Hébergement web et RGPD : où sont vos données, et pourquoi ça compte

Dès qu’un site collecte un formulaire, un compte client ou une commande, il traite des données personnelles, et l’hébergeur en devient le sous-traitant au sens du RGPD. Le choix de l’hébergeur n’est donc pas qu’une question technique : c’est un point que vous devrez pouvoir justifier auprès d’un client, d’un DPO ou de la CNIL.

Ce que le RGPD demande à l’hébergeur

Un contrat de sous-traitance (souvent appelé DPA, Data Processing Agreement) qui décrit ce que l’hébergeur fait des données, des mesures de sécurité documentées, une notification en cas de violation, et la possibilité pour vous de récupérer ou supprimer les données. Tout hébergeur sérieux fournit ce document ; s’il est introuvable, c’est un signal.

La localisation : simplifier plutôt qu’obliger

Le RGPD n’impose pas des serveurs en France. Il encadre les transferts hors de l’Union européenne, qui exigent une base juridique et une documentation. Concrètement :

• Serveurs en France ou en UE (OVHcloud, Ex2, o2switch, PlanetHoster, Hetzner, Scaleway) : aucun transfert à justifier. Le cas le plus simple.
• Suisse (Infomaniak, Hostpoint) : hors UE mais bénéficiant d’une décision d’adéquation — traitée comme l’UE.
• États-Unis (la plupart des hébergeurs américains, et les grands clouds sauf choix explicite d’une région européenne) : transfert à documenter, sur la base du cadre en vigueur au moment où vous lisez ces lignes, qui a déjà changé plusieurs fois.

Notre page hébergeurs en France et l’annuaire par pays permettent de filtrer par implantation.

Les pièges habituels

• Le serveur est en Europe, mais pas le reste. Sauvegardes, CDN, outil d’e-mailing, statistiques, support : chaque service a sa propre localisation. Listez-les.
• Un hébergeur européen propriété d’un groupe américain. Le lieu des serveurs compte, mais la nationalité du groupe peut soulever la question de lois extraterritoriales. Pour la plupart des sites, des serveurs en UE suffisent ; pour des données sensibles, un hébergeur européen indépendant est plus simple à défendre.
• Le sous-domaine oublié. Un formulaire hébergé ailleurs, une boutique sur une plateforme américaine : ce sont des traitements à documenter aussi.

La check-list

1. Le DPA de l’hébergeur est signé et archivé.
2. Je sais dans quel pays sont les serveurs, les sauvegardes et le CDN.
3. Ma politique de confidentialité nomme l’hébergeur et sa localisation.
4. Les accès (FTP, SSH, panneau) sont protégés par des mots de passe forts et, si possible, une double authentification.
5. Je peux exporter et supprimer les données d’une personne qui le demande.

Un hébergeur qui rend ces cinq points faciles vaut plus qu’un euro de moins par mois. C’est l’un des critères de notre méthode.

Les prestataires que l’on oublie

L’hébergeur n’est qu’un sous-traitant parmi d’autres. Un site typique en cumule cinq ou six : l’outil de statistiques, le service d’e-mailing, le formulaire de contact hébergé ailleurs, le CDN, la solution de paiement, parfois un chat en ligne. Chacun reçoit des données personnelles, chacun a sa propre localisation et son propre contrat. Faites la liste une fois, notez pour chaque service le pays d’hébergement et l’existence d’un DPA, et rangez le tout dans votre registre des traitements. Ce travail d’une heure est ce qui distingue une conformité réelle d’une politique de confidentialité copiée-collée.

Sauvegardes et suppression : deux angles morts

Les sauvegardes sont des données personnelles comme les autres : demandez où elles sont stockées, combien de temps, et si elles sont chiffrées. Un hébergeur qui conserve des sauvegardes hors d’Europe alors que le serveur est en France crée un transfert que vous ne soupçonnez pas. Symétriquement, quand une personne exerce son droit à l’effacement, la suppression doit se propager jusqu’aux sauvegardes dans un délai raisonnable ; les hébergeurs sérieux documentent ce cycle. Deux questions au support avant de signer suffisent à savoir si vous avez affaire à un prestataire qui a déjà réfléchi au sujet.