L'europe attire des dizaines de milliards d'euros d'investissements dans les centres de données. Une bonne nouvelle pour l'économie et l'emploi, mais pas nécessairement pour la protection des données européenne. En effet, l'hébergement de données sur le territoire ne garantit pas leur souveraineté si l'organisation qui les exploite est étrangère. Une nuance encore trop peu comprise.
Le paradoxe des centre de données
Lors du sommet Choose France 2026, les annonces se sont multipliées. Le groupe SoftBank a notamment engagé jusqu'à 75 milliards d'euros dans des centres de données en France, dont une large part dans les Hauts-de-France. Microsoft avait lui-même investi 4 milliards d'euros pour étendre ses sites de Paris et Marseille en 2024. Amazon, Google et d'autres acteurs mondiaux poursuivent la même course à l'infrastructure sur le sol français.
Ces implantations sont souvent présentées comme un gage de souveraineté. Cette présentation repose sur une idée répandue : si les données demeurent physiquement en France, elles seraient protégées et soumises au droit français. Pourtant, la localisation d'un serveur ne détermine pas qui peut légalement accéder aux données qu'il héberge.
Cloud Act : quand l'hébergement ne suffit plus à maîtriser ses données
L'accès aux données est déterminé non pas par l'endroit où elles sont stockées, mais par le droit auquel sont soumis les acteurs qui les détiennent ou les contrôlent. Le Cloud Act en est l'illustration la plus directe. Adopté aux États-Unis en 2018, il autorise les autorités américaines à exiger d'une entreprise relevant du droit américain qu'elle transmette les données qu'elle détient ou contrôle, où que ces données soient stockées dans le monde.
Tous les acteurs sont concernés. De l'hébergeur, qui stocke les données, à l'éditeur, qui exploite la solution logicielle traitant ces données. Dès lors que l'un ou l'autre relève du droit américain, il peut être contraint de transmettre les données, quelle que soit leur localisation. Héberger ses données en France chez un acteur américain comme Amazon Web Services ne protège donc pas du Cloud Act. À l'inverse, choisir un hébergeur européen ne suffit pas non plus si l'éditeur de la solution, lui, est américain.
Cette portée n'est pas théorique. Le 10 juin 2025, lors d'une audition devant le Sénat français, le directeur des affaires publiques et juridiques de Microsoft France a reconnu qu'il ne pouvait pas garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines. Cet aveu a confirmé publiquement ce que de nombreux juristes soulignaient depuis des années.
Les offres dites souveraines proposées par les grands acteurs américains ne résolvent pas ce conflit juridique. Tant que l'entité qui opère le service relève du droit américain, elle reste tenue de répondre à une injonction, indépendamment des garanties commerciales affichées.
Un enjeu qui dépasse largement l'Europe
La maîtrise des données n'est pas une préoccupation strictement européenne. Elle est devenue un sujet mondial. Plus de 140 pays ont adopté une forme de législation sur la protection des données, et des dizaines d'entre eux imposent désormais que certaines catégories de données restent sur leur territoire national.
Le Moyen-Orient a renforcé ses cadres, notamment aux Émirats arabes unis et en Arabie saoudite, avec des exigences de localisation dans les secteurs sensibles comme la banque et la santé. En Asie, la Chine avec la PIPL et l'Inde avec la DPDP ont durci leurs règles. L'Amérique latine suit la même dynamique.
Dans chaque cas, la logique est identique : un État considère que laisser les données de ses citoyens sous une juridiction étrangère constitue une perte de contrôle. Où qu'elle soit implantée, toute organisation qui opère à l'international est désormais confrontée à la même question de contrôle juridique de ses données.
Dans une enquête mondiale menée auprès de 3 700 décideurs dans 21 pays, 86 % estiment que le pays d'origine et l'alignement réglementaire de leur fournisseur cloud sont devenus des critères déterminants. Et une étude de 2026 portant sur 2 100 dirigeants dans huit pays confirme que la souveraineté des données est passée d'un sujet de conformité à une préoccupation de conseil d'administration.
La souveraineté concerne aussi les données mobiles
Le débat se concentre souvent sur le cloud et les infrastructures, mais il s'applique tout autant aux terminaux mobiles. Les smartphones et tablettes traitent en permanence des données professionnelles sensibles, et les solutions de sécurité déployées pour les protéger analysent ces données en continu. La question est donc la même que pour n'importe quel service : si l'éditeur est soumis à une juridiction étrangère, les données qu'il traite le sont aussi. Le choix de l'éditeur d'une solution de sécurité mobile est, à ce titre, une décision de souveraineté à part entière.
Maîtriser ses données mobiles grâce à un éditeur souverain
La seule garantie durable réside dans le choix d'un acteur maître de bout en bout de ses données, qui n'est soumis à aucune juridiction extraterritoriale. C'est la position de Pradeo, seul éditeur européen reconnu leader mondial de la sécurité mobile. En tant qu'éditeur européen hébergeant ses données chez un acteur français qualifié SecNumCloud, Pradeo maîtrise à la fois l'édition et l'hébergement de ses solutions : les deux maillons se situent hors de portée du Cloud Act et des lois de même nature.
Protéger les données mobiles ne se limite pas à détecter les menaces. Cela implique également de garantir la maîtrise des données protégées. Héberger en France est une première étape, mais la véritable souveraineté se mesure à l'identité de l'organisation qui contrôle les données, de leur édition à leur hébergement.
