« Serveurs en Europe » : pourquoi ça ne suffit pas

« Vos données sont hébergées sur des serveurs en Europe. » La phrase figure sur la plupart des pages commerciales des grands fournisseurs de cloud. Elle est souvent exacte, et pourtant elle ne répond pas à la question que se posent les entreprises et les collectivités : qui peut obliger le fournisseur à remettre ces données ?

Cet article explique la différence entre la localisation des données et la juridiction du fournisseur, pourquoi des serveurs en Europe ne suffisent pas à vous protéger d’une loi étrangère, et comment vérifier ce qu’il en est réellement. Il propose un arbre de décision, une grille de lecture des offres et une liste de questions à poser avant de signer.

Localisation et juridiction : deux questions différentes

La localisation : où sont les données

C’est l’adresse physique des centres de données : un pays, une ville, un bâtiment. Elle détermine les risques matériels, les délais de réponse du réseau et, en partie, le droit applicable au bâtiment lui-même. C’est une information utile, facile à afficher et facile à vérifier.

La juridiction : à quel droit le fournisseur obéit

C’est la nationalité juridique de l’entreprise qui gère vos données, et de celles qui la contrôlent. Une société dont le siège ou la maison mère est aux États-Unis reste soumise au droit américain, quel que soit le pays où elle loue ses serveurs. Ses filiales européennes peuvent aussi y être soumises si la maison mère les contrôle.

Ces deux questions sont indépendantes. On peut avoir des serveurs en France exploités par une entreprise soumise au droit américain, ou des serveurs en France exploités par une entreprise relevant uniquement du droit européen. Seule la seconde configuration vous met à l’abri des lois extraterritoriales.

Pourquoi des serveurs en Europe ne suffisent pas

Le Cloud Act vise l’entreprise, pas le serveur

Adopté en mars 2018, le Cloud Act permet aux autorités américaines d’exiger d’un fournisseur relevant de leur droit qu’il communique les données qu’il détient ou contrôle, y compris quand elles sont stockées hors des États-Unis. L’emplacement du serveur n’est donc pas un critère.

Ce qu’en a dit un dirigeant de Microsoft France devant le Sénat

Le 10 juin 2025, lors d’une audition devant la commission d’enquête du Sénat sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France a été interrogé sous serment. À la question de savoir s’il pouvait garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans l’accord de la France, il a répondu : « Non, je ne peux pas le garantir », tout en précisant que cela ne s’était encore jamais produit.

Cette réponse n’accuse personne de mauvaise pratique. Elle décrit simplement la situation juridique d’une entreprise soumise à deux droits à la fois.

Les accès qui ne passent pas par le serveur

• Les équipes de support et d’administration, parfois situées hors d’Europe, qui peuvent accéder aux systèmes à distance.
• Les métadonnées : journaux de connexion, adresses IP, identités des utilisateurs, souvent traitées dans d’autres pays.
• Les sous-traitants du fournisseur, qui peuvent eux-mêmes relever d’un droit étranger.
• Les services annexes : antispam, sauvegarde, analyse, intelligence artificielle, hébergés ailleurs.

Ce que prévoit le droit européen

L’article 48 du RGPD

Le RGPD prévoit qu’une décision d’une juridiction ou d’une autorité d’un pays tiers exigeant un transfert de données n’est reconnue que si elle repose sur un accord international, comme un traité d’entraide judiciaire. Une demande américaine adressée directement à un prestataire ne suffit donc pas, en principe, à justifier un transfert au regard du droit européen.

Le fournisseur soumis aux deux droits se retrouve alors pris entre deux obligations contradictoires. C’est exactement la situation qu’un client prudent cherche à éviter.

Le cadre de transfert entre l’Union et les États-Unis

Depuis le 10 juillet 2023, une décision d’adéquation de la Commission européenne autorise les transferts de données personnelles vers les entreprises américaines certifiées. Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté un recours qui en demandait l’annulation, dans l’affaire T-553/23.

Ce cadre règle la question des transferts de données personnelles, mais il repose sur des engagements de l’exécutif américain. Les deux précédents dispositifs avaient été invalidés par la Cour de justice, en 2015 et en 2020. Il ne change rien au fait qu’un fournisseur américain reste soumis au Cloud Act.

Ce que vérifie un référentiel exigeant comme SecNumCloud

L’ANSSI a intégré en 2022, dans la version 3.2 de son référentiel SecNumCloud, un chapitre consacré à la protection vis-à-vis du droit extra-européen. Sans être qualifié, vous pouvez vous inspirer de ses critères pour évaluer n’importe quel fournisseur.

