Ce que le RGPD demande vraiment à l'hébergement d'un site
Ou : le règlement demande un contrat et un inventaire, pas un passeport.
La réponse courte : le RGPD n’oblige pas à héberger un site web en Europe. Il exige trois choses de l’hébergement : un contrat de sous-traitance entre vous et l’hébergeur (article 28), des mesures de sécurité adaptées au risque (article 32) et, si des données quittent l’Union, un outil de transfert prévu par le chapitre V, qu’il s’agisse d’une décision d’adéquation, de clauses contractuelles types ou d’une dérogation. Tout le reste en découle, et le texte du règlement sur EUR-Lex, version publiée au Journal officiel du 4 mai 2016 et lue le 12 novembre 2026, ne contient aucun article qui impose un pays d’hébergement. C’est la nuance de départ de l’hébergement européen d’un site : la localisation simplifie la conformité, elle ne la remplace pas.
Un hébergeur installé en Suisse, que l’Union reconnaît comme adéquate, se traite donc comme un hébergeur belge ou français. Un hébergeur américain inscrit au Data Privacy Framework aussi, tant que ce cadre tient. Pour les autres pays, la CNIL résume les outils de transfert : clauses contractuelles types, règles d’entreprise contraignantes, et une analyse d’impact du transfert à documenter.
Pour qui : un site vitrine ou un blog qui veut un sous-traitant établi en Suisse, pays reconnu adéquat par l’Union, avec un accord de traitement des données joint aux conditions générales.
À partir de : 5,75 € HT par mois pour l’hébergement web Infomaniak, facturé à l’année par défaut, sans prix promotionnel affiché (relevé du 12 novembre 2026).
Pour démarrer : commander l’hébergement web Infomaniak, lire l’accord de traitement des données, puis inscrire l’hébergeur comme sous-traitant dans votre registre.
Hébergement d’un site web et RGPD : les obligations, une par une
Un site, même vitrine, traite plus de données personnelles que son propriétaire ne le croit. L’inventaire tient dans un tableau.
| Ce que le site traite | Où cela se trouve | Ce que le règlement demande |
|---|---|---|
| Journaux du serveur : adresse IP, page demandée, navigateur, heure | sur le serveur de l’hébergeur | une durée de conservation limitée (article 5) et fixée par vous |
| Messages du formulaire de contact | base de données ou boîte mail | une information des visiteurs au moment de la collecte (article 13) |
| Sauvegardes du site, bases comprises | souvent dans un autre centre de données | la sécurité et la restauration en cas d’incident (article 32) |
| Boîtes mail sur le domaine | serveur mail de l’hébergeur | un contrat de sous-traitance (article 28) |
| Polices, vidéos, statistiques, CDN | serveurs de tiers, parfois hors de l’Union | un outil de transfert si les données sortent (chapitre V) |
Texte lu sur EUR-Lex le 12 novembre 2026. Le tableau ne vise que l’hébergement : cookies et consentement relèvent d’un autre texte, la directive ePrivacy.
Quatre idées reçues reviennent dans les pages d’agences qui occupent les premiers résultats.
« Il faut un hébergeur européen. » Faux : le chapitre V encadre les transferts, il ne les interdit pas. Un hébergeur européen évite seulement d’avoir à documenter un transfert, ce qui n’est pas rien pour une petite structure.
« La conformité, c’est le travail de l’hébergeur. » Faux aussi. Vous décidez pourquoi et comment les données sont traitées : vous êtes responsable du traitement. L’hébergeur agit sur vos instructions : il est sous-traitant. L’Autorité de protection des données belge prend précisément l’exemple de l’entreprise qui confie ses données clients à un hébergeur dans sa brochure FAQ pour les PME (PDF) : l’hébergeur y est sous-traitant tant qu’il n’utilise pas ces données à ses propres fins.
« Sous 250 salariés, pas de registre. » L’article 30 prévoit bien cette exemption, mais elle tombe dès que le traitement n’est pas occasionnel. Un formulaire de contact relevé chaque semaine, ou une boutique qui enregistre des commandes, n’a rien d’occasionnel.
« Une fuite chez l’hébergeur ne me regarde pas. » L’article 33 oblige l’hébergeur à vous prévenir dans les meilleurs délais, puis vous oblige, vous, à notifier l’autorité de contrôle dans les 72 heures si la fuite présente un risque pour les personnes. C’est votre site, donc votre notification.
Le règlement ne réclame donc ni label ni certificat d’hébergeur. Il réclame que vous sachiez ce que votre site garde, chez qui, combien de temps et dans quel pays, et que ce soit écrit quelque part.
Le contrat caché dans les conditions générales
L’article 28 exige un contrat qui fixe l’objet du traitement, sa durée, les sous-traitants ultérieurs et le sort des données à la fin du service. Presque tous les hébergeurs le joignent à leurs conditions générales, et presque personne ne le lit. Les clauses à repérer, avec les délais réels de cinq hébergeurs, figurent dans les clauses du contrat de sous-traitance.
La ligne de journal que personne ne relit
Le serveur note chaque visite, adresse IP comprise, et la plupart des propriétaires de sites ignorent pendant combien de temps. C’est pourtant la première donnée personnelle que traite un site, avant même le formulaire. Où lire ces journaux et quelle durée retenir est détaillé dans la durée de conservation des logs.
Le visiteur que votre page présente à d’autres
Un hébergement irréprochable ne couvre pas ce que la page charge ailleurs. Une police servie par Google ou une vidéo intégrée transmet l’adresse IP du visiteur à un tiers, parfois hors de l’Union, avant tout clic. Le contrôle et les solutions sont expliqués dans les ressources tierces chargées par la page.