Souveraineté des données RH : le grand oublié du débat, votre serveur de messagerie

La souveraineté numérique s’impose progressivement dans le recrutement

Depuis quelques années, la souveraineté numérique prend une place grandissante dans les réflexions des professionnels des ressources humaines et du recrutement. La politique de l’administration Trump a notamment contribué à remettre au premier plan, en Europe, les questions de défense, d’autonomie stratégique et de souveraineté numérique.

Les entreprises s’interrogent davantage sur les technologies utilisées par leurs prestataires, les lieux d’hébergement des données et les garanties proposées par les éditeurs de logiciels.

Cette évolution est positive.

Les professionnels du recrutement manipulent quotidiennement des données personnelles et confidentielles. Il est donc parfaitement légitime de chercher à mieux comprendre où ces informations sont stockées, comment elles sont traitées et qui peut y accéder.

Les discussions se concentrent principalement sur trois sujets :

• L’hébergement des données : les informations sont-elles stockées en France, en Europe ou dans un pays tiers ?
• Les fournisseurs technologiques : les infrastructures appartiennent-elles à des entreprises européennes ou américaines ?
• L’intelligence artificielle : quels modèles sont utilisés et quelles données leur sont transmises ?

Ces questions sont importantes et méritent d’être posées.

Mais à mesure que ces débats progressent, un élément pourtant central de notre environnement numérique semble régulièrement passer au second plan.

Notre serveur de messagerie professionnelle.

Le grand oublié du débat : votre boîte mail

Prenons un instant pour observer le quotidien d’un recruteur.

Chaque jour, il reçoit des candidatures, échange avec des candidats, transmet des profils à ses clients et partage des informations avec ses collègues.

Une part importante de ces interactions passe encore par email.

Et derrière ces échanges, on trouve une quantité considérable de données personnelles et professionnelles.

Quelques exemples :

• Des CV contenant l’identité, les coordonnées et le parcours professionnel des candidats.
• Des prétentions salariales et des informations sur les rémunérations actuelles.
• Des comptes rendus d’entretien et des évaluations de compétences.
• Des informations relatives à des recherches d’emploi confidentielles.
• Des prises de références et des commentaires sur des candidatures.
• Des documents contractuels et des échanges confidentiels avec les entreprises clientes.

Ces données sont parfois aussi sensibles que celles stockées dans un ATS ou un CRM de recrutement.

Pourtant, lorsque nous évoquons la souveraineté des données RH, nous parlons beaucoup des logiciels spécialisés et relativement peu des infrastructures qui hébergent nos emails.

Or, une boîte mail professionnelle n’est pas simplement un outil de communication : c’est aussi un espace de stockage de données personnelles.

Et souvent, un espace de stockage considérable.

Des milliers de données RH conservées pendant des années

Contrairement à un ATS, dans lequel les données peuvent être structurées et associées à des règles de conservation, la messagerie professionnelle fonctionne souvent comme une immense archive.

Un CV reçu il y a quatre ans peut toujours se trouver dans une conversation.

Une évaluation de candidat peut avoir été transférée à plusieurs interlocuteurs.

Un compte rendu d’entretien peut subsister dans une pièce jointe, alors même que le dossier du candidat a été supprimé du logiciel de recrutement.

Ce fonctionnement soulève plusieurs questions.

Combien de CV sont actuellement conservés dans les boîtes mail de votre cabinet ?

Pendant combien de temps ?

Qui peut y accéder ?

Que se passe-t-il lorsqu’un candidat demande la suppression de ses données personnelles ?

Et lorsqu’un collaborateur quitte l’entreprise, comment sont gérées les données RH contenues dans son ancienne messagerie ?

Ces questions ne sont pas nouvelles. Elles découlent directement des principes de protection des données personnelles.

Le RGPD s’applique aux traitements de données, quel que soit l’outil utilisé.

La distinction est importante : supprimer une fiche candidat dans son ATS ne signifie pas nécessairement que toutes les copies de ses données ont disparu des autres systèmes de l’entreprise.

