Jira ou OpenProject en 2026 : où dorment vraiment les tickets des équipes européennes
Chaque ticket créé dans Jira par une équipe de développement européenne – la description du bug, la capture d'écran de l'environnement de test, les commentaires internes et, plus souvent qu'on ne le croit, une clé d'API collée par erreur – est stocké par défaut chez Atlassian. Or Atlassian n'est plus, depuis la fin de sa redomiciliation en 2022, une société britannique ou australienne : sa maison mère est désormais immatriculée dans le Delaware, aux États-Unis. Plus de 300 000 organisations dans le monde pilotent leur travail avec Jira, ce qui fait de la plateforme l'un des plus vastes réservoirs d'informations techniques sensibles de la planète : failles de sécurité avant leur correctif, feuilles de route produit avant leur annonce, discussions sur des réorganisations que beaucoup d'entreprises gèrent elles aussi par tickets internes. Peu de DSI françaises, belges ou suisses se sont pourtant demandé sous quelle législation vit cette mémoire organisationnelle. La réponse compte, et elle diffère radicalement selon l'outil choisi. OpenProject, l'alternative née à Berlin, est développé sous licence libre, peut tourner sur vos propres serveurs et relève exclusivement du droit allemand et européen. Ce comparatif détaille ce que cela change concrètement, ce que coûtent les deux solutions et pour quelles équipes la migration se justifie.
Pourquoi l'origine démocratique compte dans un logiciel de gestion de projet
Pour un outil de tickets, l'origine démocratique ne se mesure pas au lieu de fabrication d'une boîte, mais à la question de savoir qui peut, en cas de litige ou d'enquête, exiger l'accès aux données d'une équipe. Un gestionnaire de tickets est la mémoire d'un service technique : il consigne quelle vulnérabilité du module de paiement reste ouverte, quelles données clients ont été touchées par un incident, quelles décisions ont été prises en sprint. Celui qui contrôle cette mémoire connaît les points faibles de l'organisation. Democratic Market évalue donc d'abord l'ordre juridique auquel le fournisseur est soumis, puis seulement les fonctionnalités et le prix. Notre référence est l'indice de démocratie de l'Economist Intelligence Unit (EIU), qui note 167 pays sur le processus électoral, le fonctionnement du gouvernement, la participation politique, la culture politique et les libertés civiles. Ce n'est pas un indicateur de protection des données au sens strict, mais un bon révélateur de l'existence de tribunaux indépendants, d'autorités de contrôle efficaces et de voies de recours réelles. Les États-Unis obtiennent 7,85, l'Allemagne 8,58 et l'Australie 8,66, tous au-dessus du seuil de 6,0 exigé par Democratic Market. La différence entre Jira et OpenProject ne tient donc pas à l'opposition démocratie contre autocratie, mais à la portée de lois étrangères qui s'appliquent même lorsque les serveurs se trouvent à Francfort ou à Paris.
Atlassian : de la start-up de Sydney au groupe du Delaware
Atlassian a été fondée en 2002 à Sydney par Mike Cannon-Brookes et Scott Farquhar et a conservé pendant près de vingt ans une identité clairement australienne. En 2014, la société mère a déménagé au Royaume-Uni pour des raisons fiscales, puis, en novembre 2022, dans le Delaware. Elle est cotée au NASDAQ sous le symbole TEAM. Sydney reste un pôle opérationnel majeur et le groupe dispose de bureaux à San Francisco et ailleurs, mais son ancrage juridique et fiscal est désormais américain. Avec un chiffre d'affaires annuel supérieur à quatre milliards de dollars, Atlassian figure parmi les plus grands éditeurs de logiciels au monde, et cette taille lui permet d'investir dans la sécurité et dans des certifications comme ISO 27001 ou SOC 2 que de nombreux projets libres ne peuvent pas formellement afficher. Un point intéresse particulièrement les clients européens : Atlassian a basculé son offre vers le cloud. La vente de nouvelles licences Server a cessé en 2021 et le support de l'édition auto-hébergée Server a pris fin en février 2024. Pour continuer à exploiter Jira sur ses propres machines, il faut désormais passer à l'édition Data Center, nettement plus chère. Pour beaucoup d'ETI qui faisaient tourner leur propre serveur Jira depuis des années, ce virage a été le premier véritable déclencheur d'une réflexion sur les alternatives.
