Le choix d’une solution Cloud souveraine engage bien plus que l’adresse d’un datacenter. Un hébergement en France ou dans l’Union européenne réduit certains risques de transfert, mais il ne détermine ni le droit applicable au prestataire ni les pouvoirs d’accès dont il peut relever.
La souveraineté des données repose sur un contrôle juridique, technique et opérationnel vérifiable. Pour les données personnelles, le Règlement général sur la protection des données (RGPD) impose aussi un cadre contractuel précis entre le responsable de traitement et son sous-traitant.
Choisir une solution Cloud souveraine exige des preuves juridiques, techniques et contractuelles.
- Un droit applicable maîtrisé, une exploitation traçable et des clés de chiffrement sous contrôle renforcent la protection des données.
- Les certifications, le plan de reprise d’activité et les clauses de réversibilité permettent d’évaluer la sécurité dans la durée.
- L’hébergement des données en France ne neutralise pas, à lui seul, les demandes fondées sur des lois extraterritoriales.
- Une conformité déclarée sans périmètre de certification, sans liste des sous-traitants ni test de reprise reste difficile à vérifier.
Le droit applicable au prestataire détermine l’exposition aux lois extraterritoriales
La résidence des données décrit le pays où elles sont stockées. Elle ne suffit pas à établir le cadre juridique qui s’impose à l’entreprise qui les administre. Il faut identifier son siège, sa maison mère, ses entités de contrôle et les juridictions auxquelles elle est soumise. Cette vérification porte aussi sur les opérateurs qui assurent le support, l’infogérance ou l’accès à distance.
Le Cloud Act américain peut imposer à certains fournisseurs relevant de la juridiction des États-Unis de produire des données qu’ils détiennent, contrôlent ou conservent, y compris lorsqu’elles sont stockées hors du territoire américain. La section 702 de la Foreign Intelligence Surveillance Act (FISA) vise, pour sa part, la collecte de renseignements étrangers auprès de fournisseurs de services de communications électroniques relevant de cette juridiction. Ces textes ne signifient pas qu’un accès se produit systématiquement. Ils imposent d’évaluer le risque de droit applicable et les garanties offertes.
La Commission nationale de l’informatique et des libertés (CNIL) rappelle que le transfert de données vers un pays tiers suppose un mécanisme prévu par le RGPD et, selon le cas, des garanties complémentaires. Une gouvernance française ou européenne peut simplifier cette analyse. Elle doit être confirmée par des documents sur l’actionnariat, le contrôle effectif et les sous-traitants.
Avant de comparer les offres, il convient donc de séparer trois notions. Un cloud conforme au RGPD traite les données selon les obligations européennes. Un cloud souverain vise un contrôle autonome des données, des opérations et du droit applicable. Le cloud de confiance renvoie, dans le référentiel de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), à un niveau d’exigence reposant sur la qualification SecNumCloud.
Exemple d’offre
L’examen d’une offre doit partir de faits contrôlables et non d’une appellation commerciale. Selon Free Pro, la solution Cloud souveraine s’appuie sur 12 datacenters en France, avec des données hébergées en France et l’application du droit français. Elle mentionne les certifications ISO 27001 et HDS, sans se présenter comme qualifiée SecNumCloud.
Son périmètre inclut un Cloud privé en libre-service facturé à l’usage, un plan de reprise d’activité multi-régions, un stockage objet S3 sur trois sites et un support disponible 24 h/24. Ces éléments donnent des points de contrôle concrets. Ils ne dispensent pas de demander le périmètre exact des certifications, les responsabilités contractuelles et les modalités de gestion des accès.
La qualification SecNumCloud apporte un niveau d’exigence vérifié par l’ANSSI
La qualification SecNumCloud est une qualification de sécurité délivrée par l’ANSSI pour des offres de services d’informatique en nuage. Elle ne se résume pas à un audit ponctuel. Le référentiel couvre l’organisation du prestataire, la protection des données, l’exploitation, la gestion des accès, la continuité et les conditions de souveraineté.
Une qualification doit toujours être lue avec son périmètre. Elle concerne une offre identifiée, des services précis et des versions définies. Un prestataire peut disposer d’activités qualifiées sans que tous ses services le soient. La preuve attendue est donc le document de qualification à jour, avec le nom exact du service évalué.
SecNumCloud n’est pas une obligation générale du RGPD. Le référentiel constitue toutefois un repère utile pour les administrations, les opérateurs d’importance vitale et les organisations qui traitent des données sensibles ou stratégiques. Lorsqu’une offre ne relève pas de cette qualification, l’analyse doit s’appuyer davantage sur les preuves techniques, les contrats et les audits disponibles.
