Le Cloud Act revient dès qu’une entreprise choisit où placer ses courriels, ses sauvegardes ou ses dossiers clients. Adoptée aux États-Unis en mars 2018, cette loi permet, dans certaines procédures légales, d’exiger des données auprès de fournisseurs soumis à la juridiction américaine, même lorsque les serveurs se trouvent en Europe. Elle ne donne pas aux autorités un accès libre et permanent aux services cloud ; elle pose toutefois une question que la seule adresse d’un centre de données ne permet pas de résoudre : qui contrôle le prestataire, et sous quel droit ?
Pour une PME française, le sujet dépasse donc la probabilité d’être visée par une enquête américaine. Il concerne aussi les engagements contractuels, la conformité RGPD, les appels d’offres et la capacité à maîtriser ses outils dans la durée. Une entreprise peut héberger ses données à Paris tout en dépendant d’un groupe soumis au droit des États-Unis ; inversement, la localisation européenne ne suffit pas à elle seule à établir toute la chaîne juridique et technique. Comprendre cette distinction, c’est passer d’un débat souvent alarmiste à des choix d’hébergement vérifiables.
- Le Cloud Act s’attache à la juridiction du fournisseur et à son contrôle des données, pas seulement à l’emplacement du serveur.
- Il prévoit des demandes encadrées par le droit américain : ce n’est pas un accès automatique à l’ensemble des fichiers d’une entreprise.
- Une injonction américaine peut entrer en tension avec le RGPD, notamment son article 48, qui encadre la reconnaissance des décisions de pays tiers.
- Pour évaluer le risque, il faut examiner toute la chaîne : hébergement, messagerie, sauvegarde, assistance et sous-traitants.
- Le choix d’un fournisseur de droit européen et le chiffrement avec des clés maîtrisées par le client sont des leviers importants, sans dispenser d’une analyse complète.
Le Cloud Act américain : une loi sur la juridiction des données
Le CLOUD Act, sigle de Clarifying Lawful Overseas Use of Data Act, a été adopté le 23 mars 2018. Il est intervenu dans le contexte du litige dit Microsoft Ireland : les autorités américaines réclamaient des courriels conservés dans un centre de données à Dublin, tandis que l’entreprise contestait la portée territoriale du mandat. La loi a précisé que les fournisseurs concernés peuvent être tenus de produire les données qu’ils détiennent, gardent ou contrôlent, même si celles-ci sont stockées à l’étranger.
Le point déterminant est donc la relation entre le prestataire et la juridiction américaine. La question « où se trouve le serveur ? » reste utile pour la sécurité, la disponibilité ou certaines obligations réglementaires, mais elle ne répond pas à elle seule à la question « quelle autorité peut adresser une demande au fournisseur ? ». C’est cette différence entre géographie et droit qui explique pourquoi des données hébergées en France peuvent rester concernées.
La loi ne transforme pas pour autant tout fournisseur cloud en guichet ouvert aux agences américaines. Une demande doit s’inscrire dans les procédures prévues par le droit des États-Unis, et sa forme dépend notamment de la nature des données recherchées. Le Cloud Act prévoit aussi des mécanismes de contestation et des accords bilatéraux pour certains échanges avec des gouvernements étrangers ; ils ne remplacent pas l’analyse de chaque situation.
Pour illustrer le sujet, imaginons une PME française fictive, Atelier Lumen, qui utilise une messagerie et un espace de partage fournis par un groupe américain. Le fait que son contrat mentionne un centre de données européen ne suffit pas à déterminer si le groupe peut être soumis à une injonction américaine. La juridiction du fournisseur et son contrôle effectif des données comptent autant que l’adresse du serveur.
Accès aux données : ce que le Cloud Act permet et ne permet pas
Lorsqu’une entreprise relève de la juridiction américaine, les autorités peuvent recourir aux instruments juridiques prévus par la législation des États-Unis afin d’obtenir certaines données. Le périmètre dépend de la procédure, du type d’information et du contexte de l’enquête. Il ne faut donc pas résumer le dispositif à une formule unique selon laquelle toutes les données seraient accessibles de la même manière.
Une demande peut concerner des contenus ou des informations associées à un compte, selon les règles applicables. Elle peut également s’accompagner, dans certaines circonstances, d’une obligation de ne pas informer l’utilisateur ou le client. Celui-ci ne sera donc pas nécessairement averti au moment où le fournisseur reçoit une demande ; les possibilités de contestation appartiennent d’abord au prestataire concerné, dans les limites prévues par la loi.
