Hébergement souverain

Ce que recouvre la souveraineté numérique

La souveraineté d'un hébergement s'apprécie sur deux critères : la localisation physique des serveurs et le droit applicable à leur exploitant. Un serveur situé en France mais opéré par une société américaine peut rester soumis au droit américain via le Cloud Act de 2018 (Clarifying Lawful Overseas Use of Data Act), qui autorise les autorités américaines à requérir des données stockées à l'étranger par des prestataires relevant de leur juridiction.

Le RGPD (règlement UE 2016/679) impose que les données personnelles de résidents européens soient traitées selon ses règles. La localisation des données en France ne suffit pas à elle seule : l'identité juridique de l'hébergeur et de ses maisons mères compte autant que la géographie des serveurs.

La qualification SecNumCloud de l'ANSSI évalue les offres d'informatique en nuage selon un référentiel de sécurité. Elle est distincte de la simple localisation en France : un hébergement peut être en France sans être qualifié SecNumCloud, et inversement. Pour les données sensibles de l'État, la circulaire du 31 mai 2023 exige cette qualification. Elle est également requise dans certains secteurs réglementés.

La doctrine « cloud de confiance » a été annoncée par l'État en mai 2021 pour encadrer l'usage du numérique dans les administrations. Elle s'appuie sur la qualification SecNumCloud de l'ANSSI, dont la version 3.2 (en vigueur depuis 2022) ajoute des exigences de protection vis-à-vis des lois extraterritoriales. Ce n'est pas un label autonome : c'est un cadre porté par la qualification ANSSI.

L'hébergement souverain dans un projet

Choisir un hébergement souverain est une décision qui se prend au démarrage d'un projet, pas lors d'une migration. Déplacer une application d'un cloud vers un autre coûte du temps et présente des risques d'interruption de service.

Les questions à poser à un hébergeur : où sont physiquement situés les serveurs ? Quelle est la nationalité de la société qui les exploite et de ses maisons mères ? Y a-t-il des clauses contractuelles précisant ce qui se passe en cas de demande d'accès aux données par une autorité étrangère ?

Un hébergement en France réduit l'exposition aux lois extraterritoriales étrangères, mais ne suffit pas à lui seul : l'identité juridique de l'hébergeur et de ses maisons mères compte autant que la géographie des serveurs. La conformité RGPD dépend aussi de la façon dont les données sont collectées, traitées et conservées dans l'application elle-même.

Pour les sites et applications hébergés par ISOMORPH, les serveurs et bases de données sont hébergés chez Scaleway, en France.

Le choix de l'hébergement a aussi des conséquences sur les mentions légales et la politique de confidentialité : ces documents doivent indiquer où sont hébergées les données et à quel régime elles sont soumises. Un changement d'hébergeur en cours de vie d'un site impose donc de mettre à jour ces documents juridiques.