Souveraineté numérique française et hébergement de fichiers

Les exigences de souveraineté numérique française pour l'hébergement de fichiers se concentrent sur trois points : où les données résident physiquement, qui peut y accéder légalement, et si le prestataire peut être contraint par une loi étrangère de les divulguer. En 2026, les acheteurs du secteur public et des secteurs réglementés exigent de plus en plus la qualification SecNumCloud de l'ANSSI, un hébergement sur le territoire français ou européen sous des prestataires relevant du droit français, et une immunité face aux lois extraterritoriales comme le US CLOUD Act. La doctrine « Cloud au centre » formalisée par la circulaire du Premier ministre de mai 2021 et renforcée depuis en fait une exigence de marché public, non une simple préférence.

Pourquoi la souveraineté est cruciale pour le transfert de fichiers

Un hôpital français qui envoie des images médicales via un service de transfert de fichiers dont le siège est aux États-Unis crée trois problèmes. Premièrement, le US CLOUD Act (2018) autorise les forces de l'ordre américaines à contraindre le prestataire à produire des données clients quel que soit l'endroit où elles sont stockées. Deuxièmement, la section 702 de la FISA couvre les communications des personnes non américaines d'une manière qui a déclenché à plusieurs reprises les arrêts Schrems de la CJUE. Troisièmement, l'article 3 de la Loi de Programmation Militaire française et la récente Loi sur la Cybersécurité attendent des secteurs sensibles qu'ils utilisent des prestataires immunisés contre de telles contraintes. Les données de transfert de fichiers ne relèvent généralement pas du « secret défense », mais les dossiers patients, les stratégies juridiques et les documents de R&D tombent souvent sous des protections sectorielles qui s'alignent sur les exigences de souveraineté.

SecNumCloud : ce que signifie la qualification

SecNumCloud est la qualification cloud de l'ANSSI. Elle teste à la fois la sécurité technique et l'indépendance juridique. Le référentiel 2022 v3.2, mis à jour en v3.2bis avec des précisions en 2023-2024, a ajouté des critères d'immunité explicites : le capital du prestataire, ses contrats et sa prise de décision doivent être structurés de sorte qu'aucune loi non européenne ne puisse contraindre la divulgation de données. En pratique : majorité du capital européen, entités contractuelles de droit européen, et contrôle opérationnel européen. Les prestataires qualifiés en 2026 comprennent OVHcloud (Hosted Private Cloud), Outscale, Worldline, Bleu (la coentreprise Microsoft-Orange-Capgemini pour Azure souverain), et S3NS (Thales-Google Cloud). La liste est courte parce que la barre est haute.

Hébergement des données de santé françaises : la certification HDS

Distincte de SecNumCloud, l'hébergement de données de santé en France nécessite la certification HDS (Hébergeur de Données de Santé) en vertu de l'article L1111-8 du Code de la Santé Publique. La HDS couvre deux périmètres, l'hébergement d'infrastructure et l'hébergement externalisé, et est auditée contre un référentiel aligné sur ISO 27001 et des contrôles sectoriels spécifiques. Tout service de transfert de fichiers utilisé par des hôpitaux, cliniques ou laboratoires médicaux français traitant des PHI doit être certifié HDS ou s'appuyer sur une plateforme certifiée HDS. La liste des hébergeurs certifiés est publique sur le site eSanté. L'hébergement de données de santé françaises sans certification HDS constitue une violation contractuelle et réglementaire même si les données sont chiffrées.

Le droit français sur la conservation des données et l'accès des forces de l'ordre

Les forces de l'ordre françaises peuvent accéder aux fichiers hébergés en vertu des articles d'investigation numérique du Code de Procédure Pénale, nécessitant une ordonnance judiciaire dans la plupart des cas et une base procédurale légitime. Pour les services de renseignement, la Loi du 24 juillet 2015 sur le renseignement autorise des interceptions spécifiques avec autorisation préalable. Ni l'un ni l'autre ne ressemble au National Security Letter américain ou au processus secret de la FISA 702. L'hébergement souverain français signifie que vos données peuvent toujours être consultées par les autorités françaises en vertu du droit français avec contrôle judiciaire français, ce que de nombreux acheteurs français réglementés préfèrent aux régimes de divulgation étrangers qu'ils ne contrôlent pas.

