Ressource

RGPD et hébergement : où stocker vos données en conformité

Le RGPD encadre strictement l'hébergement et le transfert des données personnelles. Où héberger pour être conforme, et pourquoi le cloud américain pose problème.

Le RGPD ne se limite pas au consentement et aux mentions légales : il encadre aussi où et comment sont hébergées les données personnelles. Le choix de l'hébergeur est donc une décision de conformité à part entière — et l'une des plus souvent négligées.

Les obligations clés en matière d'hébergement

Le règlement impose plusieurs garanties qui pèsent directement sur le choix d'infrastructure :

la sécurité et la confidentialité des données (chiffrement, contrôle d'accès, journalisation) ;
la limitation des accès aux seules personnes autorisées ;
l'encadrement strict des transferts hors Union européenne vers des pays n'offrant pas un niveau de protection équivalent ;
la capacité à démontrer sa conformité (principe d'accountability).

Peut-on héberger des données RGPD aux États-Unis ?

Deux questions se superposent. La première est celle du transfert au sens du RGPD : depuis juillet 2023, la décision d'adéquation « Data Privacy Framework » permet de transférer des données personnelles vers des entreprises américaines certifiées, et les clauses contractuelles types restent utilisables avec une analyse d'impact du transfert. L'arrêt « Schrems II » de 2020 a toutefois montré qu'une décision d'adéquation peut être invalidée, et la solidité de la nouvelle décision reste discutée devant les juridictions européennes.

La seconde question est celle de l'accès par les autorités : un hébergement chez un acteur soumis au droit américain expose les données au CLOUD Act, même en Europe, parce que ce texte vise le prestataire et non le lieu de stockage. Ce risque-là n'est pas réglé par le cadre du transfert.

Pour les données sensibles, la voie la plus sûre est donc un hébergement européen non soumis à ce risque — c'est tout l'intérêt d'un cloud souverain ou d'un cloud de confiance qualifié.

Une démarche en trois temps

Concrètement : classer vos traitements et données (lesquels sont sensibles ?), cartographier vos hébergeurs et sous-traitants pour repérer les expositions au droit extra-européen, puis remédier en migrant les données critiques vers un hébergement conforme. Cette logique recoupe celle de la directive NIS2 et de la certification HDS pour la santé : un même socle de maîtrise des données.

Faire le diagnostic — identifiez vos hébergements à risque RGPD. Démarrer le diagnostic

Questions fréquentes

Où héberger ses données pour être conforme au RGPD ?

Idéalement chez un hébergeur européen non soumis aux lois extra-européennes, avec chiffrement et clés maîtrisées.

Peut-on héberger des données RGPD aux États-Unis ?

Pour des données ordinaires, oui, dans le cadre du Data Privacy Framework ou de clauses contractuelles types avec analyse d'impact. Pour des données sensibles ou stratégiques, l'exposition au CLOUD Act persiste quel que soit le lieu de stockage : un hébergeur non soumis au droit américain reste la voie la plus sûre.

Sources

Dernière revue : 2 septembre 2026 par Souvara. Prochaine revue prévue : mars 2027. Les textes et qualifications cités évoluent ; signalez une erreur via la page de contact.