OpenProject, l'option démocratique la plus solide
OpenProject est né en 2011 d'un fork de ChiliProject, lui-même issu de Redmine, et il est aujourd'hui développé par OpenProject GmbH, dont le siège est à Berlin. Le logiciel est distribué sous licence GPL v3 : n'importe quelle organisation peut installer gratuitement l'édition Community sur sa propre infrastructure, auditer le code source et l'adapter si nécessaire. Une édition Enterprise ajoute des fonctions avancées, et une offre cloud est hébergée dans des centres de données allemands. L'Allemagne obtient 8,58 sur l'indice de l'EIU, et aucune loi allemande n'oblige un fournisseur local à livrer des données aux autorités d'un pays tiers. Auto-hébergé chez un prestataire européen – OVHcloud à Roubaix, Scaleway à Paris ou Hetzner à Nuremberg –, OpenProject offre aujourd'hui le profil démocratique le plus robuste pour la gestion de projets et de tickets : code auditable, domiciliation en Allemagne et maîtrise totale du lieu de stockage. Son adoption parle d'elle-même. OpenProject fait partie d'openDesk, l'espace de travail souverain que l'Allemagne met à disposition de ses administrations, et il est utilisé par des universités, des instituts de recherche et des ONG. En France, l'écosystème du logiciel libre public, porté par la DINUM et le socle interministériel de logiciels libres, partage la même philosophie. L'option démocratique n'est donc pas une niche militante, mais un outil sérieux, déjà éprouvé sur le marché européen.
Les autres alternatives européennes et les solutions intermédiaires
OpenProject n'est pas seul. Redmine, l'ancêtre de nombreux gestionnaires libres, reste maintenu, mais évolue plus lentement et son interface accuse son âge. Taiga, développé à l'origine par l'entreprise espagnole Kaleidos (Espagne : 7,60), se concentre sur les méthodes agiles et séduit surtout les équipes Scrum. Plane, jeune tracker libre orienté Kanban, gagne du terrain dans les start-up et peut aussi être auto-hébergé. Le gestionnaire de tickets de GitLab est mature et doit beaucoup à des ingénieurs européens, mais sa maison mère est immatriculée aux États-Unis, ce qui pose la même question juridique qu'Atlassian lorsqu'on utilise la version SaaS. Pour les organisations profondément ancrées dans l'écosystème Atlassian, avec Confluence et Bitbucket, et qui ne peuvent pas migrer à court terme, il existe une voie intermédiaire : depuis 2021, Atlassian propose une résidence des données dans l'Union européenne, avec un stockage contractuellement garanti à Francfort ou Amsterdam. Cela ne règle pas la question de la juridiction de la société mère, mais limite les transferts vers des pays tiers et ajoute une couche d'engagement contractuel au regard du droit européen. Comme solution de transition, c'est défendable ; comme état permanent pour un secteur réglementé, beaucoup moins.
Le risque Jira : l'accès extraterritorial prévu par le CLOUD Act
Le risque propre à Jira ne tient pas à la qualité de la démocratie américaine, correctement notée à 7,85, mais au cadre juridique. Le CLOUD Act de 2018 permet aux autorités américaines d'exiger d'une entreprise américaine la communication de données, quel que soit l'endroit où se trouvent physiquement les serveurs. Société du Delaware, Atlassian y est directement soumise. Les tickets internes d'une entreprise française, y compris les échanges sur des failles non corrigées, pourraient donc en théorie faire l'objet d'une demande de communication, sans que l'entreprise concernée en soit informée et sans les garanties judiciaires qu'offrirait une demande équivalente au sein de l'Union. Le Data Privacy Framework UE–États-Unis de 2023 a rétabli une base légale pour les transferts, mais ses prédécesseurs, Safe Harbor et Privacy Shield, ont été invalidés par la Cour de justice de l'Union européenne en 2015 et en 2020 dans les arrêts Schrems. Un troisième recours n'est pas exclu. Pour les secteurs réglementés, la question n'a rien de théorique. Le règlement DORA, applicable depuis janvier 2025 aux banques et assureurs, impose d'évaluer et de documenter le risque des prestataires TIC critiques, ce qui peut inclure les outils de tickets contenant des informations sur des incidents du système financier. La directive NIS2 prévoit pour les entités essentielles des amendes pouvant atteindre dix millions d'euros ou 2 % du chiffre d'affaires mondial. Justifier le choix d'un fournisseur de tickets et les mesures prévues face à une juridiction étrangère est devenu un exercice courant pour les RSSI.
