Une PME choisit entre cloud privé, public ou hybride selon cinq critères : le type de données et les obligations qui s’y attachent, le coût total sur plusieurs années, la dépendance au prestataire, la performance dont elle a besoin et les compétences internes dont elle dispose. Quand la réponse change selon la charge de travail, le résultat est le plus souvent un environnement hybride.
Ce que recouvre chaque modèle
La définition de référence est celle du NIST américain (publication SP 800-145, septembre 2011), et elle reste utile parce qu’elle sépare le modèle de l’emplacement. Un cloud privé est une infrastructure à usage exclusif d’une seule organisation ; il peut lui appartenir, être géré par un tiers ou combiner les deux, et se trouver dans ses locaux ou en dehors. Un cloud public est d’usage ouvert et se trouve dans les locaux du prestataire. Un cloud hybride combine deux infrastructures ou plus qui restent indépendantes, reliées par une technologie qui permet de faire passer données et applications de l’une à l’autre.
Cela a deux conséquences pratiques. "Privé" ne veut pas dire "sur le serveur du bureau" : une PME peut avoir un cloud privé géré par un prestataire, dans un centre de données externe. Et "hybride" n’est pas un niveau de maturité supérieur, mais le fait d’avoir une partie des systèmes à un endroit et une partie à un autre, avec une connexion et une façon de déplacer les données entre eux que quelqu’un a pensées.
Critère 1 : quelles données et quelles obligations
Le point de départ est de savoir ce que contiennent les systèmes. Le règlement général sur la protection des données (RGPD, article 32) comme la Llei 29/2021 d’Andorre sur la protection des données personnelles (article 35) demandent des mesures techniques et organisationnelles adaptées au risque, notamment la capacité de rétablir rapidement l’accès aux données en cas d’incident. Et si le traitement est confié à un prestataire, il faut en choisir un qui offre des garanties suffisantes et encadrer la relation par un contrat écrit (RGPD article 28, Llei 29/2021 article 31).
Les deux textes traitent aussi des transferts internationaux : le RGPD subordonne l’envoi de données hors de l’Union à des conditions, et la Llei 29/2021 interdit les communications internationales vers des pays sans niveau de protection équivalent, avec les exceptions des articles 43 et 44. Aucun de ces textes n’interdit le cloud public ni n’impose un cloud privé. Ils obligent à pouvoir démontrer que l’on a évalué le risque et que l’on sait où se trouvent les données.
Il y a un second effet, indirect. La directive NIS 2 (article 21, paragraphe 2, point d)) range la sécurité de la chaîne d’approvisionnement parmi les mesures que doivent appliquer les entités qui relèvent de son champ. Si votre PME est fournisseur de l’une d’elles, celle-ci peut vous demander des garanties sur l’endroit et la façon dont vous traitez ses informations.
Une méthode qui fonctionne consiste à classer les données en trois groupes et à décider par groupe, non par entreprise. À titre indicatif :
| Groupe | Exemples | Où cela s’inscrit en général |
|---|---|---|
| Risque faible | Site web public, supports marketing, environnements de test sans données réelles | Cloud public |
| Internes et confidentielles | Comptabilité, contrats, messagerie, ERP | Public avec chiffrement et sauvegardes propres, ou privé géré |
| Réglementées ou critiques | Dossiers clients, données de santé, données du personnel | Privé avec un emplacement connu, ou partie privée d’un hybride |
Critère 2 : le coût total, pas le prix de la première facture
Le cloud public évite en général l’investissement initial en matériel et facture à l’usage, mais la facture est variable et augmente avec la consommation. Le privé réserve une capacité qui se paie aussi quand elle n’est pas utilisée, en échange d’une dépense plus prévisible. L’hybride ajoute la complexité de deux environnements et de la connexion entre eux. Nous ne donnons pas de chiffres, car ils dépendent de la charge et de chaque offre : la comparaison utile est celle que vous faites avec vos propres données.
Pour comparer sur trois ans, incluez au minimum :
- Le calcul et le stockage, avec la croissance prévue.
- Les sauvegardes et leur lieu de conservation.
- Le trafic réseau et les connexions entre environnements.
