Cloud entreprise et RGPD en France : ce qu’il faut vraiment faire

Pour être conforme au RGPD, une entreprise française doit signer un contrat de sous-traitance (DPA) avec chaque prestataire cloud, appliquer les mesures de sécurité prévues par l’article 32 (chiffrement, gestion des clés, authentification multifacteur, journalisation) et, pour les données sensibles ou les marchés publics, privilégier un hébergement qualifié SecNumCloud. Ce n’est pas une checklist administrative de plus : c’est la condition pour éviter une sanction de la CNIL et pour garder la maîtrise réelle de vos informations.

Trois priorités s’imposent avant toute migration ou renouvellement de contrat cloud :

• Vous restez responsable du traitement même quand vous externalisez l’hébergement : exigez un DPA conforme à l’article 28 du RGPD auprès de chaque sous-traitant, sans exception.
• Activez les mesures techniques de l’article 32 : chiffrement au repos et en transit, gestion rigoureuse des clés, MFA sur tous les accès d’administration, journalisation complète des événements.
• Réalisez une analyse d’impact (AIPD) dès que le traitement porte sur des données sensibles ou s’effectue à grande échelle, et documentez chaque décision dans votre registre des traitements.

Conseil de pro : avant de signer quoi que ce soit, demandez à votre futur prestataire cloud de vous transmettre son DPA type et son dernier rapport d’audit de sécurité. Un fournisseur sérieux les a déjà prêts ; un fournisseur qui tarde à répondre vous donne une information tout aussi utile.

Pour les entreprises qui manipulent des données de santé, des données financières ou qui répondent à des marchés publics, un hébergement géré en France, éventuellement qualifié SecNumCloud, retire une bonne partie de l’incertitude juridique liée aux transferts internationaux. Pour les PME et les indépendants, un serveur privé géré comme celui que propose Yundera peut couvrir la plupart de ces exigences sans les délais et les coûts d’une qualification complète.

Points clés

La conformité RGPD d’un cloud d’entreprise en France repose sur trois piliers indissociables : un DPA solide, des mesures techniques conformes à l’article 32, et une maîtrise réelle de la localisation des données.

Table des matières

• Cloud entreprise RGPD France : qui est responsable de quoi ?
• Quelles mesures techniques impose l’article 32 du RGPD ?
• Où doivent être stockées les données et que change le Cloud Act ?
• Quand une AIPD devient-elle obligatoire pour un projet cloud ?
• Cloud souverain, serveur privé géré ou cloud public européen : que choisir ?
• Comment mettre en place la conformité cloud, étape par étape ?
• Comment Yundera répond à ces exigences pour les entreprises françaises
• Ce que la plupart des guides RGPD passent sous silence
• Passez à un cloud d’entreprise pensé pour la conformité RGPD
• Sources

Cloud entreprise RGPD France : qui est responsable de quoi ?

Le RGPD distingue deux rôles qui ne se recouvrent jamais complètement : le responsable du traitement, c’est vous, l’entreprise qui collecte et utilise les données de vos clients ou salariés ; le sous-traitant, c’est votre prestataire cloud, qui traite ces données pour votre compte et selon vos instructions. Cette distinction structure toute la conformité RGPD pour entreprises françaises qui utilisent le cloud, et elle a une conséquence directe : vous ne pouvez jamais transférer votre responsabilité légale à votre hébergeur, même si le contrat commercial vous fait croire le contraire.

Il existe des cas de co-responsabilité, notamment quand deux entités déterminent ensemble les finalités et les moyens du traitement, par exemple lorsqu’une entreprise et son partenaire commercial exploitent conjointement une base de données clients. Ces situations demandent un accord de co-responsabilité distinct du DPA classique, ce qui reste rare dans une relation cloud standard fournisseur/client.

Ce que doit contenir un DPA solide

Un contrat de sous-traitance qui respecte l’article 28 ne se limite pas à une clause de confidentialité glissée dans les conditions générales. La CNIL et les guides pratiques du secteur s’accordent sur une liste de clauses non négociables :

• L’objet, la durée et la finalité précise du traitement confié au prestataire.
• La nature des données traitées et les catégories de personnes concernées.
• Les obligations du sous-traitant en matière de sécurité, alignées sur l’article 32.
• Les conditions de recours à des sous-processeurs, avec information préalable et droit d’opposition.
• Un droit d’audit effectif, pas seulement théorique, permettant de vérifier les mesures mises en œuvre.
• L’assistance du sous-traitant en cas de notification de violation ou de demande d’exercice des droits.
• Les modalités de suppression ou de restitution des données à la fin du contrat.

