Cloud Act et RGPD : ce que ça change pour les données de votre entreprise

Cloud Act et RGPD : deux textes, deux logiques, et une question pratique pour toutes les entreprises qui utilisent le cloud. Que se passe-t-il quand une autorité des États-Unis demande des données personnelles protégées par la législation européenne, et quel transfert le règlement autorise-t-il ?

Cet article explique ce que prévoit chacun des deux textes, où ils entrent en conflit, quelle implication pour un hébergeur ou un client, et quels risques cela représente. Il propose ensuite une stratégie et des mesures concrètes et efficaces pour protéger les données de votre entreprise et garder la maîtrise de vos outils.

Vous y trouverez aussi un guide en huit étapes et les critères pour sélectionner un fournisseur cloud qui garantit la sécurité et la confidentialité de vos données, en toute liberté.

Le Cloud Act en bref

Le Cloud Act, pour Clarifying Lawful Overseas Use of Data Act, est une loi américaine adoptée en mars 2018. Il vient modifier le Stored Communications Act, la loi fédérale qui encadre la possibilité pour les autorités d’accéder aux données détenues par les fournisseurs de services de communication et de stockage.

Son origine : l’affaire Microsoft Irlande

En 2013, la justice des États-Unis demande à Microsoft les courriels d’un utilisateur, lors d’une enquête pénale liée à un trafic. Ces messages sont stockés sur un serveur situé à Dublin. Microsoft refuse, estimant que le mandat ne peut pas viser des données hors du territoire des United States.

L’affaire, portée devant plusieurs tribunaux, est plaidée en février 2018 devant la Cour suprême. Le Congrès vote alors le Cloud Act, qui tranche le débat. Le litige perd son objet : la loi a répondu.

Ce que prévoit le texte

1. 1Un fournisseur relevant du droit américain doit communiquer les données qu’il détient, contrôle ou possède, quand une autorité le lui demande de manière légitime et légale.
2. 2Cette obligation vaut quel que soit le pays où les données sont stockées dans le monde.
3. 3Le fournisseur dispose d’une possibilité de contestation limitée, notamment en cas de conflit avec la législation d’un État ayant conclu un accord avec les États-Unis.
4. 4Le texte permet aux États-Unis de conclure des accords bilatéraux avec d’autres États pour faciliter l’accès réciproque aux preuves numériques.

Procédure, recours et executive agreements

Les demandes émanent des autorités fédérales ou locales, sous la forme d’un mandat ou d’une injonction délivrés par une juridiction. Le fournisseur peut former un recours devant les tribunaux des États-Unis s’il estime que la requête l’expose à violer la loi d’un État partenaire, et ainsi à des transferts illégaux ; les juges apprécient alors les intérêts en présence au cas par cas.

Les accords prévus par le texte sont appelés executive agreements. Le Royaume-Uni a signé le premier en octobre 2019, entré en vigueur en octobre 2022, suivi par l’Australie. Des négociations ont été engagées en 2019 entre Bruxelles et Washington sur l’accès aux preuves électroniques.

La réponse européenne : le règlement e-Evidence

L’Europe s’est dotée en 2023 de son propre règlement sur les preuves électroniques, dit e-Evidence. Il organise l’accès des magistrats européens aux données détenues par les fournisseurs de services, avec des protections fixées par les textes européens.

Ce texte ne règle pas le conflit avec le Cloud Act. Il montre en revanche que l’accès transfrontière aux preuves numériques est devenu un enjeu stratégique, partagé des deux côtés de l’Atlantique et dans le monde entier.

À qui le Cloud Act s’applique

Le point essentiel tient en une phrase : le Cloud Act s’applique à l’entreprise, pas au serveur. Une société des États-Unis, ou une filiale contrôlée par une société américaine, reste soumise au Cloud Act, quel que soit le lieu où les données sont hébergées, France comprise.

À l’inverse, une entreprise de droit français, sans maison mère hors de l’UE et sans activité qui la rattache au marché américain, n’entre pas dans le périmètre du Cloud Act.

Le RGPD en bref : ce qu’il dit des transferts

Le Règlement général sur la protection des données, voté en avril 2016 et texte central de la réglementation européenne en matière de données, s’applique depuis mai 2018 dans toute l’Union européenne. En France, la CNIL contrôle son application et peut prononcer des sanctions. Il protège les données personnelles, c’est-à-dire toute information relative à une personne physique identifiable : nom, adresse e-mail, numéro de téléphone, dossier client.

Le chapitre V : un transfert hors d’Europe doit être encadré

Le chapitre V du RGPD, articles 44 à 50, encadre les transferts de données personnelles vers un pays tiers. Un transfert vers un pays tiers n’est possible que si un niveau de protection équivalent est assuré. Trois voies principales existent :

• une décision d’adéquation de la Commission européenne, qui reconnaît le niveau de protection d’un pays (article 45) ;
• des garanties appropriées, comme les clauses contractuelles types (article 46) ;
• des dérogations limitées à des situations particulières (article 49).

