Souveraineté des données : définition, enjeux et 10 questions

Cet article informe, il ne remplace pas un conseil juridique. Rangee est notre produit ; les textes cités ont été relus le 3 novembre 2026.

La souveraineté des données, c'est le fait de garder la main sur ses données : qu'elles restent soumises au droit que vous avez choisi, et que vous seul décidiez qui y accède. Le terme est partout depuis 2020. Il est aussi souvent réduit à une promesse commerciale : « vos données sont hébergées en France ».

Cette promesse ne suffit pas. Un serveur à Paris, exploité par une société soumise à une loi étrangère, ne protège pas des demandes de cette loi. Ce guide donne une définition utilisable, les enjeux concrets en 2026, et dix questions à poser à un fournisseur avant de lui confier vos fichiers clients, vos stocks ou vos adhérents. Pour le détail de la loi américaine la plus citée, voyez notre guide du Cloud Act.

Qu'est-ce que la souveraineté des données ?

La souveraineté des données est la capacité d'une entreprise, d'une association ou d'un État à décider du droit qui s'applique à ses données et de qui peut y accéder. Elle ne dépend pas d'abord de l'endroit où sont les serveurs. Elle dépend du droit auquel sont soumises les entreprises qui contrôlent ces données.

Le mot vient du vocabulaire des États. Appliqué aux données, il désigne une question simple : si une autorité étrangère réclame vos données à votre fournisseur, ce fournisseur peut-il être obligé de les remettre ? Si oui, vos données ne sont pas souveraines, quel que soit le pays du centre de données.

Trois notions voisines se confondent souvent :

La résidence est une condition utile, rarement suffisante. Un éditeur américain peut offrir une résidence européenne sans offrir la souveraineté. Airtable, par exemple, propose une résidence des données en Europe sur son plan Enterprise Scale ; l'éditeur reste une société américaine, soumise à la section 2713 du code fédéral, qui vise les données sous son contrôle « regardless of whether » elles se trouvent aux États-Unis.

Pourquoi la souveraineté des données est-elle un enjeu en 2026 ?

En 2025, selon le communiqué de Synergy Research Group du 24 juillet, les fournisseurs européens ne détiennent que 15 % du marché du cloud en Europe, contre 29 % en 2017. Amazon, Microsoft et Google en détiennent 70 %. La plupart des données européennes dépendent donc d'entreprises soumises à un droit étranger.

Dans le même temps, le cloud est devenu la norme dans les entreprises. Selon Eurostat, 52,7 % des entreprises de l'Union achetaient des services cloud en 2025, contre 45,3 % en 2023. En France, la part est passée de 26,8 % à 40,4 %. Les usages principaux sont l'e-mail, la bureautique et le stockage de fichiers : précisément les données qu'on oublie de protéger.

Les pouvoirs publics ont tiré les conséquences de cette dépendance. Le 17 avril 2026, la Commission européenne a annoncé quatre contrats de cloud souverain, pour jusqu'à 180 millions d'euros sur six ans. En France, le décret n° 2026-272 du 14 avril 2026, pris pour l'article 31 de la loi SREN, encadre le recours des services de l'État au cloud privé pour leurs données les plus sensibles.

Ces textes visent l'État et les grands acheteurs. Mais ils fixent une méthode que toute PME peut reprendre : ne plus demander « où sont mes données ? », mais « quel droit s'applique à chaque entreprise qui les touche ? ».

Quels sont les quatre volets de la souveraineté des données ?

Pour cet appel d'offres, la Commission européenne a mesuré la souveraineté des services cloud sur huit objectifs, réunis dans son Cloud Sovereignty Framework. Pour un outil de travail, quatre volets suffisent à se faire une idée : juridique, opérationnel, technique et réversibilité. Un seul volet faible suffit à affaiblir l'ensemble.

Le volet juridique : qui contrôle les données ?

C'est le volet décisif. Il porte sur la nationalité de l'éditeur, de sa maison mère et de chacun de ses sous-traitants : hébergement, sauvegarde, envoi d'e-mails, support, IA. Un éditeur français qui stocke ses fichiers chez un hébergeur américain expose ces fichiers au droit américain, par l'intermédiaire de l'hébergeur.

Microsoft France l'a reconnu devant le Sénat le 10 juin 2025. Interrogé sous serment, son directeur des affaires publiques et juridiques a répondu, selon le compte rendu officiel, qu'il ne pouvait pas garantir que les données des citoyens français ne seraient jamais transmises sur injonction américaine.

Le volet opérationnel : qui exploite le service et qui y accède ?

Un service peut être hébergé en Europe et administré depuis un autre continent. Le support technique, l'astreinte et les ingénieurs qui ont accès aux bases comptent autant que le centre de données. Le cadre de la Commission range ce point dans la souveraineté opérationnelle : la capacité à exploiter et maintenir le service sans dépendre d'un contrôle étranger.

Le volet technique : qui détient les clés ?

Le chiffrement protège si vous seul détenez les clés. Si le fournisseur les détient, il peut lire les données et, le cas échéant, être obligé de les remettre en clair. La plupart des outils collaboratifs (base de données, CRM, gestion de projet) doivent lire les données pour les afficher et les trier : le chiffrement de bout en bout y est rare. Le volet technique ne remplace donc pas le volet juridique.

La réversibilité : pouvez-vous partir avec vos données ?

Des données souveraines sont des données qu'on peut emporter. Un export complet, dans un format ouvert, sans frais disproportionnés, est la condition pour changer de fournisseur si ses règles changent. Le Data Act européen en fait une obligation pour les services cloud, avec des dates précises (voir plus bas).