Ce dernier point mérite une attention particulière, car beaucoup d’entreprises découvrent trop tard qu’un fournisseur cloud facture l’export de données ou impose des formats propriétaires qui rendent la migration coûteuse. Un DPA bien rédigé fixe ces conditions dès le départ, pas au moment de la résiliation.

La chaîne de sous-traitance, angle mort classique

Votre prestataire cloud principal fait presque toujours appel à d’autres sous-traitants : hébergeur physique des serveurs, service de sauvegarde, outil de supervision, prestataire de support technique. Chacun de ces sous-processeurs entre dans le périmètre de votre responsabilité RGPD, même si vous n’avez jamais entendu leur nom.

L’article 28 impose que votre sous-traitant principal vous informe de tout changement dans cette chaîne et vous laisse le temps de vous opposer à un nouveau sous-processeur. En pratique, peu d’entreprises exercent réellement ce droit, faute de processus interne pour suivre ces notifications. Mettre en place une revue trimestrielle de la liste des sous-processeurs de vos fournisseurs cloud principaux évite une mauvaise surprise lors d’un contrôle de la CNIL ou d’un audit client.

Conseil de pro : demandez systématiquement à votre fournisseur la liste actualisée de ses sous-traitants et vérifiez où sont localisés leurs serveurs. Un prestataire hébergé en France peut très bien confier sa sauvegarde à un service situé hors Union européenne, ce qui change complètement l’analyse de risque.

Erreurs contractuelles qui coûtent cher

Trois pièges reviennent régulièrement dans les contrats cloud examinés après un incident. D’abord, l’absence de clause de notification rapide : un DPA qui ne fixe pas de délai précis pour signaler une violation de données vous expose à dépasser le délai légal de 72 heures sans même le savoir. Ensuite, des clauses d’audit purement symboliques, qui autorisent un audit « sur demande raisonnable » sans jamais préciser les modalités concrètes. Enfin, l’absence de clause de réversibilité, qui transforme un changement de prestataire en projet de plusieurs mois avec un risque élevé de perte de données.

Un DPA bien construit anticipe ces trois situations avant qu’elles ne deviennent des crises.

Quelles mesures techniques impose l’article 32 du RGPD ?

L’article 32 du RGPD ne fixe pas de liste fermée de technologies obligatoires, mais il exige des mesures « appropriées au regard du risque », ce qui, en pratique, s’est stabilisé autour de quatre piliers techniques que tout contrat et toute configuration cloud doivent couvrir.

1. Le chiffrement, au repos et en transit

Les données doivent être chiffrées lorsqu’elles sont stockées sur les serveurs du prestataire et lorsqu’elles circulent entre vos systèmes et le cloud. Pour les jeux de données les plus sensibles, deux options renforcent nettement la position juridique de l’entreprise : les clés gérées par le client (CMK, pour Customer Managed Keys) et le chiffrement côté client, effectué avant même l’envoi des données vers le cloud. L’intérêt de ces approches est direct : le fournisseur ne détient techniquement pas la capacité de déchiffrer les données sans votre autorisation, ce qui réduit fortement le risque en cas de transfert international ou de demande d’accès émanant d’une autorité étrangère.

2. La gestion des clés de chiffrement

Chiffrer sans bien gérer les clés ne sert à rien. Une gestion sérieuse repose sur des modules matériels de sécurité (HSM), une rotation régulière des clés, la possibilité de les exporter si vous changez de prestataire, et une séparation stricte entre les équipes qui administrent l’infrastructure et celles qui détiennent les clés. Cette séparation des rôles, souvent négligée dans les petites structures, empêche qu’une seule personne compromise puisse à la fois accéder aux données et aux moyens de les déchiffrer.

