Le virage inattendu qui change tout pour les hébergeurs

Vous gérez un hosting managed ? Vous traitez des données clients en Europe ? Ou vous proposez une plateforme de services data ? Attention. L'idée que vos clients assument seuls le RGPD ? C'est fini.

Pendant sept ans, le RGPD frappait toujours le même cible : l'entreprise en contact direct avec les utilisateurs. Les hébergeurs, les clouds, les couches infra ? Mentionnés dans les enquêtes, mais rarement sanctionnés. Ça allait de 2018 à 2024.

2025 a tout basculé. Deux décisions officielles le prouvent. Et ça devrait inquiéter tous les dirigeants d'hébergement.

Affaire 1 : L'échec sécurité du NHS à 3,07 millions de livres

En mars 2025, l'ICO au Royaume-Uni a innové. Elle a sanctionné directement un sous-traitant data.

Advanced Computer Software Group fournit des services IT au National Health Service. En août 2022, des ransomware ont infiltré via un compte client sans MFA. Résultat : dossiers médicaux de 900 patients exposés, sur un total de 82 946 personnes.

Le point clé : Advanced a écopé d'une amende non pas pour sa relation avec les patients, mais pour son manquement à sécuriser les données qu'il devait protéger par contrat.

L'enquête ICO pointe les failles techniques :

• Absence de MFA sur les systèmes traitant des données santé
• Pas de scans vulnérabilités complets
• Gestion des patches défaillante

Amende initiale : 6,1 millions de livres. Réduite à 3,07 millions après accord. Le message est clair : l'article 32 du UK GDPR exige des mesures techniques et organisationnelles adaptées. Si vous traitez des données sous contrat, vous les mettez en place. Point.

Pas d'amende contre le NHS. Directement contre le processeur.

Affaire 2 : Le piège de la conservation data à 1 million d'euros

Cinq mois plus tard, la CNIL en France frappe Mobius Solutions, une SaaS britannique gérant des données pub Deezer.

Fin de contrat ? Mobius garde les données. Pire : il les utilise pour booster son propre service, sans autorisation.

La CNIL retient trois violations :

1. Conservation post-contrat (violation article 28(3)(g))
2. Traitement hors instructions du responsable (article 28(3)(a))
3. Absence de registre des traitements (article 30)

Amende : 1 million d'euros.

Pour les hébergeurs, c'est crucial. 46 millions de profils Deezer users. Mobius n'avait pas d'établissement UE, ce qui facilite la juridiction CNIL. Trois ans d'enquête (2022-2025) aboutissent à une sanction directe contre le processeur.

Ce que ça implique pour votre business hosting

Pas des cas isolés. Des précédents. Voici ce qu'ils fixent :

Vous répondez directement de votre sécurité. Un DPA avec vos clients transfère des obligations contractuelles, pas les risques RGPD. Faute de contrôles techniques adéquats ? L'autorité vous amende vous.

Supprimer les données n'est pas facultatif. Contrat fini ? Vous effacez selon les termes. Les garder "au cas où" ou pour vos besoins internes = amende directe. Mobius le confirme.

Les standards sécurité sont obligatoires. MFA, gestion vulnérabilités, patches, contrôles accès : en 2025, ce n'est plus optionnel. Un audit révèle les trous. Une autorité sanctionne.

La documentation fait foi. Chez Mobius, le manque de registre traitements = violation à part. Vos logs traitements, audits techniques, incidents sécurité, politiques retention : c'est votre preuve. Sans ça, les autorités présument la non-conformité.

Actions immédiates pour votre hébergement

Vous hébergez, gérez des services ou SaaS avec données UE ? Voici la check-list :

1. Auditez votre infra sécurité. MFA, chiffrement, segmentation réseau, scans vulnérabilités : déployés partout sur les données perso ? Sinon, vous êtes vulnérable.

2. Vérifiez vos pratiques retention. Fin de contrat = suppression auto des data clients ? Ou backups éternels ? Documentez et appliquez les durées.

3. Renforcez vos DPA. Définissez précisément obligations sécurité, procédures suppression, droits audit. Soyez concret.

4. Mettez en place logs et monitoring complets. Prouvez ce que vous traitez, qui y accède, comment vous protégez. C'est votre bouclier.

5. Pensez assurance cyber. Les amendes RGPD montent. Ça ne couvre pas tout, mais c'est du risk management sérieux.

6. Consultez des avocats. Ces précédents sont frais. Besoin d'experts tech et droit sur le shift 2025.

La vérité qui dérange

Le cadre légal rendant les processeurs responsables existe depuis 2018. Les autorités visaient les responsables de traitement. Cible facile.

En 2025, elles s'attaquent aux vrais gardiens des data. Et ça continue.

Advanced et Mobius ouvrent la voie. Pas les derniers. Tous les hébergeurs, SaaS, clouds UE data : vous êtes concernés.

La question n'est plus "si". C'est "quand ils viendront pour vous".

Chez NameOcean, Vibe Hosting intègre la compliance dès l'architecture. Mais la conformité, on ne l'achète pas. On la construit dans l'infra, les docs, les ops.

Bougez maintenant. Le précédent est posé.