Où se trouve un site : localisation des serveurs, RGPD et les limites de l'argument européen

« Nos données sont à Francfort » — des phrases de ce genre apparaissent de plus en plus souvent dans les offres des prestataires web. Mais que signifie réellement l'emplacement d'un centre de données : pour la vitesse d'un site, pour la protection des données, pour la sécurité juridique ? Et où s'arrête l'effet apaisant du mot « serveur européen » ? Une mise en perspective pour les entreprises qui veulent comprendre ce qu'elles achètent au juste.

Transparence : ce texte paraît en tant que publicité et provient de l'entourage de BitBau, à Osnabrück (en allemand), une agence web qui exploite les projets de ses clients sur une infrastructure située à Francfort. Le texte n'est pas un conseil juridique — il doit expliquer les liens techniques et juridiques de sorte que l'on puisse poser les bonnes questions à son propre prestataire.

D'abord la technique. Hébergement signifie : quelque part se trouve un ordinateur qui livre le site dès que quelqu'un l'appelle. Entre cet ordinateur et le visiteur s'interposent de la fibre optique, des nœuds de commutation — et la physique. Les données voyagent vite, mais pas infiniment vite, et chaque requête fait plusieurs allers-retours entre le navigateur et le serveur. Plus le serveur est éloigné, plus ces trajets s'additionnent de façon perceptible.

Pour un public en Allemagne, en Autriche et en Suisse, Francfort n'est donc pas un choix fortuit : la ville abrite l'un des principaux nœuds Internet d'Europe, c'est là que les lignes convergent. Une page hébergée à Francfort répond tout simplement plus vite aux visiteurs de l'espace germanophone que la même page depuis la côte est américaine. La différence se situe dans l'ordre du dixième de seconde — ce qui paraît anodin, mais qui contribue à décider de la lenteur ressentie, des taux de rebond et de l'évaluation par les moteurs de recherche.

Les plateformes d'hébergement modernes relativisent en partie la distance en répartissant des copies du site sur des serveurs dans le monde entier. Pour la simple livraison de pages, cela fonctionne bien. Mais dès que des requêtes individuelles sont traitées — un formulaire, une connexion, une réservation —, la requête doit aller là où le traitement proprement dit a lieu. Et nous voilà au deuxième sujet, plus lourd : où les données sont-elles traitées, et selon quel droit ?

Avant de pouvoir répondre à cette question, il vaut la peine de regarder ce que « le site » englobe au sens technique. Car la présence en ligne comprend plus que le serveur web : une base de données, dans laquelle se trouvent les contenus et les saisies de formulaire ; des copies de sauvegarde, qui peuvent être stockées ailleurs que l'original ; des fichiers journaux, qui consignent qui a appelé quoi et quand ; le service qui transmet les saisies de formulaire sous forme de courriel ; peut-être un outil de supervision des erreurs. Chacun de ces composants peut tourner chez un autre fournisseur, dans une autre région du monde — et sur chacun la question de l'emplacement peut être posée séparément. Ce n'est donc pas une question unique, mais un petit inventaire de sa propre présence en ligne.

Car un site web sans données à caractère personnel n'existe pratiquement pas. Le simple appel d'une page transmet déjà l'adresse IP du visiteur, qui selon la conception européenne est considérée comme à caractère personnel ; s'y ajoutent les journaux du serveur, les saisies de formulaire, les cookies, les services intégrés. Le règlement général sur la protection des données en fait porter la responsabilité à l'exploitant du site — non à l'hébergeur. Le prestataire traite juridiquement les données pour son compte, ce qui est consigné dans un contrat de sous-traitance.

Ce contrat n'est pas une formalité, mais le document central de la relation entre l'exploitant et le prestataire. Il règle habituellement quelles données sont traitées à quelle fin, le fait que le prestataire n'agit que sur instruction, quels sous-traitants ultérieurs il peut employer, comment les données sont effacées à la fin du contrat et comment il assiste l'exploitant lorsque des personnes concernées demandent l'accès ou l'effacement. Les grandes plateformes mettent de tels contrats à disposition de façon standardisée — mais tout n'est pas réglé d'un clic : l'exploitant devrait effectivement récupérer le document, l'archiver et savoir ce qu'il contient. Car en cas de doute, c'est lui-même qui doit pouvoir prouver que le traitement a été convenu en bonne et due forme.