Il faut toutefois tenir compte des obligations légales de conservation et des situations dans lesquelles certaines données peuvent légitimement être conservées.

Google Workspace et Microsoft 365 : quelle place dans le débat sur la souveraineté ?

Aujourd’hui, de nombreuses entreprises et cabinets de recrutement utilisent Google Workspace ou Microsoft 365 pour leurs messageries professionnelles.

Selon une étude publiée par Getlead en 2026, portant notamment sur 2 751 domaines professionnels français, 65 % des domaines analysés utilisent Microsoft 365 ou Google Workspace comme infrastructure de réception des emails.

Ces résultats illustrent la place importante des fournisseurs américains dans la messagerie professionnelle, un maillon pourtant souvent oublié des discussions sur la souveraineté des données RH.

Cette proportion concerne l’échantillon étudié et ne constitue pas une mesure exhaustive du marché français, ni une statistique spécifique aux cabinets de recrutement.

Source : Getlead, State of B2B Email Infrastructure 2026.

Cela ne signifie pas que ces services sont incompatibles avec le RGPD.

Utiliser un fournisseur américain n’est pas, en soi, une violation du règlement européen.

Le RGPD prévoit différents mécanismes permettant d’encadrer les transferts de données vers des pays tiers, notamment les décisions d’adéquation et les clauses contractuelles types.

Google et Microsoft proposent également des engagements contractuels et différentes options de localisation et de protection des données, selon leurs offres.

En revanche, lorsqu’une organisation souhaite aller au-delà de la conformité réglementaire et renforcer sa souveraineté numérique, la question de sa messagerie mérite la même attention que celle de son ATS ou de son infrastructure cloud.

Car plusieurs sujets peuvent entrer en ligne de compte :

• La localisation effective des données.
• Le pays d’établissement du fournisseur.
• Les législations auxquelles ce fournisseur peut être soumis.
• Les accès éventuels aux données depuis des pays tiers.
• Les sous-traitants techniques impliqués.
• La dépendance à un fournisseur et les possibilités de migration.

Ces questions sont aujourd’hui régulièrement posées aux éditeurs de logiciels RH.

Pourquoi ne pas également les poser à nos fournisseurs de messagerie ?

Il faut d’ailleurs distinguer le logiciel utilisé pour consulter ses emails du service qui héberge réellement la boîte mail. Une personne peut utiliser l’application Outlook tout en disposant d’une messagerie hébergée chez un fournisseur européen indépendant.

C’est donc bien l’infrastructure de messagerie et ses conditions d’exploitation qu’il convient d’examiner.

Hébergement européen, RGPD et souveraineté : trois notions distinctes

Pour approfondir cette réflexion, il est utile de distinguer trois concepts souvent associés.

La conformité au RGPD

Elle concerne le respect des obligations applicables aux traitements de données personnelles : licéité, transparence, sécurité, droits des personnes, durées de conservation ou encore encadrement des sous-traitants.

La localisation des données

Elle désigne les lieux dans lesquels les informations sont physiquement stockées ou traitées. Un fournisseur américain peut exploiter des centres de données en Europe.

La souveraineté numérique

Elle renvoie plus largement à la maîtrise des technologies, des infrastructures, des dépendances et des risques juridiques associés aux fournisseurs.

Ces trois notions sont liées, mais elles ne sont pas interchangeables.

Une messagerie hébergée en France ne garantit pas automatiquement la conformité au RGPD.

À l’inverse, une messagerie proposée par une entreprise américaine peut parfaitement être utilisée dans un cadre conforme au RGPD.

Et une organisation peut être conforme au RGPD tout en restant fortement dépendante de fournisseurs technologiques étrangers.

Cette distinction permet de poser les bonnes questions sans réduire le débat à l’origine géographique d’une entreprise.

