Reconstitution d'emails et CNIL : trois approches souveraines face au vide juridique du Cloud Act

# Reconstitution d'emails et CNIL : trois approches souveraines face au vide juridique du Cloud Act

Depuis les mises en demeure de la CNIL en 2024-2025 ciblant les transferts de données vers des infrastructures extra-européennes, la question de la reconstitution d'emails — forensique, archivage légal, conformité eDiscovery — est devenue un angle mort critique pour les DSI européens. Stocker et rejouer des chaînes d'emails sur une infrastructure soumise au Cloud Act, c'est exposer des données potentiellement personnelles à une injonction américaine sans recours effectif. En 2026, le sujet n'est plus théorique : il est opérationnel.

Voici un comparatif pragmatique de trois approches architecturales concrètes, évaluées sur quatre critères qui comptent pour un DSI ou un RSSI en charge de la conformité RGPD, NIS2 et DORA.

Les trois approches en présence

Approche A — Archivage souverain sur infrastructure IaaS qualifiée SecNumCloud

L'organisation héberge sa solution d'archivage email sur un IaaS qualifié SecNumCloud (Outscale/Dassault Systèmes, Scaleway, ou équivalent qualifié), avec un moteur d'indexation et de reconstitution déployé en mode on-premise logique dans l'environnement cloud souverain.

Approche B — Solution d'archivage email on-premise européenne

Déploiement d'une solution logicielle européenne spécialisée (type Liegis, ou équivalent éditeur français/allemand certifié) directement dans le datacenter de l'organisation ou dans un datacenter colocalisé en UE, sans dépendance à un hyperscaler américain.

Approche C — Offre managée d'un opérateur télécoms européen

Externalisation complète de l'archivage et de la reconstitution vers un opérateur télécoms européen proposant un service managé souverain (type Orange Business ou Deutsche Telekom T-Systems), avec SLA de conformité RGPD contractuellement garantis et auditable.

Critère 1 — Architecture et exposition aux risques d'extraterritorialité

| Dimension | Approche A (IaaS SecNumCloud) | Approche B (On-premise européen) | Approche C (Opérateur managé UE) |

|---|---|---|---|

| Exposition Cloud Act | Nulle si IaaS non filiale US | Nulle | Nulle si opérateur non filiale US |

| Qualification SecNumCloud | Oui (IaaS) | Dépend du datacenter | Variable selon l'opérateur |

| Résidence des données | FR/UE garantie contractuellement | FR/UE sous contrôle direct | FR/UE garantie contractuellement |

| Dépendance à une entité US | Aucune | Aucune | À vérifier au niveau capitalistique |

Point d'attention opérationnel : L'approche A reste la plus flexible architecturalement, mais elle impose une vérification rigoureuse de la chaîne capitalistique de l'IaaS. Un cloud labellisé "souverain" sans qualification SecNumCloud effective peut masquer des liens de dépendance avec des entités soumises à la juridiction américaine. Le DSI doit exiger la qualification officielle ANSSI, pas une simple déclaration marketing.

L'approche B offre le contrôle le plus direct, mais elle transfère la charge opérationnelle en interne — ce qui n'est pas neutre pour une PME ou une ETI sans équipe infrastructure dédiée.

Critère 2 — Conformité RGPD et réponse aux injonctions CNIL

La reconstitution d'emails implique par nature le traitement de données personnelles : adresses, contenus, métadonnées de communication. Trois obligations RGPD sont directement en jeu : la base légale du traitement, la durée de conservation, et la capacité à répondre à un droit d'accès ou d'effacement.

Approche A : La qualification SecNumCloud fournit un cadre technique robuste, mais la conformité RGPD reste de la responsabilité du responsable de traitement. L'IaaS qualifié ne décharge pas le DSI de documenter les finalités, les durées de rétention et les procédures de réponse aux droits des personnes. L'avantage : les contrats avec des IaaS qualifiés incluent généralement des clauses DPA (Data Processing Agreement) conformes au RGPD et auditables.

Approche B : L'on-premise donne un contrôle maximal sur les politiques de rétention et les procédures d'effacement. C'est l'architecture la plus réactive pour répondre à une mise en demeure CNIL exigeant une démonstration de contrôle effectif des données. Contrainte : la documentation de conformité (registre des traitements, AIPD si nécessaire) doit être maintenue en interne — sans délégation possible.

