Résidence des données : définition

Pourquoi est-ce important ?

« Vos données sont hébergées en France » est devenu un argument commercial. Il est utile, mais il ne répond qu'à une partie de la question. Le lieu de stockage décide de la loi du pays où se trouve la machine, des délais d'accès et de la facilité à vérifier ce qui s'y passe. Il ne décide pas, à lui seul, de qui peut exiger une copie.

Côté droit, le RGPD ne contient pas d'obligation générale de stocker les données personnelles dans l'Union. Son chapitre V (articles 44 à 49) encadre en revanche tout transfert vers un pays tiers : décision d'adéquation de la Commission, garanties appropriées comme les clauses contractuelles types, ou dérogations limitées. Pour les données non personnelles, le règlement (UE) 2018/1807 va plus loin dans l'autre sens : son article 4 interdit aux États membres les exigences de localisation, sauf motif de sécurité publique proportionné. La résidence est donc d'abord un choix contractuel, sauf régime particulier comme celui des données sensibles de l'État, qui renvoie à SecNumCloud.

Comment ça fonctionne ?

Une région choisie, plusieurs copies à suivre

Chez un fournisseur de cloud, le client choisit une région au moment de créer un service. Les données de production y restent, mais d'autres copies existent : sauvegardes, réplication pour la reprise d'activité, journaux, comptes des administrateurs, tickets de support. Le référentiel SecNumCloud de l'ANSSI (version 3.2, chapitre 19.2) en tire la conséquence : il exige que les données du client et les données techniques soient stockées et traitées dans l'Union. Un contrat qui ne parle que des « données client » laisse les autres dans l'ombre.

Quand la donnée « sort » sans bouger

Les lignes directrices 05/2021 de l'EDPB (version 2.0 du 14 février 2023) donnent des cas qui servent de grille de lecture :

Le paragraphe 16 du même texte précise que l'accès à distance compte « même s'il n'a lieu qu'au moyen de l'affichage de données à caractère personnel sur un écran ». Autrement dit, la résidence protège peu si le support est assuré depuis l'autre bout du monde.

Exemple concret

La Plateforme des données de santé, dite Health Data Hub, a confié en avril 2020 l'hébergement de ses données à la filiale irlandaise de Microsoft, avec des serveurs aux Pays-Bas. Des associations et syndicats ont demandé sa suspension au Conseil d'État, après l'arrêt Schrems II de la Cour de justice de l'Union du 16 juillet 2020. En octobre 2020, le juge des référés a refusé la suspension : le contrat et un arrêté du 9 octobre 2020 interdisaient tout transfert hors de l'Union. Il a pourtant relevé qu'il « ne peut être totalement exclu » que les autorités américaines demandent l'accès à certaines données, et a imposé des précautions sous le contrôle de la CNIL. Résidence européenne respectée, risque juridique non éteint : c'est exactement l'écart que cette notion ne couvre pas.

Résidence des données face à la souveraineté des données

La résidence est une question de géographie. La souveraineté des données est une question de pouvoir : quel droit s'applique, qui peut contraindre l'opérateur, qui décide de l'accès. Une entreprise soumise au CLOUD Act peut se voir demander des données qu'elle contrôle, même stockées en Europe. Le règlement sur les données (Data Act, applicable depuis le 12 septembre 2025) traite ce point pour les données non personnelles : son article 28 oblige les fournisseurs de cloud à publier sur leur site les juridictions dont dépend leur infrastructure, et son article 32 leur demande d'empêcher les accès d'autorités étrangères contraires au droit de l'Union.

Notre lecture : la résidence est une condition nécessaire et la plus facile à vérifier, ce qui explique son succès marketing. Elle ne suffit que si l'opérateur relève lui-même du droit européen et si personne hors de l'Union n'a d'accès technique. Le guide Cloud souverain : définition détaille ces trois étages.

Qui contrôle la résidence de vos données ?

• Le lieu : le fournisseur, dans les limites du contrat. Sans clause écrite sur la région, les sauvegardes et le support, une promesse affichée sur une page commerciale reste une promesse.
• L'accès : celui qui administre et assiste le service. C'est lui qui transforme une donnée « hébergée en France » en donnée consultée ailleurs.
• Le droit : l'État dont relève l'opérateur et sa maison mère, ce qu'aucune région de stockage ne change.

Nous avons appliqué la grille à GadGeek. Relevé du 13 octobre 2026 : l'adresse IP de gadgeek.fr appartient au réseau d'o2switch (AS50474), hébergeur français, enregistré en France dans la base du RIPE. Le chargement d'une fiche du lexique n'appelle que deux domaines : le site lui-même et notre outil de mesure d'audience, PostHog, que nous hébergeons nous-mêmes au lieu de l'utiliser en service géré. Le logiciel est américain et open source ; les données de visite restent sur un serveur que nous administrons. La résidence ne dit rien de l'origine du logiciel, et l'inverse est vrai aussi.

Pour vos propres services, posez trois questions : dans quelle région sont les données et leurs sauvegardes, d'où vient le support, et sous quel droit est l'entreprise. Nos pistes sont dans la sélection cloud européen et, pour tout garder chez soi, dans la rubrique self-hosting.

Questions fréquentes

Dernière vérification : 13/10/2026