Cela se complique dès que les données quittent l'UE. Le RGPD n'autorise les transferts vers des pays tiers que sous des conditions particulières, et aucun pays tiers ne fait l'objet d'une lutte aussi intense que les États-Unis. À deux reprises déjà, la Cour de justice de l'Union européenne a invalidé des accords censés sécuriser le trafic de données à travers l'Atlantique — en dernier lieu en 2020, dans la décision connue sous le nom de « Schrems II ». Depuis 2023, le cadre de protection des données UE-États-Unis constitue la troisième tentative : les entreprises américaines qui s'y certifient sont considérées comme des destinataires licites.

L'honnêteté commande d'ajouter : cette troisième tentative est elle aussi attaquée en justice, et personne ne peut garantir qu'elle tiendra durablement. Pour les entreprises, cela ne signifie pas la panique, mais la prévoyance. Les contrats avec les prestataires devraient prévoir, à côté du cadre, les classiques clauses contractuelles types, afin qu'en cas de nouvelle invalidation la base juridique ne disparaisse pas du jour au lendemain. Qui achète aujourd'hui de l'infrastructure achète avec elle la question de la résistance aux crises de son fondement juridique.

À ce stade, beaucoup d'entreprises se posent la question de fond : fournisseur européen ou plateforme américaine avec un site européen ? Les deux sont défendables, et les deux ont leur prix. Un hébergeur établi en Allemagne ou dans l'UE simplifie sensiblement la situation juridique — en contrepartie, davantage de travail d'exploitation revient au prestataire ou à l'entreprise elle-même : les mises à jour, la montée en charge et les processus de publication veulent être organisés, et l'intégration technique des frameworks modernes n'est pas toujours aussi étroite que chez les plateformes spécialisées. Les grands fournisseurs américains déchargent précisément de ce travail, mais apportent avec eux les questions de transfert décrites. Ce qui importe est moins la réponse que choisit une entreprise que le fait qu'elle fasse ce choix sciemment, qu'elle consigne l'arbitrage — et qu'elle puisse le justifier si on le lui demande.

Sur cet arrière-plan, il devient clair ce qu'apporte un site de serveur dans l'UE — et ce qu'il n'apporte pas. Il fait en sorte que le traitement courant ait lieu physiquement en Europe, raccourcit les trajets et simplifie considérablement l'argumentation en matière de protection des données. Mais il ne fait pas d'un fournisseur américain une entreprise européenne : si une société mère américaine exploite la plateforme, des questions demeurent — par exemple celle, très discutée, de savoir si les autorités américaines peuvent, dans certaines circonstances, exiger la communication de données physiquement situées en Europe. Ce débat juridique n'est pas clos. Le sérieux consiste à le nommer, au lieu de l'écarter d'un sourire.

Comment gérer cela en pratique ? Cela se montre à l'exemple de l'agence derrière ce texte. BitBau exploite les projets de ses clients sur l'infrastructure de Vercel au site de Francfort. L'arbitrage sous-jacent est typique de beaucoup de projets numériques : la plateforme est techniquement taillée au plus près du framework employé et décharge l'exploitant d'une grande part du travail d'exploitation ; le site de Francfort maintient la latence et le traitement courant des données dans l'espace européen. Dans le même temps, Vercel est une entreprise américaine — raison pour laquelle le contrat de sous-traitance, la certification au titre du cadre de protection des données et les clauses contractuelles types relèvent du programme obligatoire, non du supplément facultatif. Un site dans l'UE ne remplace pas ces devoirs ; il les complète.