• Le siège statutaire, l’administration centrale et le principal établissement du prestataire sont situés dans un État membre de l’Union européenne.
• Des entités hors Union ne détiennent pas plus de 24 % du capital et des droits de vote individuellement, ni plus de 39 % collectivement.
• Ces entités ne peuvent ni opposer un veto, ni nommer la majorité des dirigeants.
• Un sous-traitant relevant d’un droit hors Union ne doit pas avoir la possibilité technique d’accéder aux données, y compris aux données techniques comme les journaux ou les annuaires.
• Le prestataire informe son client dans un délai d’un mois de tout changement qui pourrait remettre en cause ces garanties.

Ces critères montrent bien que la protection se joue sur la structure de l’entreprise et sur ses sous-traitants, bien plus que sur l’adresse des serveurs.

Arbre de décision : votre fournisseur est-il exposé ?

1. 1Où se trouve le siège de l’entreprise qui signe votre contrat ? Hors Union européenne : exposé. Dans l’Union : passez à la question 2.
2. 2Cette entreprise est-elle contrôlée par une société établie hors de l’Union ? Oui : exposé. Non : passez à la question 3.
3. 3Ses sous-traitants qui accèdent aux données relèvent-ils d’un droit hors Union ? Oui : exposé, au moins en partie. Non : passez à la question 4.
4. 4Le support et l’administration sont-ils assurés depuis l’Union ? Non : risque d’accès à distance. Oui : passez à la question 5.
5. 5Les données sont-elles hébergées dans l’Union, et dans quelles villes ? Si la réponse est précise et vérifiable, la configuration est cohérente.

Grille : trois offres, trois niveaux de protection

Pour illustrer, voici trois offres fictives telles qu’on les rencontre souvent. Les noms sont inventés, les configurations sont réelles.

• Offre A, « région Europe » d’un fournisseur américain : serveurs à Francfort, contrat signé avec la filiale européenne, maison mère aux États-Unis. Localisation européenne, juridiction exposée au Cloud Act.
• Offre B, cloud européen revendu par un intégrateur français : serveurs en France, mais logiciel et support fournis par un éditeur américain qui dispose d’accès techniques. Localisation française, exposition partielle par la sous-traitance.
• Offre C, fournisseur français sans maison mère étrangère : serveurs en France, hébergeur sous-traitant lui aussi français, support en France. Localisation et juridiction alignées.

Exemple fictif : une association qui compare deux devis

Une association d’aide à domicile de quarante salariés gère des dossiers de bénéficiaires. Elle reçoit deux devis de messagerie et de stockage, tous deux annoncés « hébergés en Europe ». Le premier est moins cher et très connu ; le second vient d’un fournisseur français moins célèbre.

Le bureau applique l’arbre de décision. Le premier fournisseur est la filiale d’un groupe américain : la réponse s’arrête à la question 2. Le second fournit la liste de ses sous-traitants, tous établis en France, et le nom de la ville de ses centres de données. À prix proche, le bureau choisit la seconde offre et l’explique dans son registre RGPD.

Les questions à poser à votre fournisseur

1. 1Quelle est l’entité juridique qui signe le contrat, et où se trouve son siège ?
2. 2Qui détient le capital de cette entité, directement et indirectement ?
3. 3Quelle est la liste complète de vos sous-traitants, avec leur pays d’établissement ?
4. 4Dans quelles villes se trouvent les centres de données, et qui les exploite ?
5. 5D’où le support et l’administration accèdent-ils aux systèmes ?
6. 6Où sont traitées les métadonnées : journaux, adresses IP, annuaire des utilisateurs ?
7. 7Que faites-vous si une autorité étrangère vous demande nos données ?
8. 8Comment récupérons-nous nos données si nous partons, et à quel coût ?

Toutes vos données n’ont pas le même enjeu

Il ne s’agit pas de bannir tout outil étranger. Une plaquette commerciale publique ne mérite pas le même niveau de protection que des dossiers de santé, des données de salariés ou des pièces d’un contentieux. Classez vos données en trois niveaux : publiques, internes, sensibles.

Pour les données sensibles, la juridiction du fournisseur devient un critère de choix à part entière, au même titre que le prix ou les fonctionnalités. Pour le reste, la localisation et la qualité du service peuvent suffire.

En résumé

• Des serveurs en Europe indiquent une localisation, pas une protection juridique.
• Le Cloud Act s’applique aux fournisseurs soumis au droit américain, où que soient leurs serveurs.
• La protection dépend du siège, du capital, des sous-traitants et des accès à distance du fournisseur.
• Demandez des réponses écrites, et adaptez le niveau d’exigence à la sensibilité de vos données.

Mon Cloud Français est une SAS française sans maison mère étrangère. Vos données sont hébergées en France, chez OVHcloud à Roubaix et à Gravelines, notre seul sous-traitant. Pour le détail, consultez la page Souveraineté & Cloud Act et la page Sous-traitants.