À l’inverse, le Cloud Act n’autorise pas une consultation permanente et indifférenciée de tous les comptes hébergés chez une entreprise américaine. Confondre une demande encadrée visant des données déterminées avec un accès général brouille le débat. Mais réduire le risque à la faible probabilité qu’une PME soit ciblée évite aussi la question essentielle : que prévoit le contrat et quelle est la chaîne juridique du service ?
| Question | Ce que le Cloud Act implique | Ce qu’il ne permet pas d’affirmer à lui seul |
|---|---|---|
| Les données sont hébergées en Europe | Le lieu de stockage ne met pas automatiquement les données hors de portée d’une demande adressée à un fournisseur soumis au droit américain. | Que toute donnée située en Europe sera consultée par les autorités des États-Unis. |
| Le prestataire est lié à un groupe américain | Il faut examiner la juridiction applicable, le contrôle des données et les entités contractantes. | Que toute filiale ou tout sous-traitant est nécessairement soumis de la même façon, sans analyse juridique. |
| Une demande d’accès est adressée | Elle doit relever d’une procédure prévue par le droit américain ; le prestataire peut disposer de voies de contestation. | Que le client sera toujours averti, ou que la demande équivaut à un accès libre-service. |
| Le service est présenté comme « européen » | Cette indication géographique mérite d’être complétée par l’examen de la structure juridique et des sous-traitants. | Que le service est automatiquement hors de portée de toute législation extraterritoriale. |
Le tableau ne remplace pas l’examen des contrats, des transferts et des rôles respectifs du responsable de traitement et de ses sous-traitants. Il rappelle surtout qu’un argument commercial sur la localisation ne suffit pas à décrire une situation juridique. C’est dans les documents contractuels et la liste des prestataires que se vérifie la réalité de la chaîne.
Serveurs à Paris et juridiction américaine : pourquoi la localisation ne suffit pas
Si Atelier Lumen choisit un centre de données parisien exploité par un groupe américain, la localisation répond à des enjeux concrets : latence, disponibilité, proximité des équipes ou exigences de stockage. Elle ne tranche pas à elle seule la question de la juridiction américaine. Lorsque l’entreprise qui détient ou contrôle les données relève du droit des États-Unis, le Cloud Act peut entrer en jeu même si les serveurs sont situés à Paris, Francfort ou Dublin.
La formule « hébergé en Europe » décrit d’abord une géographie. « Opéré par une société de droit européen, sans contrôle d’un groupe soumis à une législation étrangère » décrit une situation juridique plus complète, qui doit elle-même être vérifiée. Les deux expressions ne sont pas interchangeables, et les contrats peuvent révéler des dépendances moins visibles : assistance à distance, outils d’administration, services de sauvegarde ou sous-traitants.
Pour les collectivités, les établissements de santé ou les organisations chargées d’informations sensibles, l’analyse porte aussi sur la continuité du service et la maîtrise opérationnelle. Une qualification de sécurité comme SecNumCloud, délivrée par l’ANSSI à des offres répondant à son référentiel, peut participer à cette démarche. Elle ne dispense pas de vérifier le périmètre exact du service utilisé, les responsabilités contractuelles et les traitements concernés.
Cette lecture rejoint les débats plus larges sur le sens du cloud souverain : la souveraineté numérique ne se réduit ni à un drapeau, ni à un centre de données local. Elle suppose de comprendre qui administre les systèmes, qui peut en modifier les conditions et quelle autorité est susceptible d’imposer ses règles.
Pour Atelier Lumen, la bonne question n’est donc pas seulement « le serveur est-il à Paris ? », mais aussi « qui exploite le service, quels sous-traitants interviennent et qui détient les moyens d’accès ? ». La carte des centres de données ne remplace pas la cartographie des responsabilités.
Cloud Act et RGPD : une tension entre deux cadres juridiques
Le RGPD encadre les transferts de données personnelles vers des pays tiers et les demandes émanant d’autorités étrangères. Son article 48 prévoit qu’une décision d’une autorité d’un pays tiers exigeant la communication de données ne peut être reconnue ou rendue exécutoire dans l’Union que si elle repose notamment sur un accord international, comme un traité d’entraide judiciaire, sans préjudice des autres fondements prévus par le règlement.
Une injonction américaine adressée directement à un fournisseur peut donc le placer devant des obligations difficiles à concilier : répondre à l’ordre reçu aux États-Unis tout en respectant le droit européen applicable. Le Comité européen de la protection des données a relevé cette difficulté dans ses lignes directrices publiées en 2019 sur l’article 49 du RGPD. Le conflit ne signifie pas que chaque demande entraîne automatiquement une violation du règlement ; il impose d’examiner le fondement juridique, les données visées et les voies de coopération disponibles.
Pour le client, l’analyse ne s’arrête pas au contrat principal. Il faut identifier les transferts éventuels, les sous-traitants ultérieurs et les mesures techniques qui limitent l’accès. Un accord de traitement des données, ou DPA, documente certaines responsabilités, mais ne suffit pas à neutraliser une obligation légale applicable au fournisseur.
Les débats sur le rapport entre le Cloud Act et le RGPD montrent pourquoi une conformité RGPD sérieuse ne peut reposer sur une simple déclaration de localisation. Elle demande des vérifications documentées et une appréciation des risques adaptée aux données traitées. La conformité est une démarche de preuve, pas une étiquette apposée à un service.
Une PME française est-elle vraiment exposée au Cloud Act ?
Pour une petite entreprise, la probabilité qu’une autorité américaine s’intéresse à son fichier clients ordinaire peut être faible. Mais la gestion du risque ne se limite pas à la probabilité d’une enquête. Des clients grands comptes, un délégué à la protection des données ou un acheteur public peuvent demander des garanties précises sur l’hébergement, les transferts et les sous-traitants.
