Votre hébergeur web obéit peut-être à la loi américaine – même si vos serveurs sont en Europe.
En 2018, le Cloud Act américain a donné aux autorités fédérales US le droit d’exiger l’accès aux données de n’importe quelle entreprise de droit américain, quel que soit le pays où ses serveurs sont physiquement installés. Si votre site tourne chez AWS, GoDaddy, Hostinger ou Cloudflare, c’est votre réalité juridique. Et le RGPD ne peut pas y faire grand-chose.
En 2025, la CNIL a prononcé 486 millions d’euros d’amendes – neuf fois plus qu’en 2024. Soixante-sept sanctions sur quatre-vingt-trois ont été émises via procédure simplifiée, soit le mécanisme conçu pour cibler les PME. L’hébergement n’est plus une décision technique. C’est une décision juridique et stratégique.
Souveraineté numérique : votre hébergeur obéit à quelle loi ?
La question n’est pas « où sont les serveurs » mais « de quel droit relève l’entité qui gère ces serveurs ».
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) adopté aux États-Unis en 2018 autorise les forces de l’ordre américaines à contraindre une entreprise de droit US à livrer des données hébergées n’importe où dans le monde – sous ordonnance d’un tribunal fédéral. AWS est une filiale d’Amazon, société américaine. Microsoft Azure, Google Cloud, GoDaddy, Cloudflare, Hostinger (enregistrée aux États-Unis) : même régime.
Ce n’est pas théorique. En cas de procédure judiciaire américaine impliquant un de vos clients, vos données peuvent être saisies sans que vous en soyez informé. Le prestataire ne peut légalement pas vous prévenir s’il reçoit une ordonnance sous sceau.
Et ce n’est pas un problème réservé aux grands groupes. Si vous avez déjà connecté des API tierces à votre site ou à votre CRM, chaque connexion est un point d’entrée potentiel – et la localisation des données de ces API compte autant que celle de votre hébergeur. Les PME de services professionnels – cabinets comptables, agences, prestataires de soins – hébergent des données bien plus sensibles que certaines multinationales. Un cabinet d’expertise-comptable en Guyane qui stocke les bilans de ses clients sur un serveur GoDaddy est dans une situation juridiquement fragile, même si personne ne l’a encore inquiété.
Conséquence directe : si votre hébergeur est une société américaine, vous ne contrôlez pas qui accède à vos données clients. Ni quand. Ni pourquoi. Et votre client n’est pas au courant non plus.
Ce que dit concrètement le RGPD sur la localisation
Le RGPD (articles 44 à 49) encadre les transferts de données hors Union européenne. En principe, vous ne pouvez transférer des données personnelles vers un pays tiers que si ce pays offre un niveau de protection équivalent à celui de l’UE – ou sous conditions strictes (clauses contractuelles types, consentement explicite, etc.).
Les États-Unis ne bénéficient plus d’une décision d’adéquation globale depuis l’arrêt Schrems II de la Cour de justice européenne (2020). Le Privacy Shield a été invalidé. Le Data Privacy Framework adopté en 2023 couvre uniquement les entreprises US certifiées, et sa solidité juridique est contestée. En pratique : si vos données client transitent ou sont stockées chez un prestataire américain sans encadrement contractuel solide, vous êtes exposé.
Ce que la CNIL contrôle en priorité en 2026 :
- La politique de cookies et traceurs – deux tiers des sanctions récentes portent sur ce point
- L’absence de réponse aux droits des personnes – droit d’accès, d’effacement, de portabilité
- La sous-traitance non encadrée – dont l’hébergement sans DPA (Data Processing Agreement) valide
- Les transferts hors UE sans base légale – le cas classique de l’hébergeur US sans certification ni clausier
Pour les PME, la procédure simplifiée plafonne les amendes à 20 000 euros. C’est suffisant pour perturber une trésorerie en Guyane ou en métropole. Sur ce sujet, notre guide droit numérique pour les PME en Guyane détaille les obligations spécifiques aux structures ultramarines.
