Le problème n’est pas d’utiliser Google, Microsoft, Amazon ou tout autre acteur numérique dominant.
Le problème est de ne plus pouvoir s’en passer.
Une organisation peut parfaitement utiliser des outils largement diffusés, y compris non européens : messagerie, cloud, suite bureautique, outil collaboratif, solution cyber, CRM ou service d’intelligence artificielle. Ces solutions peuvent être efficaces, économiques, intégrées aux usages du secteur et parfois difficiles à remplacer à court terme.
La question n’est donc pas celle d’un rejet de principe. Elle est celle de la maîtrise : quelles données sont confiées à l’outil ? Pour quels usages ? Avec quelles garanties ? Avec quel niveau de dépendance ? Et que se passe-t-il si la solution devient indisponible, juridiquement problématique, trop coûteuse ou simplement inadaptée ?
En matière de protection des données comme de continuité d’activité, l’enjeu n’est pas de supprimer toute dépendance. Une telle indépendance absolue est largement illusoire. L’enjeu est de distinguer la dépendance comprise et assumée de celle que l’organisation découvre seulement lorsqu’elle ne peut plus en sortir.
La souveraineté numérique n’est pas l’indépendance absolue
Parler de souveraineté numérique ne signifie pas tout internaliser, tout nationaliser ou remplacer automatiquement chaque solution étrangère par une alternative locale.
Une organisation dépend nécessairement d’infrastructures, de logiciels, de systèmes d’exploitation, de prestataires et de services numériques. Même un environnement présenté comme interne repose sur des couches techniques qui ne sont jamais totalement maîtrisées.
La souveraineté numérique peut être comprise comme la capacité à choisir ses dépendances, à les connaître, à les limiter et à pouvoir en sortir sans désorganiser son activité.
Il ne s’agit donc pas d’une posture de principe, mais d’une capacité de décision.
Dépendance choisie, dépendance subie
Toute dépendance numérique n’est pas dangereuse. Une organisation peut choisir une solution dominante parce qu’elle est stable, économiquement adaptée, compatible avec ses partenaires ou particulièrement efficace pour son activité.
Cette dépendance peut être acceptable lorsqu’elle est connue, assumée et encadrée : l’organisation sait pourquoi elle utilise l’outil, quelles données y circulent, quelles limites elle lui impose, comment récupérer ses informations et quelles solutions peuvent être mobilisées en cas de difficulté.
À l’inverse, une dépendance devient subie lorsque la sortie n’est plus réaliste sans désorganiser fortement l’activité.
Le vrai et le faux « TINA »
Il existe parfois un véritable There Is No Alternative : aucune solution de remplacement n’est réellement viable à court terme pour des raisons techniques, économiques ou opérationnelles.
Mais il existe aussi un faux TINA. L’alternative existe, mais l’organisation n’a jamais préparé la sortie. Les données, procédures, habitudes, archives et comptes se sont progressivement concentrés dans un même environnement. La dépendance résulte alors autant du fournisseur que de l’absence d’anticipation interne.
Protéger les données personnelles, mais aussi protéger l’entreprise
Le choix d’un outil numérique mérite d’être examiné sous deux angles complémentaires.
Le premier est celui de la protection des données personnelles : quelles catégories de données sont traitées, qui intervient dans le traitement, où les données sont hébergées, quels sous-traitants sont mobilisés, quels accès sont possibles et quels transferts internationaux peuvent exister.
Le RGPD n’interdit pas par principe les transferts de données hors de l’Union européenne ou de l’Espace économique européen. Il impose en revanche qu’ils reposent sur les mécanismes prévus par son chapitre V et sur des garanties adaptées à la situation.
Le second angle concerne directement la continuité et les intérêts de l’entreprise. Une solution peut contenir peu de données personnelles sensibles tout en concentrant des documents stratégiques, des méthodes, des informations commerciales, des accès clients, de la facturation ou des éléments indispensables à la production.
La souveraineté numérique impose donc de tenir ensemble ces deux préoccupations : protéger les personnes et préserver la capacité de l’organisation à continuer de fonctionner.
L’extraterritorialité : un risque réel, pas un slogan
Cloud Act, FISA, accès par des autorités étrangères, dépendance envers les grands fournisseurs internationaux : ces questions sont réelles et ne doivent pas être ignorées.
Elles ne doivent pas davantage devenir des slogans. La nationalité d’une solution ne permet pas, à elle seule, de conclure à sa conformité, à sa sécurité ou à sa pertinence. Une solution européenne peut être mal configurée ou inadaptée, tandis qu’une solution non européenne peut, selon les circonstances, être utilisée dans un cadre juridiquement encadré.
Point juridique
Depuis la décision d’adéquation adoptée par la Commission européenne le 10 juillet 2023, les transferts vers les organismes américains participant au Data Privacy Framework peuvent bénéficier de ce mécanisme d’adéquation.
