Choisir une solution souveraine, c’est savoir où sont hébergées vos données, quel droit s’applique à elles et qui peut y accéder. Pour une entreprise, une collectivité ou une association, la démarche ne consiste pas à tout changer du jour au lendemain. Elle repose sur quelques critères clairs, appliqués outil par outil.
L’essentiel
- Un hébergement en France ou dans l’Union européenne simplifie la conformité au RGPD, mais le droit qui s’applique au prestataire compte autant que la localisation des serveurs.
- La qualification SecNumCloud de l’ANSSI identifie des offres cloud protégées contre les lois extraterritoriales, à réserver en priorité aux données sensibles.
- Une migration progressive, en commençant par les usages les plus simples, limite les risques et facilite l’adoption.
Que veut dire « souverain » pour vos données ?
Trois questions permettent d’y voir clair :
- Où sont stockées les données : en France, dans l’Union européenne ou ailleurs ?
- Quel droit s’applique au prestataire : une entreprise soumise exclusivement au droit européen, ou une société qui peut être contrainte par une loi étrangère ?
- Qui maîtrise l’outil : pouvez-vous récupérer vos données, changer de prestataire, comprendre comment le logiciel fonctionne ?
Un serveur situé en France ne suffit donc pas toujours. L’ANSSI explique que la protection contre les lois extra-européennes repose sur l’assurance que la société est soumise exclusivement aux lois de l’Union européenne : siège social dans un État membre, capital, recours à des sous-traitants hors UE, autonomie d’exploitation…
Cloud de confiance et qualification SecNumCloud
SecNumCloud est un référentiel élaboré par l’ANSSI en 2016 pour qualifier des prestataires de services cloud. Selon l’ANSSI, il permet de reconnaître des offres « de confiance », dont l’usage est préconisé pour protéger les données sensibles contre la menace cybercriminelle et l’application de lois extraterritoriales. Il concerne les offres d’infrastructure, de plateforme et de logiciels en ligne (IaaS, PaaS et SaaS).
Quelques points utiles à connaître :
- la qualification est délivrée par l’ANSSI, pour 3 ans, avec des audits annuels de surveillance
- la liste des offres qualifiées est publiée sur le site de l’ANSSI, dans le catalogue des produits et services qualifiés
- la qualification porte sur l’offre du prestataire et ne garantit pas la sécurité des services que vous y installez vous-même
Pour une TPE ou une association, une offre SecNumCloud n’est pas toujours nécessaire. Le guide de l’ANSSI destiné aux TPE et PME invite à l’envisager pour une protection juridique renforcée, en comparant son coût à ses bénéfices. Une mairie qui traite des données sensibles a intérêt à poser la question.
Ce que dit le RGPD sur l’hébergement
Le RGPD n’interdit pas d’héberger des données hors de l’Union européenne, mais il encadre ces transferts. La CNIL rappelle qu’ils sont possibles à condition d’assurer un niveau de protection suffisant, grâce aux outils prévus par le règlement : décision d’adéquation de la Commission européenne, clauses contractuelles types, règles internes d’entreprise…
Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une décision d’adéquation. Elle permet les transferts vers les organisations américaines qui adhèrent au cadre de protection des données UE-États-Unis, inscrites sur une liste publiée par le ministère américain du commerce.
Quel que soit l’hébergeur, il agit comme sous-traitant. La CNIL recommande d’établir un contrat clair qui comporte les clauses obligatoires de l’article 28 du RGPD, de documenter la sous-traitance et de vérifier les garanties de sécurité. Pour les collectivités, les marchés publics passés avec un sous-traitant doivent contenir ces clauses.
Quels outils européens ou open source selon vos usages ?
Le choix se fait usage par usage. Pour chacun, les mêmes critères s’appliquent : lieu d’hébergement, droit applicable au prestataire, possibilité d’exporter les données dans un format standard.
- Bureautique : des suites libres comme LibreOffice couvrent le traitement de texte, le tableur et les présentations.
- Stockage et partage de fichiers : des solutions open source comme Nextcloud peuvent être installées chez un hébergeur de votre choix.
- Messagerie : une adresse sur votre propre nom de domaine, chez un hébergeur basé dans l’Union européenne, vous laisse libre de changer de prestataire.
- Visioconférence : des outils libres comme Jitsi Meet peuvent être auto-hébergés.
- Statistiques de site : des outils comme Matomo permettent de garder la maîtrise des données de vos visiteurs.
Pour les collectivités, le Socle interministériel de logiciels libres (SILL), publié par l’État, recense des logiciels libres recommandés pour les administrations. C’est un bon point de départ pour comparer.
Avant tout choix, vérifiez les conditions de l’offre, le pays du siège social de l’éditeur ou de l’hébergeur, et les engagements de sécurité inscrits au contrat.
Comment migrer progressivement ?
Une migration réussie se prépare. Voici une démarche en cinq étapes :
- Faire l’inventaire des outils utilisés, des données qu’ils contiennent et de leur sensibilité.
- Prioriser : commencer par les données les plus sensibles ou par les usages les plus simples à changer, selon vos enjeux.
- Tester la nouvelle solution avec quelques utilisateurs avant de la généraliser.
- Accompagner les équipes : un nouvel outil n’est adopté que si chacun sait s’en servir au quotidien.
- Conserver une sauvegarde des données d’origine jusqu’à la validation complète de la migration.
Cette approche étape par étape permet de reprendre la main sans interrompre l’activité de votre structure.
Questions fréquentes
Un hébergement en France suffit-il à être souverain ?
Pas toujours. La localisation des serveurs est un premier critère, mais le droit qui s’applique au prestataire et la possibilité de récupérer vos données comptent tout autant.
Faut-il abandonner tous les outils américains ?
Le RGPD n’impose pas cette démarche. Il impose d’encadrer les transferts de données et de choisir des prestataires qui présentent des garanties suffisantes. L’important est de faire un choix éclairé, outil par outil, selon la sensibilité des données.
Et chez InfoRéso ?
Depuis notre création, notre ligne n’a pas changé : vos données vous appartiennent et vous restez indépendant. Nous vous aidons à faire l’inventaire de vos outils, à choisir des solutions adaptées à vos besoins et à organiser la migration avec vos équipes. Pour en parler, consultez notre page Conseil informatique, IA et DSI externalisée, notre service Infogérance, sécurité et infrastructure ou nos offres pour les collectivités.
Sources
- Cloud, ANSSI
- FAQ avant de se lancer dans la qualification SecNumCloud, ANSSI
- Guide « La cybersécurité pour les TPE/PME en 13 questions » (PDF), ANSSI
- Transferts de données hors UE : le cadre général prévu par le RGPD, CNIL
- Transferts de données vers les États-Unis : la Commission européenne adopte une nouvelle décision d’adéquation, CNIL
- Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles, CNIL
- Travailler avec un sous-traitant dans une collectivité, CNIL
- Socle interministériel de logiciels libres (SILL), data.gouv.fr
