Plus que la vie privée : disponibilité, dépendance et coûts

Module 1: Pourquoi un cloud européen ? · Temps de lecture : 11 minutes

Objectif pédagogique : Après cette leçon, vous pourrez expliquer que la souveraineté numérique concerne aussi la disponibilité, la dépendance et le pouvoir de décision, vous connaîtrez les nouveaux droits européens de portabilité issus du Data Act, et vous saurez évaluer les risques propres à votre propre situation.

Notions clés : souveraineté numérique, risque de disponibilité, sanctions, modification unilatérale des conditions, dépendance au fournisseur (vendor lock-in), risque de concentration, Data Act européen, droit à la portabilité, frais de changement, NIS2, évaluation (probabilité et impact)

La souveraineté, c'est plus que « qui peut lire mes données »

Les leçons précédentes portaient sur la confidentialité : qui peut consulter vos données. Mais il existe encore deux questions au moins aussi importantes pour une organisation :

1. Pouvez-vous y accéder quand vous en avez besoin ? (disponibilité)
2. Pouvez-vous décider vous-même, même si le prestataire souhaite autre chose ? (pouvoir de décision)

L'ensemble s'appelle la souveraineté numérique : la mesure dans laquelle vous (ou votre pays, ou l'Europe) gardez vous-même le contrôle de vos données et services numériques. Le mot peut sembler abstrait, mais pour la Boulangerie De Korrel, c'est très concret : si Sanne ne peut pas ouvrir les tournées de livraison le lundi matin à six heures, ce sont douze personnes qui attendent.

Ceci est une explication, pas un conseil juridique.

Risque 1 : votre compte peut être bloqué

Un service cloud peut limiter ou suspendre votre accès. En général pour des raisons banales : une facture impayée, un soupçon d'abus, un système automatique qui se trompe dans son évaluation. Quiconque a déjà eu un compte bloqué chez un grand prestataire sait à quel point il est difficile d'y joindre un être humain.

Il existe aussi une variante géopolitique. Une entreprise doit se conformer aux sanctions du pays dont elle relève. En février 2025, le gouvernement américain a imposé des sanctions au procureur en chef de la Cour pénale internationale (CPI) à La Haye. En mai 2025, l'agence de presse AP a rapporté qu'il n'avait plus accès à sa messagerie professionnelle chez Microsoft. Microsoft a déclaré n'avoir jamais interrompu ses services pour la CPI ; selon des informations ultérieures, c'est la CPI elle-même qui, sous la pression des sanctions, n'a plus libéré la boîte aux lettres. Le déroulement exact des faits reste débattu. Mais l'exemple montre que la disponibilité d'un service dépend de la politique du pays du prestataire, et pas seulement de la technique.

Une boulangerie risque peu d'être concernée par des sanctions. Le point est plus général : vous dépendez de règles sur lesquelles vous n'avez aucune influence.

Risque 2 : des conditions et des prix qui changent unilatéralement

Les services cloud fonctionnent avec des abonnements et des conditions générales que le prestataire peut modifier. Des offres sont fusionnées, des fonctionnalités basculent vers un forfait plus cher, ou une nouvelle fonctionnalité apparaît (comme l'IA) qui augmente le prix ou modifie l'usage de vos données. En général, vous n'avez que deux options : accepter ou partir. Et partir est difficile quand tout votre travail s'y trouve. C'est la dépendance au fournisseur, en anglais vendor lock-in (leçon 2.3).

Risque 3 : tout chez un seul prestataire

Si votre messagerie, votre agenda, vos fichiers, votre messagerie instantanée, vos mots de passe et la connexion à d'autres services (« se connecter avec Google ou Microsoft ») se trouvent chez un seul prestataire, alors une seule panne, un seul compte bloqué ou un seul mot de passe piraté suffit à tout perdre en même temps. C'est ce qu'on appelle le risque de concentration. Cela vaut pour tout prestataire, y compris européen. La répartition et une sauvegarde propre (module 8) aident à limiter ce risque.

Le même phénomène existe au niveau national. Aux Pays-Bas, un débat est né en 2025 et 2026 autour de Solvinity, l'entreprise qui fournit l'infrastructure de DigiD et MijnOverheid (les services d'identification numérique néerlandais). L'américain Kyndryl souhaitait la racheter. Après avis du Bureau Toetsing Investeringen (l'organisme néerlandais de contrôle des investissements), le secrétaire d'État néerlandais a interdit le rachat en mai 2026, pour protéger l'intérêt public ; l'une des inquiétudes était que le gouvernement américain puisse obtenir un accès via le CLOUD Act. Cet exemple montre que le propriétaire d'un prestataire européen peut lui aussi changer. Un service européen d'aujourd'hui peut avoir demain une société mère américaine. C'est pourquoi un plan de sortie (leçon 8.2) fait partie de tout choix.

