Cloud souverain : 8 critères pour choisir votre hébergeur
Ce qu’il faut retenir
- Un cloud souverain est une infrastructure d’hébergement opérée par un acteur soumis au seul droit français ou européen, hors de portée des lois d’accès extraterritorial.
- La localisation des serveurs ne suffit pas : c’est le droit applicable à l’hébergeur et à son actionnaire de référence qui décide de qui peut être contraint de livrer vos données.
- Huit critères permettent de trancher : localisation, droit applicable, chaîne de sous-traitance, qualification SecNumCloud, chiffrement, réversibilité, coût complet et clauses contractuelles.
- La qualification SecNumCloud, délivrée par l’ANSSI, reste le repère le plus exigeant du marché français ; les données de santé imposent en plus la certification HDS.
- Chez Venise Activation, agence marketing et digitale indépendante basée à Paris depuis 1989, nous instruisons ce choix avec les directions SI et conformité, pas à leur place.
La question du cloud souverain arrive rarement par la porte de l’informatique. Elle arrive parce qu’un client grand compte veut savoir où vivent ses données, parce qu’un marché public l’exige, ou parce qu’un directeur juridique a relu l’arrêt Schrems II.
Le sujet mérite mieux qu’un débat d’infrastructure. Choisir un hébergeur, c’est choisir un droit, une chaîne de responsabilité et une capacité à partir. Voici les huit critères que nous instruisons, dans l’ordre où ils pèsent.
Un cloud souverain, qu’est-ce que c’est exactement ?
Un cloud souverain est une infrastructure d’hébergement et de traitement de données dont l’opérateur relève exclusivement du droit français ou européen, sans lien capitalistique ou juridique qui l’exposerait à une injonction étrangère. La définition tient en une question de droit, pas en une adresse postale de datacenter.
Cloud souverain, cloud de confiance et cloud national : ce qui les sépare
Trois expressions circulent et ne recouvrent pas la même chose. Le cloud national désigne simplement un hébergeur immatriculé en France. Le cloud de confiance ajoute des exigences de sécurité et d’indépendance vérifiées par un tiers.
Le cloud souverain va plus loin : il combine la localisation, le droit applicable et l’absence de dépendance technologique. Un fournisseur peut être national sans être souverain, s’il licencie sa technologie à un groupe étranger qui garde la main sur les mises à jour.
Ce que le CLOUD Act change pour des serveurs installés en France
Le CLOUD Act, loi américaine adoptée en 2018, permet aux autorités des États-Unis d’exiger d’un fournisseur relevant de leur juridiction la communication de données qu’il détient, y compris quand ces données sont stockées à l’étranger. La localisation des machines ne protège donc pas à elle seule.
La Cour de justice de l’Union européenne avait déjà pointé cette tension dans son arrêt Schrems II du 16 juillet 2020, qui a invalidé le Privacy Shield en raison des possibilités d’accès des services de renseignement américains. Depuis, tout transfert hors Union européenne suppose une analyse d’impact documentée.
Trois modèles d’hébergement comparés
Le tableau ci-dessous résume les arbitrages que rencontre une direction des systèmes d’information au moment de choisir. Aucun modèle n’est bon en soi : tout dépend de la sensibilité des données et de vos obligations sectorielles.
| Critère | Cloud souverain français | Hyperscaler international |
|---|---|---|
| Droit applicable à l’opérateur | Français et européen uniquement | Droit du pays du groupe, dont le CLOUD Act |
| Qualification SecNumCloud | Accessible et souvent visée | Rare, parfois via une filiale dédiée |
| Étendue du catalogue de services | Ciblée sur les besoins courants | Très large, avec des services propriétaires |
| Risque d’enfermement technologique | Limité si les briques sont ouvertes | Élevé sur les services propriétaires |
| Coût d’entrée | Comparable, sans offre gratuite d’appel | Faible à l’entrée, croissant à l’usage |
| Sortie et réversibilité | À négocier, généralement documentée | Coût de transfert de données souvent élevé |
Où sont vos données, et quel droit s’applique ?
Les trois premiers critères relèvent du droit et de la géographie. Ils se vérifient sur pièces, avant toute discussion technique, et ils éliminent souvent la moitié des candidats d’un appel d’offres.
