Choisir un hébergeur cloud pour des données potentiellement sensibles revient aujourd’hui à arbitrer entre conformité, coût et fonctionnalités. La question de la souveraineté s’invite dans presque tous les appels d’offres, mais sa réponse n’est pas universelle.
Réponse directe : Le cloud souverain devient un critère décisif lorsque la réglementation l’impose (données de santé, secteur public, données classifiées) ou lorsque la sensibilité des données l’exige. Dans les autres cas, il reste un critère important mais discutable, à mettre en balance avec les coûts et les fonctionnalités disponibles.
Cet article vous aide à distinguer les obligations réelles des arguments commerciaux, et à vérifier concrètement ce que recouvre une offre dite « souveraine » avant de vous engager.
Qu’est-ce que le cloud souverain, concrètement ?
Le cloud souverain désigne une offre d’hébergement dont les données, l’infrastructure et la gouvernance restent soumises au droit d’un État — ici, principalement français ou européen. Il ne s’agit pas uniquement d’un data center situé en France : la notion recouvre aussi la nationalité de l’opérateur, la structure capitalistique, les règles de droit applicables aux contrats et la protection face aux législations extraterritoriales.
À la différence du cloud public classique, souvent opéré par des hyperscalers soumis à des juridictions non européennes, un cloud souverain cherche à garantir que les données ne pourront pas être réquisitionnées ou exploitées en dehors du cadre européen. En France, l’ANSSI a formalisé cette exigence à travers la qualification SecNumCloud, qui permet, selon la page dédiée au cloud publiée par l’ANSSI, de reconnaître des offres cloud « de confiance » destinées à la protection des données sensibles.
Les trois critères caractéristiques
- Localisation : les données et les sauvegardes résident physiquement sur le territoire visé, sans réplication hors UE.
- Contrôle juridique : l’opérateur relève du droit français ou européen et n’est pas exposé aux lois extraterritoriales de type Cloud Act.
- Gouvernance de l’infrastructure : les équipes qui administrent les serveurs sont identifiées, localisées et habilitées.
Cloud souverain ou cloud public : où est la différence ?
Dans un cloud public classique, les données peuvent être transférées ou répliquées en dehors de l’Union européenne pour répondre à des exigences techniques, notamment en matière de résilience ou de performance. À l’inverse, une offre de cloud souverain vise à encadrer strictement ces flux, grâce à des engagements contractuels et à des dispositifs techniques adaptés. La différence repose donc autant sur le cadre juridique et la maîtrise de la chaîne de contrôle que sur la technologie utilisée. C’est dans cette perspective que les expertises numériques du Groupe Asten peuvent accompagner les organisations dans leurs réflexions autour de la souveraineté numérique, en les aidant à identifier les solutions d’hébergement adaptées à leurs exigences de sécurité, de conformité et de maîtrise des données.
Ce que la réglementation française et européenne impose aux entreprises
Avant de trancher sur la nécessité d’une offre souveraine, il faut vérifier ce que la réglementation exige réellement. Deux cadres structurent la décision : le RGPD au niveau européen, et le référentiel HDS pour les données de santé en France.
RGPD : pas de localisation imposée, mais des conditions strictes
Contrairement à une idée répandue, le RGPD n’impose pas que les données personnelles soient hébergées en France. Il encadre en revanche strictement les transferts hors Espace économique européen. Selon le guide de la CNIL sur l’analyse d’impact des transferts, publié dans sa version finale en juillet 2025, « en cas de transfert, les données doivent continuer à bénéficier d’une protection substantiellement équivalente à celle offerte par ce texte ».
Autrement dit, un hébergement en dehors de l’UE n’est pas automatiquement illégal, mais il doit faire l’objet d’une analyse formalisée et de garanties documentées. Pour beaucoup d’entreprises, choisir un hébergeur européen simplifie cette conformité.
Données de santé : le référentiel HDS est obligatoire
Pour les données de santé à caractère personnel, le code de la santé publique impose un hébergement chez un prestataire certifié HDS (Hébergeur de Données de Santé). Cette certification concerne les activités d’hébergement physique, de sauvegarde, d’infogérance et d’administration. Elle est délivrée par des organismes accrédités et porte à la fois sur la sécurité technique et sur l’organisation.
