Centres de données
Les centres de données concentrent les infrastructures qui permettent de stocker, traiter et exploiter les données des entreprises, des administrations et des citoyens.
Leur localisation géographique est importante, mais elle ne suffit pas à garantir la souveraineté.
Il faut également considérer :
Un centre de données situé en Europe mais exploité par une entreprise soumise à une législation extraterritoriale peut ainsi maintenir certaines dépendances juridiques et stratégiques.
L'exemple le plus connu est le Cloud Act américain : il permet aux autorités des États-Unis d'exiger d'un fournisseur américain l'accès à des données, même hébergées dans un centre de données situé en Europe. Le lieu du bâtiment ne protège donc pas, à lui seul, les données qu'il abrite.
La souveraineté d'un centre de données s'évalue, elle ne se décrète pas.
Cette évaluation croise plusieurs dimensions :
C'est précisément l'objet de la grille d'évaluation proposée dans ce dossier : passer chaque centre de données au crible de ces dimensions pour mesurer, point par point, le niveau de maîtrise réel.
Les centres de données sont la géographie physique du numérique : chaque service « dans le cloud » tourne quelque part, dans un bâtiment bien réel.
La plateforme Data Center Map recense plus de 12 000 centres de données répartis dans 179 pays et territoires. Cette carte mondiale n'a rien d'uniforme : les États-Unis concentrent à eux seuls près de 39 % des installations référencées, loin devant tous les autres pays.
L'Europe pèse environ 3 800 centres de données, soit un peu moins du tiers du total mondial — le Royaume-Uni, l'Allemagne et la France (près de 400 installations) figurant dans le top 5 mondial. Mais le nombre ne dit pas tout : la taille des installations, leur capacité de calcul et surtout l'identité de leurs opérateurs comptent autant que leur localisation.
Le widget ci-dessous permet d'explorer cette répartition : classement des pays par nombre de centres de données référencés, filtres par continent et recherche parmi les 179 pays recensés. Un premier repère pour mesurer où s'ancre matériellement le numérique mondial — et la place qu'y occupe réellement l'Europe.
Centres de données dans le monde
Classement des pays par nombre de centres de données référencés — filtrez par continent, cliquez sur un pays (dans la liste ou sur la carte) ou recherchez-en un parmi les 179 recensés.
Sélectionnez un pays pour le localiser sur la carte. La barre indique la part du total mondial.
Vos photos, vos courriels, vos films en streaming ne flottent pas dans les airs : ils vivent dans des bâtiments bien réels.
Un centre de données, c'est un bâtiment rempli de serveurs qui fonctionnent jour et nuit, alimentés en électricité, refroidis en permanence et reliés au reste du monde par des fibres optiques.
Chaque service numérique du quotidien y repose :
Le « cloud », littéralement le « nuage », n'est qu'une image commerciale : derrière chaque service en ligne, il y a l'ordinateur de quelqu'un, quelque part, dans un centre de données.
Or ces bâtiments sont très inégalement répartis, et surtout très inégalement possédés. Une poignée d'acteurs, Amazon, Microsoft et Google en tête, concentre l'essentiel des capacités d'hébergement utilisées par les entreprises et les administrations européennes.
Celui qui exploite le centre de données décide de qui entre dans le bâtiment, de qui accède aux serveurs, et du droit qui s'applique aux données qu'ils contiennent. La question n'est donc pas seulement « où sont mes données ? », mais « chez qui sont-elles, et sous quelles lois ? ».
La localisation : premier niveau d'analyse
La localisation du centre de données constitue le premier niveau d'analyse de la souveraineté numérique.
Héberger des données en France permet de les maintenir physiquement sur le territoire national et de bénéficier du cadre juridique français et européen. Un hébergement au sein de l'Union européenne conserve également les données dans l'espace juridique européen, notamment sous la protection du RGPD, tout en facilitant leur circulation entre États membres.