La réversibilité est le volet le plus négligé, et le seul que vous pouvez tester vous-même en dix minutes : exportez une base complète, puis essayez de la rouvrir ailleurs.

Que dit le droit européen sur la souveraineté des données ?

Aucun texte européen ne définit la « souveraineté des données ». Deux règlements en fixent pourtant les bases. Le RGPD encadre les données personnelles et leurs transferts hors de l'Union. Le Data Act, applicable depuis le 12 septembre 2025 selon la Commission, couvre aussi les données non personnelles et le changement de fournisseur cloud.

Le Data Act apporte deux choses concrètes. D'abord, selon la page explicative de la Commission, les fournisseurs cloud doivent prendre « all reasonable measures » (chiffrement, audits, certifications) contre les accès illicites d'autorités étrangères, et publier ces mesures sur leur site. Ensuite, il supprime entièrement les frais de changement, y compris les frais de sortie des données, à partir du 12 janvier 2027.

Ces textes ont une limite. Ils s'imposent aux fournisseurs qui servent le marché européen, mais ils ne neutralisent pas une loi étrangère qui s'applique au même fournisseur. Un éditeur américain reste pris entre deux droits. C'est ce que détaille notre guide du Cloud Act.

Faut-il un cloud qualifié SecNumCloud ?

Pour la plupart des PME et des associations, non. Le label SecNumCloud de l'ANSSI est une qualification de sécurité exigeante, qui impose notamment un prestataire européen par son siège et son capital. Elle vise les données sensibles : santé, données de l'État, opérateurs d'importance vitale.

Une PME qui gère des devis, un stock ou une liste d'adhérents n'a pas ce niveau de risque. Elle a besoin de trois choses plus simples : un éditeur soumis au droit européen, des sous-traitants connus, et un export de ses données. Un tableur de stock n'appelle pas les mêmes précautions qu'un dossier médical.

La bonne question n'est donc pas « l'outil est-il souverain ? », mais « l'outil est-il assez souverain pour ces données-là ? ». Classez vos données en trois niveaux : courantes, personnelles, sensibles. Puis choisissez vos outils en conséquence.

Les 10 questions à poser à un fournisseur

Ces dix questions couvrent les quatre volets. Elles se posent par e-mail avant de signer, et un éditeur sérieux y répond par écrit en quelques jours. Depuis le 12 septembre 2025, le Data Act oblige déjà les fournisseurs cloud à publier une partie des réponses sur leur site.

Ce sont les questions que nous posons nous-mêmes avant d'adopter un outil, et celles auxquelles nous répondons pour Rangee plus bas.

Volet juridique

1. Quelle société signe le contrat, et dans quel pays est-elle immatriculée ? Lisez les conditions d'utilisation, pas la page d'accueil.
2. Qui détient cette société ? Une filiale française d'un groupe américain reste soumise au droit américain pour les données qu'elle contrôle.
3. Pouvez-vous m'envoyer la liste complète de vos sous-traitants, avec leur pays ? Hébergement, sauvegardes, e-mail, support, paiement, IA : chacun compte.
4. Que faites-vous si une autorité étrangère vous demande mes données ? Cherchez un engagement à contester les demandes infondées et à vous prévenir quand la loi le permet.

Volet opérationnel

5. Dans quels pays sont vos centres de données, sauvegardes comprises ? Les sauvegardes sont souvent ailleurs que la production.
6. Qui peut accéder à mes données, depuis quels pays, et dans quels cas ? Support, ingénieurs, prestataires.

Volet technique

7. Mes données sont-elles chiffrées au repos et en transit, et qui détient les clés ? Une réponse vague ici en dit long.
8. Mes données servent-elles à entraîner un modèle d'IA, et où tourne ce modèle ? Une fonction d'IA peut envoyer vos données chez un sous-traitant que vous n'aviez pas identifié.

Réversibilité

9. Puis-je exporter toutes mes données, pièces jointes comprises, dans un format ouvert, sans frais ? Testez-le pendant l'essai.
10. Que deviennent mes données à la fin du contrat, et dans quel délai sont-elles supprimées ? L'accord de sous-traitance (DPA, article 28 du RGPD) doit le dire.

Ces questions servent aussi à lire un comparatif. Dans notre comparatif des alternatives européennes à Airtable, la colonne « pays de l'éditeur » compte autant que le prix ; notre comparatif des logiciels de stock gratuits indique de même où chaque éditeur héberge ses données.

Et Rangee ?

Voici nos réponses aux dix questions, en bref. Rangee est édité par une société de droit français. Le contenu de vos bases est hébergé dans un centre de données de l'Union européenne, chez Hostinger International Limited, société chypriote selon ses conditions d'utilisation. Le modèle d'IA de l'import intelligent tourne dans l'Union.

Une chaîne honnête a ses limites, et nous les donnons. Le paiement passe par Stripe, un groupe américain : il traite vos données de facturation (nom, adresse, moyen de paiement), pas le contenu de vos bases. Et comme toute entreprise, nous restons soumis aux réquisitions françaises et européennes.

Nous ne promettons pas d'échapper à toute loi : personne ne le peut. Nous promettons ce qui se vérifie : un éditeur de droit français, des bases hébergées dans l'Union, des sous-traitants nommés. Pour le coût, notre relevé des prix des bases no-code compare Rangee aux autres outils, hébergement européen compris.

Si vous voulez voir ce que donne un tableur dans un outil hébergé en Europe, rejoignez la bêta de Rangee : le plan Free n'expire pas, et les lecteurs ne paient jamais.