3. Le contrôle des accès

L’authentification multifacteur (MFA) doit être activée sur tous les comptes ayant accès aux données personnelles, sans exception pour les comptes techniques ou les intégrations automatisées. Le principe du moindre privilège, qui consiste à donner à chaque utilisateur uniquement les droits strictement nécessaires à sa fonction, reste la mesure la plus rentable en rapport risque/coût : elle limite l’ampleur des dégâts en cas de compte compromis. La segmentation des environnements, production, test et développement, complète ce dispositif en évitant que des données réelles se retrouvent exposées dans un environnement moins surveillé.

4. La journalisation et la détection d’incidents

Un système qui ne garde pas de traces de qui a fait quoi, quand, ne permet ni de détecter un incident ni de le documenter après coup. La CNIL rappelle que la distinction entre sécurité « du » cloud, assurée par le fournisseur, et sécurité « dans » le cloud, qui reste de votre responsabilité, se joue en grande partie sur cette capacité de traçabilité. Un point technique souvent ignoré mérite d’être signalé : certains services de sécurité périmétrique, comme les pare-feux applicatifs ou les systèmes anti-DDoS, déchiffrent le trafic TLS pour l’analyser. Si ce déchiffrement s’effectue chez un tiers situé hors Union européenne, cela peut constituer un transfert de données implicite, invisible dans votre cartographie initiale. Distinguer clairement les fonctions de performance, comme un CDN, des fonctions de sécurité qui manipulent le contenu déchiffré fait d’ailleurs partie des bonnes pratiques recensées par les ressources spécialisées en administration web.

Conseil de pro : fixez par écrit avec votre prestataire un délai maximal de notification en cas d’incident, par exemple 24 heures, plutôt que de vous appuyer sur le délai légal de 72 heures qui s’applique à vous vis-à-vis de la CNIL. Vous avez besoin de marge pour analyser l’incident avant de le déclarer.

Où doivent être stockées les données et que change le Cloud Act ?

Un serveur physiquement situé en France ne suffit pas toujours à écarter le risque d’un accès extraterritorial. Le Cloud Act américain, par exemple, permet aux autorités des États-Unis de demander à une entreprise américaine l’accès à des données qu’elle héberge, même sur des serveurs situés hors des États-Unis, dès lors que cette entreprise en garde le contrôle technique ou juridique. Concrètement, un fournisseur cloud américain qui opère un centre de données en France reste soumis à cette loi, ce qui rend la localisation géographique des serveurs insuffisante à elle seule pour garantir la conformité RGPD.

C’est précisément ce constat qui a fait émerger le référentiel SecNumCloud, porté par l’ANSSI. Un prestataire qualifié SecNumCloud doit démontrer qu’il échappe à toute obligation légale extraterritoriale susceptible de contraindre l’accès aux données, ce qui inclut des critères capitalistiques stricts sur l’actionnariat de l’entreprise. Ce référentiel couvre à la fois des exigences techniques (chiffrement, gestion des accès, résilience), organisationnelles (procédures, audits réguliers) et juridiques (immunité extraterritoriale). Les administrations, les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE) y sont soumis de fait, mais rien n’empêche une entreprise privée de s’en inspirer volontairement pour ses traitements les plus sensibles.

Cette exigence de souveraineté ne relève plus seulement d’un choix éthique. La directive NIS2 et le règlement DORA pour le secteur financier renforcent les obligations de résilience opérationnelle, ce qui pousse un nombre croissant d’organisations, bien au-delà du secteur public, à considérer SecNumCloud comme un critère de sélection sérieux plutôt qu’une case à cocher.

Les mécanismes pour encadrer un transfert hors UE

Quand un transfert de données hors de l’Union européenne reste nécessaire, malgré tous les efforts de localisation, trois outils juridiques permettent de l’encadrer :

• Le Data Privacy Framework (DPF), l’accord qui régit actuellement les transferts vers certaines entreprises américaines certifiées, sous réserve de son évolution juridique.
• Les clauses contractuelles types (CCT) adoptées par la Commission européenne, qui imposent des engagements précis au destinataire des données.
• L’analyse de transfert (Transfer Impact Assessment, TIA), qui évalue concrètement le niveau de protection réel offert dans le pays destinataire, au-delà du texte contractuel.

Aucun de ces mécanismes ne remplace une mesure technique comme le chiffrement côté client. Les guides pratiques recommandent d’ailleurs de documenter systématiquement chaque transfert hors UE dans le registre des traitements, avec le mécanisme juridique retenu et les mesures techniques complémentaires appliquées.