L’article 48 : la réponse européenne aux demandes étrangères

L’article 48 vise directement les situations créées par le Cloud Act. Une décision d’une juridiction ou d’une administration d’un pays tiers exigeant un transfert de données n’est reconnue que si elle repose sur un accord international, comme un traité d’entraide judiciaire.

Autrement dit, une demande américaine adressée directement à un prestataire, hors de tout accord international, ne constitue pas à elle seule une base légale de transfert au sens du RGPD.

Comment le Cloud Act affecte-t-il le RGPD ?

Le conflit apparaît quand un même fournisseur est soumis aux deux textes. C’est le cas d’un prestataire américain qui stocke des données personnelles de chaque individu en Europe.

Un fournisseur pris entre deux droits

• La loi des États-Unis lui impose de communiquer les données demandées.
• Le règlement européen lui interdit de les transférer sans base légale.
• Quelle que soit sa décision, il risque d’enfreindre l’un des deux textes.

En 2019, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont publié une analyse commune sur ce sujet. Ils y rappellent qu’une demande fondée sur le Cloud Act ne peut, en principe, justifier un transfert que sur la base d’un accord international.

Et pour l’entreprise cliente ?

L’entreprise qui retient le prestataire reste responsable de traitement au sens du RGPD. C’est à elle de s’assurer que ses sous-traitants offrent des garanties suffisantes, conformément à l’article 28.

Si les informations de ses usagers peuvent faire l’objet d’un accès par une administration extérieure à l’UE, elle doit l’avoir identifié, évalué et documenté : c’est sa mise en conformité.

Le Cloud Act et le RGPD sont-ils incompatibles ?

Pas en toutes circonstances. Un transfert peut reposer sur un accord international d’entraide judiciaire, que le RGPD reconnaît. Le problème naît lorsqu’une requête passe directement par le fournisseur, sans cette voie officielle : on parle alors de transferts illégaux au regard du RGPD.

Les dérogations de l’article 49 du RGPD, comme le consentement explicite de la personne concernée, restent d’interprétation stricte. Elles ne peuvent pas servir de base habituelle à des transferts répétés. En pratique, l’entreprise ne peut pas compter sur elles pour sécuriser l’utilisation d’un service cloud.

Quelles différences entre Cloud Act et RGPD ?

Les deux textes ne poursuivent pas le même objectif. Les comparer point par point aide à comprendre pourquoi ils se heurtent.

L’objet

• Cloud Act : faciliter l’accès des autorités américaines aux preuves numériques dans les procédures pénales.
• RGPD : protéger les données personnelles des personnes dans l’Union européenne.

Le critère d’application

• Cloud Act : la nationalité juridique du fournisseur, quel que soit le lieu de stockage.
• RGPD : le traitement de données de personnes situées en Europe, quel que soit le pays du prestataire.

La personne protégée

• Cloud Act : des garanties pensées d’abord pour les personnes américaines.
• RGPD : toute personne dont les données sont traitées en Europe, quelle que soit sa nationalité.

Schrems II et Data Privacy Framework : où en est-on ?

La question des transferts vers les États-Unis a connu plusieurs rebondissements. Ils éclairent la situation actuelle.

2020 : l’arrêt Schrems II

Le 16 juillet 2020, la CJUE invalide le Privacy Shield, le cadre qui facilitait les transferts de données vers les États-Unis. Elle estime que la législation américaine du renseignement n’offre pas un niveau de protection équivalent à celui de l’Union.

Les clauses contractuelles types restent valables, mais l’exportateur doit vérifier au cas par cas que la loi du pays de destination ne prive pas les clauses de leur effet utile, ni d’effet pratique.

2023 : le Data Privacy Framework

En juillet 2023, la Commission européenne prend une nouvelle décision d’adéquation : le EU-US Data Privacy Framework (DPF). Il s’applique aux entreprises américaines qui y adhèrent et s’appuie sur de nouveaux engagements pris par Washington, qui encadrent davantage les agences de renseignement. La Commission s’appuie aussi sur un nouveau mécanisme de réclamation.

En septembre 2025, le Tribunal de l’UE a rejeté un premier recours contre le DPF. Le débat reste ouvert, et un recours devant la Cour de justice demeure possible : l’actualité de ce cadre est à suivre.

Deux portes d’entrée, pas une seule

On confond souvent deux mécanismes américains qui n’ont ni la même logique ni les mêmes garanties. Les distinguer aide à comprendre pourquoi le débat porte sur le renseignement autant que sur le Cloud Act, et quel est le critère de chacun.

• Porte 1, la procédure pénale : le Cloud Act. La demande vient d’un magistrat, vise une personne ou un compte précis dans le cadre d’une enquête, et le fournisseur peut la contester devant un juge américain.
• Porte 2, le renseignement extérieur : la section 702 de la loi FISA en est l’exemple le plus cité, et sa reconduction revient régulièrement devant le Congrès. Ce texte permet au gouvernement d’adresser aux fournisseurs des directives écrites pour collecter des informations sur des personnes non américaines situées hors des États-Unis, dans un cadre approuvé par un tribunal spécialisé, sans lien avec une enquête pénale.
• Ce que vous pouvez faire dans les deux cas : retenir un fournisseur qui n’entre dans le périmètre d’aucune des deux, ou chiffrer vos données de bout en bout avec des clés qu’il ne détient pas.

