Exigences d'hébergement UE pour les services de transfert 2026

Les exigences d'hébergement UE pour les services de transfert de fichiers en 2026 empilent plusieurs règles les unes sur les autres. Les chapitres IV et V du RGPD posent la base des obligations des sous-traitants et des transferts internationaux. Le Data Act (Règlement 2023/2854), applicable à partir du 12 septembre 2025, ajoute des droits de portabilité et d'interopérabilité. Le projet de schéma EUCS au titre du Cybersecurity Act pousse la souveraineté dans les niveaux de certification cloud. NIS2 superpose des obligations de cybersécurité. Les règles des États membres comme SecNumCloud en France et C5 en Allemagne s'ajoutent par-dessus. Le résultat pratique : un fournisseur de transfert servant des clients UE a besoin d'une infrastructure localisée en UE, de contrats de traitement sous droit européen, et d'une protection documentée contre la contrainte non-UE.

La localisation des serveurs n'est pas tout

De nombreux prestataires affichent un « hébergement UE » tout en s'appuyant sur une région cloud à maison-mère américaine à Francfort ou Dublin. Ce positionnement satisfait partiellement la résidence des données sous le RGPD. L'arrêt Schrems II de la CJUE (C-311/18) a clairement établi que l'exposition juridique du prestataire compte, pas seulement la géographie des octets. Une maison-mère américaine avec une région Francfort peut toujours être contrainte en vertu du US CLOUD Act. Pour de nombreux clients UE, en particulier dans les secteurs réglementés, cela pose un problème de transfert. Le point de vue 2026 des Recommandations 01/2020 du Comité Européen de la Protection des Données et leurs mises à jour : évaluez le droit du pays où le prestataire peut être légalement contraint, pas seulement l'endroit où le serveur se trouve.

RGPD article 28 et le contrat de sous-traitance

Tout fournisseur de transfert traitant des données personnelles pour un responsable de traitement UE doit signer un accord de traitement de données (DPA) conforme à l'article 28(3). Le DPA doit préciser l'objet et la durée, la nature et la finalité, les types de données personnelles et les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement. Il doit engager le sous-traitant sur des conditions nommées : agir uniquement sur instructions, assurer la confidentialité du personnel, mettre en œuvre les mesures de sécurité de l'article 32, prendre en charge les audits, restituer ou supprimer les données à la résiliation, et gérer les sous-traitants ultérieurs avec autorisation préalable. Les DPA manquants ou lacunaires constituent la constatation la plus courante lors des audits de la CNIL et d'autres autorités de contrôle en 2024-2025.

Transferts transfrontaliers après Schrems II

Depuis juillet 2023, le cadre EU-US Data Privacy Framework offre une voie d'adéquation valable pour les importateurs de données américains s'auto-certifiant. Mais le cadre fait face à des contestations juridiques, et l'histoire suggère qu'un autre arrêt Schrems est plausible. Pour les fournisseurs de transfert acheminant des données hors de l'EEE, la voie la plus sûre est multi-niveaux : s'appuyer sur le cadre là où applicable, le renforcer avec les Clauses Contractuelles Types de 2021, et réaliser une Analyse d'Impact du Transfert documentant le régime juridique du pays de destination et les mesures supplémentaires (chiffrement de bout en bout, pseudonymisation, entiercement de clé partagée) qui protègent les données. De nombreux acheteurs UE de services de transfert exigent simplement en 2026 des chemins de données exclusivement UE pour éviter l'analyse.

Les règles de portabilité du Data Act

Le Data Act, applicable à partir du 12 septembre 2025, accorde aux clients UE des droits exécutoires pour changer de fournisseur cloud et emporter leurs données. Les articles 23 à 31 traitent spécifiquement des services de traitement de données, exigeant que les prestataires suppriment les obstacles au changement, plafonnent les frais (avec des frais réduits à zéro à partir du 12 janvier 2027), et prennent en charge la portabilité des données dans des formats structurés, couramment utilisés et lisibles par machine. Pour les services de transfert conservant des archives clients ou des données de locataires, l'obligation est de permettre l'export des métadonnées de compte, des fichiers uploadés et des configurations dans des formats tels que ZIP, JSON et CSV. Les fournisseurs sans outils d'export fonctionnels s'exposent à des mesures d'exécution.