Critère 1 : la localisation des données, des sauvegardes et du support
Demandez l’adresse des datacenters de production, mais aussi celle des sauvegardes et des environnements de recette. Beaucoup de contrats hébergent la production en France et répliquent les sauvegardes sur un continent voisin, ce qui suffit à créer un transfert non maîtrisé.
Interrogez aussi le support technique. Une équipe d’astreinte située hors Union européenne accède aux consoles d’administration, donc aux données. Ce point figure rarement dans les plaquettes commerciales et se découvre en lisant le plan d’assurance sécurité.
Critère 2 : le droit applicable à l’hébergeur et à son actionnariat
Regardez la structure capitalistique jusqu’à la maison mère. Une filiale française détenue majoritairement par un groupe extra-européen reste exposée aux injonctions du pays de ce groupe, quelle que soit la localisation des machines.
Vérifiez ensuite la loi désignée au contrat et le tribunal compétent en cas de litige. Un contrat de droit irlandais ou américain vous prive, en pratique, des recours que le droit français rend accessibles à une direction juridique.
Critère 3 : la chaîne de sous-traitance et les accès réels
Le RGPD, applicable depuis le 25 mai 2018, impose que chaque sous-traitant ultérieur soit identifié et encadré. Exigez la liste complète : opérateur réseau, éditeur de supervision, prestataire d’infogérance, service de sauvegarde externalisée.
Demandez aussi la matrice des habilitations : qui, chez l’hébergeur, peut techniquement lire vos volumes de données ? La réponse honnête à cette question en dit plus sur la souveraineté d’une offre que n’importe quelle mention commerciale.
Vous hésitez entre deux hébergeurs sur ces trois premiers points ? Confrontons vos contraintes juridiques et techniques lors d’un premier échange.
Quelles garanties techniques exiger de votre hébergeur ?
Les critères 4 à 6 se vérifient dans les documents techniques et les certificats. Ils déterminent la solidité réelle de la promesse commerciale, une fois le contrat signé.
Critère 4 : la qualification SecNumCloud et les certifications sectorielles
SecNumCloud est le référentiel de qualification des prestataires d’informatique en nuage publié par l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. Il couvre la sécurité technique mais aussi l’immunité aux législations extra-européennes, ce qui en fait le repère le plus proche de la notion de souveraineté.
Selon votre secteur, d’autres exigences s’ajoutent. L’hébergement de données de santé à caractère personnel impose la certification HDS, prévue par le code de la santé publique. Vérifiez que le certificat couvre bien le périmètre que vous confiez, et pas une seule offre du catalogue.
Critère 5 : le chiffrement et la détention des clés
Le chiffrement au repos et en transit est devenu un minimum. La vraie question porte sur les clés : qui les génère, qui les stocke, qui peut les révoquer. Si l’hébergeur détient les clés, il peut techniquement déchiffrer vos données, donc les remettre à une autorité qui le lui ordonne.
Un modèle où vous gardez la maîtrise des clés, dans un module matériel dédié ou chez un tiers distinct de l’hébergeur, change la nature du risque. Ce montage coûte plus cher et complique l’exploitation : il se justifie sur les données stratégiques, rarement sur l’ensemble du parc.
Critère 6 : la réversibilité, pour pouvoir partir sans tout reconstruire
La réversibilité est la capacité contractuelle et technique à récupérer vos données et vos traitements pour les porter ailleurs. Elle se prépare à la signature, jamais au moment de la rupture, quand le rapport de force s’est inversé.
Exigez trois éléments : un format d’export documenté et exploitable, un délai maximal de restitution, et le coût du transfert sortant. Les services propriétaires sans équivalent ailleurs sont le principal facteur d’enfermement : chaque brique spécifique ajoutée augmente la facture de sortie.
Combien coûte un cloud souverain et comment sécuriser le contrat ?
Le coût d’un cloud souverain se compare rarement ligne à ligne avec une offre internationale, parce que les catalogues ne se recouvrent pas. La bonne unité de mesure reste le coût complet sur la durée d’engagement, incidents et sortie compris.
Critère 7 : le coût complet, au-delà du prix au gigaoctet
Additionnez le stockage, la puissance de calcul, le trafic sortant, les sauvegardes, la supervision et l’accompagnement humain. Le trafic sortant est le poste le plus souvent sous-estimé : il ne pèse rien tant que tout va bien, et devient déterminant le jour où vous migrez.
