Héberger son site et son courriel en Andorre se justifie quand les utilisateurs et l’équipe sont surtout dans la Principauté et que l’on veut un prestataire proche, qui répond dans sa langue. Ailleurs, l’hébergement peut mieux convenir si l’on a besoin d’échelle ou de services très spécifiques. Cinq critères décident : loi, latence, support, sauvegardes et sortie.
Nous déclarons notre intérêt : BDR Group propose de l’hébergement avec Hosting Andorra et du cloud géré avec Andorra Cloud, avec un centre de données en Andorre. C’est pourquoi nous prenons nos exemples sur leurs sites publics, et pourquoi nous disons aussi quand il ne convient pas d’héberger dans la Principauté.
Quelle loi s’applique aux données que vous hébergez ?
Si le site web ou le courriel contiennent des données personnelles de clients, de salariés ou de fournisseurs, l’entreprise est le responsable du traitement et l’hébergeur en est le sous-traitant. Cela exige un contrat écrit comportant des instructions documentées, des mesures de sécurité, un contrôle des sous-traitants ultérieurs et la suppression ou la restitution des données à la fin du service (article 31 de la Llei 29/2021, la loi qualifiée andorrane sur la protection des données personnelles, en Andorre ; article 28 du règlement (UE) 2016/679, le règlement général sur la protection des données ou RGPD, dans l’UE).
L’emplacement du serveur détermine aussi s’il y a un transfert international de données. Depuis l’Andorre, la Llei 29/2021 du 28 octobre (BOPA n° 119, du 17 novembre 2021 ; le BOPA, Butlletí Oficial del Principat d’Andorra, est le journal officiel andorran) interdit de communiquer des données à des pays n’offrant pas un niveau de protection équivalent (article 42), considère comme adéquats les États membres de l’UE et les pays figurant sur la liste des décisions d’adéquation de l’Union (article 43) et, pour les autres, exige des garanties appropriées (article 44). Une entreprise andorrane peut contracter un hébergement dans l’UE sans démarche de transfert ; ce qui demande du travail, c’est un service situé hors de l’UE et sans décision d’adéquation.
Inversement, une entreprise de Catalogne ou d’Espagne peut héberger des données en Andorre. La Commission européenne a constaté le 19 octobre 2010 que l’Andorre assure un niveau de protection adéquat (décision 2010/625/UE), et un transfert fondé sur une décision d’adéquation ne nécessite aucune autorisation spécifique (article 45, paragraphe 1, du RGPD). Dans le premier réexamen des décisions antérieures au RGPD, publié le 15 janvier 2024, la Commission a conclu que l’Andorre continue d’offrir un niveau adéquat (COM(2024) 7 final). Le contrat de sous-traitance reste obligatoire.
L’adéquation n’est pas une garantie permanente. Le RGPD prévoit que la Commission surveille de manière continue les pays bénéficiant d’une décision et peut la modifier, la suspendre ou l’abroger (article 45, paragraphes 4 et 5), et l’un des éléments qu’elle évalue est l’existence d’une autorité de contrôle indépendante (article 45, paragraphe 2, point b). Dans son rapport annuel 2024, l’Agence andorrane de protection des données (APDA) a signalé qu’une modification de la Llei 29/2021 réalisée cette année-là soulevait des doutes sur cette indépendance. Au 25 octobre 2026, la décision est en vigueur, mais il convient de suivre le dossier.
La Llei 22/2022 concerne aussi celui qui contracte l’hébergement
La Llei 22/2022 du 9 juin, loi andorrane sur les mesures de sécurité des réseaux et des systèmes d’information (BOPA n° 76, du 22 juin 2022), range parmi les entités essentielles les fournisseurs de services d’informatique en nuage et de centres de données (annexe I, secteur 7). Elle s’applique aux entités qui atteignent les seuils de l’article 2.1 : 50 personnes, ou plus de dix millions d’euros de chiffre d’affaires ou de total du bilan. Si votre prestataire y est soumis, il a des obligations de gestion des risques et de notification des incidents (articles 12 à 15). Et si l’entité essentielle ou importante, c’est vous, la loi vous demande de tenir compte de la sécurité de la chaîne d’approvisionnement, y compris des fournisseurs de stockage de données (article 13.3.e). Il vaut la peine de poser la question : est-il soumis à cette loi et comment gère-t-il la notification des incidents ?
Latence et connexion : ce que l’on peut affirmer et ce qu’il faut mesurer
Nous n’avons pas trouvé de mesures publiques et indépendantes de latence entre l’Andorre et les villes où les entreprises de la Principauté ont des clients, ni de données publiées sur la capacité des connexions internationales, et nous ne donnons donc aucun chiffre. La manière fiable de le savoir est de mesurer depuis les lieux où se trouvent vos utilisateurs, avec votre prestataire actuel et avec celui que vous envisagez.