Le terrain en 2026 : qui héberge quoi en France
Trois catégories d’acteurs dominent le marché de l’hébergement souverain français :
o2switch – La référence mutualisé 100% français. Serveurs exclusivement à Clermont-Ferrand, certification ISO 27001, plus de 700 000 sites hébergés. Chaque compte dispose de 12 threads CPU, 48 Go de RAM et un débit I/O de 42 MB/s – des ressources de niveau semi-dédié à tarif mutualisé. Moins de 30 euros par an la première année. Pas de VPS, pas de dédié : o2switch fait une seule chose et la fait mieux que n’importe qui dans sa gamme.
OVHcloud – L’infrastructure européenne la plus large. Mutualisé, VPS, dédié, cloud public : OVH propose toute la gamme depuis ses datacenters français. Moins premium en support que o2switch, mais imbattable sur la flexibilité technique et les certifications HDS (Hébergement Données de Santé) ou SecNumCloud pour les organisations qui en ont besoin.
Scaleway – Le cloud public de référence pour les équipes techniques. Filiale d’Iliad (Free), datacenters en France, API-first, orienté Kubernetes, serverless et GPU. Pas conçu pour un site WordPress standard – conçu pour des architectures cloud-native et des équipes dev qui veulent un AWS made in France.
Infomaniak – Hébergeur suisse avec datacenters en France et en Suisse. 100% alimenté en énergies renouvelables, engagement fort sur la vie privée. Excellent pour les agences et créatifs qui veulent un hébergeur éthique et performant.
Ce que vous ne trouverez pas dans cette liste : AWS, GCP, Azure, GoDaddy, Hostinger, Bluehost, SiteGround, DreamHost. Soit parce qu’ils sont de droit américain, soit parce que leurs datacenters « France » ne changent pas leur statut juridique de droit US. C’est le même mécanisme que pour les plateformes no-code américaines : l’interface est en français, les données sont aux États-Unis.
Le framework de décision : quel hébergeur pour quel profil
Trois questions pour choisir en cinq minutes :
- Données de santé, données financières, données sensibles au sens RGPD ? OVH avec certification HDS ou SecNumCloud, ou un prestataire qualifié ANSSI. o2switch n’est pas certifié HDS.
- Site vitrine, WordPress, e-commerce standard, CRM léger ? o2switch. Sans discussion. Performance, prix, conformité, support francophone – il remporte les quatre critères simultanément.
- Architecture cloud-native, microservices, pipeline IA, equipe DevOps ? Scaleway ou OVH Public Cloud. Budget AWS sans les risques juridiques US.
Un repère simple pour les PME guyanaises et ultramarines : si vous hébergez des données de clients (noms, emails, adresses, coordonnées bancaires), l’hébergeur doit être de droit européen. O2switch ou OVH couvrent 95% des cas. Le reste, c’est une question de budget et de besoin technique.
La migration pratique – Migrer de GoDaddy ou Hostinger vers o2switch prend moins d’une demi-journée sur un site WordPress standard. O2switch fournit un outil d’import automatisé (All-in-One WP Migration ou l’assistant de transfert cPanel natif). Les temps de propagation DNS oscillent entre 15 minutes et 24 heures selon les registrars. Le coût total d’une migration : zéro heure facturée si votre prestataire sait ce qu’il fait, ou 2 à 4 heures au tarif horaire d’une agence.
Une fois migré, pensez à mettre à jour votre politique de confidentialité pour mentionner le nouvel hébergeur et confirmer la localisation française des données. C’est un point que les DPO (Délégués à la Protection des Données) vérifient en priorité lors d’un audit RGPD. Un paragraphe de dix lignes suffit – c’est aussi simple que la migration elle-même.
Ce que vous gagnez en migrant : conformité RGPD par défaut, certificat SSL inclus, sauvegardes quotidiennes automatiques, et un support technique qui répond en moins d’une heure en français. Ce que vous perdez : souvent rien, parfois un faux sentiment de sécurité que vous n’auriez jamais dû avoir.
Le mot de la fin
La souveraineté numérique sur l’hébergement n’est pas un argument marketing vert. C’est une protection concrète contre un risque légal réel – le Cloud Act d’un côté, la CNIL de l’autre. En 2026, choisir un hébergeur américain pour héberger des données clients européennes, c’est naviguer avec une assurance invalidée.
La bonne nouvelle : les alternatives françaises sont meilleures. Moins chères, plus performantes en support, et conformes by design. Il n’y a plus de compromis à faire.
♚ 1D-D1 – One Day or Day One. Parlons stratégie →