Comparatif technique : fonctions, prix et profil démocratique
Sur le plan fonctionnel, Jira offre une maturité difficile à égaler : workflows très configurables, une marketplace de plus de 3 000 applications, intégration native avec Confluence et Bitbucket, et une capacité éprouvée à servir des organisations de dizaines de milliers d'utilisateurs. L'offre Premium tourne autour de 14,15 dollars par utilisateur et par mois en facturation annuelle. OpenProject Community est gratuit et sans limite d'utilisateurs en auto-hébergement ; l'édition cloud démarre autour de 7,25 euros par utilisateur et par mois, et les offres Enterprise ajoutent la gestion de portefeuille, des droits avancés ou la synchronisation de groupes LDAP. Différence notable : de nombreuses fonctions pour lesquelles un client Jira doit acheter un module complémentaire sont intégrées nativement dans OpenProject, dont les diagrammes de Gantt, le suivi du temps, la gestion budgétaire et les tableaux agiles. Pour une équipe de 50 personnes, l'écart sur trois ans se chiffre en dizaines de milliers d'euros, d'autant que les licences de plugins Jira augmentent avec le nombre d'utilisateurs. Côté prise en main, OpenProject présente une interface plus sobre qui raccourcit l'intégration des nouveaux, au prix d'une souplesse moindre pour les workflows extrêmement complexes. Pour une équipe logicielle classique, Kanban, Scrum, backlog et rapports de vélocité sont couverts aussi bien par l'un que par l'autre. Sur le profil démocratique, OpenProject l'emporte nettement : domiciliation allemande (8,58), code ouvert, hébergement au choix. Jira obtient un profil acceptable – maison mère américaine (7,85), résidence des données UE en option – mais reste exposé au CLOUD Act.
Évaluer honnêtement le coût de la migration
L'argument le plus fréquent pour rester sur Jira est le coût de sortie : transférer des milliers de tickets historiques, de pièces jointes, de champs personnalisés et de workflows accumulés pendant des années peut mobiliser des semaines d'ingénierie. Ce coût est pourtant ponctuel, alors que la dépendance envers un fournisseur soumis à une juridiction étrangère est un risque récurrent, reconduit à chaque année de contrat. Democratic Market recommande d'amortir l'effort de migration sur plusieurs exercices plutôt que d'en faire un critère d'exclusion automatique. Techniquement, le chemin est aujourd'hui bien balisé. OpenProject propose un import Jira, et les API REST documentées des deux plateformes permettent d'automatiser le transfert des projets avec l'historique des commentaires et les pièces jointes, ce qui ramène le chantier de plusieurs semaines à quelques jours pour un projet de taille moyenne. La bonne méthode est progressive : lancer d'abord un nouveau projet dans OpenProject, reconstruire les workflows, former les équipes, puis basculer les projets en cours. Le Data Act européen, applicable depuis le 12 septembre 2025, renforce la position du client en obligeant les fournisseurs cloud à faciliter le changement de prestataire, à restituer les données dans des formats structurés et à supprimer progressivement les frais de sortie.
Législation européenne 2026 applicable aux outils de tickets
Le RGPD demeure le cadre de référence, complété par des textes plus spécifiques. La directive NIS2, en cours de transposition en France via le projet de loi relatif à la résilience des infrastructures critiques, impose aux entités essentielles et importantes d'évaluer les risques de leur chaîne d'approvisionnement numérique ; les outils où sont documentés les incidents de sécurité en font clairement partie. Le Data Act encadre la portabilité et le changement de fournisseur, ce qui concerne directement toute organisation souhaitant quitter Jira sans perdre son historique. Le Cyber Resilience Act impose dès 2026 aux fabricants de produits comportant des éléments numériques de signaler les vulnérabilités activement exploitées, avec un régime spécifique pour le logiciel libre non commercial. En France, la qualification SecNumCloud de l'ANSSI et la doctrine « cloud au centre » de l'État orientent les administrations vers des offres protégées des lois extraterritoriales, et la CNIL rappelle régulièrement les exigences relatives aux transferts hors UE. L'Allemagne, de son côté, pousse ses administrations vers le logiciel libre depuis 2023. Cette tendance réglementaire renforce la position d'acteurs comme OpenProject sur le marché des achats publics, qui représente plusieurs centaines de milliards d'euros par an dans l'Union.
