SAP S/4HANA Public Cloud est conforme au RGPD. SAP dispose des certifications ISO 27001, SOC 1, SOC 2, SOC 3, adhère au Code de conduite cloud de l’Union Européenne et propose un hébergement des données en Europe. Ce point est acquis.
Ce que l’on décrit moins souvent, c’est ce que cela implique concrètement du côté de l’ETI (entreprise de taille intermédiaire). Car la conformité RGPD d’un projet SAP Public Cloud n’est pas automatique : elle dépend aussi de ce que votre organisation vérifie contractuellement, configure dans le système et documente en interne.
Ce que le RGPD exige d’une entreprise qui adopte un ERP cloud
Le RGPD ne s’adresse pas uniquement aux grandes entreprises. Toute organisation qui traite des données personnelles de citoyens de l’Union Européenne est concernée, quelle que soit sa taille.
Une entreprise qui déploie SAP Public Cloud traite des données personnelles à plusieurs niveaux : données de ses employés dans les modules RH, données de ses clients dans SAP SD, données de ses fournisseurs dans SAP MM, et potentiellement données de santé si elle évolue dans le secteur médical.
En déployant SAP Public Cloud, l’entreprise confie le traitement d’une partie de ces données à SAP, qui devient son sous-traitant au sens du RGPD. L’article 28 du règlement impose qu’un contrat écrit encadre cette relation. Sans ce Data Processing Agreement signé, toute externalisation de traitement est illégale au regard du RGPD. Les deux parties s’exposent à des sanctions directes de la CNIL et à une responsabilité solidaire en cas de violation de données.
La question n’est donc pas seulement de savoir si SAP est conforme au RGPD en tant qu’éditeur. C’est aussi de s’assurer que votre entreprise remplit ses propres obligations en tant que responsable de traitement.
L’hébergement des données : où sont stockées vos données SAP ?
Les datacenters européens disponibles pour SAP Public Cloud
SAP vous permet de choisir le continent sur lequel vous souhaitez que vos données S/4HANA Public Cloud soient hébergées, en fonction de la localisation de votre entreprise et de ses obligations réglementaires. Si votre entreprise est située en zone européenne et sujette au RGPD, vous pouvez compter sur des datacenters basés en Europe. (Source : Sileron, 2026)
Ce choix doit être fait explicitement lors du paramétrage du contrat SAP. Il ne s’applique pas par défaut à l’ensemble des services. Certains services complémentaires ou composantes SAP BTP peuvent être hébergés dans d’autres régions. L’entreprise doit vérifier point par point, pour chaque service souscrit, où les données sont effectivement traitées.
Les transferts vers des pays tiers : le point de vigilance principal
Lorsque SAP fournit des produits et des services impliquant le transfert de données à caractère personnel de l’Espace économique européen vers des pays tiers, SAP se fonde sur les clauses contractuelles types émises par la Commission européenne pour légitimer ces transferts. (Source : SAP Trust Center, 2025)
SAP utilise des sous-traitants ultérieurs, notamment des hyperscalers comme AWS, Microsoft Azure ou Google Cloud, dont les serveurs peuvent être situés en dehors de l’UE pour certains services. Votre entreprise doit demander la liste complète des sous-traitants ultérieurs de SAP et vérifier que des garanties appropriées encadrent chacun des transferts vers des pays tiers.
Le cas de SAP Sovereign Cloud France
Pour les organisations avec des exigences de souveraineté renforcées, SAP a officiellement lancé SAP Sovereign Cloud en France, adossé à Bleu, l’infrastructure créée par Orange et Capgemini. (Source : Cohesium AI, 2026) Pour une entreprise française standard, cette option n’est pas nécessaire : la conformité RGPD peut être assurée avec SAP Public Cloud standard à condition que les données soient hébergées en Europe et que le DPA soit correctement signé. SAP Sovereign Cloud cible des besoins très spécifiques et représente un surcoût significatif.
Le DPA SAP : ce que votre contrat doit contenir
Qu’est-ce que le DPA SAP ?
SAP propose un Data Processing Agreement pré-rédigé pour ses services cloud, disponible sur le SAP Trust Center. SAP protège les données à caractère personnel en mettant en oeuvre des mesures techniques et organisationnelles telles que le chiffrement, les contrôles des accès et les principes de confidentialité dès la conception. Ces mesures sont intégrées dans le contrat de traitement des données de SAP. (Source : SAP Trust Center, 2025)
Ce DPA doit être signé avant tout déploiement. Votre DPO ou votre conseil juridique doit l’analyser, pas simplement l’accepter par clic lors de la souscription.
Les points à vérifier dans le DPA SAP
La base légale des transferts. Le DPA SAP mentionne les nouvelles clauses contractuelles types (CCT 2021/914). Vérifiez que le Module 2 (transferts responsable de traitement vers sous-traitant) est bien activé pour votre contrat.
