Qu'est-ce que la souveraineté numérique ?
La souveraineté numérique est la capacité d'une organisation à maîtriser ses propres données, logiciels et infrastructures numériques sans être soumise à des juridictions étrangères. Pour les organisations européennes, cela signifie utiliser des outils qui stockent les données en Europe, relèvent du droit européen et restent accessibles sans dépendre de fournisseurs non européens.
Le terme est né des débats politiques européens sur la dépendance technologique. Après l'arrêt Schrems II en juillet 2020, il est entré dans les questionnaires d'achat, aux côtés des contrôles de sécurité et de protection des données. Plusieurs notions voisines sont souvent confondues avec lui :
Autonomie numérique : une région ou un État peut faire ses choix technologiques stratégiques sans dépendre d'autres puissances.
Souveraineté des données : une organisation maîtrise des jeux de données précis, y compris qui peut les utiliser et à quelles fins.
Résidence des données : les données sont stockées et traitées dans un lieu physique connu, comme un centre de données à Francfort.
Conformité au RGPD : un fournisseur respecte les exigences européennes de base pour les données personnelles, indispensables pour servir des clients en Europe.
La résidence des données indique où vos données se trouvent physiquement. La juridiction détermine qui peut légalement exiger d'y accéder.
Pourquoi la souveraineté numérique compte aujourd'hui
Trois facteurs ont fait passer la souveraineté numérique du débat politique à la préoccupation opérationnelle. Il s'agit de l'arrêt Schrems II, du CLOUD Act américain et de politiques européennes comme la Décennie numérique et Gaia-X.
L'arrêt Schrems II
Le 16 juillet 2020, la Cour de justice de l'Union européenne (CJUE) a rendu son arrêt dans l'affaire C-311/18, dite Schrems II. La Cour a invalidé le bouclier de protection des données UE-États-Unis (Privacy Shield), le cadre utilisé par de nombreuses entreprises pour transférer des données personnelles vers les États-Unis. Les clauses contractuelles types (CCT) restent valables, mais les transferts fondés sur elles exigent désormais d'évaluer le droit du pays de destination.
L'arrêt n'a pas interdit les transferts vers les États-Unis. Il a fait de chaque transfert une décision juridique qu'une personne de votre organisation doit assumer. La Commission européenne a adopté le cadre de protection des données UE-États-Unis (Data Privacy Framework) le 10 juillet 2023, comme nouvelle base pour les transferts.
Le Tribunal de l'Union européenne a rejeté un recours contre ce cadre le 3 septembre 2025. Un pourvoi devant la Cour de justice (C-703/25 P) est pendant en octobre 2026 : vérifiez donc son statut actuel avant de vous appuyer dessus. Les outils qui ne dépendent pas d'un seul cadre de transfert résistent mieux.
Le CLOUD Act américain
Le CLOUD Act américain a été adopté en 2018. Il permet à une procédure judiciaire américaine valide d'obliger un fournisseur soumis au droit américain à remettre les données qu'il possède, garde ou contrôle, où qu'elles soient stockées.
Une filiale européenne d'une entreprise américaine peut donc être concernée. Selon un rapport du Sénat, le CLOUD Act vise les données en possession, sous la garde ou sous le contrôle du fournisseur, qu'elles se trouvent ou non aux États-Unis. Pour une filiale donnée, la réponse dépend notamment de qui contrôle les données : un fournisseur dont la maison mère est américaine doit pouvoir expliquer comment cela s'applique à sa propre structure.
Le CLOUD Act passe par des procédures judiciaires encadrées : il ne donne pas un accès général aux données de l'UE. Reste que la mention « hébergé à Francfort » ne répond qu'à la question du lieu.
La Décennie numérique de l'UE et Gaia-X
Le programme de la Décennie numérique de la Commission européenne fixe des objectifs à l'horizon 2030. Ils portent notamment sur un recours accru au cloud, à l'IA et au big data par les entreprises européennes, ainsi que sur des infrastructures en périphérie (edge) plus sûres.
Gaia-X est une association à but non lucratif qui élabore des spécifications, des règles et un cadre de vérification pour des services de données et de cloud fédérés et de confiance. Elle n'exploite pas son propre cloud et ne certifie pas d'outils comme souverains. Ensemble, ces deux initiatives inscrivent les capacités européennes dans la politique officielle, mais aucune ne vous dit si un outil donné est souverain.
Souveraineté numérique et conformité au RGPD : pourquoi ce n'est pas la même chose
La conformité au RGPD signifie qu'un outil respecte les règles européennes de protection des données. La souveraineté numérique signifie que l'outil n'est pas soumis à des juridictions non européennes capables de passer outre ces règles. Un outil américain peut être conforme au RGPD et rester soumis au CLOUD Act.
