Souveraineté numérique et hébergement français

Quand vous utilisez un outil de transfert ou de stockage hébergé aux États-Unis, ou dans n’importe quel cloud de droit non-français, vos données sont potentiellement soumises à des législations extraterritoriales. Ce n’est pas une hypothèse : le Cloud Act américain, en vigueur depuis 2018, autorise les autorités fédérales à accéder aux données détenues par des sociétés de droit américain, y compris lorsque les serveurs sont physiquement implantés en Europe. La souveraineté numérique est alors mise à mal.

Pour les organisations traitant des données sensibles — données de santé, données personnelles, informations stratégiques ou contractuelles — ce risque est documenté et juridiquement établi. À ce titre, il constitue un point de non-conformité potentiel au regard du RGPD et des nouvelles obligations NIS2.

Ce que signifie concrètement un hébergement souverain en France

La localisation physique des serveurs ne suffit pas à garantir la souveraineté de vos données. Ce qui compte, c’est la nationalité juridique de la société hébergeante : un fournisseur de droit américain avec des datacenters en Irlande ou en Allemagne reste intégralement soumis au Cloud Act.

Un hébergement véritablement souverain implique que l’ensemble de la chaîne (infrastructure, sous-traitants, support) relève du droit français, sans exception. C’est précisément ce que garantit une solution hébergée sur un cloud de confiance certifié SecNumCloud.

Critère	Cloud non souverain	TransfertPro
Serveurs localisés en France	À vérifier selon le prestataire	Oui
Droit français applicable à 100 %	À vérifier selon le prestataire	Oui
Protection contre le Cloud Act	À vérifier selon le prestataire	Oui
Certification HDS	À vérifier selon le prestataire	Oui
Certification ANSSI CSPN	À vérifier selon le prestataire	Oui
Hébergeur qualifié SecNumCloud	À vérifier selon le prestataire	Oui (3DS Outscale)

Cas d’usage : groupement hospitalier de territoire

Un GHT regroupant plusieurs établissements de santé échange quotidiennement des dossiers patients, des comptes-rendus et des documents RH.

Or, l’utilisation d’un outil cloud non certifié HDS expose le groupement à une violation réglementaire. En cas d’incident, la responsabilité directe de l’établissement peut être engagée.

C’est pourquoi TransfertPro, déployé en mode SaaS multi-tenant chez Outscale, sécurise l’intégralité des flux inter-sites. De plus, les logs d’accès complets permettent de répondre aux exigences d’audit NIS2.

Les trois risques d’un hébergement hors de France

Le risque juridique : le Cloud Act

Le Clarifying Lawful Overseas Use of Data Act autorise les autorités américaines à contraindre toute société américaine à leur communiquer des données. Ce droit s’applique où qu’elles soient stockées dans le monde.

Ainsi, si votre prestataire est une filiale ou société mère américaine, cette exposition ne peut être évitée. Elle est constituée indépendamment de la localisation physique de vos serveurs.

Par ailleurs, les clauses contractuelles types (CCT) sont souvent présentées comme une protection suffisante. Toutefois, leur efficacité réelle face au Cloud Act est contestée par plusieurs autorités européennes. C’est notamment la position exprimée par la CNIL.

Le risque réglementaire : RGPD et HDS

Le RGPD encadre strictement les transferts de données personnelles hors UE et impose des garanties que la plupart des outils grand public ou hébergés hors de France ne peuvent pas fournir. En cas de manquement, les sanctions peuvent atteindre 4 % du chiffre d’affaires mondial.

Pour les données de santé, la certification HDS est obligatoire pour l’hébergeur. TransfertPro s’appuie sur Outscale, son unique hébergeur, qui détient les qualifications SecNumCloud et HDS. Un établissement de santé qui utilise un outil dont l’hébergeur n’est pas certifié HDS opère en dehors du cadre légal.