Vérification HDS indispensable : une mention « HDS » sur une plaquette commerciale ne vaut pas certification. Exigez systématiquement le certificat en cours de validité, son périmètre exact et la date d’audit la plus récente.
Les positions des autorités françaises
L’ANSSI promeut la qualification SecNumCloud comme standard pour les données sensibles, en particulier dans le secteur public et pour les Opérateurs d’Importance Vitale. Cette qualification va au-delà du RGPD : elle intègre des exigences de protection contre les législations extraterritoriales. La CNIL, de son côté, rappelle régulièrement l’importance d’évaluer les risques liés aux transferts internationaux.
Le cloud souverain est-il un vrai critère de décision pour les entreprises ?
La réponse dépend directement de la nature des données traitées et du secteur d’activité. Dans certains cas, la souveraineté n’est pas négociable. Dans d’autres, elle devient un critère parmi d’autres, à pondérer intelligemment.
Les secteurs où la souveraineté n’est pas discutable
- Santé : hébergement certifié HDS obligatoire, souveraineté fortement recommandée pour les données les plus sensibles.
- Secteur public et collectivités : usage croissant de SecNumCloud, en particulier pour les données citoyennes.
- Défense, sécurité, OIV/OSE : exigences renforcées, souvent incompatibles avec les hyperscalers non européens.
- Données stratégiques d’entreprise : R&D, propriété intellectuelle, données clients à forte valeur concurrentielle.
Les cas où la souveraineté est un critère secondaire
Une PME qui héberge un site vitrine, un outil interne de gestion ou des données commerciales standardisées peut légitimement arbitrer en faveur du coût, de la richesse fonctionnelle ou de la facilité d’intégration. La souveraineté reste un plus, mais elle ne conditionne pas la conformité.
Cet arbitrage est devenu central pour les décideurs. Selon le Baromètre de la souveraineté numérique 2025 publié par Hexatrust et EY France, près de organisations estimant que la souveraineté deviendra un critère de choix de plus en plus important4 organisations sur 5 estiment que la souveraineté deviendra un critère de choix de plus en plus important à l’avenir. Pour autant, l’étude relève aussi que près de 40 % des organisations ne font aucune veille sur les solutions souveraines disponibles.
Arbitrer intelligemment : avantages et limites
- Simplification de la conformité RGPD sur les transferts
- Protection face aux législations extraterritoriales
- Interlocuteurs et contrats en droit français
- Compatibilité avec les référentiels HDS et SecNumCloud
- Catalogue de services parfois moins étendu que les hyperscalers
- Coûts qui peuvent être supérieurs selon les usages
- Risque de confusion entre « hébergé en France » et réellement souverain
- Garanties à vérifier contractuellement, pas seulement commercialement
Un contexte de marché en évolution
L’adoption du cloud computing par les entreprises s’accélère, ce qui multiplie les offres et renforce la nécessité d’une grille de lecture claire pour distinguer souveraineté annoncée et souveraineté effective.
Comment évaluer une offre de cloud souverain pour votre organisation ?
Une fois la nécessité posée, encore faut-il vérifier qu’une offre tient ses promesses. Les arguments marketing autour de la « souveraineté » se sont multipliés, parfois sans fondement contractuel ou technique solide.
Les certifications à exiger
Les certifications constituent le premier filtre objectif. Trois références reviennent le plus souvent dans les offres destinées au marché français :
- HDS : obligatoire pour les données de santé à caractère personnel.
- ISO/IEC 27001 : standard international pour le management de la sécurité de l’information.
- SecNumCloud : qualification de l’ANSSI, référence pour les données sensibles et les acteurs publics.
Attention à la portée exacte : une certification peut ne couvrir qu’une partie du périmètre (un data center sur plusieurs, un service particulier). Demandez le périmètre certifié, pas seulement la mention.
Les questions à poser au prestataire
- Localisation réelleOù sont physiquement stockées les données primaires, les sauvegardes et les réplicas ? Fournissez la liste précise des data centers.