Intégrez aussi le coût de la conformité que l’hébergement vous évite ou vous impose. Une offre qualifiée fait gagner des semaines d’analyse de risque lors d’un appel d’offres public ou d’un audit client, et cette économie ne figure sur aucune facture.
Critère 8 : les clauses contractuelles et le plan de continuité
Quatre clauses méritent une relecture attentive : la localisation garantie, la notification en cas de réquisition par une autorité, les engagements de disponibilité assortis de pénalités, et les conditions de résiliation. L’article 33 du RGPD impose de notifier une violation de données à la CNIL sous 72 heures : votre contrat doit obliger l’hébergeur à vous alerter dans un délai compatible.
Le plan de continuité complète le dispositif : fréquence des sauvegardes, durée de rétention, objectifs de reprise et tests de restauration réellement effectués. Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une intention.
Les erreurs fréquentes que nous voyons sur le terrain
La première erreur consiste à traiter le sujet comme un choix technique, arbitré par la seule direction des systèmes d’information. La souveraineté engage la direction juridique, la direction générale et souvent la direction commerciale, quand un client exige des garanties contractuelles.
La seconde erreur consiste à migrer l’infrastructure en laissant les outils métier ailleurs. Un site hébergé en France dont le formulaire de contact alimente un service marketing hébergé hors Union européenne n’a rien réglé. Nous relions ce chantier au pilotage documentaire de la conformité avec VIQTOR®, notre solution de pilotage RGPD, et à l’infrastructure avec notre offre d’hébergement souverain.
La troisième erreur, plus discrète, tient à l’intelligence artificielle. Une brique d’IA branchée sur vos données peut les faire sortir du périmètre souverain sans qu’aucune ligne d’infrastructure ne change : les questions de gouvernance sont détaillées dans notre comparaison entre un agent IA et un chatbot en entreprise.
Questions fréquentes sur le cloud souverain
Comment choisir un hébergeur cloud souverain en 2026 ?
Commencez par classer vos données par sensibilité, puis appliquez les huit critères de cet article aux seules données qui le justifient. Vérifiez le droit applicable et l’actionnariat avant la technique, demandez les certificats sur le périmètre exact concerné, et négociez la réversibilité dès la signature. Un hébergement mixte est souvent la réponse la plus réaliste.
Un hébergement en France suffit-il à rendre une offre souveraine ?
Non. Des serveurs situés en France mais exploités par une filiale d’un groupe extra-européen restent exposés aux injonctions du pays de ce groupe, comme le CLOUD Act américain. La souveraineté suppose de réunir trois conditions : localisation des données, droit applicable à l’opérateur, et indépendance capitalistique et technologique.
Quelle différence entre SecNumCloud et une certification ISO 27001 ?
La norme ISO 27001 atteste d’un système de management de la sécurité de l’information, sans se prononcer sur le droit applicable au prestataire. La qualification SecNumCloud de l’ANSSI reprend ces exigences de sécurité et y ajoute des critères d’immunité aux législations extra-européennes. Les deux sont complémentaires, mais seule la seconde traite la question de la souveraineté.
Par où commencer si notre infrastructure est déjà chez un hyperscaler ?
Cartographiez d’abord les traitements et les flux de données réellement en cause, puis identifiez le sous-ensemble sensible. Une migration progressive, application par application, coûte moins cher et échoue moins souvent qu’un déménagement complet. Mesurez le coût de transfert sortant avant de fixer le calendrier : il conditionne le séquencement.
Devons-nous migrer si nous ne traitons aucune donnée sensible ?
Pas nécessairement. Si vos données ne sont ni personnelles au sens du RGPD, ni stratégiques, ni soumises à une obligation sectorielle, la souveraineté relève d’un arbitrage économique et non d’une contrainte. La question se pose autrement quand vos clients grands comptes commencent à l’inscrire dans leurs questionnaires fournisseurs.
Notre guide de fond sur la conformité RGPD et la souveraineté numérique replace ces huit critères dans le cadre réglementaire complet, aux côtés du registre des traitements et des transferts hors Union européenne. Cette approche prolonge la promesse de Venise Activation, agence marketing et digitale indépendante à Paris : réconcilier marketing, vente, informatique et conformité.
Un projet de migration à cadrer, ou un questionnaire client à sécuriser ? Construisons ensemble votre feuille de route d’hébergement avec nos équipes.
