Réponse directe
Pour une organisation, la souveraineté des données est la capacité de répondre, pièces à l’appui, à quatre questions : où sont physiquement nos données, quel droit s’applique à ceux qui les hébergent et les traitent, qui peut y accéder sans notre accord, et combien de temps il nous faudrait pour changer de fournisseur. Ce n’est pas un choix de nationalité de fournisseur : c’est un état documenté, révisé à chaque changement d’outil. Une ETI l’atteint en trois livrables : une cartographie des flux et des prestataires, des contrats qui répondent aux quatre questions, et une architecture qui préserve la réversibilité.
Pourquoi le mot est-il devenu flou ?
Parce qu’il sert à tout vendre. Un hébergeur français, un « cloud de confiance », une suite bureautique européenne, une charte d’usage : chacun se dit souverain. La seule définition utile est opérationnelle : peut-on prouver où sont les données, sous quel droit, avec quels accès, et peut-on partir. Un fournisseur qui ne répond pas à ces quatre questions par écrit n’est pas souverain, quelle que soit son adresse.
Quelles sont les quatre questions ?
| Question | Ce qu’il faut obtenir | Ce qui ne suffit pas |
|---|---|---|
| Où sont les données ? | Les pays d’hébergement et de sauvegarde, écrits au contrat, y compris pour les sous-traitants du fournisseur | « Région Europe » sans liste des pays et des sous-traitants |
| Quel droit s’applique ? | Le droit du pays du fournisseur et de sa maison mère ; pour un groupe américain, l’exposition au CLOUD Act et au FISA 702 quelle que soit la localisation | Une clause de conformité RGPD seule |
| Qui peut accéder ? | La liste des accès techniques du fournisseur (support, exploitation), la journalisation, la notification de toute demande d’autorité | Le chiffrement « au repos » quand le fournisseur détient la clé |
| Comment partir ? | Export complet dans un format ouvert, délai, coût, suppression certifiée, durée de la transition | Une API qui exporte partiellement, sans les pièces jointes ni l’historique |
Le CLOUD Act change-t-il quelque chose pour une donnée hébergée en France ?
Oui. Le CLOUD Act (2018) permet aux autorités américaines d’exiger d’un fournisseur soumis au droit américain la communication de données qu’il contrôle, où qu’elles soient stockées. La localisation en France d’un centre de données exploité par une filiale d’un groupe américain ne suffit donc pas. Le cadre de transfert UE-États-Unis en vigueur encadre les transferts, mais il ne change pas l’obligation du fournisseur face à une réquisition. Pour des données sous secret professionnel, sous secret des affaires ou sous communication financière réglementée, c’est une exposition à documenter, et le plus souvent à éviter par l’architecture.
Que peut faire une ETI, concrètement ?
1. Cartographier
Chaque outil, chaque flux, chaque prestataire, y compris les outils d’IA utilisés sans autorisation. C’est le livrable de base : sans lui, toute décision est une intuition.
2. Classer
Toutes les données n’ont pas besoin du même niveau. Communication publique, données de fonctionnement, données personnelles, données sous secret, données réglementées. La souveraineté se concentre sur les deux dernières catégories ; le reste suit une règle de bon sens.
3. Contractualiser
Pour chaque fournisseur qui touche les catégories sensibles : les quatre questions, par écrit, avec des réponses vérifiables. Un fournisseur qui refuse est une décision à prendre, pas une fatalité.
4. Architecturer la réversibilité
Formats ouverts, exports testés, clés de chiffrement détenues par vous, pas de dépendance à une fonction propriétaire pour un processus critique. La souveraineté commence par la capacité de changer de fournisseur sans reconstruire.
5. Tenir en comité
La cartographie se périme en un trimestre. Un comité qui relit la liste des prestataires et des flux chaque mois est ce qui distingue une gouvernance d’un audit oublié.
Questions fréquentes
Un hébergeur français suffit-il ?
C’est une bonne réponse à la deuxième question (le droit applicable), pas aux trois autres. Il faut encore savoir où sont les sauvegardes, qui accède, et comment on part.
Le chiffrement règle-t-il le problème ?
Seulement si vous détenez la clé et que le fournisseur ne peut pas la lire. Un chiffrement dont la clé est gérée par l’hébergeur protège contre le vol physique, pas contre une réquisition ni contre un accès interne.
Est-ce un projet informatique ?
C’est un projet de direction, instruit par l’informatique. Les arbitrages (quel fournisseur on quitte, quel coût on accepte, quel risque on documente) appartiennent au comité de direction, et pour une cotée, au comité d’audit.
La position du cabinet
La souveraineté par la charte d’usage n’existe pas. Elle existe par l’architecture et le contrat : cartographie, classification, clauses, réversibilité, comité. C’est ce que le cabinet livre dans son audit et tient dans son contrat de gouvernance, et ce qu’il applique à ses propres produits : VERA OS est hébergée en France, isolée par cabinet, exportable à tout moment. L’audit et les diagnostics de souveraineté · Gouvernance digitale.
Sources
- Clarifying Lawful Overseas Use of Data Act (CLOUD Act), 2018 ; FISA section 702.
- RGPD, chapitre V (transferts), articles 28 et 32.
- ANSSI, référentiel SecNumCloud ; CNIL, recommandations sur l’hébergement et les transferts.
- Retours d’expérience du cabinet sur des missions de gouvernance et de remédiation dans les secteurs santé et biotech.