EUCS et les niveaux de souveraineté

Le schéma européen de certification de cybersécurité pour les services cloud (EUCS) est élaboré sous la coordination de l'ENISA depuis 2020 et devrait être adopté en 2026, sous réserve de la résolution des débats sur le périmètre. Il définit quatre niveaux d'assurance : Basique, Substantiel, Élevé, et potentiellement Élevé+ avec des critères de souveraineté reflétant les exigences d'immunité de SecNumCloud. Pour les services de transfert ciblant les acheteurs publics ou réglementés, l'alignement précoce avec EUCS Élevé sera une nécessité concurrentielle. Certains États membres dont la France, l'Italie et l'Espagne ont poussé pour des critères d'immunité explicites au niveau supérieur ; d'autres dont l'Allemagne et l'Irlande préfèrent des contrôles uniquement techniques. Le texte final déterminera ce que « souveraineté cloud » signifie en pratique.

Localisation des données pour des secteurs spécifiques

Au-delà des règles horizontales, plusieurs secteurs imposent la localisation. La certification HDS française pour les données de santé exige des hébergeurs certifiés. Les normes BSI allemandes pour les données de santé et certaines charges de travail fédérales exigent une infrastructure certifiée C5. Le cadre AgID italien pour l'administration publique impose une localisation italienne ou UE pour les données classifiées et sensibles. L'ENS espagnol au niveau Élevé fixe des critères équivalents. Quand un fournisseur de transfert sert des acheteurs multi-pays, satisfaire la règle sectorielle la plus stricte parmi sa base clients dicte généralement l'architecture. La solution la moins coûteuse est souvent d'héberger tout en France ou en Allemagne sous des contrats strictement européens, plutôt que de répartir géographiquement par client.

Obligations NIS2 pour les hébergeurs

NIS2 classe les services de cloud computing et les services de centres de données comme infrastructures numériques critiques. Les fournisseurs de transfert relevant de ces catégories doivent mettre en œuvre les mesures de cybersécurité de l'article 21, signaler les incidents sous 24 heures au CSIRT national, et satisfaire aux obligations de la chaîne d'approvisionnement. L'intersection avec l'hébergement : les fournisseurs ne peuvent pas simplement affirmer leur conformité NIS2 si leurs sous-traitants ne le sont pas eux-mêmes. Un service de transfert fonctionnant sur un hébergement backend non conforme hérite de l'écart. Les revues des risques de la chaîne d'approvisionnement sont désormais standard dans les marchés publics UE, avec des questions couvrant chaque maillon depuis le répartiteur de charge jusqu'au stockage des sauvegardes en passant par le CDN.

Journalisation, audit et notification des incidents

Les attentes d'hébergement UE en 2026 incluent des journaux d'audit détaillés conservés suffisamment longtemps pour prendre en charge les notifications de violation de 72 heures selon l'article 33 du RGPD. Pour le transfert de fichiers, les journaux minimaux couvrent les uploads, les téléchargements, les créations de liens, les expirations de liens, et les actions administratives. Les journaux doivent être interrogeables par le responsable de traitement pour enquêter sur les violations suspectées. Une conservation de six mois est courante ; des périodes plus longues peuvent être requises pour les clients financiers ou de santé. Les journaux eux-mêmes contiennent des données personnelles (IP, identifiants utilisateurs), donc leur conservation et leurs contrôles d'accès relèvent de la proportionnalité du RGPD. La sur-conservation de journaux « au cas où » viole le principe de limitation de la durée de conservation.

HexaTransfer fonctionne sur infrastructure UE avec chiffrement AES-256-GCM appliqué dans le navigateur avant l'upload, ce qui signifie que le texte chiffré sur les serveurs est inaccessible sans le fragment du lien. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.

L'hébergement en UE en 2026 n'est pas une règle unique mais un entrelacement de plusieurs. La localisation des serveurs compte. La juridiction du prestataire compte. Les termes contractuels comptent. Les certifications comptent. Les fournisseurs qui restent en avance mappent chaque règle à des mesures techniques et contractuelles concrètes et publient une page de confiance que les acheteurs peuvent transmettre à leurs équipes juridiques et de sécurité. Les acheteurs, à leur tour, posent les questions spécifiques plutôt que d'accepter « nous sommes hébergés en UE » comme réponse complète.