La liste des sous-traitants ultérieurs. Cette liste doit être exhaustive et mise à jour dès qu’un nouveau prestataire est ajouté, avec information préalable du responsable de traitement. (Source : Data-sous-traitance.fr, 2026) Vérifiez que le DPA SAP prévoit cette notification et les modalités d’opposition.
La localisation effective des données. Le DPA doit préciser explicitement la région d’hébergement retenue pour votre contrat. Une mention générique « dans l’UE » sans précision est insuffisante pour documenter votre conformité.
Les durées de conservation. Le DPA doit préciser combien de temps SAP conserve vos données après la fin du contrat, et dans quels délais elles sont supprimées ou restituées.
Les procédures en cas de violation. L’article 33 du RGPD impose une notification à la CNIL dans les 72 heures en cas de violation. Le DPA doit préciser comment SAP vous notifie dans des délais compatibles avec cette obligation.
Les certifications de SAP Public Cloud
SAP a conçu S/4HANA Public Cloud pour répondre aux normes ISO 27001, SOC 1, 2, 3, NIS 2 et RGPD. Ces normes assurent des niveaux de confidentialité, d’intégrité, de disponibilité des données et de détection des failles de sécurité optimaux. (Source : Sileron, 2026)
| Certification | Ce qu’elle couvre | Ce que votre entreprise en fait |
| ISO 27001 | Management de la sécurité de l’information : gestion des risques, contrôle d’accès, gestion des incidents | Pièce à intégrer dans votre analyse de risque RGPD |
| SOC 2 | Sécurité, disponibilité, intégrité, confidentialité et protection de la vie privée (audit indépendant) | Rapport à demander pour documenter les MTR dans votre registre de traitement |
| Code de conduite cloud UE | Conformité à l’article 28 du RGPD pour les prestataires cloud (approuvé par l’autorité belge de protection des données) | Garantie supplémentaire de conformité réglementaire |
| NIS 2 | Cybersécurité des entités essentielles et importantes, en vigueur depuis 2024 | Prérequis pour les entreprise relevant du champ d’application de la directive |
| HDS | Hébergeurs de données de santé des citoyens français (loi n° 2016-41) | A vérifier si votre entreprise traite des données de santé dans SAP |
SAP publie ses certifications et rapports d’audit sur le SAP Trust Center (trust.sap.com). Votre DPO peut y télécharger les rapports SOC 2 et les certificats ISO 27001 pour les conserver dans votre registre des activités de traitement.
Ce que votre entreprise doit faire en interne
Mettre à jour votre registre des activités de traitement
L’article 30 du RGPD impose à tout responsable de traitement de tenir un registre documentant l’ensemble de ses traitements. L’adoption de SAP Public Cloud crée ou modifie plusieurs traitements : gestion de la paie, gestion de la facturation clients, gestion des fournisseurs, gestion des comptes utilisateurs. Chaque traitement doit être documenté avec sa finalité, sa base légale, les catégories de données concernées, les destinataires (dont SAP comme sous-traitant), la durée de conservation et les mesures de sécurité applicables.
Gérer les droits des personnes concernées dans SAP
Le RGPD accorde aux personnes concernées des droits d’accès, de rectification, d’effacement, de portabilité et d’opposition. Dans SAP, l’exercice de ces droits nécessite des procédures et, dans certains cas, des fonctionnalités spécifiques comme SAP Information Lifecycle Management (ILM), qui permet de définir des règles de conservation et de suppression des données. Ces fonctionnalités doivent être configurées dans le cadre de votre projet SAP, pas après le go-live.
La gestion opérationnelle des demandes reste de la responsabilité de votre entreprise. Vous devez définir des procédures internes pour recevoir, traiter et répondre à ces demandes dans les délais légaux d’un mois.
Configurer les habilitations selon le principe du moindre privilège
Dans SAP Public Cloud, les contrôles d’accès sont configurables via les profils utilisateurs et les rôles. Le principe de minimisation des données impose que chaque utilisateur n’accède qu’aux données nécessaires à sa fonction. Un commercial ne doit pas avoir accès aux données de paie. Un comptable fournisseurs ne doit pas avoir accès aux données personnelles des clients. Cette configuration est entièrement de la responsabilité de votre entreprise.
Réaliser une analyse d’impact si nécessaire
L’article 35 du RGPD impose la réalisation d’une Analyse d’Impact relative à la Protection des Données (AIPD) pour les traitements susceptibles de présenter un risque élevé. Un déploiement SAP Public Cloud qui traite des données sensibles — données de santé, données syndicales, données relatives à des mineurs — déclenche cette obligation. L’AIPD doit être menée avant le déploiement, pas après.
