Depuis 2018, une loi fédérale américaine — le CLOUD Act (*Clarifying Lawful Overseas Use of Data Act*) — autorise les autorités des États-Unis à exiger d'un fournisseur américain qu'il communique les données qu'il détient, où qu'elles soient stockées dans le monde. Y compris dans un datacenter situé en France.

Pour une entreprise ou une administration française, cela soulève une question concrète : vos données les plus sensibles, parce qu'elles transitent par un prestataire soumis au droit américain, peuvent-elles vous échapper sans même que vous en soyez informé ? La réponse, dans bien des cas, est oui — et c'est précisément ce que la plupart des responsables informatiques sous-estiment.

Qu'est-ce que le CLOUD Act, concrètement ?

Le CLOUD Act a été adopté en mars 2018 pour clarifier une zone grise du droit américain : jusqu'où une injonction judiciaire peut-elle contraindre un fournisseur à livrer des données stockées hors du territoire des États-Unis ? La réponse apportée par le texte est sans ambiguïté : la localisation des données est indifférente.

Le mécanisme repose sur un principe d'extraterritorialité. Ce n'est pas le lieu de stockage qui compte, mais la nationalité — ou le rattachement juridique — du prestataire. Un hébergeur dont la maison mère est américaine, ou une filiale européenne contrôlée par un groupe américain, peut être contraint par un mandat émis aux États-Unis de livrer des données clients, quel que soit le pays où se trouvent physiquement les serveurs.

Trois éléments sont essentiels à retenir :

• La localisation ne protège pas. Des données hébergées « en Europe » par un acteur américain restent pleinement dans le champ du CLOUD Act.
• La demande peut être silencieuse. Une clause de confidentialité (*gag order*) peut interdire au prestataire de vous prévenir qu'une demande a été reçue et exécutée.
• Le chiffrement aide, mais ne suffit pas si le prestataire détient lui-même les clés de déchiffrement : il peut alors être contraint de déchiffrer.

Le CLOUD Act s'applique-t-il vraiment en France ?

Oui, sans exception géographique. Aucune frontière ne met une donnée hors de portée dès lors qu'un opérateur soumis au droit américain intervient quelque part dans la chaîne de traitement. Et cette présence est souvent plus large qu'on ne l'imagine : un sous-traitant, un service de messagerie, une brique d'authentification, un outil de sauvegarde ou de visioconférence peuvent suffire à exposer vos données.

C'est précisément ce constat qui a structuré la réponse française. La doctrine « Cloud au centre », applicable à l'administration, impose désormais que les données sensibles de l'État soient hébergées sur un cloud interne ou sur une offre commerciale qualifiée. Et la qualification SecNumCloud de l'ANSSI a fait de l'immunité aux législations extra-européennes un critère central — pas un simple argument marketing.

CLOUD Act et RGPD : un conflit de lois

Le RGPD interdit en principe les transferts de données personnelles vers un pays tiers n'offrant pas une protection équivalente à celle de l'Union européenne. Or une injonction CLOUD Act demande exactement cela : transmettre des données à une autorité américaine. Les deux textes entrent donc en collision frontale.

Pour le responsable de traitement, le risque est double et asymétrique :

• d'un côté, une sanction de la CNIL si un transfert non conforme est constaté ;
• de l'autre, une contrainte judiciaire américaine assortie de sanctions si le prestataire refuse d'obtempérer.

L'invalidation du Privacy Shield par la Cour de justice de l'Union européenne (arrêt « Schrems II ») a confirmé que les garanties contractuelles seules ne suffisent pas à neutraliser ce risque. Tant qu'un opérateur soumis au droit américain figure dans la chaîne, le conflit demeure latent.

La seule façon d'en sortir est donc structurelle : retirer de la chaîne tout opérateur soumis à une législation extra-européenne. C'est la logique d'un cloud souverain et, plus largement, d'une stratégie de souveraineté numérique assumée. Les obligations du RGPD en matière d'hébergement poussent dans la même direction.

Quelles données sont les plus exposées ?

Toutes les données n'appellent pas le même niveau de protection. En pratique, les plus critiques sont :

• les données personnelles sensibles (santé, données biométriques, opinions) ;
• les secrets industriels et la propriété intellectuelle, cibles d'un risque d'intelligence économique ;
• les données régaliennes et de service public, soumises à la doctrine de l'État ;
• les données soumises à des réglementations sectorielles (santé via HDS, secteurs critiques via NIS2).

Pour ces catégories, l'exposition au CLOUD Act n'est pas un risque théorique : c'est une non-conformité potentielle qui peut être qualifiée à tout moment.

Comment évaluer votre exposition

Avant d'agir, il faut savoir où vous êtes exposé. Cela passe par une cartographie de vos dépendances : quels services utilisez-vous, qui les opère réellement (et non qui affiche un datacenter en France), quelles données y transitent, et lesquelles sont critiques ou réglementées.

Cette cartographie révèle presque toujours des dépendances insoupçonnées — y compris via des outils du quotidien comme la messagerie, la bureautique collaborative ou la sauvegarde. Un diagnostic structuré permet d'objectiver le risque, de le hiérarchiser et de séquencer les actions avant d'engager le moindre budget de migration.

Faire le diagnostic en 2 minutes — identifiez vos dépendances soumises au CLOUD Act et les premières actions prioritaires. Démarrer le diagnostic

Questions fréquentes

Qu'est-ce que le CLOUD Act ?

Une loi américaine de 2018 qui autorise les autorités des États-Unis à réclamer à un prestataire soumis au droit américain les données qu'il détient, quel que soit le pays de stockage.

Le CLOUD Act s'applique-t-il en France ?

Oui, dès qu'un opérateur soumis au droit américain intervient dans la chaîne de traitement, même via un datacenter situé en France.

CLOUD Act et RGPD sont-ils compatibles ?

Non, ils sont en tension directe : une injonction CLOUD Act peut contraindre à un transfert que le RGPD interdit. Seule une architecture sans opérateur soumis au droit américain lève réellement le conflit.

Le chiffrement protège-t-il du CLOUD Act ?

Seulement si vous maîtrisez seul les clés. Si le prestataire détient les clés de déchiffrement, il peut être contraint de les utiliser.