La méthodologie de Democratic Market pour les logiciels de gestion
Democratic Market examine quatre niveaux. D'abord, le siège juridique de la société mère et son score EIU. Ensuite, la disponibilité d'un hébergement européen assorti de garanties contractuelles vérifiables, c'est-à-dire un accord de sous-traitance conforme à l'article 28 du RGPD, téléchargeable sans négociation. Troisièmement, le caractère libre et auto-hébergeable du logiciel, seul moyen pour l'organisation utilisatrice de garder la main sur le lieu de stockage sans dépendre d'engagements qu'un fournisseur étranger peut modifier unilatéralement. Enfin, l'historique de conformité du fournisseur, y compris d'éventuelles sanctions d'autorités européennes de protection des données et la publication de rapports de transparence sur les demandes gouvernementales. Cette méthode reprend celle que Democratic Market applique aux produits physiques, avec un signal différent : à la place d'un audit d'usine, nous cherchons un rapport de transparence, un accord de traitement documenté et, lorsqu'il existe, un audit de sécurité indépendant du déploiement auto-hébergé. Un outil qui brille sur le papier sans garantie d'hébergement vérifiable est traité avec le même scepticisme qu'une chaîne d'approvisionnement refusant de nommer ses sous-traitants. Nos notes sont mises à jour chaque année avec le nouveau rapport de l'EIU.
Guide d'achat : choisir son outil de tickets étape par étape
Premièrement, faites l'inventaire de ce que contiennent réellement vos tickets : incidents de sécurité, données clients ou questions RH pèsent bien plus lourd qu'une liste de bugs publics. Deuxièmement, si votre équipe est petite ou moyenne et sait administrer un serveur, installez OpenProject Community via Docker chez un hébergeur européen ; l'installation prend moins d'une heure, sans licence, et un serveur cloud chez un prestataire français coûte chaque mois moins qu'une seule place Jira Premium pour deux personnes. Troisièmement, si vous ne voulez pas gérer d'infrastructure, souscrivez l'offre cloud d'OpenProject avec données en Allemagne. Quatrièmement, si vous êtes enraciné dans l'écosystème Atlassian, exigez contractuellement la résidence des données en Europe, relisez le Data Processing Addendum et fixez un calendrier réaliste de douze à vingt-quatre mois pour évaluer les alternatives. Cinquièmement, testez l'import sur un projet clôturé avant de déplacer le travail en cours, et documentez la décision pour votre RSSI et votre délégué à la protection des données. Sixièmement, quel que soit l'outil, privilégiez des formats d'export ouverts pour qu'un futur changement ne coûte pas à nouveau des semaines.
Conclusion : la souveraineté commence par le ticket
L'outil dans lequel une équipe consigne ses erreurs, ses vulnérabilités et ses décisions internes mérite le même examen d'origine démocratique que n'importe quel produit physique évalué par Democratic Market. OpenProject, développé à Berlin, publié sous licence libre et hébergeable de façon vérifiable en Europe, offre en 2026 le profil démocratique le plus solide pour la gestion de projets et de tickets, et ses fonctions suffisent à la grande majorité des petites et moyennes équipes. Jira reste techniquement supérieur pour les très grandes organisations aux workflows fortement personnalisés, mais sa domiciliation dans le Delaware et l'exposition au CLOUD Act doivent figurer explicitement dans toute analyse de risque technologique, surtout dans les secteurs réglementés. Notre recommandation concrète : démarrer les nouveaux projets sur OpenProject, migrer en priorité les espaces sensibles comme la gestion des incidents de sécurité et, jusqu'à la bascule complète, verrouiller contractuellement la résidence des données en Europe chez Atlassian.