Цифровой суверенитет Франции и безопасный хостинг файлов

Французские требования цифрового суверенитета к хостингу файлов сводятся к трём вещам: где данные физически хранятся, кто может законно получить к ним доступ и может ли провайдер быть принуждён иностранным законодательством к их раскрытию. В 2026 году государственные и регулируемые покупатели всё чаще требуют квалификации SecNumCloud от ANSSI, хранения данных на французской или европейской территории у провайдеров, работающих по французскому праву, и защиты от экстерриториальных законов вроде американского CLOUD Act. Доктрина «Cloud au centre», оформленная циркуляром Премьер-министра от мая 2021 года и усиленная с тех пор, делает это требованием при закупках, а не просто предпочтением. Для российских компаний, работающих с французскими партнёрами или дочерними структурами, это конкретный критерий выбора инструмента передачи файлов.

Почему суверенитет важен для передачи файлов

Французская больница, отправляющая медицинские изображения пациентов через американский сервис передачи файлов, создаёт три проблемы. Первая: US CLOUD Act (2018) позволяет американским правоохранительным органам обязать провайдера передать данные клиентов независимо от места их хранения. Вторая: Раздел 702 FISA охватывает коммуникации неамериканских лиц способами, которые неоднократно становились основанием для решений CJEU по делу Schrems. Третья: конфиденциальные секторы ожидают использования провайдеров, защищённых от такого принуждения.

Данные передаваемых файлов обычно не являются «секретом обороны», но записи пациентов, юридические стратегии и R&D документы часто подпадают под отраслевую защиту, совпадающую с требованиями суверенитета.

SecNumCloud: что означает квалификация

SecNumCloud — это облачная квалификация ANSSI. Она тестирует как техническую безопасность, так и правовую независимость. Референциал версии 3.2, обновлённый до 3.2bis с уточнениями в 2023–2024 годах, добавил явные критерии иммунитета: капитал провайдера, его контракты и процессы принятия решений должны быть структурированы так, чтобы неевропейское законодательство не могло обязать его к раскрытию данных. На практике это означает преимущественно европейское владение, контрактные организации по европейскому праву и европейский операционный контроль.

Квалифицированные провайдеры по состоянию на 2026 год включают OVHcloud (Hosted Private Cloud), Outscale, Worldline, Bleu (совместное предприятие Microsoft-Orange-Capgemini для суверенного Azure) и S3NS (Thales-Google Cloud). Список короткий, потому что планка высока.

HDS-сертификация для французских медицинских данных

Отдельно от SecNumCloud, хостинг медицинских данных во Франции требует сертификации HDS (Hébergeur de Données de Santé) в соответствии со Статьёй L1111-8 Кодекса общественного здравоохранения. HDS охватывает две области: хостинг инфраструктуры и аутсорсинговый хостинг, и проверяется по референциалу, согласованному с ISO 27001 и отраслевыми средствами контроля. Любой сервис передачи файлов, используемый французскими больницами, клиниками или медицинскими лабораториями, обрабатывающими PHI, должен быть HDS-сертифицирован или работать через HDS-сертифицированную платформу.

Французское законодательство о хранении данных и доступе правоохранительных органов

Французские правоохранительные органы могут получить доступ к хранимым файлам в соответствии со статьями о цифровых расследованиях Уголовно-процессуального кодекса, требующими в большинстве случаев судебного ордера. Для спецслужб Закон от 24 июля 2015 года о разведке допускает конкретный перехват с предварительным разрешением. Ни один из этих режимов не напоминает американский National Security Letter или тайный процесс FISA 702. Суверенный французский хостинг означает, что ваши данные могут быть запрошены французскими властями по французскому праву под французским судебным контролем, что многие французские регулируемые покупатели предпочитают иностранным режимам раскрытия, которые они не контролируют.

Европейские альтернативы и Gaia-X

За пределами исключительно французских провайдеров более широкая европейская облачная экосистема предлагает суверенитет через рамку Gaia-X, определяющую федеративные критерии данных и услуг, включая локализацию провайдера и договорные условия. Провайдеры как OVHcloud, Scaleway, IONOS, Hetzner и T-Systems участвуют в Gaia-X.

Для передачи файлов практический вопрос: находится ли инфраструктура вендора — от бэкенда хранилища до CDN и платформы наблюдаемости — под европейско-правовыми провайдерами, или какие-то части стека уходят в американскую сферу. Сервис передачи файлов на AWS Paris, управляемый американской материнской компанией, не отвечает критериям суверенитета SecNumCloud.

CLOUD Act на практике

US CLOUD Act уполномочивает американское правительство запрашивать хранимые данные у американских поставщиков услуг независимо от места хранения данных. В 2023–2024 годах несколько резонансных решений о французских закупках прямо исключили облака с американским материнским капиталом, даже если те предлагали регионы только в ЕС. Правовое обоснование: шифрование в состоянии покоя не блокирует раскрытие, если провайдер контролирует ключи. Суверенный сервис передачи файлов хранит ключи исключительно под европейскими организациями или использует сквозное шифрование, при котором у провайдера нет открытого текста для раскрытия даже под принуждением.

Закупочный язык, обеспечивающий суверенитет

Французские публичные покупатели всё чаще включают суверенитет в RFP с конкретными оговорками. Типичные формулировки: провайдер должен быть квалифицирован SecNumCloud, данные должны оставаться на французской или европейской территории, оператор и его субпроцессоры должны регулироваться европейским правом, доступ неевропейских властей по иностранному праву не допускается. Частные компании в регулируемых секторах (банковском, страховом, оборонном) принимают аналогичные шаблоны.

Последствия для выбора инструментов передачи файлов

Для французских организаций, обрабатывающих конфиденциальные данные, дерево решений в 2026 году выглядит так. Подпадают ли данные под отраслевые правила (здравоохранение, оборона, государственное управление)? Выбирайте SecNumCloud-квалифицированного или HDS-сертифицированного провайдера. Данные чувствительны, но не регулируются? Выбирайте провайдера по европейскому праву с европейским хостингом и строгими договорными обязательствами. Данные малочувствительны? Подходят стандартные GDPR-совместимые инструменты с хостингом в ЕС.

Во всех случаях важна позиция по шифрованию: клиентское сквозное шифрование нейтрализует многие риски раскрытия, поскольку провайдер буквально не может прочитать файл. Инструменты, опирающиеся на шифрование на стороне провайдера, обеспечивают меньший суверенитет, даже если работают на французской инфраструктуре.

HexaTransfer шифрует файлы в браузере с использованием AES-256-GCM перед загрузкой, поэтому зашифрованный текст на инфраструктуре ЕС не читается ни сервисом, ни кем-либо, не имеющим фрагмента ссылки. Попробуйте на hexatransfer.com — бесплатно, без регистрации, максимум 10 ГБ.

Французский цифровой суверенитет — это не изоляционизм. Это набор конкретных правовых и технических мер, делающих раскрытие данных подотчётным французскому или европейскому праву. Для хостинга файлов правильный стек сочетает квалифицированного провайдера для регулируемых рабочих нагрузок, клиентское шифрование для всего остального и контракты, называющие французскую или европейскую юрисдикцию. Любой недостаток оставляет брешь, через которую может пройти настойчивый иностранный орган власти.