Un guide pratique pour les collectivités qui rédigent un cahier des charges ou comparent des offres.
La souveraineté se perd rarement lors d'une décision explicite. Personne ne choisit délibérément de confier ses données à un cadre juridique qu'il ne maîtrise pas. Elle se perd dans ce qui n'a pas été demandé au moment de la consultation : qui administre réellement la plateforme, où sont les copies de sauvegarde, ce que fait le support quand il diagnostique un incident, ce qu'il se passe le jour où l'on veut partir. Ces points ne relèvent pas du droit mais de l'achat.
Où la souveraineté se perd réellement
Dans la plupart des projets, la donnée de production est correctement localisée. Le contrat le prévoit, l'hébergeur est identifié, la clause existe. Le problème se situe ailleurs : dans tout ce qui gravite autour de la production.
Les environnements annexes. Recette, préproduction, bac à sable de démonstration : ils sont souvent alimentés par une copie de la base réelle, parfois sans anonymisation, et hébergés avec moins de rigueur que la production.
Les sauvegardes. Elles peuvent être répliquées dans une autre région, chez un autre prestataire, avec une politique de rétention distincte de celle du contrat principal.
Le diagnostic d'incident. Pour comprendre un bug, une équipe de support extrait des journaux techniques, parfois un jeu de données. Ces extractions transitent par des outils de ticketing, des messageries, des postes de travail — rarement couverts par le contrat.
Les comptes à privilèges. Un administrateur système peut techniquement accéder à l'ensemble des données, quelle que soit la finesse du modèle de droits applicatif. La question n'est pas de savoir s'il en a le droit, mais s'il en a la capacité et depuis quel pays.
Les clés de chiffrement. Un chiffrement au repos ne protège que si les clés ne sont pas détenues par celui qui détient aussi les données chiffrées.Ces cinq points ne se voient pas dans une démonstration commerciale. Ils se voient uniquement si on les demande.
Les cinq questions à poser en consultation
Elles tiennent en une page et se posent à tous les candidats, ce qui rend les réponses comparables.
1. Qui administre la plateforme, et depuis quel pays ? Demandez la localisation des équipes d'exploitation, pas seulement celle des serveurs. Une infrastructure française administrée depuis un autre continent n'est pas dans la même situation.
2. Qui détient les clés de chiffrement, et selon quelle procédure sont-elles renouvelées ? Une réponse évasive sur ce point est un signal en soi.
3. Que fait le support quand il diagnostique un incident ? Quelles données sont extraites, vers quels outils, conservées combien de temps, par qui consultées.
4. Quelle est la liste nominative de vos sous-traitants ? Hébergeur, éditeurs tiers, outils de supervision, prestataires d'infogérance. Demandez aussi la procédure de notification en cas de changement.
5. Comment récupère-t-on ses données à la fin du contrat ? Sous quel format, dans quel délai, à quel coût, et avec quelle documentation du modèle de données.
Ce qui gagne à figurer dans le cahier des charges
Les questions ci-dessus servent à comparer. Les clauses ci-dessous servent à tenir dans la durée. Elles sont à faire valider par votre service des marchés ou votre conseil — je les signale comme sujets à couvrir, pas comme rédaction juridique.
Localisation et juridiction.
Préciser non seulement où les données sont hébergées, mais à quel droit sont soumis le titulaire et chacun de ses sous-traitants.
Sous-traitance encadrée.
Liste nominative annexée au marché, et notification préalable de tout changement, avec un délai permettant de réagir.
Réversibilité chiffrée.
C'est la clause la plus souvent négligée. Elle doit préciser le périmètre restitué — données brutes, historiques, données dérivées, modèle de données —, le format, le délai et le coût. Une réversibilité dont le prix n'est pas fixé à la signature est une réversibilité théorique.
Documentation des interfaces.
API et modèle de données documentés, avec engagement de maintien de cette documentation pendant toute la durée du marché.
Droit d'audit.
La possibilité de vérifier, directement ou par un tiers, que les engagements de localisation et d'accès sont tenus.
Notification en cas de demande d'une autorité tierce.
Dans les limites permises par le droit applicable au fournisseur, l'obligation de vous informer.
Trois pièges fréquents
L'hébergeur souverain ne fait pas l'éditeur souverain.
Une solution peut tourner sur une infrastructure française et être éditée, exploitée et administrée par une entité soumise à un droit étranger. C'est le cas le plus courant, et le plus difficile à repérer dans un dossier de consultation, parce que la réponse à « où sont hébergées les données ? » est parfaitement exacte.
L'open source ne garantit pas la réversibilité.
Un socle ouvert facilite l'auditabilité et limite la dépendance à un éditeur. Mais si le modèle de données est propriétaire, non documenté ou reconstruit à chaque montée de version, l'export produit un fichier que personne ne saura réexploiter. La réversibilité se joue sur la documentation du modèle, pas sur la licence du code.
Une qualification ne se transmet pas par contact.
Un service qui s'exécute sur une infrastructure qualifiée n'hérite pas de cette qualification. Vérifiez toujours sur quel périmètre exact porte le référentiel invoqué, en consultant la liste publiée par l'organisme qui la délivre plutôt que la plaquette du candidat.
Après la signature : trois vérifications annuelles
Un engagement contractuel qui n'est jamais vérifié se dégrade sans que personne s'en aperçoive.Revoyez chaque année la liste des sous-traitants et confrontez-la à celle annexée au marché. Passez en revue les comptes à privilèges encore actifs, notamment ceux de prestataires dont la mission est terminée. Et surtout, réalisez au moins une fois un test de réversibilité réel : demandez l'export complet, et vérifiez que vous savez le relire. C'est le seul moyen de savoir si la clause fonctionne, et le meilleur moment pour le découvrir n'est pas celui où vous changez de prestataire.
Tout n'a pas le même niveau de sensibilité
Dernier point, souvent sauté : classer les jeux de données avant de configurer les droits.Une donnée de fréquentation d'équipement, un relevé de consommation d'un bâtiment, une cartographie de vannes de réseau et un signalement usager n'appellent pas le même traitement. Certaines peuvent être ouvertes largement, d'autres décrivent le fonctionnement — et donc les vulnérabilités — d'une infrastructure.Sans cette classification préalable, l'administration des droits se fait au cas par cas, à la demande, et finit par produire soit un verrouillage qui décourage l'usage, soit une ouverture qui expose plus que nécessaire.
