Analyse de l’exposition des centres de données français aux lois étrangères

Ce qu’il y a de délicat avec la souveraineté des données, c’est que la baie de serveurs a une excellente géographie, mais une personnalité juridique médiocre. Un serveur peut se trouver dans l’Indre, ronronner dans un bâtiment français, et rester lié à un fournisseur soumis à des obligations légales ailleurs. C’est la leçon utile à retenir des informations de La Nouvelle République sur le centre de données prévu par Google près de Châteauroux : le stockage local compte, mais ce n’est pas une formule magique.

Une adresse française n’est pas le test de conformité

La Nouvelle République a rapporté que le futur centre de données de Google est prévu à Étrechet, près de Châteauroux, et que les porteurs du projet ont annoncé entre 10 600 et 14 200 emplois pendant la phase de construction, sur environ 18 mois, puis entre 1 800 et 2 600 emplois pendant l’exploitation. Ce sont des chiffres locaux importants, qui expliquent pourquoi le projet est abordé avec le vocabulaire de la politique industrielle. Lors de la présentation du lundi 12 octobre 2026, Olivier Delcourt, responsable des opérations des centres de données de Google pour l’Europe de l’Ouest, a décrit la présence française ainsi : « S’implanter en France est une question de souveraineté. »

Cette phrase est politiquement nette. Elle n’est pas, à elle seule, une garantie de protection des données. Un acheteur qui choisit un fournisseur cloud devrait considérer l’adresse du centre de données comme une ligne du dossier de vérification, aux côtés du contrôle capitalistique du fournisseur, des mécanismes de transfert, du modèle de support, des sous-traitants et du processus de réponse aux demandes d’accès légales. Si la présentation de votre fournisseur s’arrête à l’épingle sur la carte, vos juristes ne sont pas tatillons. Ils lisent la partie qui vient après la carte.

Pourquoi les données cloud peuvent encore franchir une frontière

L’article de La Nouvelle République du 22 octobre 2026 a formulé le problème clairement : des informations personnelles stockées à proximité peuvent tout de même traverser l’Atlantique lorsqu’une entreprise numérique américaine se retrouve prise entre les règles européennes sur les données et des obligations légales étrangères. Lauren Bensaid, avocate citée par le journal, a résumé le problème du cloud en une phrase : « Avec le cloud, les données peuvent circuler sans frontières. » C’est le mécanisme de conformité qui se cache derrière le slogan de souveraineté.

En pratique, la question n’est pas seulement de savoir où se trouvent les disques. Les questions plus difficiles sont les suivantes : qui peut techniquement accéder à l’environnement, quelle entité juridique contracte avec le client, si des données ou métadonnées sont transférées pour le support ou les opérations, et ce qui se passe lorsqu’une autre juridiction exige un accès. Aucune de ces questions ne reçoit de réponse simplement parce qu’on dit que le centre de données est en France. La France peut être le lieu de stockage, tandis que l’analyse des risques continue de pointer vers une structure de fournisseur multinationale.

Le cadre UE-États-Unis autorise les transferts, il n’efface pas la vérification

La Commission européenne indique que les données à caractère personnel peuvent circuler librement de l’UE vers les entreprises américaines qui participent au cadre UE-États-Unis de protection des données. La Commission indique aussi que les garanties américaines de sécurité nationale qui sous-tendent ce cadre limitent l’accès des services de renseignement à ce qui est nécessaire et proportionné, et créent un mécanisme de recours pour les Européens. Elle précise en outre que ces garanties s’appliquent à tous les transferts relevant du RGPD vers des entreprises américaines, quel que soit le mécanisme de transfert utilisé.

Cela ne revient pas à dire que tout déploiement cloud lié aux États-Unis est interdit. Cela ne revient pas non plus à dire que tout déploiement hébergé en France est souverain au sens des achats. La position de la Commission donne aux acheteurs une voie juridique pour certains transferts, en particulier lorsque le fournisseur participe au cadre. Le travail concret consiste à documenter cette voie, et non à agiter le mot France jusqu’à ce que le risque de transfert disparaisse.

Ce que les acheteurs devraient demander avant de signer

En prenant pour base les informations de La Nouvelle République et les orientations de la Commission européenne sur les transferts, la liste de vérification des achats est assez austère, comme devraient l’être les listes de conformité. Demandez si le fournisseur prend un engagement précis de résidence des données pour le service que vous achetez, et non pour la marque en général. Demandez quelles exceptions s’appliquent pour le support, la sécurité, la maintenance, la sauvegarde, la télémétrie et les sous-traitants. Puis demandez quel mécanisme de transfert couvre tout déplacement vers une entreprise américaine, y compris si l’entité concernée participe au cadre UE-États-Unis de protection des données.

Le contrat devrait aussi préciser comment le fournisseur traite les demandes d’accès légalement contraignantes, quel préavis il donne lorsque cela est autorisé, et quelles preuves d’audit le client reçoit. Ces clauses ne font pas disparaître le droit étranger. Elles donnent au client une trace de qui peut accéder aux données, selon quel processus, et avec quelles garanties. Cette trace est ce qu’un régulateur, un conseil d’administration ou un acheteur du secteur public demandera lorsque la brochure sur la souveraineté aura été recyclée.

La prochaine information utile pour des projets comme celui d’Étrechet n’est pas un nouveau discours sur la souveraineté. C’est un exposé clair de l’entité fournisseur, du chemin de transfert, des contrôles d’accès et des promesses contractuelles attachées au service. Les constructeurs et les acheteurs en Europe devraient considérer que la localisation des données est une condition de départ, pas la ligne d’arrivée. La baie peut être française. L’exposition juridique peut encore avoir besoin d’un contrôle de passeport.