Alternatives européennes et Gaia-X

Au-delà des seuls prestataires français, le plus large écosystème cloud européen offre la souveraineté via le cadre Gaia-X, qui définit des critères fédérés de données et de services, incluant la localisation des prestataires et les termes contractuels. Les labels Gaia-X à différents niveaux indiquent la profondeur de conformité. Des prestataires comme OVHcloud, Scaleway, IONOS, Hetzner et T-Systems y participent. Pour le transfert de fichiers, la question pratique est de savoir si l'infrastructure du fournisseur — du backend de stockage au CDN en passant par l'observabilité — s'appuie sur des prestataires de droit européen ou si des portions de la pile fuient vers la sphère américaine. Un service de transfert sur AWS Paris géré par une société mère américaine ne satisfait pas aux critères de souveraineté SecNumCloud.

L'extraterritorialité et le CLOUD Act en pratique

Le US CLOUD Act autorise le gouvernement américain à demander des données stockées à des prestataires de services basés aux États-Unis, quel que soit l'endroit où les données résident. En 2023 et 2024, plusieurs décisions d'achats publics françaises de haut niveau ont explicitement exclu les clouds à maison-mère américaine même lorsque ceux-ci proposaient des régions UE uniquement. Le raisonnement juridique : le chiffrement au repos ne bloque pas la divulgation si le prestataire contrôle les clés. Un service de transfert souverain détient les clés exclusivement sous des entités européennes, ou mieux encore, utilise un chiffrement de bout en bout de sorte que le prestataire n'ait aucun texte en clair à divulguer même sous contrainte.

Formulations contractuelles qui imposent la souveraineté

Les acheteurs publics français inscrivent de plus en plus la souveraineté dans leurs cahiers des charges avec des clauses spécifiques. Formulation typique : le prestataire doit être qualifié SecNumCloud, les données doivent rester sur le territoire français ou européen, l'opérateur et ses sous-traitants doivent être régis par le droit européen, et aucun accès par des autorités non européennes en vertu d'une loi étrangère ne peut se produire. Des pénalités exécutoires s'attachent aux violations. Les entreprises privées des secteurs réglementés (banque, assurance, défense) adoptent des modèles similaires. Même hors secteurs réglementés, la Loi française sur le renseignement de 2023 et les annonces de stratégie industrielle de 2024 ont fait de la souveraineté un sujet de conseil d'administration.

Implications pour les choix de transfert de fichiers

Pour les entités françaises traitant des données sensibles, l'arbre de décision en 2026 est le suivant : les données sont-elles soumises à des règles sectorielles spécifiques (santé, défense, administration publique) ? Choisissez un prestataire qualifié SecNumCloud ou certifié HDS. Les données sont-elles sensibles mais non réglementées ? Choisissez un prestataire de droit UE, hébergé en UE, avec de solides engagements contractuels. Les données sont-elles de faible sensibilité ? Les outils conformes RGPD hébergés en UE suffisent. Dans tous les cas, la posture cryptographique compte : le chiffrement de bout en bout côté client neutralise de nombreux risques de divulgation car le prestataire ne peut littéralement pas lire le fichier. Les outils qui s'appuient sur un chiffrement côté serveur offrent moins de souveraineté même s'ils fonctionnent sur infrastructure française.

HexaTransfer chiffre les fichiers dans le navigateur avec AES-256-GCM avant l'upload, de sorte que le texte chiffré stocké sur infrastructure UE n'est pas lisible par le service ni par quiconque ne dispose pas du fragment du lien. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.

La souveraineté numérique française n'est pas de l'isolationnisme. C'est un ensemble de contrôles juridiques et techniques concrets qui rendent la divulgation des données gouvernable en vertu du droit français ou européen. Pour l'hébergement de fichiers, la bonne combinaison associe un prestataire qualifié pour les charges de travail réglementées, un chiffrement côté client pour tout le reste, et des contrats désignant la juridiction française ou européenne. Toute lacune laisse une ouverture qu'une autorité étrangère déterminée peut emprunter.