Pourquoi le cloud souverain n'est plus un sujet technique, c'est un sujet de protection

Choisir où sont hébergées ses données n'est plus une décision purement informatique. Pour une collectivité, un cabinet professionnel, une PME avec clients sensibles ou un opérateur de service essentiel, c'est devenu une question de conformité légale et de continuité d'activité.

Le terme « cloud souverain » renvoie à des services d'hébergement opérés par des acteurs de droit français ou européen, dont les infrastructures et la gouvernance échappent aux lois extraterritoriales étrangères. Concrètement : un hébergeur soumis au droit américain peut théoriquement être contraint de communiquer des données à une autorité étrangère, y compris quand les données sont stockées en Europe physiquement. Le cloud souverain vise à fermer cette porte en garantissant que seules les lois françaises et européennes s'appliquent.

C'est particulièrement critique pour les données sensibles : dossiers RH, données de santé, contrats clients, informations de recherche, données industrielles.

Trois notions à bien distinguer

La souveraineté simple : le fournisseur, ses actionnaires et son infrastructure relèvent du droit français ou européen. Pas d'exposition théorique à une injonction extraterritoriale.

Le RGPD encadre le traitement des données personnelles, mais il ne suffit pas seul. Le RGPD ne bloque pas une injonction basée sur le Cloud Act américain (loi qui autorise le gouvernement américain à réclamer des données aux entreprises américaines, même hébergées ailleurs).

La qualification SecNumCloud délivrée par l'ANSSI (Agence nationale de sécurité des systèmes d'information) impose des centaines d'exigences techniques et juridiques. Son référentiel 3.2 de 2022 couvre bien plus que le RGPD : il inclut précisément l'immunité aux lois extraterritoriales, ce qui en fait le standard le plus fort pour les données critiques.

La doctrine officielle « Cloud au centre » (circulaire du 5 juillet 2021, renforcée par la loi SREN du 21 mai 2024) impose aux administrations qui traitent des données sensibles de recourir à des offres qualifiées SecNumCloud. En 2026, cette qualification est devenue le critère déterminant pour les marchés publics français.

Comment arbitrer : quatre critères concrets

1. Votre niveau d'exigence réglementaire. Traitez-vous des données de santé (obligation HDS), des données classifiées ou simplement des données courantes d'entreprise ? Toutes les organisations n'ont pas besoin d'une offre SecNumCloud.

2. Localisation et gouvernance. Data centers en France, société de droit français, actionnariat non soumis au Cloud Act.

3. Type de service attendu. Infrastructure IaaS (serveurs virtuels), plateforme PaaS (pour déployer vos applications), stockage objet, sauvegarde ou virtualisation ? Ce n'est pas le même besoin.

4. Réversibilité et exit. Pouvez-vous récupérer vos données et migrer sans coût prohibitif ni dépendance aux formats propriétaires ?

Bonus : évaluez aussi le coût total (stockage, trafic sortant, support), le support en français et les certifications additionnelles (ISO 27001, HDS).

Les acteurs français : quel service choisir

Infrastructure et cloud public

OVHcloud est le principal hébergeur européen. Il propose serveurs dédiés, cloud public et privé, stockage et noms de domaine. OVHcloud a construit une gamme spécifiquement qualifiée SecNumCloud pour les usages critiques. C'est souvent le point d'entrée des PME qui veulent rapatrier leurs données en France après des années chez AWS ou Azure.

Scaleway (filiale du groupe Iliad) propose une large palette de services cloud : calcul, stockage, conteneurs, IA. C'est apprécié des équipes techniques et startups pour son interface moderne et ses tarifs compétitifs. Scaleway a une offre souveraine dédiée.

3DS Outscale (filiale de Dassault Systèmes) cible les infrastructures critiques avec un cloud qualifié SecNumCloud. C'est un choix de référence pour les organisations soumises aux exigences réglementaires fortes (administrations, santé, industrie critique).

Numspot est une plateforme cloud souveraine orientée IA, data et déploiements sécurisés. Elle vise explicitement la qualification SecNumCloud.

Plateforme applicative

Clever Cloud est une plateforme PaaS (Platform as a Service) française qui simplifie le déploiement des applications web et services back-end. Idéale pour les équipes de développement qui veulent rester sur une infrastructure française sans gérer les serveurs.

Stockage et sauvegarde

Leviia propose un stockage cloud souverain et 100 % français. C'est une alternative pertinente aux services de stockage grand public américains.

Vates édite des solutions de virtualisation open source. C'est intéressant pour les organisations qui cherchent une alternative souveraine aux suites propriétaires devenues trop coûteuses.

Plan d'action pour se décider

  1. Cartographiez vos données. Qu'est-ce qui est réellement sensible et quel niveau réglementaire s'applique (RGPD seul, HDS, SecNumCloud) ?
  2. Définissez le service attendu. IaaS, PaaS, stockage simple, sauvegarde ou virtualisation ?
  3. Constituez une shortlist de deux ou trois fournisseurs souverains adaptés à votre exigence.
  4. Testez avec un projet pilote non critique pour valider performances, support et facturation réelle.
  5. Vérifiez la réversibilité avant migration : format des données, absence de verrouillage propriétaire, coût de sortie.
  6. Documentez votre plan de continuité et de sauvegarde une fois en production.

Points clés à retenir

  • Le RGPD ne suffit pas : une donnée hébergée légalement en France peut être injonctée légalement via le Cloud Act.
  • SecNumCloud est le standard français pour les données critiques et les marchés publics.
  • Toutes les organisations n'ont pas besoin de SecNumCloud : calibrez votre exigence sur vos données réelles.
  • Les hébergeurs français existent pour tous les besoins, d'IaaS simple à PaaS à l'IA.
  • Testez d'abord sur un projet pilote pour valider la migration réelle avant de basculer critiques.

Pour aller plus loin, explorez l'annuaire Logiciel France pour découvrir d'autres solutions françaises et privilégiez les acteurs hexagonaux quand c'est possible.