À l'inverse, l'hébergement dans un pays tiers peut créer des dépendances supplémentaires :
La localisation constitue un critère essentiel, mais elle ne suffit pas à garantir la souveraineté : un centre de données situé en France peut appartenir à un groupe étranger et rester soumis, directement ou indirectement, à certaines législations extraterritoriales.
Centre de données et souveraineté7 questions clés
- France
- Union européenne
- Pays tiers
En France
Souveraineté maximale sur vos données
- Données stockées et traitées sur le territoire français
- Droit français et européen applicable
- Proximité et meilleure maîtrise
Dans l'Union européenne
Données hébergées dans l'UE, sous protection du cadre juridique européen
- Cadre juridique européen (RGPD)
- Bon niveau de maîtrise
- Libre circulation des données au sein de l'UE
Dans un pays tiers
Données soumises au droit local du pays hébergeur
- Législations extraterritoriales possibles (ex. Cloud Act)
- Recours juridiques plus complexes
- Maîtrise limitée sur l'accès aux données
La propriété : deuxième critère majeur
Un centre de données peut être physiquement implanté en France ou dans l'Union européenne tout en appartenant à une entreprise dont le siège et le centre de décision se situent dans un pays tiers.
Il faut distinguer la localisation de l'infrastructure de la nationalité de l'entreprise qui la possède — et de celle qui contrôle le groupe.
La propriété détermine en partie qui maîtrise les investissements, les orientations stratégiques, les infrastructures et leur évolution. Un opérateur français ou européen offre généralement une plus grande proximité avec les cadres juridiques, économiques et stratégiques européens. À l'inverse, lorsqu'un centre de données appartient à un groupe extra-européen, certaines décisions structurantes peuvent être prises hors de l'Union européenne et l'entreprise peut être exposée aux législations de son pays d'origine.
La structure capitalistique doit également être prise en compte. Une société enregistrée en France n'est pas nécessairement indépendante d'un groupe étranger : il convient d'identifier sa société mère, ses principaux actionnaires et les entités disposant du pouvoir de décision.
- Oùse trouve le bâtiment
- Quipossède l'infrastructure et contrôle l'entreprise
- Depuis quel territoiresont prises les décisions stratégiques
La souveraineté ne consiste pas uniquement à savoir où se trouve le bâtiment, mais également qui possède l'infrastructure, qui contrôle l'entreprise et depuis quel territoire sont prises les décisions stratégiques.
Centre de données et souveraineté7 questions clés
- Acteur français / européen
- Filiale d'un groupe extra-européen
- Groupe extra-européen
Acteur français / européen
Actionnariat et gouvernance ancrés en Europe
- Capital majoritairement européen
- Alignement avec les intérêts européens
- Meilleure maîtrise stratégique
Filiale européenne d'un groupe extra-européen
Présence européenne, mais centre de décision étranger
- Infrastructure en Europe
- Décisions stratégiques hors UE
- Risques d'ingérences extraterritoriales
Groupe extra-européen
Capital et gouvernance contrôlés hors de l'Union européenne
- Contrôle et intérêts hors UE
- Risque d'ingérence ou de contraintes juridiques extraterritoriales
L'exploitation : troisième critère déterminant
L'exploitation d'un centre de données définit concrètement qui peut :
Un centre de données situé en France ou en Europe ne garantit pas, à lui seul, une pleine maîtrise des données.
Il faut également examiner où sont localisées les équipes d'exploitation et les centres de support, qui sont les administrateurs disposant de privilèges élevés et quels sous-traitants peuvent accéder aux infrastructures.
Une exploitation réalisée par des équipes européennes, depuis l'Union européenne et avec une chaîne de sous-traitance maîtrisée renforce l'autonomie et limite les dépendances extérieures. À l'inverse, lorsque l'administration, la supervision ou le support sont réalisés depuis des pays tiers, la maîtrise diminue et les risques de dépendance technique, juridique et opérationnelle augmentent.
La souveraineté d'un centre de données dépend autant de ceux qui l'exploitent au quotidien que de sa localisation ou de son propriétaire.