- Les licences du système, de la base de données et des applications.
- Les heures de personnel : équipe interne ou prestataire, pour les mises à jour, la supervision et les incidents.
- La migration initiale et le coût de sortie.
Ce dernier point a désormais une base juridique dans l’Union. Le règlement (UE) 2023/2854 (règlement sur les données) est applicable depuis le 12 septembre 2025 et concerne les fournisseurs de services de traitement de données qui servent des clients de l’Union, où qu’ils soient établis (article 1er, paragraphe 3, point f)). Il prévoit qu’à partir du 12 janvier 2027, le fournisseur ne puisse imposer aucuns frais pour changer de fournisseur, y compris les frais de sortie des données ; jusque-là, seulement des frais réduits qui ne dépassent pas les coûts supportés par le fournisseur pour le processus de changement (article 29). Avant la signature, le fournisseur doit donner une information claire sur les frais standard et les pénalités de résiliation anticipée. Cela ne dispense pas de lire le contrat, mais donne une base pour l’exiger.
Critère 3 : la dépendance au prestataire
Ce qui coûte, c’est de changer, pas d’entrer. Pour mesurer la dépendance, posez trois questions : quelles données et quels formats vous pouvez exporter, qui détient les clés de chiffrement, et combien de temps et combien d’étapes il faut pour sortir.
Le règlement sur les données fournit une liste utile de ce qu’un contrat de cloud doit contenir (article 25) : le droit de changer de fournisseur ou de revenir à une infrastructure propre, un préavis maximal de deux mois pour engager le changement, une période de transition maximale de trente jours calendaires, une spécification complète des catégories de données exportables et l’appui du fournisseur à la stratégie de sortie du client. Si vous êtes en Catalogne, le règlement vous protège ; si vous êtes une entreprise établie uniquement en Andorre, il n’est pas garanti qu’il vous soit appliqué, il vaut donc mieux le prévoir dans le contrat. Dans les deux cas, c’est une bonne liste de contrôle.
Un test simple de dépendance : demandez un export complet de vos données et vérifiez que quelqu’un peut l’ouvrir sans le logiciel du prestataire.
Critère 4 : performance et proximité
La performance dépend de la charge. Une application de gestion qu’utilisent chaque jour vingt personnes d’un même bureau fonctionne mieux avec des ressources proches et stables. Une boutique en ligne avec des pics à Noël, un hôtel dont le site de réservation se remplit au début de la saison ou une station de ski qui concentre ses ventes sur quelques week-ends ont besoin d’une capacité qui monte et descend avec la demande, et l’élasticité du cloud public y trouve son sens.
Ne décidez pas d’après la fiche technique. Testez la charge réelle avec un court pilote : ce qui compte, c’est la façon dont le système répond à vos utilisateurs, depuis votre réseau, avec vos données.
Critère 5 : compétences internes
Un cloud privé ou hybride en propre exige de l’exploiter : mettre à jour les systèmes, les surveiller, vérifier les sauvegardes et répondre aux incidents. Le public demande lui aussi des connaissances, car une mauvaise configuration ou une consommation non maîtrisée peut réserver de mauvaises surprises en matière de sécurité et de facture. La question honnête est de savoir qui le fera et ce qui se passe quand cette personne est en congé ou s’en va.
Si l’équipe interne est petite, vous avez trois voies : la renforcer, recourir à des services gérés, comme un cloud privé géré, ou répartir les responsabilités avec un prestataire en précisant par écrit ce que fait chacun.
Ce que cela donne en Andorre et en Catalogne
Ce sont des situations types, pas des cas réels.
- Un cabinet professionnel d’Andorre avec des dossiers clients : les données réglementées et la messagerie vont dans un environnement privé à l’emplacement connu ; les outils bureautiques ou de visioconférence peuvent être publics si l’on contrôle ce qui y est déposé.
- Un hôtel ou un commerce d’Andorre avec des pics saisonniers : le site web et les réservations profitent d’un environnement élastique ; la base clients et la facturation peuvent rester dans un environnement privé. C’est le cas classique de l’hybride.
