Un dirigeant de PME signe un contrat SaaS américain pour son CRM, coche « données hébergées en Europe » et passe à autre chose. Le réflexe est logique : le fournisseur affiche un datacenter à Francfort ou à Paris, la case RGPD semble cochée. Pourtant, la question n'est qu'à moitié réglée. L'endroit où vos données sont physiquement stockées et la loi à laquelle elles obéissent sont deux choses différentes — et c'est la seconde qui décide, in fine, qui peut y accéder.
En 2026, ce n'est plus un débat de spécialistes. Entre l'application de DORA dans la finance, la montée en charge de NIS2 et les tensions persistantes entre le Cloud Act américain et le RGPD, la juridiction des données est devenue un critère de choix concret, y compris pour une entreprise de vingt salariés. Vos clients grands comptes commencent à l'exiger dans leurs questionnaires fournisseurs, votre assureur cyber s'y intéresse, et vos propres obligations réglementaires en dépendent.
Bonne nouvelle : il ne s'agit pas de tout rapatrier sur un serveur dans un placard. La souveraineté numérique, pour une PME, est d'abord une démarche de tri : savoir quelles données vous détenez, lesquelles sont sensibles, et décider en conscience où les placer. Cet article pose le cadre et propose une méthode pragmatique.
Localisation et juridiction : deux questions à ne pas confondre
On mélange souvent deux notions. La localisation, c'est l'endroit physique où reposent vos données — un datacenter à Paris, Francfort ou en Virginie. La juridiction, c'est le droit auquel le fournisseur est soumis, qui dépend de sa nationalité et de sa structure d'actionnariat, pas seulement de l'emplacement de ses serveurs.
Le Cloud Act américain (2018) illustre l'écart : il autorise les autorités américaines à demander à un fournisseur relevant du droit US l'accès à des données qu'il détient, même stockées dans l'Union européenne. Un hébergement à Paris opéré par la filiale d'un groupe américain n'échappe donc pas mécaniquement à cette portée extraterritoriale. C'est précisément la tension pointée par l'arrêt Schrems II de la Cour de justice de l'UE, qui a invalidé le Privacy Shield au motif que le droit américain n'offrait pas de garanties équivalentes au RGPD.
Pour distinguer les deux dans la vraie vie, posez trois questions à tout fournisseur :
- Où mes données sont-elles stockées, et où sont-elles répliquées ou sauvegardées ?
- Quelle est la nationalité juridique de l'entité qui les opère, et de sa maison mère ?
- Qui, techniquement, peut accéder aux données en clair — le support ? l'administrateur système ? un sous-traitant ?
Ce que dit (et ne dit pas) le droit
Aucun texte européen n'impose, de manière générale, que toute donnée soit hébergée sur le sol français ou européen. Le RGPD (règlement UE 2016/679) encadre les transferts hors UE et exige des garanties, mais il ne décrète pas une localisation obligatoire. Ce qui change la donne, ce sont les exigences sectorielles et contractuelles qui viennent se superposer.
- Le RGPD impose un socle : base légale, minimisation, sécurité, et notification d'une violation à la CNIL sous 72 heures. Un transfert hors UE reste possible sous conditions, mais vous en portez la responsabilité.
- NIS2 (directive UE 2022/2555, transposée en France en 2025) étend les obligations de cybersécurité à environ 15 000 entités françaises et responsabilise la chaîne de sous-traitance : vos prestataires numériques deviennent un maillon à surveiller.
- DORA (règlement UE 2022/2554), applicable depuis janvier 2025, impose au secteur financier une maîtrise fine de ses prestataires TIC tiers — registre, clauses de sortie, tests de résilience. Si vous êtes fournisseur d'une banque ou d'un assureur, ces exigences redescendent jusqu'à vous.
La leçon pour une PME : la contrainte vient rarement d'une interdiction abstraite, mais de vos clients, de votre secteur et de votre assureur. Mieux vaut l'anticiper que la découvrir au détour d'un questionnaire fournisseur.
Vos options, sans dogmatisme
Il n'existe pas de réponse unique, mais un éventail à calibrer selon la sensibilité des données.
- Cloud souverain ou français : des offres qualifiées garantissent à la fois une localisation et une immunité aux lois extraterritoriales (le visa SecNumCloud de l'ANSSI est la référence en France). Adapté aux données sensibles ou réglementées.
- Cloud européen non qualifié : bon compromis coût-proximité pour des données courantes, à condition de vérifier la juridiction réelle de l'opérateur.
- Hyperscalers américains : puissants et matures, mais exposés au Cloud Act. Acceptables pour des données peu sensibles, ou correctement chiffrées avec des clés que vous seul détenez.
- On-premise ou hébergement dédié : contrôle maximal, mais la sécurité repose entièrement sur vous. Un serveur mal maintenu sous votre bureau n'est pas plus souverain, il est surtout plus vulnérable.
Le bon réflexe n'est pas « tout français » ni « tout cloud », mais l'hybride assumé : placer chaque catégorie de données là où le rapport sensibilité / coût / risque a du sens.
Votre plan d'action
La souveraineté se construit par le tri, pas par le slogan. Une démarche PME tient en quelques étapes concrètes.
- Cartographier : listez vos données et vos outils SaaS, y compris le Shadow IT — les abonnements souscrits par une équipe sans passer par la DSI.
- Classifier : trois niveaux suffisent — public, interne, sensible ou réglementé (données personnelles, santé, secrets industriels, données de clients grands comptes).
- Vérifier la juridiction : pour chaque outil critique, documentez la localisation, la nationalité de l'opérateur et les droits d'accès de son support.
- Décider par niveau : réservez le cloud souverain ou l'hébergement français aux données sensibles, tolérez les hyperscalers pour le reste, chiffré si nécessaire.
- Chiffrer et maîtriser les clés : un chiffrement dont vous seul détenez les clés réduit fortement la portée d'un accès extraterritorial.
- Contractualiser la sortie : exigez des clauses de réversibilité et de localisation, et vérifiez que vous pouvez réellement récupérer vos données.
- Réévaluer chaque année : un fournisseur racheté ou une architecture qui évolue, et la juridiction bascule sans que personne ne vous prévienne.
Comment Sedona peut aider
Chez Sedona, l'hébergement des données en France et la propriété du code par le client — avec un SBOM livré — sont un choix de conception, pas un argument marketing exclusif : votre chaîne technique doit rester lisible et réversible, quel que soit le prestataire. Sur le volet exposition, Sedona Radar cartographie votre surface d'attaque externe — sous-domaines, services exposés, configuration DNS et TLS, vulnérabilités connues — et fournit un score de conformité indicatif au regard de plusieurs référentiels. C'est utile pour objectiver ce qui est réellement visible sur Internet, y compris des actifs oubliés hébergés hors de votre contrôle. Pour aller plus loin, un audit de surface manuel ou une reconnaissance OSINT (sur informations publiques et avec votre accord écrit) aide à requalifier les dépendances tierces et à repérer d'éventuelles fuites de données. Le point de départ reste simple : lancez un scan gratuit sur /radar, parcourez nos guides sur /ressources, ou parlons de votre cartographie via /contact.