Le Tribunal de l’Union européenne a rejeté, le 3 septembre 2025, le recours dirigé contre cette décision. Un pourvoi a toutefois été formé devant la Cour de justice le 31 octobre 2025 dans l’affaire C-703/25 P. Cette procédure est toujours pendante en septembre 2026. La décision d’adéquation demeure applicable à ce stade.
La question ne se limite donc pas au pays dans lequel un serveur est annoncé comme hébergé. Il faut aussi regarder la chaîne réelle de traitement : les entités qui interviennent, les droits applicables, les accès possibles, les sous-traitants et les garanties effectivement prévues.
L’extraterritorialité est ainsi une composante d’un problème plus large : celui de la dépendance numérique.
Le RGPD comme révélateur des dépendances numériques
Un audit RGPD n’est pas un audit complet de souveraineté numérique, de cybersécurité ou de continuité d’activité. Son objet reste l’analyse des traitements de données personnelles et des obligations qui leur sont applicables.
Mais suivre les données oblige souvent à suivre les outils. Cloud, messagerie, CRM, logiciels métiers, hébergeurs, prestataires informatiques, plateformes collaboratives, signatures électroniques ou outils d’analyse : ces services apparaissent naturellement lorsqu’on cherche à comprendre où circulent les données et qui les traite.
L’analyse RGPD peut ainsi révéler, par ricochet, certaines dépendances numériques. Cela ne signifie pas que le RGPD couvre tous les enjeux de souveraineté. Il fournit simplement un premier fil permettant d’identifier des concentrations, des garanties insuffisantes, une réversibilité fragile ou une dépendance opérationnelle excessive.
La réponse ne consiste d’ailleurs pas nécessairement à changer immédiatement d’outil. Elle peut passer par la limitation des données confiées, la sécurisation des accès, la révision des clauses, la mise en place d’exports réguliers, l’identification d’une solution de secours ou la préparation progressive d’une migration.
Cartographier ses dépendances numériques
Une organisation n’a pas besoin de supprimer toutes ses dépendances. Elle doit d’abord savoir de quoi elle dépend réellement pour fonctionner.
Une cartographie simple peut suffire pour commencer à distinguer les ressources gérées en interne de celles qui sont confiées à des prestataires ou plateformes externes.
1. À quoi sert l’outil ?
Un outil de confort n’a pas le même poids qu’un service structurant. Il faut identifier ce qui est accessoire, important, structurant ou réellement critique.
2. Quelles données y circulent ?
Données personnelles, informations sensibles, documents commerciaux, données RH, secrets d’affaires ou éléments indispensables à la continuité d’activité : la nature des informations conditionne le risque.
3. Qui maîtrise réellement l’environnement ?
Fournisseur, entité contractante, sous-traitants, localisation, accès support ou administration : il faut examiner la chaîne réelle plutôt que la seule nationalité affichée de la solution.
4. La sortie est-elle réellement possible ?
Pouvoir exporter des données ne suffit pas toujours. Encore faut-il que l’export soit exploitable, que la procédure soit connue, que son coût soit supportable et que la restitution ou la suppression soient réellement prévues.
5. Existe-t-il un plan B ?
Alternative numérique, export régulier, sauvegarde indépendante, procédure dégradée ou limitation des données confiées : un plan de continuité n’a pas besoin d’être spectaculaire pour être utile.
6. Quel est le degré de dépendance ?
Plus la perte d’un outil bloque l’activité et plus l’organisation manque d’alternative, plus la dépendance devient critique. L’enjeu consiste donc à identifier les outils dont la disparition provoquerait une véritable rupture opérationnelle.
Choisir un outil, c’est pouvoir expliquer son choix
La souveraineté numérique ne consiste pas à choisir systématiquement une solution française, européenne, américaine ou open source.
Elle consiste à être capable d’expliquer pourquoi une solution est retenue, quelles données lui sont confiées, dans quelles limites elle est utilisée, quelles garanties existent et quelles alternatives demeurent disponibles.
Une organisation peut parfaitement retenir une solution américaine pour certains usages, une solution européenne pour d’autres, un hébergement local pour des données plus sensibles et une conservation hors ligne pour certains documents critiques.
L’objectif n’est pas la pureté idéologique. L’objectif est la cohérence numérique.
Pour conclure
Ne pas subir ses propres outils
Les outils numériques sont indispensables au fonctionnement quotidien des organisations. Ils permettent de collaborer, d’automatiser, de sécuriser, de stocker et de communiquer.
Mais tout outil structurant crée aussi une forme de dépendance. Celle-ci peut rester acceptable lorsqu’elle est comprise, limitée et réversible. Elle devient problématique lorsqu’elle est invisible, totale et impossible à contourner sans désorganiser l’activité.
La conformité RGPD et la souveraineté numérique se rejoignent finalement sur ce point : elles exigent moins de slogans que de compréhension, de documentation et de capacité d’anticipation.
La question à poser
Si cet outil disparaît demain, qu’est-ce que mon organisation peut encore faire ?