Les certifications ISO 27001 et HDS précisent le niveau de sécurité du Cloud
La norme ISO/IEC 27001 encadre un système de management de la sécurité de l’information. Elle exige une démarche de gestion des risques, des procédures de contrôle et une amélioration continue. Le certificat ne prouve pas que chaque service est exempt de faille. Il atteste que l’organisation certifiée applique un système de management sur le périmètre décrit dans le certificat.
L’hébergement de données de santé (HDS) est une certification française obligatoire pour les prestataires qui hébergent certaines données de santé à caractère personnel pour le compte de personnes physiques ou morales. Elle concerne des activités définies par le Code de la santé publique. Pour un établissement de soins, le certificat HDS doit couvrir l’activité réellement confiée au fournisseur, telle que l’hébergement ou l’administration de la plateforme.
La sécurité du Cloud se vérifie donc document par document. Demandez la date de validité, l’organisme certificateur, le périmètre géographique et les services concernés. Un certificat couvrant un site d’hébergement n’apporte pas automatiquement la même assurance sur une console d’administration ou un service de sauvegarde.
| Critère | Question à poser au prestataire | Preuve à demander |
|---|---|---|
| Droit applicable | Quelles entités contrôlent l’offre et de quelles juridictions relèvent-elles ? | Organigramme juridique, clauses de droit applicable et liste des sous-traitants |
| SecNumCloud | Le service précis envisagé est-il qualifié par l’ANSSI ? | Décision de qualification et périmètre officiel du service |
| ISO 27001 et HDS | Quels composants, sites et activités sont inclus dans les certificats ? | Certificats en cours de validité et déclarations de périmètre |
| Localisation et exploitation | Où les données, sauvegardes, journaux et accès d’administration sont-ils traités ? | Cartographie des flux, localisation des sites et procédures d’exploitation |
| Chiffrement | Qui crée, conserve et peut utiliser les clés de chiffrement ? | Politique de gestion des clés, journaux d’accès et schéma d’architecture |
| Contrat et incidents | Comment sont organisées la sous-traitance, la notification et la sortie du service ? | Accord de traitement, procédure d’incident et plan de réversibilité |
| Continuité | Quels objectifs de reprise sont garantis et testés ? | Plan de reprise d’activité, comptes rendus de tests et engagements de service |
L’hébergement et l’exploitation doivent rester traçables de bout en bout
L’hébergement des données en France doit couvrir davantage que les données de production. Les sauvegardes, les copies de secours, les journaux techniques, les métadonnées et les environnements de test peuvent suivre des circuits distincts. Une cartographie des flux permet de repérer ces écarts. Elle doit préciser les pays concernés, les finalités des traitements et les intervenants autorisés.
L’exploitation mérite la même attention. Un datacenter local n’empêche pas une intervention depuis l’étranger si les équipes de support ou d’administration disposent d’un accès distant. Le fournisseur doit être en mesure d’expliquer la localisation de ses équipes, les plages d’accès, le processus d’habilitation et la journalisation des actions sensibles.
Le cloud hybride associe des ressources internes et des ressources fournies à distance. Il multiplie souvent les interfaces entre systèmes. La cohérence des identités, des droits d’accès et des journaux devient alors aussi déterminante que le lieu de stockage. Une revue trimestrielle des habilitations apporte un contrôle simple et utile.
Le chiffrement et les clés protègent les données lorsqu’ils restent contrôlables
Le chiffrement rend une information lisible inutilisable sans clé cryptographique. Il est attendu pour les données en transit entre l’utilisateur et le service, ainsi que pour les données stockées. Son efficacité dépend toutefois de la façon dont les clés sont créées, conservées, renouvelées et utilisées.
Une gestion centralisée par le fournisseur peut répondre à de nombreux usages. Pour des données très sensibles, l’organisation peut exiger un contrôle plus direct des clés, avec une séparation claire des rôles. Le point décisif est de savoir qui peut techniquement déchiffrer les données et dans quelles circonstances. La réponse doit figurer dans l’architecture et dans les procédures d’exploitation.
Les mécanismes d’authentification forte, de moindre privilège et de journalisation complètent cette protection. L’authentification multifacteur demande au moins deux preuves distinctes d’identité. Le principe du moindre privilège limite chaque compte aux droits nécessaires. Ces mesures réduisent le risque lié au vol d’identifiants et aux erreurs d’administration.
