Souveraineté numérique : pourquoi elle ne se décrète pas après coup

Pendant longtemps, la question de savoir où vivent les données d’une université ou d’une collectivité est restée secondaire face à la question du service rendu. Ce n’est plus le cas.

Le RGPD a posé en 2018 un cadre européen protecteur pour les données personnelles. Mais deux ans plus tôt, les États-Unis avaient adopté le Cloud Act, qui autorise leurs autorités à demander l’accès aux données détenues par une entreprise américaine, même si ces données sont physiquement hébergées en Europe. En 2020, l’arrêt Schrems II de la Cour de justice de l’Union européenne est venu confirmer que ce type de transfert posait un problème juridique réel, en invalidant l’accord qui encadrait jusque-là les transferts de données entre l’UE et les États-Unis.

Pour une université, une mairie ou un hôpital, la conséquence est concrète : choisir un outil, même européen sur le papier, sans regarder qui héberge réellement les données et sous quel droit, revient à déplacer un risque juridique et politique vers plus tard — au moment d’un audit, d’une délibération ou d’un contrôle de la CNIL.

Définition

La souveraineté numérique, de quoi parle-t-on vraiment ?

La souveraineté numérique désigne la capacité d’une organisation à garder la maîtrise de ses données, de son code et de ses choix technologiques, sans dépendre d’un droit étranger ou d’un fournisseur unique pour continuer à fonctionner. Elle repose en pratique sur trois piliers : le droit applicable à l’hébergeur, la localisation réelle des serveurs, et la réversibilité — la possibilité de récupérer ses données et de changer de solution sans perte.

En France, cette exigence est aujourd’hui portée par plusieurs initiatives complémentaires : la qualification SecNumCloud portée par l’ANSSI pour les prestataires de cloud, et le projet européen Gaia-X, qui vise à construire une infrastructure de données interopérable et conforme au droit européen. Deux repères utiles pour comparer les solutions :

Notre approche

Comment ownMap a intégré la souveraineté dès la conception

ownMap a été fondé en France, pour des clients français — universités, collectivités, établissements publics — qui n’ont pas le luxe de traiter la conformité comme un sujet secondaire. Concrètement, cela s’est traduit par cinq décisions structurantes :

Sur le terrain

Pourquoi cela compte concrètement pour les universités et les collectivités

Une mairie ou une collectivité qui déploie un plan interactif pour ses administrés engage sa responsabilité sur la protection des données de navigation collectées. Une université qui expose un plan de campus à ses étudiants — parfois couplé à des données d’emploi du temps via ADE ou Hyperplanning — manipule des données qui, mises bout à bout, dessinent des habitudes de vie précises. Dans les deux cas, la question « qui peut accéder à ces données, et sous quel droit » n’est pas académique : elle conditionne la délibération d’un conseil municipal ou l’avis d’un DPO universitaire.

C’est aussi vrai au-delà de ces deux secteurs historiques d’ownMap : hôpitaux, centres commerciaux, sites de salons et événements manipulent eux aussi des flux de visiteurs qui gagnent à rester sous droit français. Et parce que la navigation accessible (PMR, guidage vocal) repose souvent sur des données de localisation fines, le sujet de la souveraineté et celui de l’accessibilité se recoupent plus qu’on ne le pense.