Une certification attendue, un résultat clair
Privacy Company et SURF ont conjointement réalisé une DPIA (Data Protection Impact Assessment) portant sur le logiciel Nextcloud Enterprise.
Publiée le 11 août 2026, cette évaluation indépendante a pour objectif de donner aux clients actuels et potentiels la certitude que les affirmations de Nextcloud en matière de protection de la vie privée reposent sur des bases concrètes.
Le résultat est globalement positif : Nextcloud a déjà pris des mesures et s'est engagé à en prendre de nouvelles pour résoudre ou atténuer les 15 risques identifiés.
Sur la base d'un nouvel accord de traitement des données négocié, SURF recommande positivement l'utilisation de Nextcloud Enterprise pour les établissements d'enseignement aux Pays-Bas.
Le calendrier d'exécution est précis : pour atténuer les 15 risques de protection des données identifiés, Nextcloud a déjà pris des mesures contractuelles et techniques, et s'est engagé à en appliquer d'autres au troisième trimestre 2026, puis avant la fin de l'année.
Euro-Office, seule option à traitement 100 % européen
C'est la mention qui retiendra l'attention de l'écosystème souverain : dans le corps du rapport, les auditeurs soulignent que les établissements d'enseignement peuvent compter sur un traitement des données exclusivement dans l'UE s'ils choisissent le nouveau Nextcloud Office propulsé par Euro-Office.
Cette formulation est loin d'être anodine. Elle signifie qu'aucune autre option d'édition intégrée à Nextcloud — ni Collabora Online, ni les anciens modules — ne bénéficie d'une telle garantie dans les conclusions de la DPIA. Euro-Office devient ainsi, de fait, la référence souveraine recommandée par un audit tiers dans le cadre réglementaire néerlandais.
La DPIA identifie les mesures que les établissements d'enseignement doivent prendre pour prévenir les risques élevés en matière de protection des données, et fournit une liste provisoire de mesures de sécurité conseillées aux organisations qui décident d'héberger le logiciel elles-mêmes.
Un signal réglementaire aux répercussions européennes
La DPIA a été conduite dans le cadre du droit néerlandais de la protection des données appliqué au secteur éducatif, mais sa portée symbolique dépasse largement les Pays-Bas. Les organisations peuvent utiliser cette DPIA globale pour informer les administrateurs et les utilisateurs finaux de la nature du traitement des données interne, ainsi que du traitement opéré par Nextcloud. Sur la base de l'accord de traitement des données amendé pour le secteur éducatif néerlandais, les établissements conservent le contrôle du traitement limité effectué par Nextcloud, y compris via ses sous-traitants.
Dans un contexte où la conformité RGPD et la question des transferts de données hors UE font l'objet d'une surveillance accrue — notamment depuis les débats post-Schrems II —, disposer d'une DPIA indépendante favorable représente un atout commercial et institutionnel de premier plan. Pour Nextcloud, il s'agit de transformer une promesse de souveraineté en preuve auditée. Pour Euro-Office, être nommément désigné comme le moteur garantissant l'exclusivité du traitement en Europe constitue une validation réglementaire inédite depuis son lancement en juin 2026.
À l'approche de Nextcloud Hub 26 Summer, prévu pour le 16 septembre, et de la Nextcloud Community Conference de Berlin, ce tampon d'indépendance arrive au bon moment pour convaincre des administrations et des acteurs de l'enseignement supérieur encore hésitants à franchir le pas de la migration souveraine.