Les points de vigilance spécifiques au modèle Public Cloud
Les mises à jour automatiques
L’une des caractéristiques du modèle Public Cloud est la mise à jour automatique bi-annuelle du système. Du point de vue RGPD, cela présente un avantage : les correctifs de sécurité sont appliqués sans délai. Mais cela implique que votre équipe IT doit vérifier à chaque mise à jour que les paramètres de confidentialité et les habilitations n’ont pas été modifiés, et que les nouvelles fonctionnalités introduites ne créent pas de nouveaux traitements non documentés.
Le clean core et la minimisation des données
Le modèle SAP Public Cloud impose de travailler dans le standard SAP avec des possibilités de personnalisation limitées. Du point de vue RGPD, c’est une opportunité : les extensions qui collectent des données personnelles non nécessaires sont limitées, ce qui facilite l’application du principe de minimisation des données. En revanche, les extensions SAP BTP que votre entreprise développe doivent elles aussi être soumises à une analyse RGPD avant déploiement.
La réversibilité et la portabilité des données
Votre contrat SAP doit préciser les conditions dans lesquelles vous pouvez exporter l’intégralité de vos données en cas de changement de solution : formats d’export disponibles, délais de restitution des données en fin de contrat, et garanties de suppression des données de l’infrastructure SAP après la migration. Si le fournisseur ajoute de nouveaux sous-traitants ou modifie le lieu d’hébergement, vous devez en être notifié et avoir la possibilité de vous y opposer. (Source : Frenchweb, 2025)
La check-list RGPD avant de signer votre contrat SAP Public Cloud
| Domaine | Points à vérifier | Responsable |
| Contractuel | DPA SAP signé et joint au contrat. Région d’hébergement précisée. Liste des sous-traitants ultérieurs obtenue. Base légale des transferts vers pays tiers (CCT 2021/914). Conditions de réversibilité et délais de suppression. | DPO + Juridique |
| Certifications | Certificat ISO 27001 applicable à votre région téléchargé depuis le SAP Trust Center. Rapport SOC 2 le plus récent obtenu. Couverture HDS vérifiée si données de santé. | DPO + IT |
| Registre | Registre des activités de traitement mis à jour pour chaque traitement SAP (finalité, base légale, catégories de données, destinataires, durées de conservation). | DPO |
| Habilitations | Profils utilisateurs SAP configurés selon le principe du moindre privilège. Revue des habilitations planifiée après chaque mise à jour bi-annuelle. | IT + Métiers |
| Droits des personnes | Procédures internes définies pour gérer les demandes d’accès, rectification, effacement. SAP ILM configuré pour les règles de conservation et de suppression. | DPO + IT |
| AIPD | Analyse d’Impact réalisée avant le go-live si le périmètre SAP inclut des données sensibles au sens de l’article 9 du RGPD. | DPO |
Quelles questions se poser ?
SAP est-il certifié RGPD ?
Le RGPD n’est pas une certification à proprement parler : c’est un règlement dont la conformité est continue. SAP respecte les lois internationales sur la protection et la sécurité des données, dont le RGPD, et adhère au Code de conduite cloud de l’UE qui atteste de la conformité à l’article 28. Ce que le RGPD exige en plus, c’est que votre entreprise joue elle aussi son rôle de responsable de traitement.
Mes données SAP peuvent-elles être hébergées en France ?
SAP vous permet de choisir une région d’hébergement européenne pour vos données S/4HANA Public Cloud. Pour un hébergement strictement en France avec des garanties de souveraineté renforcées, SAP Sovereign Cloud via Bleu (Orange et Capgemini) est disponible, mais il s’adresse principalement aux organisations avec des exigences de souveraineté élevées (administrations, OIV, OSE) et représente un surcoût.
Dois-je signer un DPA avec SAP ?
Oui, c’est obligatoire. L’article 28(3) du RGPD ne prévoit aucun seuil : dès qu’un tiers traite des données personnelles pour votre compte, un contrat écrit est obligatoire. SAP propose un DPA pré-rédigé disponible sur le SAP Trust Center. Votre DPO doit l’analyser avant signature, pas seulement l’accepter par clic lors de la souscription.
Faut-il réaliser une AIPD avant de déployer SAP Public Cloud ?
Une AIPD est obligatoire si votre périmètre SAP traite des données sensibles au sens de l’article 9 du RGPD (données de santé, données syndicales, données biométriques) ou des données à grande échelle. Pour un périmètre standard Finance-Achats-Ventes sans données sensibles, l’AIPD n’est pas systématiquement obligatoire, mais elle est recommandée comme bonne pratique avant tout déploiement cloud.
Comment gérer les droits d’effacement dans SAP ?
SAP Information Lifecycle Management (ILM) est la fonctionnalité SAP qui permet de définir des règles de conservation et de suppression des données personnelles. Elle doit être configurée dans le cadre du projet SAP, pas après le go-live. Les demandes d’effacement reçues doivent être traitées dans un délai d’un mois par votre équipe, avec une suppression dans SAP et chez tous les sous-traitants concernés.