Des alternatives européennes à Gmail et Microsoft 365 existent

Pour les organisations qui souhaitent renforcer leur indépendance technologique, plusieurs fournisseurs européens proposent aujourd’hui des solutions de messagerie professionnelle.

Fournisseur	Pays d’origine	Particularités
OVHcloud	France	Messagerie professionnelle avec hébergement en France selon l’offre
Infomaniak	Suisse	Messagerie et suite collaborative hébergées en Suisse
BlueMind	France	Messagerie collaborative open source et déploiements maîtrisés
Mailo	France	Messagerie axée sur la confidentialité et l’hébergement français
Proton Mail	Suisse	Messagerie avec des fonctionnalités avancées de chiffrement
IONOS	Allemagne	Services de messagerie professionnelle et d’hébergement

Ces solutions répondent à différents besoins, de l’indépendant au grand groupe.

Leur choix doit évidemment tenir compte des fonctionnalités nécessaires, de la disponibilité du service, de la sécurité, de la réversibilité et des intégrations avec les logiciels métiers.

Il faut également vérifier les garanties contractuelles et techniques de chaque offre : un fournisseur européen n’exclut pas nécessairement toute intervention d’un sous-traitant situé hors d’Europe.

L’enjeu n’est donc pas de remplacer systématiquement Gmail ou Microsoft 365.

Il est de considérer la messagerie comme une composante à part entière de sa stratégie de protection et de souveraineté des données.

Pour une approche globale de la protection des données RH

La souveraineté numérique ne devrait pas être abordée uniquement à travers le choix d’un logiciel.

Dans le recrutement, les données circulent en permanence entre plusieurs environnements.

Un candidat est identifié sur une plateforme de sourcing.

Son profil est enregistré dans un ATS.

Son CV est reçu par email.

Un compte rendu d’entretien est partagé dans un outil collaboratif.

Des informations sont transmises au client, parfois sous forme de documents ou de pièces jointes.

Chaque étape peut impliquer un prestataire différent, une infrastructure différente et des conditions de traitement spécifiques.

C’est donc l’ensemble de cette chaîne qu’il faut examiner.

Une démarche cohérente pourrait notamment consister à :

1. Cartographier les outils utilisés pour traiter des données de candidats.
2. Identifier les fournisseurs et sous-traitants impliqués.
3. Vérifier les lieux de stockage, de traitement et les éventuels transferts internationaux.
4. Évaluer les garanties de sécurité et de confidentialité.
5. Définir des règles de conservation et de suppression qui couvrent aussi les emails et les documents partagés.

Cela permet d’aller au-delà d’une simple liste de logiciels « français » ou « européens » pour construire une véritable politique de gouvernance des données RH.

Conclusion : et si nous ajoutions la messagerie au débat ?

L’intérêt croissant des professionnels RH pour la souveraineté numérique est une excellente chose.

Il contribue à responsabiliser les éditeurs, à renforcer les exigences de transparence et à mieux protéger les informations personnelles des candidats.

Mais pour que cette réflexion soit complète, elle mérite de dépasser les seuls logiciels de recrutement.

Les ATS, les CRM, les plateformes de sourcing et les outils d’intelligence artificielle font naturellement partie de l’équation.

Nos serveurs de messagerie aussi.

Parce que derrière chaque boîte mail professionnelle se trouvent parfois des années d’échanges, des milliers de CV et une quantité importante d’informations confidentielles.

Et parce que la protection des données ne dépend pas uniquement de l’endroit où nous enregistrons une fiche candidat, mais aussi de tous les outils par lesquels ses informations transitent et sont conservées.

La prochaine fois que vous vous interrogerez sur la souveraineté de votre ATS ou de votre solution de sourcing, prenez peut-être quelques minutes pour vous poser une question supplémentaire :

Et mon serveur de messagerie, qui l’héberge, où sont stockées mes données et quelles garanties m’offre-t-il ?

C’est peut-être l’un des sujets les plus importants, et les moins discutés, de notre environnement numérique RH.