Tout hébergeur qui stocke des données personnelles pour votre compte est un sous-traitant RGPD au sens de l'article 28 : un contrat écrit (DPA) est obligatoire. En cas de violation de données, le responsable de traitement dispose de 72 heures pour notifier la CNIL (art. 33 RGPD), et le sous-traitant doit l'alerter sans délai. Héberger chez un prestataire soumis au Cloud Act américain expose vos données à des réquisitions extraterritoriales, même si les serveurs sont physiquement en Europe. La localisation des données en France, chez un hébergeur de droit français, reste la garantie la plus solide contre ces risques en 2026.
Hébergeur = sous-traitant RGPD : ce que ça change concrètement
Beaucoup d'éditeurs SaaS et d'e-commerçants l'ignorent encore : dès que votre hébergeur stocke ou manipule des données personnelles de vos utilisateurs, il devient juridiquement un sous-traitant RGPD. Vous restez, vous, le responsable de traitement. Cette distinction n'est pas cosmétique.
En pratique, cela signifie trois choses immédiates :
- →Responsabilité partagée mais asymétrique. Vous répondez devant la CNIL des manquements de votre hébergeur si vous n'avez pas encadré la relation par un DPA.
- →Contrôle des instructions. L'hébergeur ne peut traiter vos données qu'en suivant vos instructions documentées.
- →Chaîne de sous-traitance. Si votre hébergeur fait appel à un datacenter tiers, il doit obtenir votre autorisation écrite.
L'amende maximale prévue par l'article 83 du RGPD atteint 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. Pour aller plus loin sur les raisons structurelles de privilégier un hébergeur de droit français, consultez notre article pourquoi choisir un hébergeur français.
Les clauses indispensables dans un DPA avec votre hébergeur
Le DPA (Data Processing Agreement) est le contrat exigé par l'article 28 du RGPD. Sans lui, vous êtes en infraction, même si vos serveurs sont en France. Un DPA solide doit couvrir :
- →Objet, durée et nature du traitement
- →Instructions documentées de traitement
- →Confidentialité et habilitation du personnel
- →Mesures de sécurité auditables
- →Accord préalable pour tout sous-traitant ultérieur
Deux clauses sont souvent absentes des DPA génériques : la clause de notification de violation (pour tenir le délai de 72 heures) et la clause de restitution et suppression des données en fin de contrat.
Un hébergeur sérieux propose un DPA standardisé, accessible avant la signature, et accepte des audits. Pour les aspects techniques complémentaires, notre guide sur l'hébergement web sécurisé détaille les mesures à mettre en place.
Localisation des données, Cloud Act et transferts hors UE
La localisation en France n'est pas une obligation légale absolue du RGPD, mais c'est la solution la plus simple pour éviter trois risques.
Le risque Cloud Act
Le Cloud Act, adopté aux États-Unis en 2018, autorise les autorités américaines à exiger d'une entreprise américaine qu'elle leur remette des données stockées sur ses serveurs, où que ces serveurs se trouvent dans le monde. AWS, Microsoft Azure, Google Cloud sont tous soumis à cette loi, même pour leurs datacenters européens.
Les transferts hors UE encadrés
Si votre hébergeur utilise des sous-traitants hors UE, chaque flux de données doit reposer sur une décision d'adéquation, des clauses contractuelles types (CCT) ou des règles d'entreprise contraignantes (BCR). Le Data Privacy Framework a déjà été invalidé une fois (Privacy Shield, 2020) : compter uniquement dessus est un risque juridique documenté.
La solution la plus robuste reste un hébergeur dont toute la chaîne, des serveurs aux équipes de support, est localisée en France et soumise exclusivement au droit européen.
Registre de traitement : ce que votre hébergeur doit y figurer
Le registre des activités de traitement est obligatoire pour toute organisation de plus de 250 salariés, et fortement recommandé pour les éditeurs SaaS et e-commerçants. Votre hébergeur doit y figurer comme sous-traitant, avec :
- →Identité et coordonnées de l'hébergeur
- →Nature du traitement (stockage, sauvegarde, transfert)
- →Localisation des données
- →Mesures de sécurité et durée de conservation
En cas de contrôle CNIL, le registre est le premier document demandé. S'il est incomplet, la sanction peut tomber indépendamment de la qualité réelle de votre sécurité technique.