Approche C : Les opérateurs télécoms européens matures proposent souvent des modèles de co-responsabilité clairement documentés, ce qui simplifie la réponse à un audit CNIL. Le risque : vérifier que le contrat de service managé ne comporte pas de sous-traitants ultérieurs hors UE non déclarés. Une lecture attentive de l'annexe sous-traitants est non négociable.

Critère 3 — Intégration NIS2 et DORA : gestion des incidents et traçabilité

En 2026, NIS2 s'applique à une large majorité d'ETI opérant dans des secteurs élargis. DORA concerne les entités financières et leurs prestataires critiques. Les deux textes imposent des exigences de traçabilité, de journalisation et de capacité à reconstituer une chaîne d'événements post-incident — ce qui place l'archivage email au cœur des obligations de continuité.

Ce que cela implique concrètement :

• La solution retenue doit garantir l'intégrité des emails archivés (horodatage qualifié, signature, protection contre l'altération rétroactive).
• Elle doit permettre une extraction forensique dans des délais compatibles avec les obligations de notification d'incident (72h pour NIS2).
• Elle doit produire des logs d'accès auditables pour démontrer que seuls les personnels habilités ont accès aux archives.

Approche A : Compatible NIS2/DORA si le déploiement intègre un système de journalisation centralisé (SIEM souverain) et un horodatage qualifié eIDAS. La flexibilité de l'IaaS permet d'adapter l'architecture aux exigences sectorielles spécifiques.

Approche B : Intégration NIS2/DORA plus complexe à orchestrer sans équipe dédiée. L'on-premise impose de gérer soi-même la redondance, les sauvegardes et la continuité — autant de composantes auditées lors d'un contrôle NIS2. Pour une ETI, le risque de gaps opérationnels est réel.

Approche C : L'opérateur managé intègre généralement les SLA de disponibilité et de traçabilité dans son offre. C'est l'approche la plus clé en main pour une conformité NIS2/DORA documentable rapidement. Condition sine qua non : le SLA doit être contractuellement opposable, avec des pénalités réelles en cas de manquement — pas uniquement des engagements de moyens.

Critère 4 — Gouvernance et réversibilité

C'est souvent le critère oublié dans les comparatifs techniques. Pour un DSI qui veut reprendre la main sur son SI, la question de la réversibilité est existentielle : puis-je changer de solution sans perdre mes archives, sans reconstruire ma conformité de zéro ?

Approche A : La réversibilité dépend des formats d'export supportés par la solution d'archivage déployée sur l'IaaS. Les formats ouverts (EML, MBOX, PST natif sans dépendance propriétaire) doivent être exigés contractuellement. L'IaaS qualifié ne crée pas de lock-in en soi, mais le logiciel d'archivage peut en créer un.

Approche B : Réversibilité maximale par nature — les données sont sous contrôle direct. Le risque de lock-in est limité si les formats d'export sont ouverts et documentés. C'est l'approche qui offre la meilleure autonomie stratégique à long terme.

Approche C : La réversibilité est le point faible structurel des offres managées. Un opérateur qui stocke vos archives dans un format propriétaire crée une dépendance fonctionnelle aussi contraignante qu'un hyperscaler américain. Le DSI doit imposer contractuellement un plan de réversibilité testé, avec export complet des données dans un format standard à tout moment.

Ce que doit exiger un DSI en 2026

Quelle que soit l'approche retenue, trois exigences non négociables s'imposent dans un contexte de conformité CNIL/NIS2/DORA :

1. La souveraineté doit être juridiquement opposable, pas marketing. Qualification SecNumCloud, contrats DPA conformes RGPD avec liste exhaustive des sous-traitants, absence de clause de droit américain applicable : ces éléments doivent figurer dans le contrat, pas dans un white paper.

2. L'intégrité des archives doit être techniquement prouvable. Un horodatage qualifié eIDAS et une chaîne de custody documentée sont la condition pour que les archives email soient recevables dans une procédure légale ou un audit réglementaire.

3. La réversibilité doit être testée, pas promise. Exiger un export complet des données dans un format standard avant la signature, pas après trois ans de dépendance opérationnelle.

Le mouvement de centralisation des données email vers des infrastructures américaines n'est pas une fatalité technique — c'est une habitude contractuelle que les DSI européens ont désormais les outils réglementaires et les alternatives techniques pour rompre.