Qu'est-ce que la souveraineté des données ?
La souveraineté des données est le principe selon lequel les données sont soumises aux lois du pays ou de la juridiction qui les régit. Concrètement, il s'agit de savoir — et de pouvoir maîtriser — quel gouvernement pourrait contraindre à l'accès à vos données, quels tribunaux pourraient statuer à leur sujet et quel régulateur vous en tient responsable.
La distinction essentielle est la suivante : la souveraineté relève de la juridiction, et non de la seule géographie. Stocker des données dans un centre de données situé dans votre propre pays ne les met pas, à lui seul, hors de portée d'un gouvernement étranger, car la juridiction déterminante est souvent celle qui régit l'opérateur du service, et non le sol où se trouvent les serveurs. Les exigences varient fortement selon le secteur et le pays : ce qui suit constitue une orientation et non un conseil juridique.
Souveraineté, résidence et localisation des données
Ces trois termes sont employés indifféremment dans la communication des fournisseurs, mais ils désignent des réalités distinctes, et les confondre est la façon la plus courante de se retrouver avec un faux sentiment de sécurité.
- La résidence des données désigne l'endroit où les données se trouvent physiquement. C'est un choix technique et contractuel : vous sélectionnez une région et votre fournisseur y stocke vos données.
- La localisation des données est une obligation légale imposant que certaines données restent à l'intérieur des frontières d'un pays. Elle est imposée par la réglementation, elle ne se choisit pas.
- La souveraineté des données désigne quelle loi s'applique et qui peut, en dernier ressort, contraindre à l'accès. Elle dépend de la juridiction de l'opérateur et de la détention des clés autant que de l'emplacement.
La résidence est donc une composante de la souveraineté, non un substitut. Vous pouvez respecter intégralement un engagement de résidence et une loi de localisation tout en n'ayant pas la souveraineté, si l'entreprise qui exploite le stockage répond devant un tribunal étranger.
Pourquoi l'emplacement seul ne suffit pas
L'illustration la plus nette est le CLOUD Act américain. Il permet aux autorités des États-Unis de contraindre un fournisseur relevant de leur juridiction à produire des données en sa possession ou sous son contrôle, quel que soit le pays où elles sont stockées. Une filiale européenne exploitant un centre de données européen n'échappe pas nécessairement à cette portée si sa maison mère est américaine.
Cela place le fournisseur devant un véritable conflit, et non devant un simple choix. Répondre à une injonction fondée sur le CLOUD Act peut le mettre en infraction avec le droit de l'UE ; refuser peut l'exposer à des conséquences aux États-Unis. L'organisation propriétaire des données subit les conséquences de ce conflit sans maîtriser son dénouement.
Deux éléments changent réellement la donne. Le premier est qui exploite le service : une infrastructure que vous gérez vous-même, ou exploitée par une entité soumise uniquement à votre propre juridiction, supprime la voie de contrainte étrangère. Le second est qui détient les clés de chiffrement : si l'opérateur ne peut pas déchiffrer vos données, une injonction ne produit que du texte chiffré au lieu d'informations lisibles.
Les réglementations qui portent la souveraineté
La souveraineté est passée du débat politique à l'exigence d'achat au fil d'une série d'évolutions juridiques concrètes.
Le RGPD et la question des transferts. Le RGPD encadre les transferts de données personnelles hors de l'UE, sauf si une protection équivalente est assurée. En 2020, la Cour de justice de l'UE a invalidé le Privacy Shield UE–États-Unis dans l'arrêt connu sous le nom de Schrems II, au motif que le droit américain de la surveillance n'offrait pas cette équivalence. Son remplaçant, le cadre de protection des données UE–États-Unis, a été adopté en 2023 et confirmé par le Tribunal de l'UE en septembre 2025 ; un pourvoi devant la Cour de justice reste pendant à la mi-2026. Le transfert transatlantique demeure juridiquement praticable, mais non définitivement acquis, ce qui explique que de nombreuses organisations ont choisi de réduire structurellement leur exposition.
Le règlement européen sur les données (Data Act). Applicable depuis le 12 septembre 2025, il confère aux clients des services de cloud et de traitement de données des droits légaux pour changer de fournisseur et bénéficier d'une coopération technique dans le transfert de leurs données, et il traite de l'accès illicite de gouvernements de pays tiers aux données non personnelles. Les frais de changement de fournisseur sont totalement interdits à compter du 12 janvier 2027. Résultat pratique : la dépendance à un fournisseur devient un sujet de conformité, et non seulement un sujet commercial.
