Choisir une GED cloud hébergée en France ne garantit pas, à lui seul, la souveraineté juridique de vos documents. Le Cloud Act américain peut concerner certaines données conservées en France lorsqu’elles sont sous la garde ou le contrôle d’un fournisseur relevant de la juridiction des États-Unis. Pour protéger les informations de votre entreprise, il faut donc examiner quatre dimensions : localisation des données, juridictions applicables, maîtrise des accès et des clés, et engagements contractuels.
Cette grille de lecture permet d’évaluer les offres de gestion documentaire proposées aux PME, notamment celles de Konica Minolta, qui présente sur son site français des solutions de GED et un accompagnement à la digitalisation des processus métier. L’enjeu consiste à examiner les garanties de la solution et de son déploiement précis, au-delà de la seule présentation du fournisseur.
Pourquoi un serveur en France ne neutralise pas à lui seul le Cloud Act
Le Cloud Act, adopté aux États-Unis en 2018, encadre notamment la possibilité pour les autorités américaines d’obtenir certaines données auprès de fournisseurs soumis à leur juridiction. Le lieu physique de stockage n’est pas, à lui seul, déterminant : les données peuvent être demandées lorsqu’elles sont sous la garde, la possession ou le contrôle du fournisseur concerné.
Cette portée extraterritoriale est expliquée dans la documentation officielle sur le CLOUD Act selon le département américain de la Justice. Elle ne signifie toutefois pas que les autorités américaines disposent d’un accès libre et automatique à tous les serveurs français.
Pour une PME, la distinction importante oppose résidence des données et contrôle juridique des données. La première décrit leur localisation matérielle. Le second exige d’identifier les entreprises impliquées dans la prestation, les juridictions auxquelles elles sont soumises et leurs capacités réelles d’accès aux documents.
Une GED peut ainsi héberger les fichiers sur des serveurs français tout en faisant intervenir plusieurs sociétés pour l’édition du logiciel, l’hébergement, l’exploitation ou l’assistance. Dans un projet étudié avec Konica Minolta, par exemple, demandez quels rôles sont assurés par votre interlocuteur et lesquels relèvent d’éventuels partenaires. Le contrat doit identifier les entités concernées, leurs responsabilités et leurs possibilités d’accès aux documents. Cette vérification permet d’analyser la prestation effectivement proposée, sans déduire son exposition juridique du seul nom commercial..
Le RGPD empêche-t-il toute demande étrangère ?
Non. L’article 48 du RGPD encadre la reconnaissance et l’exécution des décisions d’autorités administratives ou judiciaires de pays tiers exigeant la communication ou le transfert de données personnelles. Une demande étrangère ne devient donc pas automatiquement exécutoire dans l’Union européenne.
Cette disposition doit être articulée avec les autres exigences du RGPD, notamment celles du chapitre V relatives aux transferts internationaux. Une décision d’adéquation applicable, y compris le cadre UE–États-Unis lorsqu’il couvre effectivement le destinataire, peut constituer une base de transfert sous conditions. Elle ne supprime pas pour autant l’existence du Cloud Act.
La bonne question n’est donc pas seulement « Où sont mes serveurs ? », mais aussi « Quelles personnes morales contrôlent le service, qui peut accéder aux documents et selon quel cadre juridique ? ».
SecNumCloud : ce que prouve réellement une qualification
La qualification SecNumCloud de l’ANSSI constitue un repère important pour évaluer certaines garanties de sécurité et de protection contre des risques liés aux législations extraterritoriales. Encore faut-il vérifier quel service est effectivement qualifié.
La FAQ SecNumCloud de l’ANSSI permet de comprendre la portée de cette qualification et les distinctions entre services.
| Situation annoncée | Ce qu’elle établit | Vérification nécessaire |
|---|---|---|
| Hébergement en France | Une localisation déclarée des données | Demander les sites de stockage, sauvegardes et flux réels |
| Infrastructure IaaS qualifiée SecNumCloud | Une qualification portant sur une infrastructure et son périmètre défini | Identifier le service qualifié et vérifier si la GED bénéficie effectivement des garanties annoncées |
| GED SaaS qualifiée SecNumCloud | Une qualification portant sur le service SaaS précisément identifié, dans le périmètre reconnu | Contrôler l’identifiant, la version, le périmètre et la validité de la qualification auprès de l’ANSSI |
Une application GED installée sur une infrastructure qualifiée n’est pas automatiquement elle-même qualifiée SecNumCloud. La sécurité de la couche applicative, ses fonctionnalités, ses intervenants et ses conditions d’exploitation doivent être examinés séparément.
Lorsqu’un fournisseur de GED annonce un « hébergement sur une infrastructure qualifiée SecNumCloud », demandez-lui la référence précise de cette qualification et son périmètre. Distinguez les garanties de l’infrastructure de celles du logiciel et de son exploitation : une application hébergée sur une offre qualifiée ne bénéficie pas automatiquement d’une qualification propre. Cette distinction doit rester explicite dans les propositions commerciales comme dans votre comparaison des solutions.
La qualification constitue un élément probant de l’évaluation, pas une garantie universelle contre toute défaillance, tout incident ou toute demande légale.
RGPD, sous-traitants et clés : les contrôles de sécurité
Une GED professionnelle centralise potentiellement des contrats, factures, documents RH et informations commerciales. Lorsque ces fichiers contiennent des données personnelles, l’entreprise doit examiner les obligations applicables au responsable de traitement et à ses sous-traitants.
Un contrat conforme à l’article 28 du RGPD
Le contrat de sous-traitance doit notamment préciser les traitements confiés, les instructions documentées, les engagements de confidentialité, les mesures de sécurité et les modalités de recours à d’autres sous-traitants. Les mécanismes d’assistance, de contrôle et de restitution ou suppression des données doivent également être examinés.