Checklist de conformité RGPD pour choisir votre hébergeur
| Critère | Ce que vous devez vérifier |
|---|---|
| DPA disponible | Contrat de sous-traitance conforme art. 28, signable avant mise en production |
| Localisation des données | Serveurs en France ou UE, sans transfert vers des pays tiers non encadrés |
| Droit applicable | Entité de droit français ou européen, non soumise au Cloud Act |
| Notification de violation | Alerte contractuelle rapide, compatible avec le délai de 72h |
| Liste des sous-traitants | Communiquée intégralement, avec engagement d'information |
| Restitution des données | Clause explicite de restitution ou suppression certifiée |
| Certificat SSL inclus | Chiffrement en transit assuré par défaut |
| Support humain joignable | Interlocuteur réel en France en cas d'incident |
PandiHéberge coche chacun de ces points : serveurs NVMe en France, DPA disponible sur demande, aucune filiale étrangère, support humain francophone. Découvrez nos offres d'hébergement web dédié en France conçues pour les éditeurs et agences qui ne peuvent pas se permettre un écart de conformité, avec un certificat SSL inclus sur toutes les offres.
FAQ
Mon hébergeur est en Europe mais appartient à un groupe américain : suis-je conforme au RGPD ?
Pas nécessairement. Le Cloud Act s'applique à toute entreprise américaine, quelle que soit la localisation physique de ses serveurs. Si votre hébergeur est une filiale d'un groupe américain, ses données restent potentiellement accessibles aux autorités américaines. Pour une conformité RGPD solide, privilégiez un hébergeur de droit français ou européen, sans lien capitalistique avec une entité soumise à une loi extraterritoriale étrangère.
Le DPA est-il obligatoire même pour un petit hébergement mutualisé ?
Oui. L'article 28 du RGPD ne prévoit aucune exception liée à la taille du contrat ou au volume de données. Dès que votre hébergeur stocke des données personnelles pour votre compte (adresses e-mail, logs de connexion, données clients), un DPA est obligatoire. La taille de votre entreprise ou de votre hébergeur ne change rien à cette obligation.
Que se passe-t-il si mon hébergeur détecte une violation de données avant moi ?
Votre hébergeur, en tant que sous-traitant, doit vous informer de la violation dès qu'il en a connaissance, sans délai indu. C'est vous, responsable de traitement, qui devez ensuite notifier la CNIL dans les 72 heures suivant votre propre prise de connaissance (art. 33 RGPD). Si votre DPA ne prévoit pas de délai d'alerte côté hébergeur, vous risquez de ne pas pouvoir respecter ce délai légal. Vérifiez cette clause avant de signer.
Dois-je faire figurer mon hébergeur dans mon registre de traitement ?
Oui. Pour chaque activité de traitement supportée par votre hébergeur (stockage des données clients, sauvegardes, logs applicatifs), votre registre doit mentionner l'identité du sous-traitant, la localisation des données, la nature du traitement et les mesures de sécurité en place. Un registre incomplet expose à des sanctions CNIL indépendamment de la qualité de votre sécurité technique.
Le Data Privacy Framework (DPF) suffit-il pour héberger des données chez un prestataire américain ?
Le DPF est actuellement valide, mais son histoire récente invite à la prudence : son prédécesseur, le Privacy Shield, a été invalidé par la Cour de justice de l'UE en 2020. Compter uniquement sur ce mécanisme pour justifier un transfert de données vers les États-Unis, c'est accepter un risque juridique documenté. Pour les données sensibles ou les traitements à grande échelle, la conformité RGPD hébergement la plus robuste reste un prestataire de droit européen, sans dépendance à un accord susceptible d'être remis en cause.
Un hébergement conforme RGPD, sans zone grise
Serveurs en France, DPA sur demande, aucune filiale étrangère, support humain francophone.
Voir nos offres →