Résumez cet article avec une IA
Ce que dit le Cloud Act
Adopté en 2018, le Clarifying Lawful Overseas Use of Data Act permet aux autorités américaines d’exiger d’un fournisseur relevant du droit des États-Unis qu’il communique des données qu’il détient, contrôle ou possède — quel que soit le pays où ces données sont stockées.
Le point décisif tient en un mot : le texte s’applique à l’entreprise, pas au serveur. Une filiale européenne d’un groupe américain reste dans le périmètre dès lors que la maison mère exerce un contrôle sur les données.
Pourquoi « serveurs en Europe » ne suffit pas
Les grands fournisseurs proposent tous une option de localisation européenne, et certains vont plus loin avec des offres opérées par des partenaires locaux. Ces dispositifs réduisent l’exposition, mais ne suppriment ni le lien capitalistique ni le contrôle technique de la maison mère.
L’audition du Sénat, en juin 2025
Interrogé sous serment, le directeur des affaires publiques et juridiques de Microsoft France a reconnu qu’il ne pouvait pas garantir l’immunité des données de citoyens français face aux lois extraterritoriales américaines.
Cette déclaration a une valeur particulière : elle n’émane ni d’un concurrent ni d’un observateur, mais de l’entreprise concernée, sous serment, devant une commission parlementaire.
Sept questions à poser à votre hébergeur
Ces questions valent pour n’importe quel fournisseur, y compris nous. Un prestataire qui ne peut pas y répondre par écrit devrait vous alerter.
- 1De quelle juridiction relève l’entité qui signe le contrat ?
- 2Dans quelles villes se trouvent les datacenters, et qui les exploite ?
- 3Qui détient les clés de chiffrement, et où sont-elles conservées ?
- 4Combien de personnes disposent d’un accès d’administration ?
- 5Quelle est la liste exhaustive des sous-traitants, et leur pays ?
- 6Serai-je informé si une autorité étrangère demande mes données ?
- 7Sous quel format et à quel coût puis-je tout récupérer ?