Voyez le RGPD comme un socle. Il fixe le minimum pour un traitement licite, les droits des personnes concernées et la sécurité. Il ne règle pas la question des tribunaux étrangers qui peuvent atteindre la maison mère d'un fournisseur. La souveraineté numérique est la couche que vous ajoutez par-dessus quand ce risque compte, en général dans trois situations :
Données sensibles : les dossiers médicaux, les dossiers RH et les plans de produits confidentiels comportent des enjeux plus lourds si une autorité étrangère les demande.
Secteurs réglementés : finance, santé et infrastructures critiques ont des règles sectorielles et des contrats qui demandent où sont les données et qui les contrôle.
Marchés publics : les administrations et leurs fournisseurs doivent souvent documenter des critères de souveraineté dans les appels d'offres.
Notre article sur la protection des données made in Europe explique à quoi ressemble la protection des données européenne au-delà de la conformité de base. La suite de cet article porte sur la couche souveraineté, en commençant par la localisation.
Où sont stockées vos données ? La question de la résidence des données
La résidence des données désigne le lieu physique où les données sont stockées et traitées. Pour la souveraineté numérique, c'est une condition nécessaire mais pas suffisante. Des données stockées à Francfort par un fournisseur détenu par une entreprise américaine peuvent malgré tout relever du droit américain.
Les fournisseurs répondent souvent aux questions de résidence par une étiquette succincte. Quand un fournisseur annonce un « hébergement dans l'UE », posez quatre questions complémentaires :
Stockage principal : demandez quel pays et quel centre de données hébergent vos données actives, et si le contrat fixe ce lieu.
Sauvegardes : demandez où se trouvent les copies de sauvegarde et les sites de reprise après sinistre, car ils peuvent être dans une autre région.
Traitement et accès du support : demandez où les données sont traitées et depuis quels pays l'équipe support peut les consulter.
Entité juridique responsable : demandez quelle société exploite les serveurs et quelle maison mère détient cette entité.
Imaginez la personne chargée des achats dans une entreprise de logistique de taille moyenne, à qui un fournisseur répond « hébergement dans l'UE ». Le stockage et les sauvegardes se trouvent bien en Allemagne. En revanche, les tickets de support passent par la maison mère américaine, qui peut accéder aux données clients. Ce constat n'élimine pas le fournisseur, mais il montre quel risque elle accepterait et quelles clauses négocier.
Une liste de contrôle pour évaluer la souveraineté numérique
Posez ces cinq questions dans toute évaluation de fournisseur, que vous compariez des plateformes établies ou que vous présélectionniez des alternatives européennes aux outils américains. Demandez des réponses écrites : une réponse vague est aussi un signal.
1. Où les données sont-elles stockées et traitées ?
Découpez la localisation en trois volets : stockage principal, stockage des sauvegardes et traitement. Un fournisseur peut stocker les données actives en Allemagne et effectuer les sauvegardes ou les analyses ailleurs. Le traitement compte aussi, car les données sont exposées partout où elles sont lues.
N'acceptez que des réponses qui nomment des centres de données précis dans l'UE, comme Francfort ou Paris : « région UE » est trop vague pour être vérifié. Demandez si ces lieux figurent dans le contrat ou dans l'accord de traitement des données (DPA), et comment le fournisseur vous prévient avant de les changer.
2. Quelle juridiction s'applique ?
L'entité juridique qui exploite le service détermine le droit applicable. Un outil hébergé en Allemagne par une société à capitaux américains peut rester soumis au droit américain, y compris au CLOUD Act.
Vérifiez l'entité exploitante nommée dans le contrat et son lieu d'immatriculation, puis examinez la maison mère et la structure de l'actionnariat. Vérifiez enfin le sous-traitant ultérieur chargé de l'infrastructure, car un fournisseur européen peut s'appuyer sur une plateforme cloud dont la maison mère est hors UE.
3. Qui a accès aux données, et dans quelles conditions ?
Recensez chaque partie qui peut accéder à vos données et les conditions qui s'appliquent. Couvrez ces groupes :
Personnel du fournisseur : identifiez quels rôles peuvent consulter les données clients, depuis quels pays et avec quelle autorisation.
Sous-traitants ultérieurs : demandez la liste complète, avec ce que chacun traite et où.
Fournisseurs d'infrastructure cloud : vérifiez si le personnel de l'hébergeur peut accéder à vos données, et sous quel régime juridique.
Autorités publiques : demandez comment le fournisseur traite les demandes des autorités et s'il prévient ses clients quand la loi le permet.
Demandez le DPA et la liste des sous-traitants ultérieurs avant de signer. Ces deux documents transforment des promesses orales en engagements vérifiables.
4. Quelles sont les options de sortie ?
Vérifiez que vous pouvez exporter toutes vos données dans un format standard, comme CSV ou JSON, à tout moment. Demandez par écrit ce que l'export exclut, car les pièces jointes, les commentaires ou l'historique peuvent demander un traitement à part.
L'équipe informatique d'une commune peut tester ce point avant de signer. Elle exporte un petit projet pilote et ouvre les fichiers dans un autre outil, comme un tableur. Si les tâches, les responsables et les échéances arrivent intacts, l'option de sortie a passé un vrai test.
