Le verdict en trois phrases
Pour la majorité des sites vitrines et institutionnels de PME, un hébergement mutualisé ou VPS managé situé dans l'UE suffit à respecter le RGPD, à condition d'avoir un DPA signé et aucune donnée personnelle transférée hors UE. Le cloud souverain (OVHcloud, Scaleway, Outscale) ne se justifie que si vous traitez des données sensibles ou exigez une immunité au Cloud Act américain. Le vrai coût n'est pas l'hébergement lui-même (120 à 3 600 EUR HT/an) mais la chaîne de sous-traitance : CDN, e-mails, analytics, formulaires.
Les trois familles d'hébergement UE en 2026
Voici les ordres de grandeur 2026 pour un site de PME à trafic modéré (10 000 à 100 000 visites/mois), hébergé et facturé en France.
| Type d'hébergement | Prix mensuel HT | Coût annuel HT | Données UE garanties | Cible |
|---|---|---|---|---|
| Mutualisé UE (OVH, o2switch, Infomaniak) | 10-30 EUR | 120-360 EUR | Oui | Vitrine, blog, petit trafic |
| VPS managé UE | 40-120 EUR | 480-1 440 EUR | Oui | Site institutionnel, e-commerce léger |
| Cloud souverain (Scaleway, Outscale) | 90-300 EUR | 1 080-3 600 EUR | Oui + immunité Cloud Act | Données sensibles, secteur régulé |
| Cloud US (AWS/GCP région UE) | 60-250 EUR | 720-3 000 EUR | Région UE mais Cloud Act | À éviter pour données sensibles |
Le piège classique : un site "hébergé en France" dont le CDN, les polices Google Fonts ou l'analytics envoient des IP vers les États-Unis. La localisation du serveur principal ne suffit pas.
Checklist de conformité RGPD et coûts associés
| Poste de conformité | Statut requis | Coût 2026 (ordre de grandeur) |
|---|---|---|
| DPA (accord de sous-traitance) signé | Obligatoire | Inclus chez les hébergeurs UE |
| Certificat SSL/TLS | Obligatoire | 0-90 EUR HT/an (Let's Encrypt gratuit) |
| Sauvegardes chiffrées UE | Recommandé | 60-300 EUR HT/an |
| CDN edge conforme UE (BunnyCDN, Scaleway Edge) | Selon trafic | 5-40 EUR HT/mois |
| Analytics sans cookies (Plausible, Matomo UE) | Recommandé | 0-19 EUR HT/mois |
| Bannière consentement conforme | Obligatoire | Inclus dev, ~300 EUR HT setup |
| Registre des sous-traitants | Obligatoire | Documentation interne |
Ces postes s'additionnent à l'hébergement brut. Un site institutionnel réellement conforme coûte en pratique entre 600 et 2 000 EUR HT/an tout compris (hébergement + sauvegardes + CDN + analytics), avant la maintenance applicative.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Marc, DSI d'une PME industrielle de 45 salariés à Bordeaux, héberge son site institutionnel bilingue sur un mutualisé français à 18 EUR HT/mois (216 EUR HT/an). Il découvre lors d'un audit que son formulaire de contact route les données via un service US et que Google Fonts est chargé en direct. Correction : passage à un VPS managé Infomaniak à 55 EUR HT/mois (660 EUR HT/an), fonts auto-hébergées, analytics Plausible UE à 9 EUR HT/mois. Surcoût annuel : 660 + 108 - 216 = 552 EUR HT. En contrepartie, il élimine deux transferts hors UE non maîtrisés et sécurise sa conformité avant un appel d'offres public où le critère RGPD pesait 15 % de la note.
FAQ
Un hébergement en région UE d'AWS ou Google Cloud est-il conforme RGPD ? La donnée reste physiquement dans l'UE, mais l'entreprise mère est soumise au Cloud Act américain. Pour un site vitrine sans données sensibles, c'est tolérable ; pour des données de santé, RH ou secteur public, préférez un cloud souverain (surcoût de 30 à 60 % environ).
Quelle différence de prix entre mutualisé et cloud souverain ? Un facteur 5 à 10 : 120-360 EUR HT/an en mutualisé contre 1 080-3 600 EUR HT/an en souverain. La question n'est pas le prix mais la sensibilité réelle de vos données.
Le SSL est-il vraiment gratuit ? Oui, Let's Encrypt couvre 95 % des besoins gratuitement. Un certificat EV (barre verte, validation étendue) coûte 150 à 400 EUR HT/an et ne se justifie que pour la banque ou l'e-commerce à fort enjeu de confiance.
Qui est responsable en cas de fuite : l'hébergeur ou moi ? Vous restez responsable de traitement au sens RGPD. L'hébergeur est sous-traitant : le DPA répartit les obligations, mais la CNIL vous sanctionne en premier. D'où l'importance d'un registre des sous-traitants à jour.
Faut-il payer les sauvegardes séparément ? Souvent oui. Beaucoup d'offres à bas prix incluent une sauvegarde de 7 jours seulement. Prévoyez 60 à 300 EUR HT/an pour des sauvegardes chiffrées, quotidiennes et testées, avec rétention de 30 jours.
Parlons de votre projet. Décrivez-nous votre site (trafic, données collectées, secteur) et nous vous proposons une architecture d'hébergement UE conforme avec devis de maintenance annuelle chiffré. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