Cette honnêteté distingue un conseil solide d'une tromperie sur l'étiquette. « Serveur en Allemagne » est un argument, non un blanc-seing : un site peut être hébergé à Francfort et avoir malgré tout des problèmes de protection des données — par exemple s'il charge des polices, des vidéos ou des outils d'analyse depuis des serveurs tiers qui transmettent les données des visiteurs aux quatre coins du monde. Des tribunaux allemands ont déjà sanctionné le fait que la seule intégration de polices chargées depuis des serveurs américains transmet sans le demander l'adresse IP des visiteurs. La chaîne vaut ce que vaut son maillon le plus faible.

C'est pourquoi il vaut la peine de regarder l'ensemble du site, et pas seulement l'hébergeur. Quels services tiers sont intégrés — services cartographiques, polices, vidéos, statistiques ? Les polices peuvent-elles être livrées localement depuis son propre serveur plutôt que depuis des serveurs étrangers ? A-t-on vraiment besoin de l'outil d'analyse externe, ou une alternative sobre en données suffit-elle ? De telles questions décident en pratique plus souvent de la qualité d'un site en matière de protection des données que le choix du centre de données.

Au soin appartient enfin le fait que l'état des papiers suive la réalité. Si l'hébergeur change, si un outil d'analyse s'ajoute ou si un service disparaît, la politique de confidentialité doit le refléter — une politique qui énumère des services depuis longtemps désactivés, ou qui tait les nouveaux, est plus qu'un défaut esthétique. Il en va de même pour la documentation interne des traitements, qui devrait être au même niveau que le site lui-même. Ce n'est pas une tâche de projet ponctuelle pour la mise en ligne, mais un entretien courant — et en même temps une bonne occasion de remettre une fois par an fondamentalement en question l'inventaire des services tiers : de tout cela, qu'est-ce qui sert encore, et qu'est-ce qui ne tourne que parce que personne ne l'a jamais retiré ?

Pour l'entretien avec son propre prestataire, un court catalogue suffit alors. Existe-t-il un contrat de sous-traitance, et l'entreprise l'a-t-elle effectivement en sa possession ? Dans quelle région le site, la base de données et les copies de sauvegarde sont-ils traités — et est-ce fixé contractuellement ou seulement par un réglage par défaut ? Quels sous-traitants sont impliqués, et où sont-ils établis ? Sur quelle base juridique s'appuient les transferts vers des pays tiers ? Et enfin : qui prévient dans quel délai lorsque quelque chose tourne mal ?

Qui obtient des réponses claires à ces questions travaille avec un prestataire qui prend son métier au sérieux. Des réponses évasives — « c'est l'hébergeur qui s'en occupe », « tout cela est certifié » — sont en revanche un signal d'alarme, car le responsable reste au bout du compte l'exploitant du site lui-même. La protection des données se délègue comme la comptabilité : on peut mandater des spécialistes, mais on ne peut pas céder la responsabilité.

Cela vaut d'ailleurs indépendamment de la taille du projet. Qui exploite son site avec un constructeur en ligne a lui aussi un hébergeur — il ne l'a simplement pas choisi sciemment, parce qu'il est compris dans le forfait. Les questions restent les mêmes : où le fournisseur traite-t-il les données, existe-t-il un contrat de sous-traitance, quels sous-traitants ultérieurs sont impliqués ? La seule différence est que les réponses figurent dans les documents contractuels du fournisseur du constructeur plutôt que dans un contrat négocié individuellement. Il faut les lire dans les deux cas — la responsabilité de l'exploitant ne rétrécit pas avec le prix mensuel.

Reste la question de départ : l'emplacement compte-t-il ? Oui — et même triplement. Techniquement, parce que la proximité signifie la vitesse et que la vitesse décide de l'usage. Juridiquement, parce qu'un traitement dans l'espace juridique européen simplifie l'argumentation et réduit la dépendance à des accords transatlantiques fragiles. Et comme signal, parce qu'un prestataire qui parle ouvertement des emplacements, des contrats et des cas limites travaille probablement proprement par ailleurs. Une seule chose que l'emplacement n'est jamais : un substitut à ses propres devoirs — un usage sobre des services tiers, des contrats propres et une politique de confidentialité qui décrit ce qui se passe réellement.