Héberger son site en Europe : performance et conformité

« Notre site doit être hébergé en Europe. » La demande revient souvent, et elle est légitime. Elle mélange pourtant deux questions qui ne se règlent pas de la même façon : où sont stockées les données personnelles des visiteurs, une question de conformité, et d’où sont servies les pages, une question de vitesse. Un site statique a l’avantage de les séparer nettement. Cet article les reprend une par une. Si votre site actuel exécute encore du code à chaque visite, notre guide de la migration vers un site statique avec Astro explique ce que ce changement simplifie.

Deux questions, pas une

Un site qui fabrique ses pages à chaque visite mélange les deux : la base de données qui contient les pages contient aussi les comptes, les commentaires et souvent les demandes. Un site statique sépare : les pages sont des fichiers sans aucune donnée personnelle, qui peuvent être servis de n’importe où, et les données n’existent qu’aux quelques endroits où un visiteur agit.

Ce que dit le droit

Le RGPD ne contient aucune obligation d’héberger en Europe. Son chapitre V encadre les transferts de données personnelles hors de l’Espace économique européen : ils sont permis vers un pays reconnu comme offrant un niveau de protection adéquat, ou avec des garanties appropriées comme les clauses contractuelles types. Pour les États-Unis, ce cadre a changé trois fois, comme le rappelle le communiqué de la Cour de justice de l’Union du 3 septembre 2025 :

1. Octobre 2015

   La Cour de justice invalide le premier cadre de transfert vers les États-Unis (arrêt Schrems I).

2. 16 juillet 2020

   Elle invalide le second, le « Privacy Shield » (arrêt Schrems II), tout en validant les clauses contractuelles types.

3. 10 juillet 2023

   La Commission adopte une nouvelle décision d’adéquation, le « Data Privacy Framework ».

4. 3 septembre 2025

   Le Tribunal de l’Union rejette le recours d’un député français contre cette décision.

5. 31 octobre 2025

   Le député forme un pourvoi devant la Cour de justice.

À la date de cet article, un transfert vers une entreprise américaine certifiée dans ce cadre est donc licite. Les sources de la chronologie : l’arrêt Schrems II, la décision de la Commission et le pourvoi formé le 31 octobre 2025. Pour une entreprise qui ne veut pas dépendre de l’issue du pourvoi, garder les données personnelles en Europe chez un acteur européen reste la réponse la plus simple à expliquer.

Une seconde question se pose : un hébergeur américain qui stocke vos données dans un centre européen. Le ministère américain de la Justice explique, dans sa note sur le CLOUD Act, qu’un prestataire soumis au droit américain doit produire les données qu’il contrôle en réponse à une procédure valable, quel que soit l’endroit où il les stocke. La même note rappelle que beaucoup d’États ont des règles comparables pour les entreprises de leur ressort. La localisation des données et la nationalité de l’hébergeur sont donc deux critères distincts, et le choix entre eux dépend de vos clients et de votre secteur. Notre article sur la dépendance de l’Europe au cloud américain élargit la question au reste de vos outils.

Où sont vraiment les données personnelles d’un site

Sur un site statique, les données personnelles passent par quelques points, toujours les mêmes :

1. 01Le formulaire.

   Chaque demande contient un nom, une adresse e-mail, souvent un numéro. C’est la donnée la plus sensible du site, et la seule qui se conserve.

2. 02La mesure d’audience.

   Selon l’outil, elle lit l’adresse IP, pose des cookies et envoie les données chez son éditeur.

3. 03Les ressources tierces.

   Une police, une vidéo, une carte chargées depuis un autre domaine transmettent l’adresse IP du visiteur à ce domaine.

4. 04Les journaux.

   L’hébergeur et le réseau de diffusion enregistrent les requêtes, adresses IP comprises, pour une durée qu’ils fixent.

Le point 3 est le plus souvent oublié, et un tribunal l’a déjà sanctionné : en janvier 2022, le tribunal régional de Munich a condamné un exploitant de site à verser 100 euros de dommages et intérêts à un visiteur, parce que les polices chargées depuis les serveurs de Google transmettaient son adresse IP sans son consentement. Servir ses polices depuis son propre site supprime le problème, sans changer l’affichage.

Ce que nous faisons sur ce site

Ce site est servi par Cloudflare, une entreprise américaine, depuis son réseau mondial. Ce choix tient parce que les pages ne contiennent aucune donnée personnelle. Le réseau de Cloudflare voit, comme tout hébergeur, les adresses IP des visiteurs dans ses journaux ; ce que le site conserve, lui, reste en Europe :

• les demandes du formulaire sont enregistrées dans un espace de stockage soumis à la restriction de juridiction européenne, que la documentation de Cloudflare décrit comme la garantie que les objets sont stockés dans l’Union, et qui ne peut plus être changée après la création de l’espace ;
• les polices sont servies par le site lui-même, sans appel à un service tiers ;
• la mesure d’audience passe encore par Google Analytics : son remplacement par un outil sans cookie figure dans notre liste de dettes techniques.

