« Hébergement souverain » apparaît de plus en plus fréquemment dans les cahiers des charges de marchés publics portés par des mairies ou des collectivités territoriales, sans que le terme soit toujours défini précisément par la personne qui rédige le marché. Pour une agence qui répond à ce type d’appel d’offres, la première tâche consiste souvent à traduire cette exigence en clauses techniques concrètes et vérifiables, faute de quoi la réponse au marché reste vague et fragile face à un concurrent mieux préparé.
La rédaction du marché lui-même ne relève pas de ce qui suit : il s’agit ici uniquement de la traduction technique de l’exigence de souveraineté en critères d’hébergement objectivement contrôlables, une fois le marché déjà rédigé par la collectivité.
Deux notions à ne pas confondre
La souveraineté d’un hébergement se joue sur deux plans distincts, souvent confondus dans les discussions commerciales : la localisation physique des données d’une part, et le droit applicable à l’entité qui héberge d’autre part. Un hébergeur dont les serveurs sont physiquement situés en France mais dont la maison mère est soumise au droit d’un pays tiers peut, selon la législation de ce pays, être contraint de transmettre des données sur simple demande d’une autorité étrangère, indépendamment de la localisation physique des serveurs.
Une collectivité qui exige un hébergement souverain doit donc vérifier les deux critères séparément : où sont les données, et qui peut légalement y accéder en dehors du cadre contractuel signé.
Les clauses techniques à faire figurer dans la réponse au marché
- Localisation précise et vérifiable des data centers hébergeant les données de la collectivité, avec adresse
- Nationalité et implantation juridique de l’entité mère de l’hébergeur, pas seulement de sa filiale locale
- Clause de réversibilité chiffrée : délai maximal de restitution des données, format d’export garanti, coût éventuel plafonné contractuellement
- Engagement écrit sur l’absence de transfert de données hors du périmètre déclaré, y compris pour les sauvegardes
- Traçabilité des accès administrateurs, avec identification nominative des personnes habilitées
La réversibilité, souvent sous-estimée
Beaucoup de réponses à marché mentionnent une clause de réversibilité de façon générique, sans en chiffrer les termes concrets. Une clause utile pour la collectivité doit préciser un délai maximal (par exemple trente jours calendaires), un format d’export standard et exploitable sans dépendre d’un outil propriétaire de l’hébergeur, et l’absence de facturation additionnelle pour cette opération au-delà de ce qui est déjà prévu au contrat initial.
Une clause de réversibilité non chiffrée ne protège personne : « les données seront restituées dans un délai raisonnable » n’a aucune valeur contractuelle opposable en cas de litige avec l’hébergeur.
Vérifier le droit applicable, pas seulement la localisation
La question à poser directement à l’hébergeur pressenti porte sur le siège social de l’entité juridique responsable du contrat, et non uniquement sur la localisation de l’infrastructure technique. Un hébergeur français filiale d’un groupe international reste, selon les montages juridiques, potentiellement soumis à des obligations extraterritoriales qui contredisent l’esprit d’un marché exigeant la souveraineté.
Cette vérification demande parfois de solliciter les mentions légales complètes de l’hébergeur et, dans les cas les plus sensibles, un avis juridique dédié plutôt qu’une simple déclaration commerciale de conformité.
Traduire tout cela en réponse technique au marché
Dans la réponse elle-même, il est recommandé de présenter ces éléments sous forme de tableau synthétique reprenant chaque exigence de souveraineté du cahier des charges, avec en face la preuve technique ou contractuelle apportée par l’hébergeur choisi. Une réponse qui documente précisément chaque point plutôt que d’affirmer une conformité générale se distingue nettement lors de l’analyse des offres par la collectivité.
En résumé
Traduire une exigence de souveraineté en clauses techniques vérifiables demande de distinguer localisation physique des données et droit applicable à l’entité hébergeuse, deux critères trop souvent confondus dans les réponses commerciales génériques. Une clause de réversibilité chiffrée, une traçabilité nominative des accès et une vérification du droit applicable à l’entité mère de l’hébergeur forment le socle d’une réponse solide face à ce type de marché public.
