Pour une mairie, le choix d’un hébergement ne concerne pas seulement l’emplacement des serveurs. Il engage la protection des données des habitants, la continuité des services publics numériques et la capacité de la collectivité territoriale à comprendre qui peut accéder à ses informations.
Un site communal peut contenir des données de contact, des formulaires et des journaux de connexion, tandis que certains services traitent aussi des informations sensibles. Avant de comparer les offres, il faut donc examiner la juridiction, les sous-traitants, les mesures de sécurité et les modalités de reprise.
A retenir : hébergement souverain d’un site communal
- Localisation contractuelle des données et transparence sur les sous-traitants
- Juridiction applicable, contrôle opérationnel et accès administrateur documentés
- Sauvegardes testées et continuité des services publics numériques
- Conformité RGPD adaptée aux données réellement collectées
Choisir un hébergement souverain pour le site de la commune
Ces critères prennent tout leur sens lorsqu’on distingue la localisation physique des données du contrôle juridique exercé sur le prestataire. Une commune doit examiner les deux, plutôt que de considérer la mention « hébergement en France » comme une garantie complète.
Localisation des données et souveraineté numérique
Un site communal peut être hébergé dans un centre de données français sans que son opérateur soit nécessairement indépendant d’une société étrangère. Il faut donc vérifier le siège, la structure de contrôle, les équipes d’administration, les sous-traitants et les pays où les données peuvent être consultées.
Selon la CNIL, le RGPD encadre les traitements de données personnelles et les transferts hors de l’Espace économique européen. Il n’impose pas, à lui seul, que toutes les données d’une mairie soient hébergées en France ; la collectivité doit néanmoins déterminer les risques et les garanties applicables à son service.
Un hébergement souverain peut réduire certaines dépendances juridiques et opérationnelles, mais le terme n’est pas une certification universelle. Dans l’appel d’offres, la commune gagnera à demander des engagements précis, vérifiables et inscrits au contrat.
Les vérifications contractuelles essentielles :
- Pays d’hébergement principal et lieux des sauvegardes
- Identité des sous-traitants et fonctions qui leur sont confiées
- Conditions d’accès aux données pour l’assistance technique
- Procédure de restitution et d’effacement à la fin du contrat
Comparer un cloud souverain et une offre internationale
La comparaison doit porter sur les garanties réelles, et non sur une opposition simpliste entre offres françaises et étrangères. Selon la CNIL, le responsable de traitement demeure tenu de choisir des garanties adaptées, même lorsqu’il fait appel à un prestataire.
| Critère | Questions à poser | Élément à vérifier |
|---|---|---|
| Localisation | Où se trouvent les données et leurs copies ? | Contrat et documentation technique |
| Juridiction | Quelles entités contrôlent le prestataire ? | Structure juridique et engagements |
| Accès | Qui administre les serveurs et comment ? | Habilitations et journaux d’accès |
| Réversibilité | Comment récupérer les données en sortie ? | Délais, formats et frais prévus |
Protection des données et sécurité informatique municipale
Une fois l’offre mieux définie, la commune doit vérifier que l’hébergement correspond aux données et aux usages de son site. Un formulaire d’état civil, une newsletter et un portail de démarches n’appellent pas tous les mêmes mesures de protection.
RGPD, données collectées et obligations sectorielles
La mairie doit recenser les informations recueillies, leur finalité, leur durée de conservation et les personnes qui y accèdent. Selon la CNIL, la minimisation des données et la limitation des accès font partie des principes à intégrer dans la gestion des traitements.
La certification HDS concerne l’hébergement de données de santé dans les situations prévues par la réglementation française. Elle ne constitue pas une obligation générale pour tout site communal ; une mairie qui propose un service de santé ou héberge de telles données doit examiner ce cadre avec ses responsables compétents.
La sécurité informatique dépend aussi des comptes administrateurs, des mises à jour, de l’authentification et de la surveillance. Le fournisseur peut contribuer à ces protections, mais la commune conserve des responsabilités concernant la configuration de son site et les droits de ses agents.
