Sur le devis, tout plaît : un serveur dédié avec 64 Go de mémoire vive, loué au mois, sans durée d’engagement. Ce qui fait hésiter le gérant, c’est la mention du lieu : la machine sera installée à Falkenstein, en Saxe, ou à Helsinki. Pour une PME qui veut y faire tourner sa boutique en ligne, un outil métier ou ses sauvegardes, la question vient tout de suite : a-t-on le droit, et surtout a-t-on intérêt, à mettre ses données hors de France ?
Sur le plan juridique, la réponse est presque toujours oui. Sur le plan pratique, tout dépend de ce que l’entreprise sait faire elle-même, et c’est cette seconde question qui fait dérailler bien des projets.
Le RGPD change-t-il quelque chose entre la France et l’Allemagne ?
Non. L’Allemagne et la Finlande sont membres de l’Union européenne : le RGPD s’y applique exactement comme en France. Héberger un fichier clients à Nuremberg ou à Helsinki n’est pas un transfert hors de l’Union, et les clauses contractuelles types ou autres garanties exigées pour les pays tiers ne vous concernent pas.
Ce qui reste à votre charge ne dépend pas du pays. Votre entreprise demeure responsable du traitement, l’hébergeur agit comme sous-traitant, et l’article 28 du RGPD impose un contrat qui encadre ce rôle. Les hébergeurs sérieux le fournissent, en annexe de leurs conditions ou dans l’espace client. S’il reste introuvable, c’est un mauvais signe, quel que soit le prix affiché.
Les vraies exceptions sont ailleurs. Une PME qui traite des données de santé pour le compte de professionnels ou d’établissements de santé doit passer par un hébergeur certifié HDS : c’est la première chose à vérifier, avant même la configuration. Certains acheteurs publics exigent, pour leurs données sensibles, une offre qualifiée SecNumCloud par l’ANSSI. Relisez enfin les contrats signés avec vos plus gros clients : une clause imposant un hébergement en France s’y glisse parfois, et elle passe avant toute considération de prix.
Quelques millisecondes de plus, vos utilisateurs le verront-ils ?
Un paquet parti de Lyon met plus de temps à atteindre Helsinki qu’un datacenter parisien, c’est de la physique. L’écart se compte en millisecondes. Pour un site vitrine, une boutique ou un ERP utilisé dans un navigateur, il passe inaperçu à côté du temps de génération des pages ou du poids des images. Il devient sensible pour la téléphonie sur IP, le bureau à distance utilisé toute la journée, ou un logiciel installé sur les postes du bureau qui interroge sans arrêt une base de données distante.
Plutôt que de deviner, mesurez. Beaucoup d’hébergeurs publient des adresses de test pour chacun de leurs datacenters : un ping lancé depuis vos bureaux, puis depuis la connexion d’un client type, donne une idée concrète en deux minutes. Et si votre clientèle est en France avec un site chargé en images, un réseau de diffusion de contenu (CDN) réglera la question de l’affichage bien mieux que le choix du pays.
La question qui compte vraiment : qui administre la machine ?
Un serveur dédié non infogéré arrive avec un système fraîchement installé, parfois même sans. Mises à jour de sécurité, pare-feu, sauvegardes, supervision, renouvellement des certificats : tout est pour vous. L’hébergeur remplace un disque défaillant, mais il ne restaure pas vos données et ne cherche pas pourquoi votre site ne répond plus. Rappel au passage : un RAID protège contre la panne d’un disque, pas contre une suppression accidentelle ou un rançongiciel. Ce n’est pas une sauvegarde.
C’est là que la localisation rejoint la question du support. Chez certains hébergeurs allemands, les tickets s’écrivent en anglais ou en allemand. À deux heures du matin, avec une boutique hors ligne, la langue du support n’est plus un détail. La fiche consacrée aux serveurs dédiés Hetzner le dit sans détour : assistance en anglais et en allemand, offre pensée pour des utilisateurs techniquement autonomes, avec en contrepartie un large choix de configurations, bourse de serveurs d’occasion comprise.
Pour une PME sans administrateur en interne, l’économie faite sur la location doit donc être comparée au coût d’un prestataire d’infogérance, ou à celui d’une offre managée en France. Le calcul est souvent moins favorable au serveur bon marché qu’on ne l’imagine en lisant le devis.
Ce qui change sur la facture et dans le contrat
Entre deux entreprises de l’Union, la facture arrive hors taxes : vous communiquez votre numéro de TVA intracommunautaire et vous autoliquidez la TVA dans votre propre déclaration. Votre expert-comptable connaît le mécanisme, mais prévenez-le : c’est le genre de ligne qui se perd dans un rapprochement bancaire.
Regardez aussi ce qui est facturé à part : adresses IP supplémentaires, frais d’installation sur certaines configurations, trafic au-delà d’un seuil. Les conditions générales peuvent être rédigées en anglais ou en allemand et désigner les tribunaux du pays de l’hébergeur. Rien de bloquant pour une PME, mais autant le savoir avant un litige. Quant aux tarifs, ils bougent : un prix relevé dans un comparatif de l’an dernier ne vaut plus grand-chose au moment de commander.
Pour quels usages l’Allemagne ou la Finlande se justifient
Le profil qui s’en sort bien : une entreprise qui a un développeur ou un prestataire technique sous la main, des données sans contrainte sectorielle, et un besoin de mémoire ou de puissance de calcul que les offres managées facturent cher. Un environnement de préproduction, des outils internes, un serveur d’intégration continue ou une base de données d’analyse entrent bien dans ce cadre.
Si vous hésitez encore, commencez par l’usage le plus simple : la copie externe de vos sauvegardes. Elle doit de toute façon se trouver ailleurs que sur votre serveur principal, et la placer dans un autre pays de l’Union, chez un autre fournisseur, vous protège aussi d’un incident qui toucherait un seul datacenter. C’est une façon peu risquée de tester un hébergeur, son support et sa facturation pendant quelques mois avant de lui confier la production.
