Où héberger ses données : cloud public, européen ou serveur maison

Trois options reviennent à chaque projet : un cloud public de grand opérateur international, un cloud européen, un serveur que vous possédez et exploitez. Aucune n'est la bonne en soi. Ce guide vous donne une grille pour décider donnée par donnée, avec les questions à poser et les lignes à faire chiffrer. Il ne recommande aucun fournisseur et ne cite aucun prix, parce que les prix dépendent de votre usage et de ce que vous aurez négocié.

Précisons les termes. Dans ce guide, « cloud européen » désigne un fournisseur dont le siège, l'exploitation et la gouvernance sont dans l'Union européenne, pas seulement dont les serveurs y sont. Cette nuance est au coeur du choix, et nous y revenons.

Étape 1 : classer vos données avant de choisir

Faites un tableau de vos jeux de données, même grossier. Pour chacun : nature (client, RH, financier, technique, public), sensibilité, obligations légales ou contractuelles, durée de conservation, et conséquence d'une fuite, d'une perte ou d'une indisponibilité.

Trois niveaux suffisent le plus souvent : données publiques ou peu sensibles, données internes, données sensibles (personnelles à risque, secrets d'affaires, données soumises à un cadre sectoriel ou à un client exigeant). Le piège habituel est de décider une fois pour toute l'entreprise. Un seul hébergement pour tout est rarement le bon.

Étape 2 : les six critères de la grille

Juridiction et contrôle

Qui peut contraindre l'hébergeur à livrer vos données, et sous quel droit ? La réponse dépend du siège, de l'actionnariat et des filiales, pas de l'adresse du datacenter. Le référentiel SecNumCloud donne un exemple de ce que peut être une exigence précise : siège et administration centrale dans l'UE, et des entités tierces hors UE qui ne détiennent individuellement pas plus de 24 % du capital et des droits de vote, ni collectivement plus de 39 % (chapitre 19.6). Vous n'êtes pas obligé d'exiger la même chose, mais l'exemple montre le niveau de précision à attendre d'une réponse sérieuse.

Question à poser : quelles lois non européennes pourraient s'appliquer à vous, et avez-vous une analyse écrite des risques résiduels ? Le référentiel SecNumCloud impose au prestataire de documenter ce risque et de le communiquer au client qui le demande. Pour un serveur maison, la question se pose autrement : elle porte sur vos propres prestataires, votre maintenance, vos accès distants.

Sécurité et exploitation

Qui administre, depuis où, avec quels accès ? Quels accès le support de l'hébergeur a-t-il à vos données ? Comment sont gérées les clés de chiffrement ? Pour un cloud, vous partagez la responsabilité : l'hébergeur protège l'infrastructure, vous protégez ce que vous y mettez. L'ANSSI le rappelle à propos de SecNumCloud : la qualification d'une offre ne garantit pas la sécurité des services du client hébergés dessus.

Pour un serveur maison, la sécurité est entièrement la vôtre : correctifs, accès physique, supervision, accès distants, séparation des rôles. Évaluez honnêtement si vous avez la compétence en interne, et ce qui se passe pendant les congés ou en cas de départ.

Disponibilité et reprise

Quelle interruption pouvez-vous supporter, quelle perte de données accepter ? Un serveur unique n'a pas la redondance qu'un fournisseur sérieux propose en standard, sauf si vous la construisez, ce qui coûte. Un cloud sans architecture adaptée peut aussi être indisponible. Dans les deux cas, demandez les engagements écrits de niveau de service et ce qui est réellement compensé en cas de manquement.

Sauvegarde, quel que soit l'hébergement

La CNIL et l'ANSSI recommandent la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne. L'ANSSI définit une sauvegarde hors ligne comme une sauvegarde sur un support déconnecté de tout système d'information, la juge indispensable, et demande que les serveurs de sauvegarde n'appartiennent pas au domaine de production et utilisent une authentification indépendante. Les deux organismes insistent sur les tests de restauration réguliers.

Conséquence pour le choix : sauvegarder un cloud dans le même cloud, avec les mêmes identifiants, est une copie, pas une sauvegarde. Sauvegarder un serveur maison dans la même pièce l'est tout autant. Prévoyez au moins une copie dans un lieu et sous un régime d'accès différents.

Conformité et exigences des clients

RGPD, cadres sectoriels, clauses de vos grands clients, exigences d'un assureur. Certaines imposent une localisation ou un niveau de qualification. Demandez-les noir sur blanc avant de comparer les offres, pour ne pas choisir un hébergement que vous devrez quitter dans un an.