Centre de données et souveraineté7 questions clés
- Exploitation en Europe
- Exploitation mixte
- Exploitation hors UE
Exploitation en Europe
Administration et supervision assurées depuis l'Union européenne
- Équipes basées dans l'UE
- Supervision et pilotage depuis l'UE
- Meilleure maîtrise opérationnelle
Exploitation mixte
Exploitation partiellement opérée depuis des pays tiers
- Centres d'opérations hors UE
- Accès distants depuis des pays tiers
Exploitation hors UE
Exploitation entièrement pilotée depuis des pays tiers
- Pilotage et support hors UE
- Équipes d'exploitation non européennes
- Dépendance opérationnelle
Le droit applicable : quatrième critère
La souveraineté d'un centre de données dépend fortement du cadre juridique auquel sont soumis l'infrastructure, son exploitant et les entreprises qui interviennent sur les données.
La localisation physique en France ou dans l'Union européenne constitue un premier niveau de protection, notamment grâce au RGPD et au droit européen, mais elle ne suffit pas toujours. Il faut également examiner la nationalité et le contrôle juridique :
Un prestataire européen appartenant à un groupe étranger peut ainsi être confronté à des législations extraterritoriales ou à des demandes d'accès provenant d'autorités de pays tiers. Le RGPD encadre précisément les transferts et divulgations vers les pays tiers afin que le niveau de protection européen ne soit pas compromis.
La souveraineté juridique consiste à déterminer non seulement où se trouvent les données, mais surtout quelles juridictions peuvent exercer une autorité sur les entreprises qui les hébergent, les administrent ou les traitent.
Centre de données et souveraineté7 questions clés
- Droit français et européen
- Droit européen avec risques extraterritoriaux
- Droit d'un pays tiers
Droit français et européen
Données protégées par le droit de l'Union européenne
- RGPD et droit européen
- Protection juridique renforcée
- Pas d'accès extraterritorial
Droit européen avec risques extraterritoriaux
Protection européenne, mais exposition indirecte à des lois tierces
- Lois tierces pouvant s'appliquer à la société mère
- Accords internationaux / réquisitions
Droit d'un pays tiers
Données directement soumises à une législation extraterritoriale
- Législation étrangère applicable
- Accès possible par des autorités étrangères
L'infrastructure et les équipements : cinquième critère
L'infrastructure physique et les équipements déterminent le niveau de dépendance technologique et industrielle.
Il ne suffit pas que le centre de données soit implanté en Europe : il faut également s'interroger sur l'origine des équipements, leur lieu de fabrication, leur maintenance, leurs mises à jour et les fournisseurs dont ils dépendent.
Une infrastructure reposant majoritairement sur des technologies européennes, des standards maîtrisés et une chaîne d'approvisionnement sécurisée offre une maîtrise plus élevée. À l'inverse, une forte dépendance à des constructeurs ou technologies extra-européens peut créer des risques liés aux mises à jour, au support, aux vulnérabilités, aux ruptures d'approvisionnement ou aux législations extraterritoriales.
L'objectif n'est pas nécessairement de disposer d'une infrastructure 100 % européenne, aujourd'hui difficile à atteindre, mais de connaître les dépendances critiques, de les réduire et de maîtriser les risques associés sur l'ensemble du cycle de vie des équipements.
Centre de données et souveraineté7 questions clés
- Maîtrise européenne
- Dépendances limitées
- Dépendances fortes
Maîtrise européenne
Maîtrise technologique de bout en bout
- Matériels, logiciels et composants sous contrôle européen
- Open source privilégié
- Indépendance technologique
Dépendances limitées
Quelques briques critiques restent extérieures
- Quelques technologies critiques
- Dépendances partielles (USA / Asie)
- Verrouillage technologique à surveiller
Dépendances fortes
L'infrastructure repose sur des technologies non maîtrisées
- Technologies propriétaires étrangères
- Verrouillage fournisseur
- Risques de rupture
Qui maîtrise les données : sixième critère
La souveraineté numérique dépend directement de qui héberge, traite et peut accéder aux données.