Ce que cela signifie concrètement pour votre entreprise

Pour une entreprise française sans obligation sectorielle particulière, la recommandation pratique reste simple : privilégiez un hébergement en France, vérifiez la nationalité réelle du capital de votre prestataire (pas seulement l’adresse de son siège), et posez explicitement la question de la soumission à des lois extraterritoriales lors de tout appel d’offres. Si vous traitez des données de santé, des secrets industriels ou si vous répondez à des marchés publics, la qualification SecNumCloud du prestataire, ou à défaut un hébergement respectant des principes équivalents, devient un critère de sélection à part entière.

Quand une AIPD devient-elle obligatoire pour un projet cloud ?

L’analyse d’impact relative à la protection des données (AIPD, ou DPIA en anglais) n’est pas systématique, mais l’article 35 du RGPD la rend obligatoire dans plusieurs situations fréquentes lors d’une migration cloud. Trois critères déclenchent cette obligation : le traitement porte sur des données sensibles à grande échelle (santé, données biométriques, origine ethnique), le traitement implique une surveillance systématique des personnes, ou le transfert de données s’effectue vers un pays sans garanties de protection équivalentes et sans mesures techniques compensatoires suffisantes.

En dehors de ces cas, la CNIL recommande néanmoins de réaliser une AIPD par prudence dès qu’un projet cloud représente un changement structurant, par exemple la migration complète du système d’information vers un nouveau fournisseur.

Comment conduire une AIPD pour une migration cloud

1. Décrire précisément le traitement : quelles données, pour quelles finalités, avec quel prestataire, sur quelle durée de conservation.
2. Évaluer les risques pour les personnes concernées : probabilité et gravité d’un accès non autorisé, d’une perte de données ou d’une utilisation détournée.
3. Définir un plan d’atténuation : mesures techniques (chiffrement renforcé, CMK) et organisationnelles (formation, procédures d’accès) pour ramener le risque à un niveau acceptable.
4. Documenter l’ensemble dans un rapport formel, conservé comme preuve en cas de contrôle.
5. Consulter la CNIL si, après application des mesures d’atténuation, un risque résiduel élevé subsiste.

Une AIPD bien menée dépasse largement l’analyse technique. Elle valide aussi la solidité de la chaîne contractuelle avec les sous-traitants, vérifie où sont localisés les journaux d’activité et contrôle les procédures d’accès administratif du prestataire, trois points que les entreprises négligent souvent en se concentrant uniquement sur le chiffrement.

L’AIPD doit ensuite s’intégrer au registre des traitements, pas rester un document isolé archivé une fois signé. Chaque mise à jour significative du service cloud, changement de sous-traitant, nouvelle fonctionnalité traitant des données personnelles, devrait déclencher une révision de l’analyse existante plutôt qu’une nouvelle AIPD complète repartant de zéro.

Cloud souverain, serveur privé géré ou cloud public européen : que choisir ?

Le choix entre ces trois architectures dépend rarement d’une préférence idéologique pour la souveraineté. Il se joue sur des critères concrets que toute entreprise peut évaluer avant de s’engager.

La sensibilité des données traitées reste le premier filtre. Des données de santé, des dossiers RH complets ou des secrets industriels justifient un niveau de garantie supérieur à celui d’un simple site vitrine ou d’un outil de gestion de projet interne. Les obligations sectorielles pèsent ensuite lourdement : un établissement de santé doit respecter la certification HDS (hébergeur de données de santé), un acteur financier doit composer avec DORA, un opérateur de services essentiels doit anticiper NIS2. Le budget disponible et la capacité interne à gérer une infrastructure complète comptent tout autant : une qualification SecNumCloud complète représente un investissement que peu de PME peuvent justifier au regard de leur exposition réelle au risque.

Les compromis entre les trois options

Le cloud public européen (grands fournisseurs opérant depuis des centres de données situés dans l’Union) offre une richesse fonctionnelle et une scalabilité que peu d’alternatives peuvent égaler, mais il expose souvent à la question de la nationalité de la maison mère et donc à un risque résiduel de soumission à des lois extraterritoriales.

