MDM souverain : gérer sa flotte mobile depuis la France

Un MDM souverain, c'est une solution de gestion de flotte mobile dont les données restent sous juridiction française et européenne, hors de portée des lois extraterritoriales comme le CLOUD Act américain. Pour un DSI ou un RSSI, la question n'est plus seulement « où sont mes serveurs », mais « quelle loi s'applique à mes données ». Ces deux réponses ne coïncident pas toujours, et c'est précisément là que se joue la souveraineté.

Les obligations qui poussent les entreprises françaises vers cette exigence se sont accumulées : directive NIS2, RGPD, et la jurisprudence Schrems II qui a invalidé le Privacy Shield en 2020. Voici comment lire ce paysage et ce qu'il faut vérifier concrètement avant de confier son parc mobile à un éditeur.

Qu'est-ce qu'un MDM souverain ?

Un MDM souverain est une solution de gestion des appareils mobiles qui héberge et traite vos données sur le territoire national, opérée par une entité soumise au droit français et européen. La souveraineté ne se résume pas à la localisation physique du datacenter : elle dépend du droit applicable à l'opérateur qui contrôle l'infrastructure.

La distinction est concrète. Un serveur installé à Paris mais opéré par une filiale d'un groupe américain reste exposé au CLOUD Act, cette loi de 2018 qui autorise les autorités des États-Unis à réclamer des données à un fournisseur américain, quel que soit le pays où ces données sont stockées. La localisation rassure sur le papier. La juridiction, elle, décide vraiment.

Pourquoi la souveraineté d'un MDM compte-t-elle en 2026 ?

Un MDM voit tout. Il connaît le numéro de série de chaque terminal, la version de l'OS, la liste des applications installées, la géolocalisation approximative, parfois l'identité de l'utilisateur et son adresse professionnelle. Sur une flotte de plusieurs centaines d'appareils, cet inventaire dessine la cartographie technique complète d'une organisation. Le confier à un tiers hors juridiction européenne, c'est accepter qu'un droit étranger puisse y accéder.

Trois textes rendent cette exigence opposable, pas seulement souhaitable :

• NIS2 : la directive européenne élargit le périmètre des entités soumises à des obligations de cybersécurité. Les entités essentielles et importantes doivent maîtriser leur chaîne d'approvisionnement numérique, ce qui inclut les prestataires qui gèrent leurs terminaux.
• RGPD : depuis l'arrêt Schrems II de juillet 2020, un transfert de données personnelles vers les États-Unis n'est plus couvert par une décision d'adéquation simple. Chaque transfert exige une analyse d'impact et des garanties supplémentaires que peu d'entreprises peuvent réellement documenter.
• Doctrine « cloud au centre » : l'État français impose depuis 2021 à ses administrations de recourir à des offres qualifiées pour les données sensibles. Cette exigence irrigue désormais les appels d'offres publics et les grands comptes privés.

Le secteur public, la santé, la défense et les opérateurs d'importance vitale n'ont plus le choix. Mais la tendance déborde largement ces secteurs réglementés : une ETI industrielle qui gère des terminaux d'atelier a les mêmes raisons de vouloir garder la main sur son inventaire.

Que garantit réellement l'hébergement en France ?

La qualification SecNumCloud, délivrée par l'ANSSI, est le référentiel de référence pour l'hébergement de données sensibles en France. Elle impose à l'hébergeur des exigences techniques, organisationnelles et surtout juridiques : l'entité qualifiée doit être immunisée contre les lois extraterritoriales non européennes. C'est ce dernier point qui fait la différence avec la norme ISO 27001 seule, qui ne dit rien de la juridiction.

Une précision qui évite les malentendus : la qualification SecNumCloud s'applique à l'infrastructure d'hébergement, pas au logiciel qui tourne dessus. Un éditeur de MDM ne « détient » pas une certification SecNumCloud. Ce qu'il peut garantir, c'est que son service est hébergé en France sur une infrastructure qualifiée SecNumCloud par l'ANSSI. La nuance a son importance dans un cahier des charges : vérifiez ce qui est qualifié, et par qui.