Les mesures à inclure dans le cahier des charges :
- Chiffrement des échanges et gestion rigoureuse des comptes privilégiés
- Journalisation des accès et procédure de traitement des incidents
- Calendrier de mises à jour et responsabilités clairement réparties
- Durées de conservation adaptées aux formulaires du site communal
Continuité des services et sauvegardes
Un site inaccessible peut empêcher les habitants de consulter les horaires, les alertes ou les démarches en ligne. Selon l’ANSSI, la préparation à la reprise doit s’appuyer sur des mesures adaptées aux risques et testées, plutôt que sur la seule existence d’une copie de sauvegarde.
La commune peut demander où sont conservées les sauvegardes, à quelle fréquence elles sont réalisées et combien de temps leur restauration prend. La règle dite 3-2-1-1-0, lorsqu’elle est retenue, désigne une stratégie de copies multiples, de supports distincts et de vérification des restaurations ; elle ne remplace pas un plan de reprise documenté.
| Élément | Question opérationnelle | Preuve attendue |
|---|---|---|
| Sauvegardes | Quand la dernière restauration a-t-elle été testée ? | Compte rendu de test |
| Disponibilité | Quels délais d’intervention prévoit le contrat ? | Engagement de service |
| Incidents | Qui contacte la commune et dans quel délai ? | Procédure d’escalade |
| Reprise | Quel service redémarre en priorité ? | Plan de reprise documenté |
Évaluer un prestataire d’hébergement en France
La continuité dépend enfin d’un pilotage clair entre la mairie, l’agence qui gère le site et l’hébergeur. Une offre moins chère peut devenir coûteuse si les responsabilités se chevauchent ou si la récupération des données reste floue.
Contrat, accompagnement et coûts sur la durée
Le devis doit distinguer l’hébergement, l’assistance, les sauvegardes, la supervision et les interventions exceptionnelles. Une infrastructure modulaire peut éviter un investissement matériel initial, mais la commune doit comparer le coût total et les conditions de facturation sur toute la durée du marché.
Selon l’Agence nationale de la sécurité des systèmes d’information, les mesures de sécurité doivent être adaptées aux risques et intégrées à l’administration des systèmes. Dans la pratique, un interlocuteur identifié facilite le suivi des incidents, sans dispenser la collectivité de vérifier les niveaux de service annoncés.
La grille de décision peut être adaptée aux besoins du territoire :
- Adéquation du service avec les données et les démarches proposées
- Transparence sur les équipes, les sous-traitants et les lieux d’accès
- Coût complet, réversibilité et assistance pendant toute la durée du contrat
- Capacité à fournir des preuves de sauvegarde et de supervision
Mettre en concurrence sans négliger l’usage des habitants
Dans une petite commune, le site sert souvent de premier point d’accès aux informations pratiques. Le choix d’un hébergement fiable doit donc préserver les mises à jour, l’accessibilité des contenus et la disponibilité des démarches, y compris lorsque l’équipe municipale est réduite.
Un retour d’expérience fourni par un directeur des systèmes d’information d’un centre hospitalier indique qu’une migration complète vers une infrastructure certifiée HDS a été menée en moins de trois mois. Ce témoignage concerne un établissement de santé et ne constitue pas une durée de référence pour une mairie ; il illustre plutôt l’importance du cadrage et d’un interlocuteur responsable du suivi.
Pour avancer, la commune peut commencer par inventorier ses données, ses services et ses prestataires, puis demander des réponses écrites sur les points de contrôle. Cette démarche rend l’arbitrage plus lisible et permet de choisir un hébergement cohérent avec les besoins locaux.
Sources : CNIL, « Guide de la sécurité des données personnelles » ; ANSSI, recommandations relatives à la sécurisation des systèmes d’information ; Agence du Numérique en Santé, documentation sur la certification HDS.