Régimes sectoriels. Les services financiers relèvent de DORA, les infrastructures critiques de NIS2, les données de santé aux États-Unis de HIPAA, et les organismes publics de nombreux pays appliquent des politiques nationales de cloud qui précisent les juridictions autorisées.
Comment obtenir la souveraineté des données
La souveraineté est un résultat d'architecture plutôt qu'un certificat, et elle repose généralement sur quatre leviers.
- Choisissez la juridiction de l'opérateur, pas seulement la région. Demandez quelle entité juridique contrôle l'infrastructure et devant quels tribunaux elle répond. C'est la question à laquelle les engagements de résidence ne répondent pas.
- Détenez vos propres clés de chiffrement. Le chiffrement au repos ne contribue à la souveraineté que si les clés se trouvent hors de la plateforme de stockage, sous votre contrôle, dans un système de gestion de clés que vous exploitez. Sinon, l'opérateur peut produire des données en clair.
- Conservez les données sur une infrastructure que vous maîtrisez. Un stockage auto-hébergé, dans vos propres locaux, retire entièrement la contrainte d'un tiers de l'équation : c'est pourquoi les organisations réglementées et publiques continuent de le privilégier pour leurs données les plus sensibles.
- Garantissez une sortie réelle. Une souveraineté que l'on ne peut pas quitter est fragile. Vérifiez que les données peuvent être exportées dans un format ouvert et exploitable, et que la portabilité est contractuelle et non déclarative.
Ces leviers se combinent aux mesures de protection des données — sans les remplacer —, telles que S3 Object Lock et la rétention WORM, qui déterminent si les données peuvent être modifiées et non qui peut les consulter.
La souveraineté des données et ARTESCA
Scality ARTESCA est un logiciel que vous déployez sur vos propres serveurs standard, dans votre centre de données et votre juridiction. Aucun opérateur tiers ne détient vos données et aucune maison mère étrangère ne peut être contrainte de les produire, puisque l'entité qui contrôle l'infrastructure, c'est vous.
Les données au repos sont chiffrées en AES-256 et les clés sont gérées par un serveur externe de gestion de clés compatible KMIP, au lieu d'être stockées sur le système de stockage lui-même. Cette séparation est ce qui rend le chiffrement pertinent pour la souveraineté : la plateforme conserve du texte chiffré, et vous conservez le moyen de le lire.
ARTESCA présentant une interface standard compatible S3, les applications et logiciels de sauvegarde écrits pour le stockage objet du cloud public fonctionnent sans modification. Les organisations peuvent sortir des charges de travail sensibles d'un cloud exploité par un acteur étranger sans les réécrire, et y associer l'immuabilité via S3 Object Lock : les mêmes données sont alors à la fois souveraines et protégées contre les rançongiciels.
FAQ sur la souveraineté des données
La souveraineté des données est-elle la même chose que la résidence des données ?
Non. La résidence décrit le lieu de stockage physique ; la souveraineté décrit les lois applicables et qui peut contraindre à l'accès. Vous pouvez satisfaire pleinement une exigence de résidence sans disposer de la souveraineté si l'opérateur du service relève d'une juridiction étrangère.
Stocker des données dans l'UE les protège-t-il de l'accès du gouvernement américain ?
Pas à lui seul. En vertu du CLOUD Act, un fournisseur soumis à la juridiction des États-Unis peut être contraint de produire les données qu'il contrôle, où qu'elles soient stockées. Réduire cette exposition dépend de la juridiction de l'opérateur et de la détention des clés de chiffrement.
Le chiffrement résout-il la souveraineté des données ?
Uniquement si vous maîtrisez les clés. Si le fournisseur de stockage peut déchiffrer vos données, il peut être contraint de les livrer en clair. Si les clés résident dans un système de gestion de clés que vous exploitez, l'injonction ne produit que du texte chiffré.
Qu'est-ce qu'un cloud souverain ?
Un déploiement conçu pour que l'infrastructure, son opérateur et ses équipes de support relèvent tous d'une seule juridiction choisie, sans dépendance à des fournisseurs étrangers. Une infrastructure auto-hébergée atteint directement le même résultat.
Quelles réglementations imposent des exigences de souveraineté ?
Principalement le RGPD et ses restrictions aux transferts internationaux, les dispositions du Data Act européen sur le changement de fournisseur et l'accès, ainsi que des régimes sectoriels comme DORA pour les services financiers, NIS2 pour les infrastructures critiques et HIPAA pour les données de santé aux États-Unis.