Quels critères vérifier pour choisir un MDM souverain ?

Un fournisseur qui met en avant sa souveraineté doit pouvoir répondre précisément à ces questions. Si les réponses restent vagues, c'est un signal.

• Qui opère l'infrastructure ? Le nom de l'hébergeur, sa nationalité, et son statut au regard de SecNumCloud. Un hébergeur français qualifié n'a pas le même profil de risque qu'un hyperscaler américain avec une région parisienne.
• Où sont traitées les données, pas seulement stockées ? Les sauvegardes, les logs, le support technique et les outils d'analyse peuvent fuiter hors de France même si la base de production reste en région parisienne.
• Quel droit s'applique à l'éditeur ? Une société de droit français, sans société mère américaine, offre une garantie qu'un contrat ne remplace pas.
• Les sous-traitants sont-ils documentés ? NIS2 impose la maîtrise de la chaîne. Un éditeur qui s'appuie sur un service tiers américain pour ses notifications push ou son analytics réintroduit le risque par la porte de derrière.

Attention au « souverain-washing ». Beaucoup d'éditeurs internationaux ouvrent une région de datacenter en France et présentent cela comme une offre souveraine. La localisation est un progrès, mais elle ne neutralise pas la juridiction de la société mère. Posez la question du droit applicable, noir sur blanc.

Souveraineté et fonctionnalités : faut-il choisir ?

C'est l'objection classique : un MDM souverain serait forcément moins riche qu'un acteur international. L'argument a eu du sens il y a dix ans, quand les éditeurs français étaient de petits challengers. Il tient beaucoup moins aujourd'hui.

Les fonctions qui comptent pour un parc d'entreprise (enrôlement automatisé, profils de configuration, séparation pro/perso sur le BYOD, mode kiosque, déploiement d'applications) reposent sur les mêmes API constructeur, qu'on soit chez Apple avec Automated Device Enrollment ou chez Google avec Android Enterprise. Un éditeur souverain les utilise exactement comme un éditeur américain. La différence ne se joue pas sur la couverture technique, mais sur ce qu'il advient des données que ces API génèrent.

Là où l'écart se creuse parfois, c'est sur les intégrations tierces et la profondeur du catalogue de connecteurs. Un acheteur exigeant doit donc vérifier deux choses en parallèle : que la couverture MDM répond à son besoin réel (souvent 90 % des cas se résument à une dizaine de fonctions), et que la chaîne de traitement reste souveraine de bout en bout. Les deux ne s'opposent pas, mais elles se vérifient séparément.

Comment Appaloosa répond à l'exigence de souveraineté

Appaloosa est une solution éditée en France, hébergée en France sur une infrastructure qualifiée SecNumCloud par l'ANSSI. La société est de droit français, ce qui la place hors du champ d'application du CLOUD Act. Pour un acheteur public ou une entreprise soumise à NIS2, cette combinaison (éditeur français plus hébergement qualifié) répond à la fois à l'exigence de localisation et à l'exigence de juridiction.

Concrètement, cela couvre la gestion des terminaux iOS, Android, Windows et macOS depuis une console unique, la distribution d'applications internes sans passer par les stores publics, et le déploiement sans contact des appareils neufs. L'inventaire de votre parc reste sous juridiction française, du premier enrôlement à la mise au rebut.

Pour approfondir le cadre réglementaire, notre article sur la conformité aux normes de sécurité mobile en France détaille les obligations sectorielles, et celui sur le cloud souverain replace la démarche dans le contexte plus large de la souveraineté numérique.

La souveraineté, un critère de sélection et non un argument marketing

Choisir un MDM souverain revient à aligner deux choses que le marché a tendance à séparer : l'endroit où vivent vos données et la loi qui les gouverne. Vérifiez les deux, exigez des noms et des qualifications précises, et méfiez-vous des offres qui confondent localisation et immunité juridique. Si vous gérez une flotte sensible, une démonstration vaut mieux qu'une brochure : demandez à voir où vont réellement les données.