Si vous arbitrez, pour un client ou pour votre propre organisation, le choix d’un hébergeur cloud, l’annonce publiée le 16 juillet 2026 par Scaleway vous concerne plus que vous ne le pensez. L’industriel Airbus a retenu le fournisseur français pour des services cloud de confiance destinés à ses activités de conception, d’ingénierie et de production. Le montant n’est pas communiqué. Ce qui est communiqué, en revanche, est un argumentaire que vos prestataires vont vous resservir dans les six prochains mois : infrastructure européenne, contrôle opérationnel, protection contre les législations extraterritoriales.
Voici ce que cet article vous donne tout de suite : ce que ce contrat prouve réellement, ce qu’il ne prouve pas, et les sept preuves documentaires à exiger d’un hébergeur qui se déclare souverain. Aucune de ces preuves ne coûte d’argent à demander. Toutes se rangent dans un dossier de conformité et se ressortent le jour d’un contrôle ou d’un incident.
Que dit vraiment l’annonce d’Airbus et de Scaleway ?
Le communiqué officiel de Scaleway du 16 juillet 2026 décrit un partenariat de cloud de confiance : hébergement en Europe, gouvernance opérationnelle européenne, capacités d’intelligence artificielle intégrées à un écosystème multi cloud déjà en place chez l’avionneur. La direction digitale d’Airbus présente l’opération comme une étape de son engagement en faveur de la souveraineté numérique européenne. Le dirigeant de Scaleway met en avant le rôle de l’IA dans les industries de pointe.
Trois observations de praticien s’imposent. D’abord, le mot retenu par les deux parties est « confiance », pas « qualifié » : le communiqué ne mentionne aucune qualification SecNumCloud ni aucune certification nommée sur le périmètre concerné. Ensuite, l’annonce précise que le cloud Scaleway s’ajoute à un écosystème multi cloud existant. Autrement dit, le fournisseur européen cohabite avec d’autres, il ne les remplace pas. Enfin, il s’agit ici de données industrielles et d’ingénierie, pas d’un traitement de données personnelles à grande échelle. La transposition à vos dossiers n’est donc pas automatique.
Cela ne retire rien à l’intérêt de l’annonce. Un donneur d’ordre de cette taille qui contractualise avec un acteur européen fait bouger tout un marché, et vos directions générales vont le lire. Le risque, pour vous, est ailleurs : que ce signal serve de justification rapide à un choix qui n’a pas été instruit.
Pourquoi le mot souverain ne veut rien dire tant qu’il n’est pas prouvé ?
« Souverain » n’est pas une catégorie du RGPD. Le règlement ne connaît que des obligations : des mesures de sécurité appropriées au titre de l’article 32, un encadrement contractuel de la sous-traitance au titre de l’article 28, et un régime de transfert hors Union au titre du chapitre V. Un hébergeur peut être français, sympathique et bien noté, et rester non conforme sur l’un de ces trois axes. Un hébergeur peut aussi héberger en France tout en étant contrôlé par une société mère soumise à une législation extraterritoriale.
C’est exactement ce que vise la qualification SecNumCloud de l’ANSSI, dont l’objectif affiché est de protéger les données et traitements sensibles face à la menace cybercriminelle et à « l’application de lois extraterritoriales » (voir la page officielle de l’ANSSI sur SecNumCloud). La qualification examine l’immunité au droit non européen, la localisation des données, la localisation du support et de l’administration technique, la structure capitalistique. Ces critères ne se devinent pas dans une plaquette commerciale.
Rappelons le point de départ réglementaire : l’arrêt de la Cour de justice de l’Union européenne du 16 juillet 2020, dit Schrems II (affaire C-311/18), a invalidé le Privacy Shield et imposé au responsable de traitement d’évaluer, transfert par transfert, si le droit du pays de destination permet réellement de respecter les garanties annoncées. Le Data Privacy Framework adopté en 2023 a rétabli une base d’adéquation avec les États-Unis, mais il ne dispense d’aucune analyse : il change la base légale, pas le raisonnement. Nous avons détaillé cette mécanique dans notre article sur le Data Privacy Framework et la vérification de vos transferts.
Quelles preuves demander concrètement à un hébergeur ?
