Où doivent être hébergées les données d’un logiciel utilisé par une organisation publique ?
Mis à jour le
Le droit n'impose pas une localisation des données en France : il impose que les transferts hors de l'Union européenne soient encadrés et que le niveau de protection soit démontré. En pratique, cette démonstration est suffisamment incertaine hors d'Europe pour qu'un hébergement européen constitue la seule option réellement tenable dans le secteur public. Les consultations publiques vont fréquemment plus loin et exigent un hébergement en France chez un prestataire de droit français, afin d'écarter toute possibilité qu'une autorité étrangère puisse se prévaloir d'un titre pour accéder aux données.
Ce que dit le RGPD
Le règlement n'impose pas une localisation des données sur le territoire national. Il encadre les transferts hors de l'Union européenne et de l'Espace économique européen, qui supposent une décision d'adéquation, des clauses contractuelles types ou l'un des autres outils prévus au chapitre V.
L'obligation porte donc sur le niveau de protection et sa démonstration, non sur une frontière. C'est cette démonstration, et non le principe du transfert, qui pose difficulté.
Source : CNIL : transferts de données hors UE, le cadre général prévu par le RGPD
Pourquoi l’hébergement européen s’impose en pratique
Le cadre applicable aux transferts vers les États-Unis a été invalidé à deux reprises par la Cour de justice de l'Union européenne avant que la décision d'adéquation de 2023 ne rétablisse une base juridique. Cette décision a été confirmée par le Tribunal de l'Union européenne le 3 septembre 2025, et fait l'objet d'un pourvoi devant la Cour de justice.
Un acheteur public n'a pas à arbitrer cette incertitude : un dispositif dont la base juridique peut être remise en cause en cours de marché constitue un risque qu'il n'a aucune raison d'accepter. C'est ce raisonnement, plus que le texte du règlement, qui fait de l'hébergement européen la seule option praticable.
Source : Tribunal de l’Union européenne, 3 septembre 2025, Latombe c/ Commission (T-553/23)
La doctrine « cloud au centre » de l’État
Cette doctrine s'adresse aux services de l'État et à ses opérateurs. Elle impose le recours à une offre qualifiée SecNumCloud pour les données d'une sensibilité particulière, catégorie que la circulaire du 31 mai 2023 a précisée.
Les collectivités territoriales ne sont pas destinataires de cette circulaire. Beaucoup s'y réfèrent néanmoins dans leurs consultations, à titre de référentiel d'exigence plutôt que d'obligation.
Source : Circulaire n° 6404/SG du 31 mai 2023, doctrine d’utilisation de l’informatique en nuage par l’État
De l’européen au franco-français
Les consultations publiques exigent rarement un hébergement « européen » : elles demandent un hébergement en France, chez un prestataire de droit français. L'écart entre les deux n'est pas juridique, il tient à ce qui est recherché : l'assurance qu'aucune autorité étrangère ne puisse se prévaloir d'un titre pour accéder aux données, hypothèse qui dépend de la nationalité du prestataire et de celle de sa maison mère autant que de l'emplacement des serveurs.
Un hébergement européen chez une filiale d'un groupe extra-européen ne répond donc pas à l'attente exprimée, quand bien même il satisferait au RGPD. C'est cette exigence de fait, et non le droit, qui détermine ce qu'un éditeur doit être en mesure de démontrer.
Un contrôle interne porte par ailleurs sur des données qui décrivent les faiblesses de l'organisation : cartographie des risques, anomalies constatées, identité des agents exerçant chaque contrôle. Leur divulgation présente un enjeu propre, indépendant de leur caractère personnel.
Le cas d’Isodit
Les données d'Isodit sont hébergées en France, chez un fournisseur français, et ne font l'objet d'aucun transfert hors de l'Union européenne.