Cela se teste, cela ne se lit pas. Demandez un environnement de test et mesurez le temps de réponse (ping, traceroute, ou le temps jusqu’au premier octet affiché par les outils de développement du navigateur) depuis les lieux où se trouvent vos utilisateurs et à différentes heures. Regardez aussi votre propre site : une page lente l’est généralement à cause d’images lourdes, d’un gestionnaire de contenu sans cache ou d’une base de données saturée, et changer de pays n’y change rien. À notre avis, si la plupart des visites viennent de l’extérieur de la Principauté, un réseau de diffusion de contenu bien configuré pèse plus que le pays du serveur. Demandez aussi combien d’opérateurs assurent la sortie du trafic du centre de données et ce qui se passe si une connexion tombe.
Support : langue, horaires et qui a l’accès
Le support est le critère qui se remarque le plus lors d’un incident et celui qui apparaît le moins dans les comparateurs. Il faut savoir dans quelle langue on vous répond, à quelles heures, par quel canal et avec qui vous parlez : une personne qui peut se connecter à votre serveur, ou un premier niveau qui transmet la demande. Les délais de réponse n’ont de valeur que s’ils sont contractuels.
À titre d’exemple de lecture : d’après le site de Hosting Andorra, consulté le 25 octobre 2026, le service dispose d’une équipe technique propre, d’un support par ticket depuis l’espace client ou le formulaire de contact, d’une assistance téléphonique du lundi au vendredi de 8 h 30 à 18 h 30 (hors jours fériés) et d’un site en catalan, espagnol, anglais et français. Pour les serveurs virtuels, le même site distingue des niveaux de gestion, dont un en jours ouvrés et un étendu aux week-ends et jours fériés. Les horaires réels dépendent donc du niveau que vous contractez, et cela doit être vérifié avec tout prestataire, y compris avec nous.
Sauvegardes : où elles sont, qui les contrôle et qui les restaure
La Llei 29/2021 demande des mesures permettant de rétablir rapidement l’accès aux données personnelles en cas d’incident physique ou technique, et un processus de vérification régulière du fonctionnement de ces mesures (article 35.1.c et d), selon la même logique que l’article 32 du RGPD. Dans un contrat d’hébergement, cela se traduit par quatre questions : où se trouve la copie (pas sur le même serveur ni dans le même compte que l’original), combien de temps elle est conservée, qui peut la restaurer et si une restauration a réellement été testée.
Il faut aussi lire ce que comprend chaque formule, car tous les hébergements n’incluent pas de sauvegardes gérées. Chez Hosting Andorra, par exemple, avec l’hébergement web, le client peut réaliser et télécharger les sauvegardes de son site depuis Plesk, et les sauvegardes gérées se contractent comme un service spécifique, avec la copie principale en Andorre et une troisième copie facultative dans un second centre de données. Il y a une décision aux conséquences qu’il vaut mieux connaître : si vous chiffrez les sauvegardes avec votre propre clé, personne d’autre ne peut les lire, mais personne ne peut non plus les vérifier ni les restaurer à votre place. Cela doit être clarifié avec tout prestataire avant de considérer comme acquis qu’une sauvegarde existe.
Sortie : pouvoir partir sans dépendre du prestataire
Le contrat de sous-traitance doit prévoir que, au choix du responsable du traitement, le prestataire supprime ou restitue toutes les données à la fin du service (article 31.4.g de la Llei 29/2021 ; article 28, paragraphe 3, point g, du RGPD). Avant de signer, il convient de savoir dans quel format et dans quel délai on vous les remet, et si cela a un coût. Trois choses dépendent de vous et non du prestataire : que le domaine soit enregistré au nom de l’entreprise, que vous ayez accès au DNS et que le courriel puisse être exporté. Faites un test de sortie avant d’en avoir besoin : restaurez une sauvegarde dans un autre environnement et vérifiez que le site et le courriel y fonctionnent.
Andorre ou ailleurs : résumé par critères
| Critère | En Andorre | Hors d’Andorre |
|---|---|---|
| Cadre juridique | Llei 29/2021 ; depuis l’UE, le transfert est couvert par l’adéquation | Dans l’UE, sans démarche (article 43) ; hors de l’UE, adéquation ou garanties (article 44) |
| Latence | À mesurer ; avantage si les utilisateurs sont dans la Principauté | Dépend de la distance ; un réseau de diffusion de contenu peut compenser |
| Support | Langue et horaires locaux, selon le niveau contracté | Peut être mondial ; vérifier la langue et les horaires par écrit |
| Sauvegardes | Vérifier où se trouve la copie principale et s’il en existe une séparée | Idem, et sous quelle juridiction |
| Échelle | En général, un catalogue plus restreint | En général, plus de régions et de services |
Quand il est pertinent d’héberger hors d’Andorre
Nous avons un intérêt en faveur de l’hébergement local, et c’est pourquoi nous le disons : ce n’est pas toujours la meilleure option. Si votre public principal se trouve hors de la Principauté, si vous avez besoin de services que seuls les grands fournisseurs proposent (plusieurs régions, calcul à la demande) ou si vous travaillez avec des outils hébergés là où leur éditeur le décide, héberger à l’extérieur peut être raisonnable. À condition que ce soit avec un contrat de sous-traitance, un transfert justifié et une sauvegarde séparée.