5. Quelles certifications et normes le fournisseur détient-il ?
Les certifications témoignent d'une maturité opérationnelle, mais aucune ne prouve à elle seule la souveraineté. Recherchez celles-ci :
ISO 27001 : cette norme internationale couvre la sécurité de l'information.
BSI C5 : le catalogue de l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) définit des exigences minimales pour un cloud computing sécurisé.
TISAX : l'association ENX gère cette évaluation de la sécurité de l'information pour la chaîne d'approvisionnement automobile.
Au niveau européen, l'ENISA, l'Agence de l'Union européenne pour la cybersécurité, développe encore le schéma européen de certification des services cloud (EUCS). Traitez toute revendication de certification EUCS avec prudence tant que le schéma n'est pas adopté.
La souveraineté numérique dans le secteur public
Les organismes publics font face à des exigences de souveraineté numérique plus strictes que la plupart des entreprises privées. En Allemagne, les administrations fédérales doivent exiger une attestation BSI C5 quand elles achètent des services cloud externes qui traitent des données officielles. La Commission européenne applique à ses propres achats cloud son Cloud Sovereignty Framework, publié en octobre 2025.
Ce cadre classe les offres selon des niveaux d'assurance allant de SEAL-0 à SEAL-4. C'est un outil d'achat public, pas une loi, mais d'autres organismes publics peuvent reprendre son échelle. Des initiatives nationales en Allemagne et en France vont dans le même sens :
Deutsche Verwaltungscloud : le conseil allemand de planification informatique (IT-Planungsrat) a adopté ce cadre stratégique en 2021 pour une approche cloud commune à l'administration publique.
ZenDiS et openDesk : le Centre pour la souveraineté numérique de l'administration publique (ZenDiS) fournit aux administrations des offres open source comme openDesk.
SecNumCloud : cette qualification de l'ANSSI pour les offres cloud inclut des critères sur le siège dans l'UE, l'actionnariat et la protection contre le droit extra-européen.
Si vous préparez un appel d'offres public, la liste de contrôle ci-dessus vous aide à documenter de façon structurée l'hébergement, l'actionnariat, les sous-traitants ultérieurs, les certifications et les conditions de sortie. Pour voir comment un éditeur de gestion de tâches y répond, consultez la page MeisterTask dédiée au secteur public.
MeisterTask et la souveraineté numérique
MeisterTask stocke les données de projet dans un centre de données certifié ISO 27001 à Francfort, en Allemagne. L'entité contractante est MeisterLabs GmbH, société immatriculée à Vaterstetten, en Allemagne, et soumise au droit allemand et européen. L'infrastructure repose sur la région Francfort de Google Cloud : comparez donc la liste des sous-traitants ultérieurs du DPA à votre propre seuil d'exigence. Appliqués à la liste de contrôle, trois faits ressortent :
Résidence des données : les données de projet MeisterTask sont hébergées à Francfort, et MeisterLabs est certifiée ISO 27001:2022.
Juridiction et transparence : le DPA mentionne Google Cloud EMEA Limited, dont la maison mère est américaine, parmi d'autres sous-traitants ultérieurs.
Options de sortie : tous les comptes peuvent exporter leurs projets en CSV, avec les tâches, les personnes assignées, les échéances, les commentaires et les checklists. Les pièces jointes se téléchargent à part, et l'export des données personnelles regroupe tous vos projets et pièces jointes dans un fichier ZIP.
Meister IA associe un modèle de recherche développé par MeisterLabs à des modèles de Google et d'OpenAI, deux fournisseurs américains. Google et OpenAI n'utilisent pas les informations traitées par Meister IA pour entraîner leurs modèles. La mention « hébergé en Allemagne » ne couvre que les données de projet. Les admins de l'offre Business peuvent donc désactiver les fonctionnalités d'IA et conserver la gestion des tâches. Notre article sur le déploiement d'outils d'IA en équipe explique comment peser ce choix.
Prenons une équipe de production qui stocke des plans fournisseurs confidentiels dans ses projets. L'admin de l'équipe désactive les fonctionnalités d'IA, et l'équipe garde ses tâches, ses échéances et ses passations de relais dans MeisterTask. Les détails sur l'hébergement et les certifications figurent sur la page sécurité de MeisterTask.
Faire de la souveraineté un critère de chaque choix d'outil
La souveraineté numérique est un ensemble de questions à poser à chaque fournisseur, et aucune étiquette n'y répond à elle seule. Chaque fois qu'un fournisseur annonce un « hébergement dans l'UE », passez en revue les cinq points : stockage, juridiction, accès, sortie et certifications. Vous saurez ainsi quels risques vous acceptez.
MeisterTask documente son hébergement, ses sous-traitants ultérieurs et ses fournisseurs d'IA, pour que votre équipe puisse les évaluer selon ses propres critères.
