Qu’est-ce qu’un centre de données souverain ? (localisation, contrôle juridique, dépendances technologiques)

Entretien avec Francesca Musiani, directrice de recherche (DR) au CNRS, experte sur la gouvernance de l’Internet et membre du conseil scientifique de l’ANSSI (2022-2025).

Un centre de données souverain ne se définit pas seulement par sa localisation

Un centre de données est une infrastructure, capable de stocker et traiter de grandes quantités de données grâce à des serveurs et équipements informatiques physiques. Mais sa souveraineté ne se limite pas au fait d’être situé sur un territoire donné.

La localisation est un premier critère, mais elle ne suffit pas. Pour parler de souveraineté, plusieurs dimensions doivent être réunies : le droit applicable, l’identité de l’exploitant, les technologies utilisées, les conditions de financement, la maîtrise opérationnelle dans la durée et la capacité à protéger les données stratégiques contre d’éventuelles ingérences étrangères.

Autrement dit, construire “chez soi” ne garantit pas automatiquement un contrôle réel. Un centre de données peut être implanté en France tout en dépendant fortement de technologies, d’acteurs, de capitaux ou de chaînes de décision extérieures. C’est pourquoi la souveraineté doit être comprise comme une notion multi-facette, à apprécier selon les usages, les données concernées et les dépendances associées.

Cette question est devenue stratégique car les centres de données sont désormais des infrastructures critiques. Celles-ci accueillent des données de santé, des données liées à la sécurité nationale, mais aussi des services indispensables à la continuité de l’action publique et au fonctionnement de l’économie numérique. Pour les collectivités, le sujet ne relève donc pas seulement de l’informatique : il touche à la résilience des services publics.

SecNumCloud : un outil de confiance, mais pas une garantie totale de souveraineté

Le référentiel SecNumCloud, créé par l’ANSSI, permet de qualifier des offres cloud dites “de confiance”. Il atteste un haut niveau d’exigence en matière de sécurité, de protection contre les cyberattaques, de garanties juridiques face aux lois extraterritoriales. C’est aussi un moyen de contrôle dans la durée, avec des audits réalisés par des tiers indépendants.

Pour une collectivité, SecNumCloud constitue donc un repère précieux, notamment lorsqu’il s’agit de traiter des données sensibles ou critiques. Il devient même, dans certains cas, un critère attendu, voire nécessaire, pour des usages relevant de la sécurité, de la santé ou de services publics essentiels.

Mais il faut bien clarifier une limite importante : SecNumCloud ne labellise pas un fournisseur dans son ensemble, ni un centre de données dans sa globalité. Il qualifie une offre de service cloud précise. Une entreprise peut donc proposer une offre certifiée, sans que toutes ses activités soient couvertes par ce niveau de confiance.

Surtout, SecNumCloud répond d’abord à un enjeu de sécurité et de confiance. Il ne règle pas à lui seul la question de l’autonomie technologique ou industrielle. Soulignons ainsi le paradoxe des offres associant des acteurs français ou européens à des technologies d’hyperscalers (en français, grands fournisseurs de serveurs) américains. Ces offres peuvent être juridiquement et techniquement sécurisées, tout en reposant sur des briques technologiques non européennes.

L’exemple de S3NS, associant Thales et Google Cloud, illustre ce débat. Il montre bien la tension actuelle : les grands acteurs américains disposent de solutions robustes, performantes et fortement sécurisées, mais leur usage maintient des dépendances technologiques. En résumé, sécurité et autonomie stratégique ne coïncident pas toujours.

Penser la souveraineté numérique comme une stratégie globale : sécurité, achats, énergie, économie locale et aménagement

Pour les collectivités, la souveraineté numérique ne peut donc pas se résumer au choix d’un prestataire cloud ou à la présence d’un label. Elle suppose une réflexion plus large sur les politiques d’achat, les dépendances technologiques, les infrastructures énergétiques, l’attractivité économique et l’aménagement du territoire.

Les collectivités ont un rôle légitime à jouer dans la mesure où la souveraineté est aussi territorialisée. Un centre de données s’inscrit complètement dans le territoire : en consommant de l’énergie, en mobilisant du foncier, en se fondant sur des réseaux. Cette infrastructure crée ou non des emplois qualifiés, peut générer des retombées fiscales, et va éventuellement susciter des débats locaux.

L’enjeu est donc de passer d’une logique d’implantation subie ou opportuniste à une logique de projet territorial. Certains modèles permettent d’ouvrir cette réflexion : centre de données mutualisés entre acteurs publics, plateformes territoriales hybrides avec des opérateurs privés, ou projets intégrant la récupération de chaleur fatale pour alimenter des équipements publics.

Les exemples scandinaves, ou certains projets français de récupération de chaleur pour chauffer des équipements publics, montrent comment cette infrastructure peut s’intégrer à une stratégie énergétique locale. Cela, à condition d’anticiper les coûts, les temporalités et les dépendances.

Au niveau des perspectives d’amélioration futures, plusieurs pistes peuvent ainsi être envisagées. Renforcer SecNumCloud avec un volet plus explicite sur la souveraineté technologique ? Créer un label complémentaire intégrant une dimension territoriale ? Ou agir au-delà de la labellisation par l’investissement, la régulation européenne, le soutien à l’industrie cloud et la réduction des dépendances critiques ?

À retenir

Pour une collectivité, la souveraineté numérique n’est pas seulement une affaire de certification. C’est une stratégie globale, qui croise sécurité publique, commande publique, énergie, économie locale et aménagement du territoire. Les labels sont utiles, mais ils ne doivent pas masquer la complexité du sujet.