Nouvelles règles européennes : le Data Act

L'UE a établi des règles pour faciliter le changement entre services cloud, dans le Data Act (règlement sur les données, règlement (UE) 2023/2854). Le règlement s'applique depuis le 12 septembre 2025. Pour les services cloud (le texte parle de « services de traitement de données »), les règles figurent au chapitre VI (articles 23 à 31). En résumé :

• Un prestataire ne peut pas vous empêcher de passer à un autre prestataire ou vers vos propres serveurs, et doit y collaborer.
• Le contrat doit notamment permettre un préavis de résiliation d'au maximum deux mois, une période de transition en principe d'au maximum trente jours, et une période d'au moins trente jours pour récupérer vos données.
• Les prestataires doivent être clairs à l'avance sur les coûts.
• Les frais de changement, y compris les frais liés au transfert sortant de vos données (egress), ne pouvaient déjà, depuis l'entrée en application, être facturés qu'au prix coûtant, et disparaissent complètement à partir du 12 janvier 2027 (article 29). Les frais d'abonnement ordinaires et les pénalités pour résiliation anticipée d'un contrat à durée déterminée restent cependant possibles.

Cela aide, mais ne résout pas tout. Le règlement dit que vous pouvez emporter vos données, pas qu'elles fonctionneront exactement de la même manière chez le nouveau prestataire. Transférer un document Google ou un historique de discussion Teams vers un autre environnement reste compliqué (modules 5, 6 et 7).

NIS2 en un paragraphe

La directive NIS2 européenne (directive (UE) 2022/2555) oblige les organisations de taille moyenne et grande dans des secteurs importants à avoir une cybersécurité en ordre, y compris celle de leurs fournisseurs. Une petite boulangerie n'est pas concernée, mais un fournisseur d'une telle organisation peut se voir poser des questions sur ses propres services cloud. NIS2 ne dit rien sur le caractère européen ou non, mais impose bien de connaître les risques de sa chaîne de fournisseurs.

Évaluer : tout n'a pas la même importance

Vous n'êtes pas obligé de tout migrer demain. Une évaluation raisonnable, élément par élément, aide à avancer. Pour chaque risque, examinez la probabilité qu'il se produise et l'impact s'il se produit :

Un tel tableau montre par où commencer. Le dossier du personnel est petit et sensible : facile à migrer avec un gain important. La messagerie est importante, mais demande un plan soigneux (module 4). L'historique de discussion, vous ne l'emporterez peut-être pas, mais vous l'archivez.

Contrepoids honnête : les grands services américains sont fiables, techniquement solides et familiers pour vos collaborateurs. Un changement demande du temps et de l'adaptation. La question n'est pas « bien ou mal », mais quels risques vous acceptez en connaissance de cause.

En pratique : à quoi cela ressemble-t-il chez un prestataire

Demandez à chaque prestataire, y compris européen : comment puis-je récupérer mes données, dans quels formats, et pendant combien de temps après la résiliation puis-je encore y accéder ? Chez WebOké, par exemple, le guide Nextcloud explique comment transférer des données entre instances Nextcloud, et Nextcloud fonctionne avec des standards ouverts comme WebDAV, CalDAV et CardDAV, afin que vous puissiez aussi passer à un autre prestataire. D'autres prestataires proposent des fonctions d'export comparables ; vérifiez qu'elles fonctionnent sans l'aide du support.

Résumé

• La souveraineté numérique concerne la confidentialité, la disponibilité et le pouvoir de décision.
• Un compte peut être bloqué, par erreur, par un défaut de paiement ou par des sanctions ; l'affaire de la CPI (2025) montre que la politique entre en jeu.
• Les conditions et les prix peuvent changer unilatéralement ; tout concentrer chez un seul prestataire crée un risque de concentration.
• Le Data Act (applicable depuis le 12 septembre 2025) instaure des droits de portabilité ; les frais de changement disparaissent à partir du 12 janvier 2027.
• Évaluez probabilité et impact pour chaque élément et commencez là où le gain est le plus important.

Quiz

Exercice

Exercice A1.5 : Votre propre pondération des risques. Renseignez pour votre propre organisation, élément par élément (messagerie, agenda, contacts, fichiers, documents, messagerie instantanée, mots de passe, sauvegardes), le niveau de confidentialité, la gravité d'une indisponibilité et la difficulté de migration. Le programme vérifie que votre évaluation est complète et cohérente et classe les éléments dans un ordre.

Exercice E1.5 : Votre raisonnement en cinq phrases. Notez pourquoi votre organisation souhaite ou non (partiellement) changer, quels risques vous acceptez en connaissance de cause et quel est l'argument principal pour vos collègues.

Pour aller plus loin

Les étapes décrites dans ces articles valent pour les services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 1.1: Qu'est-ce que Nextcloud et qu'est-ce qu'un WebOké Nextcloud ?
• Guide Nextcloud 13.1: Se préparer : que transférer et dans quel ordre
• Guide Nextcloud 6.6: Sauvegardes chez WebOké : ce que nous conservons et ce que vous pouvez faire vous-même
• Règlement (UE) 2023/2854 (Data Act), chapitre VI, articles 23 à 31, sur EUR-Lex
• Directive (UE) 2022/2555 (NIS2), sur EUR-Lex