Coût de sortie et réversibilité

Le critère le plus sous-estimé. Le règlement européen sur les données (Data Act) encadre le changement de fournisseur de services cloud : le texte s'applique depuis le 12 septembre 2025, mais jusqu'au 12 janvier 2027 des frais de changement et de sortie peuvent encore être facturés ; à partir du 12 janvier 2027, les frais de changement, y compris de transfert de données, sont supprimés, selon la Commission européenne. Les fournisseurs PaaS et SaaS doivent offrir des interfaces ouvertes et un export dans un format lisible par machine. Ces règles ne remplacent pas votre plan : elles ne réécrivent pas vos applications, et vous devez vérifier que votre contrat est dans leur champ.

Le référentiel SecNumCloud donne un modèle de clause utile même hors qualification : réversibilité permettant de récupérer toutes les données par des formats ou interfaces documentés, effacement sécurisé en fin de contrat avec préavis formel.

Pour un serveur maison, la sortie est simple sur le papier et coûteuse en pratique si vous avez bâti sur des composants propriétaires ou si personne n'a documenté la configuration. Elle est là aussi une question de standards ouverts.

Étape 3 : comment les trois options se comportent

Ce tableau est qualitatif. Il décrit des tendances, pas des mesures.

Critère	Cloud public international	Cloud européen	Serveur maison
Juridiction	À analyser selon siège et actionnariat	Plus lisible si siège et gouvernance sont dans l'UE, à vérifier	Vous maîtrisez, y compris vos prestataires
Étendue des services	Souvent très large	Variable selon le fournisseur	Ce que vous bâtissez
Compétence requise chez vous	Moyenne à élevée selon l'architecture	Moyenne	Élevée
Élasticité	Forte	Variable	Faible, achat anticipé
Dépendance à des API propriétaires	Fréquente si vous utilisez des services managés	À vérifier	Faible si standards ouverts
Coût de sortie	Dépend du contrat et des services employés	Idem	Dépend de votre documentation et de vos choix techniques

Lisez ce tableau comme une liste de questions, pas comme un verdict. Un cloud européen peut dépendre de composants non européens ; un cloud international peut proposer des garanties contractuelles et techniques sérieuses ; un serveur maison peut être mal protégé.

Questions à poser à tout fournisseur d'hébergement

• Où sont stockées les données, y compris sauvegardes, journaux et données techniques ?
• Depuis où l'infrastructure est-elle administrée et supervisée, et le support peut-il accéder à nos données ?
• Quel est le siège, quel est l'actionnariat, et quelle clause vous oblige à nous prévenir d'un changement ?
• Qui détient les clés de chiffrement, et pouvons-nous les gérer nous-mêmes ?
• Quelle est la liste de vos sous-traitants, et comment est-elle mise à jour ?
• Quels engagements de disponibilité par écrit, et quelles compensations ?
• Quels formats d'export, quels délais, quels frais, à la sortie ?
• Quelle attestation de suppression des données à la fin du contrat ?
• Quelles qualifications ou certifications pouvez-vous citer avec leur référence et leur date ?

Signaux d'alerte

Souveraineté affichée sans détail juridique. Si le fournisseur répond « données en Europe » à une question sur la juridiction, il répond à une autre question.

Qualification invoquée sans référence. Demandez le nom exact, le périmètre exact (quelle offre, quel service) et la date. Une qualification porte sur une offre précise, pas sur une entreprise entière.

Services propriétaires poussés partout. Chacun est une dépendance. Utilisez-les en connaissance de cause.

Sortie non décrite. Pas de clause de réversibilité, pas de format d'export, pas de calendrier : vous ne saurez le prix qu'au moment de partir.

Sauvegarde dans le même périmètre que la production. Même fournisseur, mêmes identifiants, même administrateur : un seul incident les emporte ensemble.

Serveur maison sans responsable nommé. Un matériel que personne n'est chargé de mettre à jour vieillit en silence.

Ce qu'il faut faire chiffrer

1. Le coût complet sur la durée envisagée : abonnement ou achat, énergie et local pour du matériel, licences, supports.
2. L'exploitation : temps de vos équipes ou d'un prestataire, supervision, astreinte.
3. La sauvegarde hors ligne et hors périmètre, avec test de restauration.
4. La migration d'entrée : transfert des données, adaptation des applications, période de double exploitation.
5. Les frais de sortie actuels, et leur évolution après le 12 janvier 2027 si votre contrat entre dans le champ du Data Act.
6. La conformité : audits, analyses d'impact, documents exigés par vos clients.
7. Le renouvellement : fin de vie du matériel, révision des prix d'un abonnement.
8. Un exercice de sortie partiel, sur une application peu critique, pour mesurer ce que votre réversibilité vaut réellement.

Décider

Pour chaque jeu de données, remplissez la grille. Les données les plus sensibles justifient un hébergement dont vous maîtrisez la juridiction et l'exploitation, dans le cloud européen qualifié ou chez vous, si vous avez la compétence. Les données courantes vont là où le rapport coût-service est le meilleur, avec une sauvegarde indépendante et un plan de sortie écrit. Le mélange est normal. L'important est qu'il soit décidé, documenté et réversible, et pas le produit d'un empilement d'achats.