Le risque opérationnel : la perte de contrôle

Au-delà de la conformité, l’hébergement hors de France expose les organisations à des risques opérationnels concrets : rachat du prestataire, changement de politique d’accès, faillite, redirection des données vers de nouveaux sous-traitants sans notification préalable. Les audits de sécurité deviennent plus complexes lorsqu’on n’a pas de visibilité réelle sur la chaîne de sous-traitance, ni sur la localisation exacte des données. Une approche structurée de la sécurité et de la protection des donnéespermet d’objectiver ces risques avant qu’ils ne se concrétisent.

La souveraineté en pratique avec TransfertPro

TransfertPro est hébergé exclusivement en France, chez Outscale, unique fournisseur et hébergeur de données et d’applicatifs. Outscale est qualifié SecNumCloud par l’ANSSI et détient les certifications HDS et TISAX. L’ensemble des flux (transfert, stockage, métadonnées) est maintenu sur le territoire français. Le code source est développé en France. Le support est assuré par une équipe française.

Infrastructure

Outscale est la référence française en matière d’hébergement souverain, qualifié SecNumCloud. Il répond aux exigences les plus strictes en matière de confidentialité, de protection des données et de conformité vis-à-vis de l’État. C’est la qualification la plus exigeante délivrée par l’ANSSI pour les services cloud, qui garantit l’absence totale d’exposition à toute législation extraterritoriale. Afin de comprendre ce que cette qualification implique concrètement, consultez notre page dédiée au cloud de confiance SecNumCloud.

Certifications

La certification ANSSI CSPN, renouvelée en 2025, attestant d’une évaluation indépendante des mécanismes de sécurité de la solution TransfertPro par un CESTI agréé. C’est à ce jour la seule solution de transfert de fichiers disponible en mode SaaS multi-tenant à disposer de cette certification.

D’autre part, la qualification HDS d’Outscale couvre l’hébergement de données de santé pour les établissements soumis à cette obligation. Un DPA conforme RGPD est disponible dès la souscription, sans exploitation commerciale des données clients.

Mode de déploiement

TransfertPro est disponible en SaaS multi-tenant hébergé chez Outscale, pour les organisations qui souhaitent une solution clé en main sans infrastructure à gérer. Vous pouvez comparer les fonctionnalités sur la page des offres entreprises.

Questions fréquentes

« Serveurs en Europe » est-ce suffisant pour être protégé ?

Non. Un fournisseur de droit américain dont les serveurs sont physiquement en Europe reste soumis au Cloud Act. La localisation physique est supplantée par la nationalité juridique de la société hébergeante. Avant qu’un contrat soit signé, la société mère de votre prestataire doit être identifiée et le droit sous lequel elle est constituée doit être vérifié.

Qu’est-ce que SecNumCloud et pourquoi c’est important ?

SecNumCloud est la qualification délivrée par l’ANSSI pour les services cloud souverains. Elle garantit que l’hébergeur est intégralement soumis au droit français, protège contre toute législation extraterritoriale. Elle représente le niveau de protection le plus élevé disponible en France. Outscale, l’hébergeur exclusif de TransfertPro, détient cette qualification. Pour comprendre toutes les implications, consultez notre page dédiée au cloud de confiance SecNumCloud.

Comment migrer depuis notre outil actuel ?

La migration depuis une solution cloud existante vers TransfertPro prend de quelques jours à quelques semaines. Ce délai varie selon le volume de données et les intégrations en place. L’équipe TransfertPro accompagne la transition et assure la continuité des usages sans interruption de service. Pour évaluer la solution avant de vous engager, vous pouvez consulter les offres et fonctionnalités disponibles.

Évaluez la sécurité de vos échanges de fichiers en 5 minutes

Avant d’engager une migration ou de renouveler un contrat, il est utile d’objectiver le niveau de maturité de votre dispositif actuel. Cette checklist opérationnelle couvre 12 points clés répartis en quatre dimensions : gouvernance, sécurité, traçabilité et résilience.