RGPDApplication métierMaintenanceChoisir un prestataire
Où héberger une application métier : France, Europe, HDS
6 min de lecture
Aucune règle générale n'oblige une entreprise française à héberger son application métier en France. Le RGPD n'impose pas de lieu, mais il encadre strictement les transferts de données personnelles hors de l'Espace économique européen (EEE). Deux cas changent la donne : les données de santé hébergées pour le compte d'un tiers, qui exigent un hébergeur certifié HDS, et les données sensibles de l'État, pour lesquelles la qualification SecNumCloud de l'ANSSI sert de référence.
Cet article aide un dirigeant ou un responsable informatique à choisir où héberger un outil interne ou un portail client, et à poser les bonnes questions à son prestataire. Il reste général : pour un projet de santé ou un marché public, faites valider le choix par votre délégué à la protection des données ou un avocat.
Ce que le RGPD impose, et ce qu'il n'impose pas
Le chapitre V du règlement (UE) 2016/679 autorise les transferts de données personnelles hors de l'EEE dans deux cas principaux :
- le pays destinataire bénéficie d'une décision d'adéquation de la Commission européenne (article 45), qui reconnaît un niveau de protection équivalent ;
- à défaut, l'exportateur met en place des garanties appropriées (article 46), le plus souvent les clauses contractuelles types adoptées par la Commission, complétées si besoin de mesures techniques comme le chiffrement.
Un transfert ne se limite pas au stockage. L'accès à distance depuis un pays tiers, par exemple par l'équipe de support d'un fournisseur, peut aussi constituer un transfert. Il faut donc regarder où sont les serveurs, mais aussi qui peut y accéder et depuis où.
Le cas des États-Unis. Après l'annulation du Privacy Shield par la Cour de justice en 2020 (arrêt Schrems II), la Commission a adopté le 10 juillet 2023 une décision d'adéquation pour le Data Privacy Framework. Elle couvre les entreprises américaines qui s'y sont certifiées. Le Tribunal de l'Union européenne a rejeté le recours en annulation formé contre elle le 3 septembre 2025 (affaire T-553/23), et un pourvoi est pendant devant la Cour de justice (affaire C-703/25 P). Le cadre est donc en vigueur, mais son avenir dépend de cette procédure : c'est une raison concrète de privilégier des centres de données européens.
Trois niveaux d'exigence
| Vos données | Exigence | Référence |
|---|---|---|
| Données de gestion courantes | RGPD, transferts encadrés | Chapitre V du RGPD |
| Santé, hébergée pour un tiers | Hébergeur certifié HDS | Art. L1111-8 du code de la santé publique |
| Données sensibles de l'État | Qualification recommandée ou exigée | SecNumCloud (ANSSI) |
La grande majorité des applications métier de PME (planning, suivi d'interventions, devis, portail client) relèvent du premier niveau. Le choix de l'hébergeur y reste libre, à condition de documenter les sous-traitants et les transferts, comme expliqué dans notre check-list RGPD pour une application métier.
Les données de santé : la certification HDS
L'article L1111-8 du code de la santé publique impose une certification à toute personne qui héberge des données de santé à caractère personnel recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de ceux qui les produisent ou du patient. La certification est délivrée par un organisme accrédité, selon un référentiel publié par l'Agence du numérique en santé, qui tient aussi la liste des hébergeurs certifiés.
Le référentiel en version 2, publié en mai 2024, a ajouté une exigence de localisation des données de santé dans l'EEE et des obligations de transparence sur les transferts et les accès depuis des pays tiers. Les hébergeurs déjà certifiés avaient jusqu'au 16 mai 2026 pour passer à cette version, selon la présentation de l'ANS sur la transition. Le référentiel continue d'évoluer : vérifiez la version applicable au moment de signer.
En pratique, si votre application stocke des comptes rendus, des rendez-vous médicaux ou des données de suivi de patients pour un professionnel ou un établissement de santé, l'hébergement doit être certifié HDS, et le périmètre de la certification (infrastructure seule, ou aussi exploitation de l'application) doit couvrir ce que fait réellement l'hébergeur. Une application de gestion qui ne contient aucune donnée de santé n'est pas concernée.
SecNumCloud : pour les données les plus sensibles
SecNumCloud est une qualification délivrée par l'ANSSI aux fournisseurs de services cloud. Son référentiel combine des exigences de sécurité élevées et des critères de protection contre les lois extraterritoriales, qui portent notamment sur le siège et l'actionnariat du fournisseur et sur l'absence d'accès aux données par des acteurs non européens. Elle vise d'abord les administrations et les opérateurs qui traitent des données sensibles.
Pour une PME, SecNumCloud est rarement une obligation. Elle peut le devenir si votre application sert un client public ou un opérateur qui l'exige dans son cahier des charges : dans ce cas, la contrainte se pose dès le choix de l'architecture, pas après.
Cloud, hébergeur français ou serveur interne
| Option | Avantages | Limites |
|---|---|---|
| Grand cloud, région européenne | Services managés, montée en charge | Maison mère hors UE possible, à analyser |
| Hébergeur français ou européen | Droit et support européens | Catalogue de services parfois plus réduit |
| Serveur dans vos locaux | Contrôle direct | Sauvegardes, sécurité et pannes à votre charge |
Aucune option n'est bonne dans l'absolu. Un grand fournisseur de cloud en région européenne convient à beaucoup d'applications, à condition d'avoir regardé ses sous-traitants et les accès possibles depuis l'étranger. Un hébergeur européen simplifie l'analyse juridique. Le serveur interne, enfin, déplace sur vous toute l'exploitation : correctifs, sauvegardes hors site, surveillance, remplacement du matériel.
Les questions à poser avant de signer
- Où sont les données ? Pays et centres de données, pour la production comme pour les sauvegardes.
- Qui peut y accéder, et depuis où ? Liste des sous-traitants, pays d'où le support intervient.
- À quel droit le fournisseur est-il soumis ? Le pays du centre de données ne suffit pas : celui de la maison mère compte aussi.
- Quelle disponibilité est garantie ? Engagement de service, fenêtres de maintenance, délai de rétablissement.
- Les sauvegardes sont-elles testées ? Fréquence, durée de rétention, dernière restauration réellement essayée.
- Comment repartir ? Export complet des données et de la configuration, dans un format exploitable. C'est le sujet de la réversibilité.
- Quelles certifications ? ISO 27001, HDS si nécessaire, avec leur périmètre exact.
L'hébergement ne s'arrête pas au choix d'un fournisseur : mises à jour, surveillance et sauvegardes font partie de la maintenance d'une application métier, et les mesures de protection sont détaillées dans notre article sur la sécurité.
Par où commencer
Classez d'abord vos données : courantes, personnelles, de santé, sensibles. Ce classement décide de l'hébergement bien plus que les préférences techniques. Chez LPR Studio, la question se pose dès le cadrage, et le prototype gratuit, présenté en visio sous 5 jours ouvrés, est l'occasion d'en parler avant tout chiffrage. Dans les formules édition SaaS et abonnement, l'hébergement, la maintenance et les évolutions sont compris : le détail est sur la page des offres.