« Pas d'inquiétude, c'est hébergé en Europe » est devenu la réponse réflexe à toute question sur les données. Cela sonne décisif. Ça ne l'est souvent pas. L'hébergement dans l'UE et la conformité au RGPD répondent à une question ; la souveraineté en pose une autre. Les confondre, c'est ainsi que des entreprises se retrouvent surprises de découvrir qui peut atteindre leurs données.
Deux questions différentes
Le RGPD régit la manière dont les données personnelles sont traitées : base légale, consentement, conservation, droits des personnes concernées. Un hyperscaler américain avec une région dans l'UE peut être entièrement adressable au regard du RGPD. C'est un standard réel et utile — mais il porte sur la protection des données, pas sur la juridiction.
La souveraineté pose une question plus brutale : quelles lois, et quels gouvernements, peuvent contraindre l'accès à ces données ? Cela dépend bien moins de l'endroit où se trouvent les octets et bien plus de qui contrôle la société qui les détient.
Pourquoi « hébergé dans l'UE » peut malgré tout signifier une portée étrangère
Lorsque le prestataire est une société américaine, deux textes de droit américain franchissent l'Atlantique, quel que soit le code postal du centre de données :
- Le CLOUD Act, qui contraint les prestataires basés aux États-Unis à produire les données qu'ils contrôlent, où qu'elles soient stockées.
- La section 702 de la FISA, l'autorité de surveillance au cœur de l'arrêt Schrems II qui a invalidé le Privacy Shield.
Ce n'est ni une hypothèse ni un argument anti-américain — c'est simplement la façon dont fonctionne le droit extraterritorial. Une région européenne exploitée par une maison mère américaine réduit certains risques et adresse la résidence au sens du RGPD. Elle ne supprime pas la portée juridique étrangère, car la société mère reste soumise à sa juridiction d'origine.
Ce que la souveraineté exige réellement
Une véritable souveraineté des données a moins à voir avec un drapeau sur une carte qu'avec le contrôle :
- Un prestataire constitué et exploité sous le droit d'une juridiction à laquelle vous faites confiance — pas une filiale d'une société qui n'en relève pas.
- Une infrastructure dont vous détenez le contrat, avec la possibilité de changer de prestataire.
- Le contrôle de vos propres clés de chiffrement, pour que l'accès soit votre décision, pas un réglage par défaut.
- Une documentation et des voies de sortie, pour qu'il n'y ait pas de verrouillage déguisé en fonctionnalité.
Un point universel, pas seulement européen
Il est tentant de lire ceci comme un débat « Europe contre États-Unis ». Ce n'en est pas un. Une entreprise à Zurich, Londres, Oslo ou São Paulo a le même intérêt à savoir qui peut contraindre l'accès à ses données. Le droit et l'infrastructure européens nous donnent justement des outils solides et crédibles pour délivrer la souveraineté — mais le principe selon lequel votre technologie doit rester la vôtre est universel. La question à poser à tout fournisseur n'est pas « est-ce hébergé en Europe ? » mais « quel droit régit la société qui le contrôle, et pouvez-vous partir si nécessaire ? »
Questions fréquentes
- La conformité au RGPD suffit-elle pour des données sensibles ?
- Elle est nécessaire, pas toujours suffisante. Le RGPD régit la manière dont les données personnelles sont traitées ; il n'empêche pas un gouvernement étranger de contraindre un prestataire soumis à ses lois. Pour des données sensibles ou stratégiques, la souveraineté — qui peut contraindre l'accès — est la question supplémentaire à poser.
- « Hébergé dans l'UE » rend-il un cloud américain souverain ?
- Non. L'hébergement dans l'UE satisfait à la résidence des données, mais un prestataire détenu par une société américaine reste soumis au droit américain, tel le CLOUD Act, où que soit le centre de données. Résidence et souveraineté sont des garanties différentes.
- Cela ne concerne-t-il que les entreprises européennes ?
- Pas du tout. Toute entreprise, où qu'elle soit, gagne à savoir quelles lois régissent ses données et si elle peut changer de prestataire. L'outillage européen est un moyen solide d'atteindre la souveraineté, mais le principe s'applique universellement.