SecNumCloud apporte la garantie juridique la plus forte disponible en France, avec une immunité documentée face aux lois étrangères, mais impose un coût et une complexité de mise en œuvre qui dépassent largement les besoins d’une PME classique.

Le serveur privé géré, hébergé en France, occupe un espace intermédiaire qui correspond souvent mieux aux besoins réels des PME et startups françaises. Il offre la maîtrise physique et juridique des données sans exiger la lourdeur d’une qualification complète, un compromis que confirment plusieurs analyses récentes du marché du cloud pour les petites structures.

Les questions à poser lors d’un appel d’offres ou d’un test

Avant de signer, posez ces questions précises à tout prestataire cloud, quelle que soit l’architecture envisagée :

• Où sont physiquement localisés les serveurs, et où sont stockés les journaux d’activité (souvent oubliés dans cette question) ?
• Quel est l’engagement de niveau de service (SLA) en cas d’incident, et quel délai de notification est contractuellement garanti ?
• Comment s’effectue une sauvegarde, et surtout, comment se déroule un test de restauration réel, pas seulement théorique ?
• Le contrat autorise-t-il un droit d’audit effectif, et sous quelles modalités concrètes ?
• L’export complet des données est-il garanti, gratuit et dans un format réutilisable, en cas de changement de prestataire ?

Cette dernière question mérite d’être posée systématiquement, car de nombreuses entreprises découvrent la réponse uniquement au moment où elles cherchent à partir.

Comment mettre en place la conformité cloud, étape par étape ?

Une mise en conformité RGPD pour un projet cloud se structure en trois phases distinctes, chacune avec ses livrables précis à conserver comme preuve en cas de contrôle.

Avant la migration

1. Cartographier les traitements existants : quelles données, quels systèmes, quels flux, avant même de choisir un prestataire.
2. Sélectionner le prestataire et négocier le DPA en vérifiant chaque clause listée plus haut, notamment la chaîne de sous-traitants et le droit d’audit.
3. Réaliser l’AIPD si l’un des critères de déclenchement s’applique, en amont de tout engagement contractuel.
4. Vérifier les garanties d’hébergement : localisation des serveurs, statut SecNumCloud éventuel, soumission à des lois extraterritoriales.

Pendant la migration

5. Configurer le chiffrement au repos et en transit, avec gestion des clés en CMK pour les données les plus sensibles.
6. Mettre en place l’IAM (gestion des identités et des accès) avec MFA obligatoire et principe du moindre privilège dès le premier jour d’exploitation.
7. Tester une restauration complète avant de considérer la migration terminée, pas seulement une sauvegarde théorique.
8. Vérifier les sous-traitants réels du prestataire, au-delà de ce qui figure dans le contrat commercial initial.

Après la migration

9. Mettre à jour le registre des traitements avec le nouveau service, ses finalités, ses durées de conservation et les mécanismes de transfert éventuels.
10. Formaliser les procédures d’incident, avec les contacts internes et externes à mobiliser en cas de violation de données.
11. Planifier des revues régulières, au minimum annuelles, de la conformité du prestataire et de l’évolution de sa chaîne de sous-traitance.

Conseil de pro : conservez systématiquement une trace écrite de chaque échange avec votre prestataire sur ces points, même un simple e-mail de confirmation. En cas de contrôle de la CNIL, la capacité à produire une documentation datée pèse souvent plus que la qualité intrinsèque des mesures techniques elles-mêmes.

Cette checklist détaillée pour la conformité RGPD dans le cloud permet de vérifier point par point chacune de ces étapes avant, pendant et après un projet de migration.

Comment Yundera répond à ces exigences pour les entreprises françaises

Yundera propose des serveurs privés personnalisés, entièrement gérés et hébergés en France, conçus pour que l’entreprise garde la propriété totale de ses données sans avoir à recruter une équipe technique dédiée. Cette approche répond directement à plusieurs points abordés plus haut : l’export des données est garanti à tout moment, ce qui règle par avance la question de la réversibilité contractuelle souvent négligée dans les DPA classiques, et l’infrastructure ne collecte ni ne revend aucune donnée, un engagement structurel plutôt qu’une simple clause contractuelle.