Le contrat RGPD organise la sous-traitance et la réponse aux violations
L’article 28 du RGPD impose un contrat ou un acte juridique entre le responsable de traitement et son sous-traitant. Le document doit définir l’objet, la durée, la nature et la finalité du traitement. Il encadre aussi les catégories de données et les obligations du sous-traitant, comme la confidentialité, la sécurité et l’assistance au client.
La liste des sous-traitants ultérieurs doit être accessible et mise à jour. Le client doit pouvoir être informé d’un changement afin d’exercer son droit d’opposition selon les modalités prévues. Les conditions de retour ou d’effacement des données à la fin du service doivent être précises. La réversibilité des données désigne cette capacité à récupérer des données exploitables et documentées pour changer de prestataire ou réinternaliser un service.
L’article 33 fixe les règles de notification des violations de données à caractère personnel. Le responsable de traitement notifie l’autorité de contrôle dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Le sous-traitant informe le responsable de traitement dans les meilleurs délais après avoir pris connaissance d’une violation. Le contrat doit donc prévoir les canaux d’alerte, les informations transmises et les délais opérationnels.
La continuité d’activité mesure la résilience réelle de la plateforme
La disponibilité annoncée ne suffit pas à juger la capacité de reprise. Un plan de reprise d’activité décrit les moyens de restaurer un service après un sinistre majeur. Il doit identifier les dépendances critiques, les sites de secours, les équipes mobilisées et les procédures de communication.
Deux indicateurs donnent un cadre utile. L’objectif de délai de reprise indique le temps maximal acceptable pour remettre un service en fonctionnement. L’objectif de point de reprise exprime la quantité maximale de données pouvant être perdue, par exemple une heure de transactions. Ces objectifs doivent correspondre aux besoins métier et apparaître dans les engagements de service.
Les tests distinguent un dispositif théorique d’une capacité éprouvée. Un compte rendu peut confirmer la fréquence des exercices, les scénarios testés et les écarts corrigés. Les organisations qui dépendent de plusieurs régions d’hébergement doivent aussi examiner l’indépendance électrique, réseau et opérationnelle des sites concernés.
Selon votre besoin, les priorités changent. Une PME qui traite des données clients cherchera d’abord un contrat RGPD clair, un hébergement documenté et une sortie de service praticable. Une structure de santé vérifiera le périmètre HDS et ses objectifs de reprise. Une ETI exposée à des données industrielles ou stratégiques renforcera l’analyse du droit applicable, du contrôle des clés et de la qualification du service.
Questions fréquentes sur une solution Cloud souveraine
Qu’est-ce qu’un cloud souverain ?
Un cloud souverain est un environnement dont les données, l’exploitation et la gouvernance restent sous un contrôle juridique et opérationnel maîtrisé. La localisation des serveurs compte, mais elle ne suffit pas. Il faut aussi examiner l’actionnariat, le droit applicable, les accès d’administration, les sous-traitants et les modalités de chiffrement.
Quel cloud souverain choisir en France ?
Le choix dépend du niveau de sensibilité des données et des obligations de l’organisation. Il faut comparer le droit applicable, les qualifications ou certifications, la localisation réelle des traitements et les garanties de reprise. Pour un besoin critique, demandez des preuves datées plutôt que de vous fier à la seule mention d’un cloud français.
Quels sont les trois types de cloud ?
Les trois modèles de déploiement sont le cloud public, le cloud privé et le cloud hybride. Le cloud public mutualise des ressources entre plusieurs clients. Le cloud privé réserve l’infrastructure à une organisation. Le cloud hybride combine des ressources privées et publiques, avec des exigences accrues sur les flux, les identités et les accès.
Quelle est la meilleure solution de stockage cloud ?
La meilleure solution est celle dont les garanties correspondent aux données et aux usages concernés. Des données personnelles exigent un accord de sous-traitance conforme au RGPD. Des données de santé imposent de vérifier la certification HDS. Des données stratégiques demandent aussi une analyse du droit applicable et des mécanismes de chiffrement.
Un hébergement en France garantit-il la conformité au RGPD ?
Non, un hébergement français ne garantit pas seul la conformité au RGPD. La conformité dépend aussi de la base légale, de la minimisation des données, des droits des personnes, de la sécurité et du contrat avec le sous-traitant. Les flux vers des équipes ou sous-traitants situés hors de l’Union européenne doivent également être documentés.
Une décision d’hébergement solide repose sur des preuves cohérentes, de la juridiction jusqu’au test de reprise.
- Vérifier le droit applicable et les liens de contrôle du prestataire.
- Exiger les certificats, qualifications et périmètres de service à jour.
- Cartographier les données, les accès d’administration et les sous-traitants.
- Contractualiser la notification d’incident, la reprise et la restitution des données.
