« Données hébergées en France » ne veut pas dire ce que vous croyez
Un serveur situé en France ne suffit pas à mettre des données hors de portée d'une législation étrangère. Ce qui compte, c'est qui contrôle l'opérateur.
« Données hébergées en France » figure sur beaucoup de sites, dont celui-ci. L’expression mérite d’être précisée, parce qu’elle est souvent comprise comme une garantie qu’elle n’apporte pas à elle seule.
Localisation et contrôle sont deux choses distinctes
La localisation désigne l’endroit où les disques tournent. Le contrôle désigne l’entité juridique qui peut être contrainte de fournir les données.
Ces deux notions se séparent : une filiale française d’un groupe soumis à une législation extraterritoriale peut se voir demander des données stockées en France, par une autorité étrangère, sans passer par la coopération judiciaire habituelle.
La localisation seule protège donc de la latence réseau et de certaines questions réglementaires. Elle ne protège pas d’une injonction adressée à la maison mère.
Ce qui change réellement selon le cas
Pour un site vitrine sans donnée personnelle sensible, le sujet est largement théorique. L’important est ailleurs : sauvegardes vérifiées, mises à jour appliquées, disponibilité.
Pour un portail contenant des données de santé, des dossiers de bénéficiaires, des éléments couverts par le secret professionnel ou des données stratégiques, la question du contrôle devient concrète — et se pose avant le choix de la technologie.
Les questions qui font la différence
À poser à un hébergeur, en demandant des réponses écrites :
- Quelle entité juridique exploite l’infrastructure, et à quel groupe appartient-elle ?
- Où sont les sauvegardes, et sous quelle juridiction ?
- Le chiffrement au repos est-il actif, et qui détient les clés ?
- Quels sous-traitants interviennent, y compris pour la supervision et le support ?
- Quelle procédure s’applique en cas de réquisition, et le client en est-il informé ?
La dernière question est révélatrice. Un hébergeur qui n’a jamais eu à formuler la réponse ne l’a probablement jamais anticipée.
Le chiffrement déplace le problème sans le supprimer
Chiffrer au repos avec des clés que l’hébergeur ne détient pas est la protection la plus solide : une injonction obtient alors des blocs illisibles.
Cela déplace la question sur la gestion des clés, qui devient critique : une clé perdue rend les données définitivement inaccessibles, sauvegardes comprises. Ce n’est pas une raison d’y renoncer, c’est une raison de traiter la conservation des clés comme un sujet à part entière.
Une position défendable
Pour la majorité des projets, une infrastructure exploitée par une entité française, avec des sauvegardes localisées et testées, une supervision assumée en interne et aucun sous-traitant hors Union européenne, constitue un niveau cohérent.
Ce qui compte est de pouvoir répondre précisément à chacune des questions ci-dessus, plutôt que d’afficher une mention rassurante sans contenu vérifiable.