- Une PME industrielle ou commerciale de L’Hospitalet ou de Gérone avec un ERP et des fichiers : l’ERP, stable et porteur de données d’entreprise, s’accommode en général bien d’un serveur géré ; la collaboration et la messagerie peuvent être des services publics.
- Une clinique ou une gestoría (cabinet de conseil administratif et fiscal) avec des données particulièrement sensibles : le risque passe avant le prix, et il convient de revoir surtout le contrat de sous-traitance du traitement des données et les sauvegardes.
Notre intérêt dans ce sujet
Chez BDR Group, nous proposons du cloud géré avec Andorra Cloud, avec un centre de données et une équipe technique en Andorre, ainsi que des environnements cloud hybrides ; nous avons donc un intérêt dans cette décision. Notre position est que le cloud public est la meilleure option pour de nombreuses charges de travail, et qu’un environnement local ne vaut la peine que là où il apporte quelque chose de concret : des données à proximité, une personne à appeler ou un emplacement que l’on peut expliquer à un client ou à un auditeur.
Que faire maintenant
- Faites l’inventaire de vos systèmes et classez les données en trois groupes : risque faible, internes et confidentielles, réglementées ou critiques.
- Notez, pour chaque système, où il se trouve, qui le gère et quel contrat existe, et vérifiez que vous avez le contrat de sous-traitance du traitement des données là où il le faut.
- Calculez le coût sur trois ans avec les postes de la liste, en incluant les heures de personnel et le coût de sortie.
- Demandez à chaque prestataire sa politique d’export des données, son préavis et ses frais de changement, et testez un export réel.
- Décidez par charge de travail, non par entreprise, et faites un court pilote avant de déplacer quoi que ce soit de critique.
Questions fréquentes
L’hybride est-il toujours la meilleure option ?
Non. Il apporte de la souplesse, mais ajoute de la complexité et une connexion de plus à entretenir et à protéger. Si tous les systèmes ont des exigences proches, un seul modèle est plus simple.
Un cloud privé signifie-t-il avoir des serveurs au bureau ?
Non. Selon la définition du NIST, un cloud privé est à usage exclusif d’une organisation, mais il peut être géré par un tiers et se trouver hors de ses locaux.
Le cloud public est-il moins sûr ?
Pas par définition. La sécurité dépend de la configuration, des accès et des sauvegardes, et le RGPD comme la Llei 29/2021 demandent des mesures adaptées au risque, quel que soit le modèle. Ce qui change, c’est qui s’occupe de chaque partie, et il vaut mieux l’avoir par écrit.
Puis-je commencer en public et passer ensuite à autre chose ?
Oui, mais planifiez la sortie dès le premier jour : formats d’export, préavis et coûts de changement. Dans l’Union, le règlement sur les données limite ces coûts et oblige à les communiquer avant la signature.
Sources
- NIST (Mell, Grance). The NIST Definition of Cloud Computing, SP 800-145. Septembre 2011. Consulté le 25/10/2026. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf
- Parlement européen et Conseil. Règlement (UE) 2016/679 (règlement général sur la protection des données), articles 28 et 32. JOUE L 119, 4/5/2016. Consulté le 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
- Consell General d’Andorra. Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals (loi qualifiée 29/2021 du 28 octobre sur la protection des données personnelles), articles 31, 35 et 42 à 44. BOPA n° 119, 17/11/2021. Consulté le 25/10/2026. https://www.apda.ad/assets/pdf/CGL20211115_08_58_32.pdf
- Parlement européen et Conseil. Directive (UE) 2022/2555 (directive NIS 2), article 21. JOUE L 333, 27/12/2022. Consulté le 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2022-81963
- Parlement européen et Conseil. Règlement (UE) 2023/2854 (règlement sur les données), articles 1, 2, 25 et 29. JOUE L, 22/12/2023. Consulté le 25/10/2026. https://www.boe.es/doue/2023/2854/L00001-00071.pdf
Vous voulez savoir quel modèle vous convient ?
Si vous voulez revoir où se trouvent vos systèmes et quelles charges de travail ont du sens dans chaque environnement, commencez par la page du service : Cloud d’entreprise géré en Andorre