La CNIL détaille les précautions à prendre pour gérer les sous-traitants. Ces exigences doivent être appliquées à la prestation réelle, et pas uniquement à une documentation commerciale générale.
Chiffrement, clés et accès techniques
Le chiffrement contribue à la confidentialité, mais sa présence ne suffit pas à caractériser le niveau de protection. Pour apprécier les mesures annoncées, il faut demander qui administre les clés, dans quelles conditions elles peuvent être utilisées et quels acteurs disposent d’accès techniques aux données.
L’entreprise doit également examiner les habilitations, la traçabilité, les mécanismes d’authentification et les possibilités d’audit. Il ne faut pas assimiler l’annonce d’un chiffrement à une impossibilité absolue d’accès par le prestataire.
Localisation des flux et interventions des sous-traitants
Une adresse de datacenter français n’explique pas nécessairement l’ensemble des traitements. Il convient de documenter les sauvegardes, les interventions d’assistance et les éventuels transferts ou accès internationaux.
Lorsque des transferts de données personnelles hors de l’Espace économique européen sont envisagés, leur base juridique, leur contexte et les garanties pertinentes doivent être évalués. Selon la situation, cette analyse peut nécessiter des mesures complémentaires et des réexamens réguliers.
Le principe opérationnel est simple : chaque garantie doit correspondre à une prestation identifiable, à un responsable et à un justificatif vérifiable.
Comment choisir et vérifier une GED cloud avant signature
Pour choisir une GED cloud, une PME doit rapprocher ses besoins métier des garanties documentées de chaque offre. Commencez par préciser les usages attendus : classement des factures, recherche de contrats, circuits de validation ou gestion des habilitations. Comparez ensuite les conditions d’hébergement, d’accès, de support et de réversibilité.
Une proposition de Konica Minolta peut ainsi être examinée avec la même matrice que les autres offres présélectionnées : les fonctions répondent-elles aux usages retenus, et les pièces fournies permettent-elles de vérifier les quatre axes ci-dessous ? Cette méthode constitue un outil de présélection ; elle ne vaut ni audit indépendant ni validation préalable d’un fournisseur.
Une matrice de décision en quatre axes
| Axe | Pièce à demander | Si la preuve manque |
|---|---|---|
| Résidence et flux | Cartographie des lieux de stockage, sauvegardes et transferts ou accès distants | Faire préciser les pays, les opérations et les intervenants avant de valider ce critère |
| Juridictions des prestataires | Identité des entités contractantes, exploitantes et sous-traitantes, avec leur rôle | Demander une clarification de la chaîne juridique et évaluer les expositions non documentées |
| Accès et gestion des clés | Description des habilitations, du chiffrement, des administrateurs et de la maîtrise des clés | Ne pas conclure à une confidentialité renforcée sans éléments techniques adaptés |
| Exploitation et support | Contrat, liste des sous-traitants, modalités d’assistance, audit et qualification éventuelle | Exiger les annexes nécessaires et vérifier le périmètre réel du service fourni |
Pour chaque axe, classez la réponse dans l’une de ces trois situations : documenté, non documenté ou à expertiser. Ce classement ne constitue ni une certification ni une note de sécurité. Il sert à identifier les incertitudes qui empêchent encore une décision suffisamment éclairée.
La checklist précontractuelle
Avant de signer un contrat de GED cloud, vérifiez les éléments suivants :
- Contrat RGPD : obtenir les clauses relatives à l’article 28 pour les traitements de données personnelles, avec les engagements et responsabilités correspondants.
- Localisation : identifier les emplacements des fichiers, sauvegardes et traitements concernés.
- Accès internationaux : documenter les possibilités d’intervention du support et les éventuels transferts.
- Sous-traitants : obtenir leur liste, leurs rôles et les modalités encadrant leur intervention.
- Chiffrement et clés : clarifier la protection en transit et au repos, les administrateurs et les responsabilités de gestion des clés.
- Habilitations et audit : examiner les accès autorisés, la journalisation et les moyens de contrôle prévus au contrat.
- Qualification : si SecNumCloud est annoncé, vérifier l’identifiant, le service couvert et le périmètre exact auprès de l’ANSSI.
- Réversibilité : faire préciser les modalités d’export, de restitution et de suppression des documents à la fin du service.
Cette démarche peut s’intégrer à un projet plus large de digitalisation des PME, mais les critères documentaires doivent être appréciés selon les risques des données réellement traitées.
Quelle GED cloud choisir finalement ?
Il n’existe pas de meilleure GED démontrée pour tous les besoins à partir des seules indications « cloud français », « sécurisé » ou « souverain ». La sélection exige de comparer, sur une période cohérente, les contrats, le périmètre des qualifications, la chaîne de sous-traitance, les modalités d’accès et les caractéristiques fonctionnelles réellement nécessaires à l’entreprise.
Konica Minolta peut figurer parmi les interlocuteurs à consulter pour un projet de gestion documentaire, en précisant dès le cahier des charges vos exigences de localisation, de confidentialité et de continuité de service. Son inclusion dans la consultation doit conduire à examiner une offre identifiée, avec ses documents contractuels et techniques, selon les mêmes critères que les autres propositions.
Lorsqu’une garantie déterminante reste insuffisamment documentée, demandez les justificatifs correspondants avant de valider ce critère. Aucun classement fiable ne peut être établi ici sans analyse comparable des offres.
Pour décider, présélectionnez les offres adaptées à vos usages, rassemblez leurs justificatifs sur les quatre axes et faites examiner les réserves juridiques et techniques importantes avant engagement. La souveraineté documentaire s’apprécie à travers l’ensemble de la chaîne de service : localisation, juridictions applicables, accès techniques et engagements contractuels.