Dans le cas d’Atelier Lumen, une clause de marché peut exiger de documenter l’ensemble des prestataires qui accèdent aux données. Si l’entreprise est elle-même sous-traitante d’un client, les obligations de celui-ci peuvent se répercuter dans son contrat. Un outil SaaS choisi pour sa simplicité peut alors devenir un enjeu de conformité et de renouvellement commercial.
Le secteur d’activité change également le niveau d’attention nécessaire. Les données de santé, les dossiers juridiques, les informations de collectivités ou les documents relevant de la défense appellent des exigences de sécurité, de confidentialité et de continuité plus élevées. Pour ces organisations, la question du fournisseur et de sa juridiction ne peut être repoussée au seul motif qu’aucune demande n’a été reçue jusqu’ici.
- Cartographier les services : messagerie, stockage, visioconférence, sauvegarde, analytics et assistance technique.
- Identifier les sociétés impliquées : entité signataire, maison mère, filiales et sous-traitants ultérieurs.
- Examiner les données traitées : contenu, données personnelles, informations confidentielles et durée de conservation.
- Lire les engagements contractuels : DPA, transferts, notification des demandes légales et procédure de contestation.
- Évaluer les conséquences d’une indisponibilité : dépendance à un fournisseur, réversibilité et capacité à restaurer les données.
Cette liste permet de déplacer la discussion de la peur vers la gouvernance. Le risque tient autant à la perte de maîtrise et à la dépendance contractuelle qu’à la possibilité d’une demande d’accès. Pour une PME, savoir précisément qui opère chaque maillon est déjà une mesure de protection.
Réduire l’exposition au Cloud Act : des choix concrets pour l’entreprise
Le premier levier consiste à choisir, lorsque le besoin le permet, des prestataires de droit européen pour les briques qui traitent les données les plus sensibles. Cela inclut l’hébergement, mais aussi la messagerie, les sauvegardes, les outils collaboratifs et parfois le support technique. L’évaluation doit porter sur la chaîne entière : une offre locale peut dépendre d’un service tiers soumis à une autre juridiction.
Le deuxième levier est le chiffrement avec des clés que le client maîtrise réellement. Si le fournisseur ne peut pas déchiffrer les contenus, la valeur d’une donnée remise sous forme chiffrée est fortement réduite. Cette mesure ne règle toutefois pas tout : elle ne protège pas nécessairement les métadonnées, les données utilisées par une application pendant leur traitement, ni les informations accessibles à des administrateurs disposant des clés.
Enfin, il faut demander le DPA et la liste à jour des sous-traitants, puis les confronter aux usages réels. Les contrats doivent permettre de comprendre les rôles, les lieux de traitement, les modalités de notification des demandes et les possibilités de réversibilité. Les travaux autour de l’offre de cloud souverain en France et de Gaia-X et de ses ambitions éclairent les réponses institutionnelles et industrielles, sans remplacer l’audit d’un service particulier.
Un fournisseur européen ne constitue pas, à lui seul, une garantie absolue de sécurité ou de conformité ; de même, un fournisseur américain n’implique pas un accès automatique aux données. Le choix dépend du niveau de sensibilité, des garanties techniques, de la structure de contrôle et de la capacité à changer de prestataire. Pour Atelier Lumen, la décision la plus robuste consiste à classer les données, à documenter chaque dépendance et à réserver les services les plus exposés aux usages compatibles avec leur niveau de risque.
Au bout du compte, le Cloud Act rend visible une question plus large : quelles dépendances une organisation accepte-t-elle lorsqu’elle externalise ses outils numériques ? Les réponses se construisent dans les contrats, l’architecture technique et la capacité à reprendre la main, bien avant qu’une injonction ne soit adressée à un fournisseur.
Questions fréquentes sur le Cloud Act
Le Cloud Act permet-il aux États-Unis de lire tous mes fichiers ?
Non. Il ne prévoit pas un accès général et permanent à tous les comptes. Il permet, dans des procédures encadrées par le droit américain, de demander certaines données à des fournisseurs relevant de la juridiction des États-Unis et détenant ou contrôlant ces informations.
Des données hébergées en France sont-elles concernées ?
Elles peuvent l’être si le fournisseur qui les détient ou les contrôle est soumis au droit américain. La localisation française du centre de données ne suffit donc pas à écarter la question de la juridiction du prestataire.
Le Cloud Act est-il incompatible avec le RGPD ?
Une demande américaine directe peut créer une tension avec le RGPD, notamment son article 48. La situation doit être examinée au cas par cas selon la procédure, les données visées et les fondements juridiques applicables ; le contrat seul ne supprime pas ce conflit potentiel.
Comment une PME peut-elle limiter son exposition ?
Elle peut cartographier ses fournisseurs et sous-traitants, privilégier des prestataires de droit européen pour les données sensibles, maîtriser les clés de chiffrement et vérifier les DPA, les transferts ainsi que les conditions de réversibilité.
