Le verdict en trois phrases
La conformité RGPD d'un hébergement ne se joue pas au prix mensuel mais sur la localisation des données, le DPA et la maîtrise des sous-traitants. Pour un site institutionnel français, héberger en UE chez un acteur souverain (OVHcloud, Scaleway) simplifie radicalement la démonstration de conformité face à la CNIL. Le vrai risque n'est pas le serveur : ce sont les transferts hors UE cachés dans un CDN, un outil d'analytics ou une police Google Fonts.
Comparatif des hébergeurs conformes UE en 2026
Trois profils dominent le marché parisien. Le prix varie selon la puissance, mais le critère décisif reste la résidence des données et la clarté du contrat de sous-traitance (DPA).
| Hébergeur | Coût HT/mois | Data residency | DPA fourni | Chiffrement | Note souveraineté |
|---|---|---|---|---|---|
| OVHcloud (Roubaix/Gravelines) | 15 - 90 EUR | France/UE garantie | Oui, standard | Au repos + transit | Élevée (droit français) |
| Scaleway (Paris/Amsterdam) | 18 - 100 EUR | France/UE garantie | Oui, standard | Au repos + transit | Élevée (droit français) |
| AWS région Paris (eu-west-3) | 25 - 120 EUR | UE mais maison-mère US | Oui, complexe | Au repos + transit | Moyenne (Cloud Act US) |
| Hébergeur mutualisé UE | 5 - 20 EUR | Variable, à vérifier | Souvent absent | Transit uniquement | Faible à vérifier |
AWS Paris stocke physiquement en UE, mais la maison-mère américaine reste soumise au Cloud Act, ce qui alimente le débat Schrems II. Pour un site institutionnel ou public, un acteur de droit européen ferme la discussion.
Les points de conformité à verrouiller
Le RGPD ne se limite pas au serveur. Voici la checklist de conformité que la CNIL examine en priorité lors d'un contrôle.
| Point de conformité | Exigence 2026 | Coût / délai type |
|---|---|---|
| Consentement cookies | Bandeau conforme, refus aussi simple que l'accord | 300 - 1 200 EUR de mise en place |
| Registre des traitements | À jour, accessible, tenu par le DPO | Interne ou 500 - 2 000 EUR/an |
| DPA hébergeur | Contrat signé avec sous-traitant | Fourni par OVH/Scaleway |
| Durée de conservation | Définie par type de donnée | Documentée dans le registre |
| Transferts hors UE | Éliminés ou encadrés (CCT) | Audit 800 - 2 500 EUR |
| Chiffrement | HTTPS + chiffrement au repos | Inclus chez hébergeurs UE |
| Journaux d'accès | Conservés 6 à 12 mois | Configuration hébergeur |
Un oubli fréquent : les Google Fonts chargées en direct transmettent l'IP des visiteurs aux serveurs US. La CNIL et plusieurs tribunaux ont sanctionné cette pratique ; hébergez les polices localement.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Sophie, DPO d'un établissement public parisien, migre un site institutionnel de 40 pages depuis un hébergeur mutualisé low-cost (8 EUR/mois, localisation floue) vers Scaleway Paris (35 EUR HT/mois). Le surcoût annuel est de 324 EUR. En échange, elle obtient un DPA signé, une data residency UE garantie, des journaux d'accès conformes et supprime deux transferts hors UE (analytics US, CDN). Face à un contrôle CNIL, la démonstration de conformité passe de plusieurs jours d'analyse incertaine à un dossier bouclé. Le retour sur investissement se mesure en risque de sanction évité : jusqu'à 4 % du budget annuel.
FAQ
Un hébergement en UE suffit-il pour être conforme RGPD ? Non : c'est nécessaire mais pas suffisant. Il faut aussi le DPA, le registre, la gestion des cookies et l'absence de transferts hors UE non encadrés.
AWS Paris est-il vraiment risqué ? Les données restent en UE, mais le Cloud Act crée une incertitude juridique. Pour un site public ou institutionnel sensible, un hébergeur de droit européen est plus prudent.
Combien coûte une mise en conformité complète ? Comptez 800 à 3 500 EUR selon la taille du site et l'état initial, plus 15 à 120 EUR/mois d'hébergement conforme.
Qu'est-ce qu'un DPA ? Le Data Processing Agreement encadre juridiquement le traitement des données par votre hébergeur (sous-traitant). Il est exigé par l'article 28 du RGPD.
Les sanctions sont-elles vraiment appliquées ? Oui : la CNIL prononce chaque année des amendes, jusqu'à 4 % du chiffre d'affaires mondial ou 20 M EUR. Les établissements publics sont aussi contrôlés.
Parlons de votre projet. Indiquez-nous votre hébergeur actuel, le volume de données et les outils tiers utilisés : nous auditons la conformité et migrons vers une infra UE. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