- Transferts hors UEY a-t-il des flux techniques (support, administration, télémétrie) qui sortent de l’UE ? Si oui, dans quel cadre juridique ?
- Nationalité et structure capitalistiqueQui détient l’opérateur ? Est-il exposé à des législations extraterritoriales ?
- Équipes d’administrationQui a un accès technique aux systèmes ? Où ces équipes sont-elles localisées et habilitées ?
- Certifications en coursDemandez les certificats, leur périmètre, leur date d’audit et la roadmap de renouvellement.
- Engagements contractuelsLes garanties annoncées commercialement figurent-elles dans le contrat et les annexes ?
- RéversibilitéComment récupérer vos données en cas de changement de prestataire ? Dans quels formats et délais ?
Un cas pratique pour illustrer la démarche
Cas pratique
Une PME de 80 salariés dans la e-santé souhaite externaliser une plateforme contenant des dossiers patients. Elle reçoit trois propositions : un hyperscaler international proposant une « région France », un hébergeur européen certifié HDS, et un hébergeur français qualifié SecNumCloud. L’écart tarifaire entre les deux premières offres et la troisième est significatif. En analysant les contrats, l’équipe constate que la première offre prévoit des transferts administratifs hors UE, ce qui complique l’analyse d’impact. La deuxième est conforme HDS mais n’offre pas de garantie contre les législations extraterritoriales. La troisième répond à toutes les exigences, mais à un coût supérieur. La décision finale repose alors sur un arbitrage explicite entre sensibilité réelle des données, budget et complexité contractuelle — un arbitrage à documenter, pas à improviser. Ce cas est hypothétique et illustratif.
Points clés à retenir
Le cloud souverain n’est ni une mode, ni une solution universelle. C’est un critère dont le poids varie selon ce que vous hébergez, pour qui et sous quelle réglementation. L’erreur fréquente consiste à le traiter en bloc, alors qu’il mérite une analyse différenciée.
Ce qu’il faut retenir avant de choisir
- La souveraineté est décisive pour la santé, le secteur public, les données stratégiques ou sensibles.
- Pour les autres usages, elle devient un critère à pondérer avec le coût et les fonctionnalités.
- Le RGPD n’impose pas une localisation en France, mais encadre strictement les transferts hors UE.
- Les certifications HDS, ISO 27001 et SecNumCloud sont des points de contrôle objectifs à exiger.
- Les garanties commerciales ne valent que si elles figurent dans le contrat.
Le cloud souverain justifie-t-il un surcoût pour une PME ?
Cela dépend du type de données hébergées. Pour des données de santé, stratégiques ou soumises à des exigences réglementaires fortes, le surcoût se justifie par la conformité et la réduction du risque juridique. Pour des usages standards, l’arbitrage doit être documenté et aligné sur une analyse de risque formelle.
Comment vérifier que mes données sont réellement hébergées en France ?
Demandez par écrit la liste des data centers utilisés (production, sauvegarde, réplicas), les éventuels flux d’administration ou de support hors UE, et les engagements contractuels associés. Une mention commerciale ne suffit pas : la localisation doit figurer dans le contrat ou ses annexes techniques.
Quelle différence entre HDS et SecNumCloud ?
Le HDS est une certification obligatoire pour héberger des données de santé à caractère personnel. SecNumCloud est une qualification de l’ANSSI qui vise plus largement les données sensibles et intègre une protection contre les législations extraterritoriales. Les deux peuvent coexister sur une même offre.
Un hyperscaler avec une « région France » est-il souverain ?
Pas automatiquement. La localisation physique des serveurs est un critère nécessaire mais insuffisant. Il faut également examiner la nationalité de l’opérateur, son exposition aux lois extraterritoriales, et la localisation des équipes d’administration. Seules certaines offres structurées répondent à ces exigences cumulées.
Avant de trancher, prenez le temps de confronter vos besoins réels aux exigences réglementaires et aux garanties contractuelles de chaque prestataire. La décision la plus solide est rarement celle qui coche le plus de cases marketing, mais celle qui s’appuie sur des engagements vérifiables et proportionnés à la sensibilité de vos données.