Voici la grille que nous utilisons en mission. À gauche, l’argument commercial que vous allez entendre. À droite, la pièce à réclamer, celle qui se classe et qui se date.
| Argument entendu | Preuve à exiger |
| « Nos données sont hébergées en France » | La liste nominative des centres de données, par service souscrit, annexée au contrat |
| « Nous sommes un acteur souverain » | L’actionnariat de la maison mère et le pays de constitution des entités qui accèdent aux données |
| « Nos équipes sont européennes » | La localisation des équipes d’administration, de support niveau 3 et d’astreinte, y compris chez les sous-traitants |
| « Nous sommes certifiés » | Le certificat lui-même, avec son périmètre exact et sa date d’expiration, pas le logo |
| « Vos données sont chiffrées » | Qui détient les clés, où elles sont stockées, et si le client peut les gérer lui-même |
| « Nous ne transférons pas hors Union » | La liste des sous-traitants ultérieurs, avec pays et finalité, et le mécanisme de notification des changements |
| « Nous répondons aux réquisitions dans le respect du droit » | La politique de gestion des demandes d’autorités étrangères et l’engagement d’information du client |
Ces sept pièces forment un dossier autoportant. Si un fournisseur en produit cinq sur sept sans difficulté, vous avez affaire à un acteur mature. S’il vous renvoie une page marketing pour les sept, vous avez votre réponse, et surtout vous avez une trace écrite de la demande.
Comment articuler tout cela avec l’article 28 du RGPD ?
La souveraineté annoncée ne remplace jamais le contrat. L’article 28 impose un acte contractuel contenant l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées, ainsi que des engagements précis : instructions documentées, confidentialité du personnel, sécurité, assistance sur les droits des personnes, sort des données en fin de contrat, mise à disposition des informations nécessaires aux audits. Notre guide pratique de l’article 28 reprend chacune de ces clauses.
Deux clauses méritent une attention particulière quand le discours porte sur la souveraineté. La première est celle du recrutement des sous-traitants ultérieurs : une autorisation générale sans obligation de notification préalable vide de sens toute promesse de localisation, puisque la chaîne peut changer sans que vous le sachiez. La seconde est la clause de réversibilité : format d’export, délai, coût, preuve de suppression. Un hébergeur dont on ne peut pas sortir en moins de quelques semaines crée une dépendance qui pèsera plus lourd, le jour venu, que le pays de son siège social.
Sur le régime des transferts, la démarche reste celle de l’analyse d’impact du transfert. Si une entité hors Union peut accéder aux données, même pour de la maintenance ponctuelle, il y a transfert, et il faut le documenter. La méthode complète figure dans notre article sur le transfer impact assessment.
Que faire lundi matin sur un dossier en cours ?
La bonne nouvelle est que ce travail se fait par lots, et qu’il produit des livrables réutilisables d’un client à l’autre. Voici la séquence que nous recommandons.
- Extraire du registre les traitements dont l’hébergement est externalisé, et les trier par sensibilité, pas par taille.
- Pour les trois traitements les plus sensibles, demander par écrit les sept preuves du tableau ci-dessus, avec une date de réponse attendue.
- Vérifier dans chaque contrat la clause de sous-traitance ultérieure et la clause de réversibilité, et noter celles qui sont muettes.
- Vérifier que la liste des sous-traitants ultérieurs publiée par le fournisseur est datée et qu’un mécanisme d’alerte existe en cas de modification.
- Consigner les réponses, les non-réponses et les dates dans le dossier du traitement concerné.
- Présenter en comité de direction non pas une opinion sur la souveraineté, mais un tableau de trois lignes : ce qui est prouvé, ce qui est déclaré, ce qui est inconnu.
Cette dernière ligne est celle qui déclenche les décisions. Une direction générale n’arbitre pas sur un principe, elle arbitre sur un écart documenté. Nos repères sur le choix d’un prestataire figurent dans l’article RGPD et cloud computing : choisir un hébergeur conforme.
Comment tenir ce suivi dans la durée sans y passer ses journées ?
Le vrai sujet n’est pas de produire ce dossier une fois. Il est de le tenir à jour quand le fournisseur ajoute un sous-traitant, quand un certificat expire, quand une offre change de région d’hébergement. Un fichier tableur y arrive quelques mois, puis les dates de renouvellement passent inaperçues et le dossier redevient déclaratif. Les DPO qui outillent ce suivi obtiennent un avantage simple : le jour où une autorité, un assureur ou un client grand compte pose la question, la réponse est déjà datée et opposable.
C’est précisément ce que DPO SUITE automatise : chaque sous-traitant porte ses preuves, ses certificats et leurs échéances, et les alertes remontent avant expiration. Le registre, les traitements et les analyses d’impact restent reliés à ces pièces. Vous ne reconstruisez pas le dossier, vous l’ouvrez.
Le contrat Airbus n’est ni une garantie ni un label. C’est un signal de marché utile, à condition d’en faire une occasion de rouvrir vos dossiers d’hébergement plutôt qu’un argument pour les refermer. Si vous devez ne retenir qu’une chose : demandez les sept preuves cette semaine, sur vos trois traitements les plus sensibles, et gardez la trace de ce qu’on vous répond.