Le mécanisme d’enregistrement des demandes est détaillé dans notre article sur les formulaires et la recherche sur un site statique.

Ce que la distance change à la vitesse

La vitesse d’affichage dépend en partie de la distance : une requête qui traverse un continent prend plus de temps qu’une requête qui reste dans la même ville. Pour un public européen, un serveur en Europe est donc bien placé. Pour un public mondial, un serveur unique, où qu’il soit, ralentit une partie des visiteurs.

C’est là qu’un site statique aide : ses pages sont des fichiers identiques pour tous, qu’un réseau de diffusion copie sur des dizaines de points et sert depuis le plus proche du visiteur. La vitesse se mesure ensuite page par page, avec les seuils que Google publie, détaillés dans notre article sur les Core Web Vitals pour un dirigeant.

Trois montages possibles

• Tout en Europe. Hébergeur européen, diffusion depuis l’Europe, formulaire et mesure d’audience hébergés en Europe. Le plus simple à expliquer à un client ou à un acheteur public ; des acteurs comme OVHcloud, Scaleway, Hetzner ou Infomaniak le permettent, parmi d’autres.
• Les pages sur un réseau mondial, les données en Europe. Le montage de ce site : la vitesse partout, et les données que le site conserve stockées dans l’Union.
• Un serveur à soi, en Europe. Pour un site qui accompagne des applications métier déjà hébergées sur ce serveur. La diffusion mondiale et la maintenance redeviennent votre affaire, comme l’explique notre comparatif Cloudflare, Netlify ou VPS.

Les questions à poser à un hébergeur

1. Où sont stockées les données, et peut-on le garantir par contrat ? Pas seulement les fichiers : les journaux, les sauvegardes, les données du formulaire.
2. Sous quel droit l’entreprise opère-t-elle ? Siège, maison mère, et ce que cela implique pour les demandes d’autorités.
3. Quels sous-traitants interviennent ? L’article 28 du RGPD impose un contrat de sous-traitance et l’autorisation préalable des sous-traitants ultérieurs : demandez la liste.
4. Combien de temps les journaux sont-ils conservés ? Avec les adresses IP, ce sont des données personnelles.
5. Comment en sort-on ? Un site statique se déplace en copiant un dossier ; les données du formulaire doivent pouvoir suivre.

Le reste du chantier

L’hébergement n’est qu’une pièce. Un site multilingue sert plusieurs publics depuis le même montage (une langue, une adresse). Le formulaire est aussi le bloc qui transforme une visite en demande (les cinq blocs d’un site vitrine). Un changement d’hébergeur se fait sans perte quand les redirections 301 et les adresses restent identiques, et la refonte qui l’accompagne trie l’existant (les pages à garder, fusionner, supprimer). Le coût annuel dépend du montage (combien coûte un site d’entreprise), un WordPress ajoute ses propres données à protéger (pourquoi un site WordPress se fait pirater), et un éditeur de contenu stocke aussi des données quelque part (Astro et Sanity en headless, ou Markdown dans le dépôt ou CMS). L’obligation d’accessibilité vaut quel que soit l’hébergeur (ce que change l’obligation de 2025), tout comme la question de dire qu’un texte a été écrit par une IA.

Nos deux offres de site laissent le choix du montage : le site vitrine pour partir de zéro, la migration vers un site statique pour quitter un hébergement qui exécute du code à chaque visite, adresses conservées.

Questions fréquentes

Sources

1. Cour de justice de l’Union européenne, communiqué n° 106/25, 3 septembre 2025 (nouvel onglet)curia.europa.eu
2. Cour de justice de l’Union européenne, communiqué n° 91/20, 16 juillet 2020 (nouvel onglet)curia.europa.eu
3. Commission européenne, communiqué du 10 juillet 2023 (nouvel onglet)ec.europa.eu
4. WilmerHale, décembre 2025 (nouvel onglet)wilmerhale.com
5. Département de la Justice des États-Unis, The Purpose and Impact of the CLOUD Act, avril 2019 (nouvel onglet)justice.gov
6. IHK Bergische Region, jugement du LG München I du 20 janvier 2022 (nouvel onglet)ihk.de
7. Cloudflare R2, emplacement des données (nouvel onglet)developers.cloudflare.com