Où sont vos données ? Datacenters et hébergement en France

« Vos données sont hébergées en Europe » : la phrase rassure, mais elle ne dit ni dans quel bâtiment, ni sous quel droit, ni avec quel niveau de continuité. Cet article explique à un dirigeant de PME la différence entre hébergeur, datacenter et région cloud, ce que change réellement la localisation, ce que signifient les niveaux Tier de l’Uptime Institute, et les questions à poser pour savoir où sont physiquement vos données.

Hébergeur, datacenter, région cloud : trois choses différentes

L’hébergeur est la société avec laquelle vous avez un contrat. Elle exploite vos serveurs, vos sauvegardes et votre support. Le datacenter est le bâtiment où tournent physiquement ces serveurs : il a une adresse, un propriétaire, une alimentation électrique, un système de refroidissement et des agents de sécurité. La région cloud est une notion commerciale des grands fournisseurs : une région « Europe » regroupe des bâtiments dont le contrat ne précise pas toujours le pays, et il faut vérifier si des données ou des métadonnées peuvent être répliquées dans d’autres régions.

Ces trois niveaux peuvent appartenir à trois sociétés distinctes. Un hébergeur français peut louer des baies dans un datacenter exploité par un tiers, lui-même filiale d’un groupe étranger. Un éditeur de logiciel en ligne peut annoncer un hébergement « en France » tout en s’appuyant sur la région parisienne d’un fournisseur américain. Aucune de ces configurations n’est illégitime, mais chacune a des conséquences différentes sur le droit applicable, la continuité et la réversibilité. Notre article sur la localisation des données et l’hébergement web en France pose les bases.

Pourquoi la localisation compte vraiment

Le premier enjeu est juridique. Dans ses recommandations pour l’hébergement dans le cloud des systèmes d’information sensibles d’août 2024, l’ANSSI rappelle que certains fournisseurs de cloud peuvent être soumis à des législations extraterritoriales imposant le transfert des données à leurs autorités nationales, et que les hébergeurs soumis à ces lois ont l’obligation de transmettre à leurs autorités les données de leurs clients, sans voie de recours ni même information de ces derniers. La loi américaine dite CLOUD Act en est un exemple. Le point décisif n’est donc pas seulement l’adresse du bâtiment, mais le droit auquel est soumise la société qui détient les clés.

Le deuxième enjeu est le RGPD. La CNIL rappelle sur sa page « Transférer des données hors de l’UE » qu’un transfert de données personnelles en dehors de l’Union européenne et de l’Espace économique européen n’est possible qu’à condition d’assurer un niveau de protection suffisant et approprié, encadré par des outils juridiques : décision d’adéquation, clauses contractuelles types, règles d’entreprise contraignantes. Pour les États-Unis, la Commission européenne a adopté le 10 juillet 2023 une nouvelle décision d’adéquation, après l’invalidation du Privacy Shield par l’arrêt Schrems II du 16 juillet 2020. Héberger en France chez un prestataire soumis au droit français évite d’avoir à documenter un transfert.

Le troisième enjeu est opérationnel : latence pour vos utilisateurs, temps de restauration d’une sauvegarde, possibilité de se rendre sur place en cas de litige ou de réversibilité, et interconnexion avec vos locaux, sujet traité dans notre article sur l’interconnexion entre infrastructure locale et datacenter.

Les niveaux Tier de l’Uptime Institute, sans jargon

Les « Tiers » sont une classification de la résilience des infrastructures de datacenter publiée par l’Uptime Institute, qui se présente comme le seul organisme habilité à délivrer ces certifications. Elle décrit quatre niveaux, résumés ci-dessous avec les termes officiels en anglais.

Trois précisions utiles. La page officielle de l’Uptime Institute ne publie pas de pourcentage de disponibilité par niveau : les chiffres que l’on voit circuler viennent de documents commerciaux. La classification ne définit que ces quatre niveaux ; lorsqu’un hébergeur annonce un « Tier III+ », demandez-lui ce que recouvre le signe plus (double adduction électrique, groupes supplémentaires, redondance réseau), car il s’agit d’un usage descriptif et non d’un niveau supplémentaire de la classification. Enfin, le Tier qualifie le bâtiment, pas la qualité d’exploitation de votre hébergeur ni la sécurité de vos applications : un Tier III n’empêche ni une sauvegarde absente ni un mot de passe faible. Notre article sur les certifications des datacenters détaille les autres référentiels.

SecNumCloud et les autres repères

Pour les données les plus sensibles, l’ANSSI a élaboré le référentiel SecNumCloud, un ensemble de règles de sécurité techniques, opérationnelles et juridiques. La qualification de sécurité SecNumCloud, attribuée par l’ANSSI sur la base de ce référentiel, reconnaît des offres d’opérateurs cloud en IaaS, PaaS ou SaaS. Selon le guide de l’ANSSI cité plus haut, ce « Visa de sécurité » permet d’identifier des offres qui visent à protéger les données et traitements sensibles face à la menace cybercriminelle et à l’application de lois extraterritoriales, et la liste des offres qualifiées est publiée sur le site de l’ANSSI. L’ANSSI précise aussi que la qualification apporte une confiance sur l’offre et les pratiques de l’exploitant, mais ne préjuge pas du niveau de sécurité des services que le client y déploie.

Toutes les PME n’ont pas besoin d’une offre qualifiée SecNumCloud, dont les exigences sont conçues pour des systèmes d’information sensibles. En revanche, la logique du référentiel donne une grille de lecture utile pour n’importe quel contrat : où sont les données, qui les administre, sous quel droit, avec quelles garanties de réversibilité. Notre comparatif cloud souverain ou cloud public aide à situer votre besoin.

Les questions à poser à votre hébergeur

Dans quel datacenter, à quelle adresse, tournent nos serveurs de production, et où sont les sauvegardes ? Qui exploite ce datacenter, et quel est son niveau Tier certifié ? Quelle société détient les accès d’administration, et à quel droit est-elle soumise, maison mère comprise ? Les données sont-elles chiffrées au repos et en transit, et qui détient les clés ? À quelle fréquence les sauvegardes sont-elles réalisées, où sont-elles conservées, et quand la restauration a-t-elle été testée pour la dernière fois ? Quels sous-traitants interviennent, et figurent-ils dans l’accord de traitement de données prévu par le RGPD ? Que prévoit le contrat en cas de sortie : format de restitution, délai, coût, effacement certifié ? Enfin, quel niveau de service est garanti, et que se passe-t-il s’il n’est pas tenu ? Ces deux derniers points sont développés dans notre article sur le contrat d’infogérance, ses SLA et sa réversibilité.

Un hébergeur sérieux répond à ces questions par écrit, en quelques jours. Pour information, Odyssix héberge ses clients dans des datacenters Tier III+ situés en France, avec un SLA contractuel de 99,9 %.

Questions fréquentes

Sources

• Uptime Institute — Tier Classification System : description officielle des Tiers I à IV
• ANSSI — Recommandations pour l’hébergement dans le cloud des systèmes d’information sensibles (août 2024)
• CNIL — Transférer des données hors de l’UE : les outils de la conformité