Pour une PME ou une startup française qui cherche la souveraineté sur ses données sans vouloir gérer elle-même serveurs, mises à jour et sécurité, un serveur privé géré hébergé en France reste souvent le compromis le plus réaliste entre protection juridique et simplicité opérationnelle.

Plus de 100 applications open-source préinstallées, stockage de fichiers, hébergement de sites, galerie photo, outils collaboratifs, gestionnaire de mots de passe, VPN, sont accessibles via un domaine personnalisé, ce qui évite à l’entreprise de multiplier les contrats avec des prestataires disparates dont chacun devrait faire l’objet d’un DPA distinct.

Cette approche convient particulièrement à :

• Une PME qui traite des données clients sensibles sans disposer d’un service informatique interne dédié à la sécurité.
• Un indépendant ou une petite structure qui veut éviter la dépendance à un grand fournisseur soumis à des lois extraterritoriales.
• Une entreprise en phase de croissance qui a besoin d’une infrastructure évolutive sans complexité de gestion.

Le guide sur la souveraineté des données et les ressources sur l’hébergement en France détaillent plus précisément ces arbitrages coût/risque pour les décideurs qui hésitent entre plusieurs architectures.

Ce que la plupart des guides RGPD passent sous silence

La conformité RGPD dans le cloud se réduit trop souvent, dans les guides génériques, à une histoire de chiffrement et de contrat type. C’est une erreur de perspective. Le risque juridique réel se situe autant dans la chaîne de sous-traitance invisible, ces sous-processeurs que votre fournisseur principal change sans que vous le remarquiez, que dans la configuration technique elle-même.

La deuxième idée reçue à combattre, c’est l’équation « serveurs en France égale conformité garantie ». Le Cloud Act et les lois extraterritoriales similaires montrent que la nationalité réelle de l’entreprise qui opère l’infrastructure compte souvent davantage que l’adresse postale du centre de données. Une PME qui traite des données courantes n’a probablement pas besoin d’une qualification SecNumCloud complète. Elle a besoin d’un prestataire dont elle comprend la structure capitalistique, qui garantit un export réel des données et qui documente honnêtement sa chaîne de sous-traitants. C’est un niveau d’exigence atteignable, à condition de poser les bonnes questions avant de signer plutôt qu’après un incident.

— Yundera

Passez à un cloud d’entreprise pensé pour la conformité RGPD

Yundera est l’alternative à la dépendance envers un grand fournisseur cloud international pour les entreprises françaises soucieuses de leur conformité RGPD : un serveur privé entièrement géré, hébergé en France, avec export garanti des données à tout moment et aucune collecte ni revente d’informations personnelles.

Contrairement à un cloud public généraliste où la localisation réelle des sous-traitants reste souvent floue, Yundera place l’entreprise en position de contrôle direct sur son infrastructure, sans nécessiter de compétences techniques internes ni d’équipe dédiée à la sécurité. Plus de 100 applications open-source sont disponibles pour couvrir le stockage de fichiers, l’hébergement de sites, la collaboration ou la gestion des accès, toutes accessibles via un domaine personnalisé et administrées depuis une interface unique.

Pour une PME ou une startup qui veut concilier souveraineté des données et simplicité d’exploitation, la page dédiée aux petites structures détaille les économies opérationnelles possibles par rapport à une infrastructure gérée en interne. Si vous êtes prêt à reprendre la main sur vos données, découvrez l’offre de serveur privé Yundera et évaluez dès aujourd’hui la formule adaptée à votre volume de données.

Sources

Pour vérifier ou approfondir les points abordés, quelques références officielles restent incontournables :

• Informatique en nuage (cloud) : la CNIL publie deux fiches pratiques
• SecNumCloud et RGPD : guide du cloud souverain en 2026
• Regulation (EU) 2016/679 (RGPD) — EUR-Lex
• Sécurité dans le cloud : bonnes pratiques - France Num

Cet article constitue une information générale et ne remplace pas l’avis d’un avocat qualifié. Consultez un professionnel du droit qualifié à propos de votre cas personnel avant d’agir sur la base de ce contenu.

Recommandation

• Conformité RGPD dans le cloud : checklist pour entreprises françaises
• Contrôlez vos données en ligne : guide pratique RGPD
• Hébergement des données en France : guide pour DSI et décideurs
• Take Control of Your Data Online: A Practical GDPR Guide