Une DPIA indépendante, un label de confiance pour l'écosystème souverain
Dans un contexte où les allégations de conformité au RGPD envahissent les brochures commerciales de tous les éditeurs logiciels, une évaluation d'impact indépendante a une valeur rare. C'est précisément ce que vient de publier SURF — la coopérative informatique qui dessert l'enseignement supérieur et la recherche aux Pays-Bas — en partenariat avec Privacy Company, un cabinet spécialisé en protection des données.
SURF et Privacy Company ont conjointement conduit une DPIA (Data Protection Impact Assessment) de type « parapluie » sur Nextcloud Enterprise, le logiciel de collaboration open source auto-hébergé. L'exercice n'est pas anodin : la plupart des éditeurs décrivent leur approche de la protection des données dans des termes similaires, des formules qui figurent dans presque tous leurs supports marketing, largement parce qu'elles ne coûtent rien à énoncer et sont rarement vérifiées indépendamment.
Privacy Company et SURF ont conjointement réalisé cette DPIA sur Nextcloud Enterprise. Nextcloud a déjà pris des mesures et en prendra d'autres pour résoudre ou atténuer les 15 risques identifiés en matière de protection des données. Sur la base du nouveau contrat de traitement des données négocié, SURF recommande positivement l'utilisation de Nextcloud Enterprise pour les établissements d'enseignement aux Pays-Bas.
15 risques identifiés, tous résolus ou ramenés à un niveau résiduel faible
La DPIA a initialement identifié quinze risques en matière de protection des données. Ceux-ci concernaient les données administrateurs, les données de support et quelques autres données personnelles limitées. Aucun risque n'a été constaté pour les données que les organisations stockent elles-mêmes dans Nextcloud, car Nextcloud n'y a pas accès.
Grâce à un contrat de traitement des données adapté (DPA) et aux mesures complémentaires prises par Nextcloud, tous les risques identifiés ont été résolus ou ramenés à un faible risque résiduel. L'évaluation de la sécurité du logiciel est elle aussi positive.
Pour atténuer les 15 risques identifiés, Nextcloud a déjà pris des mesures contractuelles et techniques, et s'est engagé à en prendre d'autres au cours du troisième trimestre 2026 et avant la fin de l'année.
Euro-Office, seule option garantissant un traitement 100 % européen
C'est là qu'intervient la dimension la plus stratégique du rapport pour l'écosystème Euro-Office. Les établissements d'enseignement peuvent avoir la certitude que leurs données seront traitées exclusivement dans l'UE s'ils choisissent le nouveau Nextcloud Office fonctionnant sur Euro-Office.
Pour la DPIA, SURF a en effet testé avec l'ancienne version de Nextcloud Office, basée sur Collabora Online, dans laquelle les demandes de support pouvaient être traitées au Royaume-Uni. Euro-Office, en tant que suite entièrement européenne, lève cette ambiguïté géographique et fait de la localisation des données une garantie contractuelle forte.
Les conclusions de la DPIA sont également pertinentes pour les administrations néerlandaises, où l'intérêt pour les logiciels européens et open source est en croissance.
Des communes telles qu'Amsterdam, Ede, 's-Hertogenbosch et Zaanstad travaillent par ailleurs, avec le VNG et le ministère de l'Intérieur, à un pilote d'espace de travail numérique autonome reposant sur des composants open source, dont Nextcloud.
Mise en perspective. Cette DPIA signée SURF constitue un argument de poids dans les appels d'offres publics. Pour Euro-Office, être explicitement désigné comme la seule option garantissant un traitement exclusivement intra-UE, dans un rapport indépendant destiné à l'enseignement supérieur néerlandais, représente une vitrine de crédibilité difficile à ignorer — notamment à l'heure où d'autres Länder allemands et ministères français s'interrogent sur leur dépendance aux suites américaines.
