Sommaire
Héberger dans l’UE règle la question de la localisation, pas celle du droit applicable : un fournisseur soumis à une loi étrangère peut être visé par une demande d’accès. Pour des données courantes, une région européenne et un contrat solide suffisent ; pour des données sensibles, privilégiez un hébergeur européen ou qualifié SecNumCloud.
« Nos données sont-elles en France ? » est souvent la première question d’un DSI ou d’un dirigeant. Elle est légitime, mais incomplète. Il faut distinguer trois choses : où sont les serveurs, à quel droit est soumis le fournisseur et quels services tiers reçoivent aussi des données. Voici comment je pose le choix pour une application métier, avec les textes de référence. Cette page ne remplace pas l’avis d’un juriste.
Localisation, droit applicable, sous-traitants : trois questions distinctes
- Où sont les serveurs ? Une région européenne garantit que les données sont stockées dans l’UE. C’est la base.
- À quel droit le fournisseur est-il soumis ? Une entreprise soumise à une loi étrangère à portée extraterritoriale peut recevoir une demande d’accès des autorités de son pays, même pour des données stockées en Europe. C’est précisément le risque que vise le référentiel SecNumCloud de l’ANSSI (voir plus bas).
- Qui d’autre reçoit les données ? Envoi d’e-mails, paiement, signature électronique, supervision, IA : chaque service tiers a sa propre localisation. Le maillon le plus faible fixe le niveau réel.
Exemple concret : Supabase, que j’utilise souvent pour la base de données, propose plusieurs régions dans l’Union européenne, dont Paris et Francfort, à choisir à la création du projet (liste des régions, consultée le 27 octobre 2026). La localisation est donc européenne, mais Supabase est une société américaine : c’est la question 2 qu’il faut alors examiner.
Ce que dit le droit sur les transferts hors UE
Le RGPD n’interdit pas les transferts hors de l’Union européenne : il les encadre (chapitre V). La CNIL résume les outils disponibles dans sa page sur le cadre général des transferts : décision d’adéquation de la Commission européenne, clauses contractuelles types, règles d’entreprise contraignantes.
Pour les États-Unis, la Commission a adopté le 10 juillet 2023 une décision d’adéquation (décision d’exécution (UE) 2023/1795), dite « Data Privacy Framework », qui couvre les entreprises américaines certifiées. Le Tribunal de l’Union européenne a rejeté le recours qui la contestait le 3 septembre 2025 ; un pourvoi a été formé devant la Cour de justice le 31 octobre 2025. Lors de notre relevé (27 octobre 2026), nous n’avons pas trouvé de décision de la Cour sur ce pourvoi. Le cadre précédent, le Privacy Shield, avait été invalidé en 2020 : la stabilité de ces mécanismes n’est pas garantie, ce qui incite à limiter la dépendance quand les données sont sensibles.
Les options d’hébergement
| Option | Localisation | Droit applicable au fournisseur | Pour quelles données | Coût relatif |
|---|---|---|---|---|
| Région européenne d’un fournisseur non européen | UE | Droit du pays d’origine, en plus du droit européen | Données courantes, avec contrat et transferts encadrés | Faible |
| Hébergeur dont le siège est en France ou dans l’UE | UE | Droit européen | Données personnelles courantes et données d’entreprise confidentielles | Faible à moyen |
| Offre qualifiée SecNumCloud | UE | Droit européen exclusivement | Données sensibles, exigences de clients publics ou de grands comptes | Élevé |
| Hébergeur certifié HDS | Selon l’offre | Selon l’offre | Données de santé hébergées pour le compte d’un tiers | Moyen à élevé |
Pour une application métier courante, l’hébergement représente de quelques dizaines à quelques centaines d’euros par an, à la charge du client, sur un compte ouvert à son nom.
SecNumCloud et données de santé
Le référentiel SecNumCloud, créé en 2016 par l’ANSSI, qualifie des offres cloud. D’après la FAQ de l’ANSSI consultée le 27 octobre 2026, il exige notamment que le prestataire soit soumis exclusivement au droit européen, avec des conditions sur le siège, l’actionnariat et l’autonomie d’exploitation et que les données et leur administration restent dans l’UE. L’ANSSI précise que la qualification ne garantit pas la sécurité du service que le client héberge dessus : votre application doit rester bien conçue. La liste des offres qualifiées est publiée sur le site de l’ANSSI.
Pour les données de santé, la France impose une certification d’hébergeur de données de santé (HDS) dans les cas prévus par le code de la santé publique. L’Agence du numérique en santé publie le référentiel et la liste des hébergeurs certifiés.
Comment je choisis l’hébergement avec vous
Au cadrage, je pose quatre questions :
- Quelles données ? Contacts professionnels, données salariés, données de santé, secrets industriels.
- Quelles exigences de vos clients ? Un grand compte ou un acheteur public peut imposer un hébergement européen ou qualifié dans ses appels d’offres.
- Quels services tiers ? Pour chacun, existe-t-il une option européenne ?
- Quelle réversibilité ? Des technologies standard (PostgreSQL, Node.js) permettent de changer d’hébergeur ; la propriété du code et des accès vous revient après paiement complet.
Le résultat est consigné dans le cahier des charges, avec la liste des sous-traitants à inscrire au registre (voir RGPD et application métier).
Quand un hébergement « souverain » n’est pas nécessaire
Je le dis franchement : pour un outil interne qui gère des plannings ou des stocks sans données sensibles, une région européenne d’un grand fournisseur, avec un contrat de sous-traitance et des transferts encadrés, est une réponse proportionnée. Payer une offre qualifiée SecNumCloud n’a de sens que si vos données, vos clients ou votre secteur l’exigent. À l’inverse, si vous manipulez des données sensibles avec un SaaS américain, la page SaaS américain et données sensibles détaille les risques.
Par où commencer
Listez les données que votre futur outil va stocker et les exigences contractuelles de vos principaux clients. Ce sont les deux éléments qui déterminent l’hébergement. L’hébergement et la sauvegarde sont prévus dès le cadrage de toute application métier et l’estimateur vous donne une première fourchette de budget pour le développement.
Questions fréquentes
Héberger dans l’UE coûte-t-il plus cher ?
Pas forcément. Pour une application métier, l’hébergement représente en général de quelques dizaines à quelques centaines d’euros par an et les régions européennes des grands fournisseurs comme les hébergeurs européens se situent dans ces ordres de grandeur. Les offres qualifiées SecNumCloud sont en revanche plus coûteuses.
Peut-on changer d’hébergeur plus tard ?
Oui, si l’application repose sur des technologies standard (PostgreSQL, Node.js) et que vous détenez le code et les accès. La migration demande alors une préparation et une coupure courte. C’est un point à vérifier dans le contrat : la réversibilité ne s’improvise pas.
Les services tiers (e-mails, paiement, IA) comptent-ils aussi ?
Oui. Chaque service qui reçoit des données personnelles est un sous-traitant, avec sa propre localisation et son propre droit applicable. Une application hébergée à Paris qui envoie ses e-mails via un service américain transfère des adresses e-mail hors de l’UE, sauf option européenne.
Faut-il un hébergeur certifié pour des données de santé ?
En France, l’hébergement de données de santé pour le compte d’un tiers relève d’une certification spécifique, dite HDS. Si votre application stocke ce type de données, vérifiez auprès de l’Agence du numérique en santé et de votre juriste quelles exigences s’appliquent à votre cas.