Conseils · Ce que dit la loi
Héberger le site de la mairie en France : obligation, souveraineté et sauvegardes
Hébergement souverain, cloud de confiance, données en France : le sujet revient à chaque projet de site, souvent avec des affirmations contradictoires. Voici ce que les textes imposent vraiment à une commune de moins de 5 000 habitants, et ce qu’il est prudent de faire au-delà de la loi.
Publié le 30 septembre 2026 · 6 min de lecture · par Thomas, La Fabrique des Communes
Une obligation d’héberger en France ? Non, pas pour le site
Aucun texte n’impose à une commune d’héberger son site internet en France. Plusieurs affirmations qui circulent sont périmées ou mal comprises.
- Le RGPD n’impose pas de lieu d’hébergement. Il encadre les transferts de données personnelles hors de l’Union européenne, qui doivent reposer sur une garantie reconnue.
- La loi SREN de mai 2024 (article 31) et la doctrine « cloud au centre » visent l’État et ses opérateurs. Les collectivités territoriales ne sont pas concernées.
- Les archives : une note de 2016 qualifiait d’illégal le recours à un cloud non souverain pour les archives communales. Elle a été retirée, et depuis la loi du 7 décembre 2020, seules les archives définitives, issues de la sélection, sont des « trésors nationaux ». Un site internet n’est pas un service d’archivage.
- Les données de santé, en revanche, exigent un hébergeur certifié HDS, situé dans l’Espace économique européen. Cela concerne surtout un CCAS qui en traiterait, pas le site de la mairie.
Pourquoi héberger en France reste un bon choix
Ce que la loi n’impose pas, le bon sens le conseille souvent. Un hébergeur installé en France, soumis au droit français, simplifie la conformité au RGPD : pas de transfert hors de l’Union à documenter, pas d’exposition à une législation étrangère sur l’accès aux données. Le support répond en français, aux heures de la mairie. Et l’argument parle aux habitants : les données de leur commune restent en France.
Les cinq questions à poser à son hébergeur
- Où sont les serveurs, et à quel droit l’hébergeur est-il soumis ? Les deux questions ne se confondent pas : un serveur en France peut appartenir à une société soumise à un droit étranger.
- Quelle est la fréquence des sauvegardes, et leur durée de conservation ? Une sauvegarde quotidienne, gardée plusieurs semaines, stockée ailleurs que sur le serveur du site.
- Une restauration a-t-elle déjà été testée ? Une sauvegarde qu’on n’a jamais restaurée est une hypothèse, pas une garantie.
- Qui détient les accès ? La commune doit pouvoir récupérer ses accès et ses données à tout moment, sans l’accord du prestataire.
- Que se passe-t-il à la fin du contrat ? Export des contenus, transfert du nom de domaine, délais : c’est la réversibilité, et elle s’écrit dans le contrat.
Et la cybersécurité, avec NIS 2 ?
La directive européenne NIS 2 renforce les obligations de cybersécurité de nombreuses organisations. Sa transposition française, le projet de loi « résilience », n’était pas encore adoptée au 30 septembre 2026 : son examen en séance à l’Assemblée nationale est annoncé pour le 7 octobre 2026. Dans sa version en discussion, elle vise les communes de plus de 30 000 habitants, les départements, les régions et plusieurs catégories d’intercommunalités. Les communes de moins de 30 000 habitants ne sont pas visées directement, même si leur communauté de communes peut l’être.
Ne pas être visé ne veut pas dire ne pas être exposé : les petites communes subissent aussi des attaques. Les gestes de base restent valables pour toutes : mises à jour régulières, sauvegardes testées, comptes nominatifs supprimés au départ des personnes, et messagerie protégée contre l’usurpation.
Ce que nous faisons
Les sites que nous livrons sont hébergés en France, sauvegardés chaque jour, et le nom de domaine est au nom de la commune. Les accès et les conditions de réversibilité sont écrits dans le contrat. Ce sont des questions que vous pouvez poser à n’importe quel prestataire, nous compris.
Questions fréquentes
Une commune doit-elle héberger son site internet en France ?
Non, aucun texte ne l’impose. Le RGPD encadre les transferts de données hors de l’Union européenne sans imposer de lieu d’hébergement ; la loi SREN (article 31) et la doctrine « cloud au centre » visent l’État et ses opérateurs, pas les collectivités. Seules les données de santé exigent un hébergeur certifié HDS situé dans l’Espace économique européen. Héberger en France reste un choix prudent qui simplifie la conformité au RGPD.
La directive NIS 2 s’applique-t-elle aux petites communes ?
Pas directement. Au 30 septembre 2026, la loi française de transposition (projet de loi « résilience ») n’est pas encore adoptée ; dans sa version en discussion, elle vise les communes de plus de 30 000 habitants, les départements, les régions et certaines intercommunalités. Les communes de moins de 30 000 habitants ne sont pas visées directement, même si leur intercommunalité peut l’être.