Il ne suffit pas que les serveurs soient situés en France ou en Europe : il faut considérer l'ensemble de la chaîne de services.
Des données hébergées et traitées en Europe par des acteurs européens, soumis au RGPD et au droit européen, offrent un niveau de maîtrise plus élevé et réduisent l'exposition aux législations étrangères. À l'inverse, le recours à des prestataires extra-européens peut entraîner une dépendance technologique et juridique, notamment lorsque ceux-ci sont soumis à des législations extraterritoriales comme le CLOUD Act américain.
Il faut donc savoir précisément :
- Où sont les données
- Qui les traite
- Qui peut y accéder
- Quelles lois s'appliquent
- Comment elles peuvent être récupérées ou transférées vers un autre prestataire
La souveraineté repose sur la maîtrise de toute la chaîne de valeur de la donnée, de son hébergement jusqu'à sa réversibilité.
Centre de données et souveraineté7 questions clés
- Maîtrise totale
- Maîtrise partielle
- Maîtrise faible
Maîtrise totale
L'organisation détient seule les clés de ses données
- Données chiffrées
- Clés détenues exclusivement par l'organisation
- Sauvegardes sous contrôle
Maîtrise partielle
Le fournisseur intervient sur les clés ou les sauvegardes
- Clés partagées ou gérées par le fournisseur
- Sauvegardes externalisées hors UE
Maîtrise faible
Le fournisseur peut accéder aux données en clair
- Fournisseur a accès aux clés
- Données et sauvegardes hors UE
- Risques d'accès non maîtrisés
De quoi dépend-il : septième critère
Un centre de données ne fonctionne jamais seul : sa continuité repose sur un ensemble de dépendances extérieures qu'il faut identifier et maîtriser.
L'énergie est la première d'entre elles : la source d'alimentation, la stabilité du réseau et le mix énergétique conditionnent à la fois la disponibilité du site et son empreinte environnementale. La connectivité vient ensuite : un datacenter n'a de valeur que relié au reste du monde par des fibres, des opérateurs et des points d'échange Internet (IXP) dont la diversité détermine sa résilience.
À l'intérieur du bâtiment, des équipements critiques assurent le fonctionnement permanent des infrastructures :
Leur maintenance, l'approvisionnement en pièces détachées et le support technique reposent sur des fournisseurs et des sous-traitants, dont la localisation et la fiabilité font partie intégrante de l'analyse. Enfin, le refroidissement des installations mobilise souvent des ressources en eau et s'inscrit dans des contraintes locales — climat, réglementation, acceptabilité — qui peuvent limiter le développement ou l'exploitation d'un site.
La souveraineté d'un centre de données ne se mesure pas seulement à ce qu'il contient, mais à la maîtrise de tout ce dont il dépend pour continuer à fonctionner.
Centre de données et souveraineté7 questions clés
- Énergie — source, stabilité, mix énergétique
- Connectivité — fibre, opérateurs, IXP
- Équipements critiques — onduleurs, climatisation, sécurité
- Fournisseurs et sous-traitants — maintenance, pièces, support
- Eau et environnement — refroidissement, contraintes locales
Grille d'évaluation de la souveraineté d'un centre de données
Cette grille d'évaluation permet de mesurer simplement le niveau de souveraineté numérique d'un centre de données à travers sept dimensions clés.
- Localisation
- Propriété
- Exploitation
- Cadre juridique
- Maîtrise technologique
- Contrôle des données
- Dépendances critiques
Les réponses européenne et française
Cloud and AI, obligations de transparence énergétique : face à sa dépendance aux hyperscalers non européens, l'Union européenne veut tripler sa capacité de centres de données. Retrouvez dans la page dédiée les initiatives qui dessinent la souveraineté du continent en matière de datacenters.
Découvrir les réponses