Que faire maintenant
- Faites l’inventaire de ce que vous hébergez (web, courriel, ERP, sauvegardes) et repérez ce qui contient des données personnelles.
- Pour chaque service, notez où se trouvent les données, qui est le prestataire et s’il existe un contrat de sous-traitance.
- Mesurez le temps de réponse depuis les lieux où se trouvent vos utilisateurs avant de comparer les prestataires.
- Demandez par écrit le support (langue, horaires, canal), l’emplacement des sauvegardes, qui les restaure et dans quel délai.
- Faites un test de restauration et vérifiez que le domaine et le DNS vous appartiennent.
Questions fréquentes
Puis-je héberger en Andorre les données d’une entreprise de Catalogne ?
Oui. L’Andorre bénéficie d’une décision d’adéquation de la Commission européenne, et un transfert fondé sur une telle décision ne nécessite pas d’autorisation spécifique. Le contrat de sous-traitance reste obligatoire.
Une entreprise andorrane peut-elle utiliser un hébergement dans l’UE ?
Oui. La Llei 29/2021 considère comme adéquats les États membres de l’UE. Il faut être attentif aux services qui, bien que contractés en Europe, envoient des données vers des pays tiers sans décision d’adéquation.
Une loi m’oblige-t-elle à conserver les données en Andorre ?
Nous n’avons pas trouvé cette obligation dans le texte de la Llei 29/2021 ni dans celui de la Llei 22/2022 publié au BOPA. Le Gouvernement a approuvé le 23 juin 2026 un projet de loi modifiant la Llei 22/2022 que nous n’avons pas pu examiner dans son texte ; si vous êtes une entité essentielle ou importante, vérifiez-le.
Hosting Andorra et Andorra Cloud, est-ce la même chose ?
Non. Hosting Andorra est la marque de BDR Group pour l’hébergement web, le courriel, les domaines .ad et les serveurs virtuels. Andorra Cloud propose du cloud géré sur mesure pour les entreprises (serveurs, sauvegardes et supervision). Les deux appartiennent à BDR Group, et c’est pourquoi nous avons déclaré notre intérêt.
Sources
- Conseil général d’Andorre. Llei 29/2021, du 28 octobre, loi qualifiée sur la protection des données personnelles (en catalan), articles 31, 35 et 42 à 44. BOPA n° 119, du 17 novembre 2021. Consulté le 25 octobre 2026. https://www.apda.ad/assets/pdf/CGL20211115_08_58_32.pdf
- Parlement européen et Conseil. Règlement (UE) 2016/679 (règlement général sur la protection des données), articles 28, 32 et 45. JO L 119, du 4 mai 2016. Consulté le 25 octobre 2026. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679
- Commission européenne. Rapport sur le premier réexamen des décisions d’adéquation, COM(2024) 7 final, du 15 janvier 2024, points 1 et 4.1 (mentionne la décision 2010/625/UE, JO L 277, du 21 octobre 2010). Consulté le 25 octobre 2026. https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:52024DC0007
- Commission européenne. Adequacy decisions (liste des pays bénéficiant d’une décision d’adéquation, en anglais). Consulté le 25 octobre 2026. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
- Agence andorrane de protection des données. Rapport annuel 2024 (en catalan). Consulté le 25 octobre 2026. https://www.apda.ad/storage/memories/ULYH2MikkCOWzrH241VfOzUNgpB8UD62FePmsD05.pdf
- Conseil général d’Andorre. Llei 22/2022, du 9 juin, sur les mesures de sécurité des réseaux et des systèmes d’information (en catalan), articles 2, 12 à 15, annexe I. BOPA n° 76, du 22 juin 2022. Consulté le 25 octobre 2026. https://www.consellgeneral.ad/fitxers/documents/lleis-2022/llei-22-2022-del-9-de-juny-de-mesures-per-a-la-seguretat-de-les-xarxes-i-dels-sistemes-d2019informacio
- Gouvernement d’Andorre. Le Gouvernement renforce le cadre de cybersécurité pour l’adapter à l’évolution de l’environnement numérique (en catalan), du 23 juin 2026. Consulté le 25 octobre 2026. https://www.govern.ad/ca/w/el-govern-reforca-el-marc-de-ciberseguretat-per-adaptar-lo-a-l-evolucio-de-l-entorn-digital
- Hosting Andorra. Pages d’accueil, de sauvegardes et de contact (site public). Consulté le 25 octobre 2026. https://www.hostingandorra.com/
Vous voulez vérifier où est hébergée votre information ?
Si vous voulez savoir où se trouve votre infrastructure et quelles options vous avez en Andorre, commencez par la fiche du service : Cloud d’entreprise géré en Andorre. Pour le web, le courriel et les domaines, la marque est Hosting Andorra.