C’est la seconde porte, celle du renseignement, que la CJUE a jugée insuffisamment encadrée dans l’arrêt Schrems II.

Pourquoi le Cloud Act est-il controversé ?

• Sa portée extraterritoriale : une loi nationale s’applique à des données stockées à l’étranger, partout dans le monde.
• Le contournement possible de l’entraide judiciaire internationale, procédure plus lente mais placée sous le contrôle des deux États.
• L’information de la personne concernée, qui n’est pas systématique : chaque individu n’a pas les moyens de faire valoir ses droits.
• L’asymétrie : les garanties procédurales sont plus fortes pour les ressortissants des États-Unis que pour les autres.

Ses défenseurs rappellent qu’il encadre des requêtes judiciaires ciblées et prévoit des voies de contestation. Ses critiques soulignent qu’il place les entreprises européennes dans une incertitude juridique durable, et une dépendance aux acteurs américains du marché.

Quels risques pour votre entreprise ?

Pour une PME, le risque d’une requête visant ses propres données reste faible. Les risques concrets sont ailleurs.

1. 1Un risque de conformité : ne pas avoir identifié ni documenté les transferts possibles vers les États-Unis.
2. 2Un risque contractuel : des clients, notamment publics, exigent désormais un hébergement soumis au seul droit européen.
3. 3Un risque commercial : perdre un appel d’offres faute de pouvoir répondre clairement sur la localisation et le droit applicable.
4. 4Un risque de confidentialité : pour des données critiques, brevets, contrats, données de santé, l’exposition à la législation d’un autre pays est rarement acceptable.
5. 5Un risque de sanction : le RGPD prévoit des amendes pouvant atteindre 4 % du chiffre d’affaires annuel mondial, ou 20 millions d’euros, pour les manquements aux règles sur les transferts.

Classer vos données en trois couleurs

Toutes vos données ne justifient pas la même réponse. Une échelle simple évite à la fois l’inaction et l’excès de zèle.

• Vert, les données déjà publiques ou sans enjeu : catalogue, plaquettes, contenus de votre site. Le pays du fournisseur importe peu.
• Orange, les données personnelles courantes : fichier clients, devis, échanges par e-mail, gestion du personnel. Documentez le fournisseur dans votre registre et privilégiez un hébergeur européen lors du prochain renouvellement.
• Rouge, les données dont la fuite vous nuirait gravement : secrets d’affaires, dossiers juridiques, données de santé, plans et brevets. Elles doivent être chez un fournisseur hors du périmètre du Cloud Act, dans une approche souveraine, ou chiffrées avec des clés que vous seul détenez.

Quelles implications selon votre secteur ?

Les implications du Cloud Act varient selon le secteur d’activité et la nature des données traitées.

• Santé : les données de santé exigent un hébergeur certifié HDS, et l’exposition à une loi étrangère y est particulièrement sensible.
• Secteur public : de nombreux acheteurs exigent une solution souveraine, parfois qualifiée SecNumCloud, surtout pour un projet stratégique.
• Industrie et recherche : chaque projet, brevet ou secret d’affaires relève de l’intelligence économique.
• Professions réglementées : avocats et experts-comptables doivent garder la maîtrise de leurs outils informatiques au nom du secret professionnel.

Quelles stratégies pour protéger ses données ?

Il existe plusieurs leviers, du plus simple au plus structurant. Ils se combinent.

1. Cartographier ses données et ses prestataires

Listez les services cloud utilisés, les données qu’ils traitent et la nationalité de chaque fournisseur. Votre registre des traitements RGPD est le bon point de départ.

2. Réaliser une analyse d’impact

Pour les traitements sensibles, l’analyse d’impact relative à la protection des données, prévue par l’article 35 du RGPD, permet d’évaluer le risque. Pour les transferts, une analyse d’impact du transfert documente le droit de l’État de destination et les mesures prises.

3. Chiffrer et garder la maîtrise des clés

Le chiffrement réduit l’exposition, à une condition : que les clés ne soient pas détenues par le fournisseur exposé au Cloud Act. Si le prestataire détient les clés, il peut être contraint de déchiffrer. Le chiffrement de bout en bout, où seuls vos appareils détiennent les clés, offre la meilleure maîtrise technique, au prix de certaines fonctions en ligne.

4. Retenir un fournisseur hors du champ du Cloud Act

C’est la mesure la plus directe. Un prestataire européen, sans maison mère américaine, qui stocke et exploite les données dans l’UE, supprime le problème à la source.

5. Encadrer les contrats

• Exiger la liste complète des sous-traitants et leur pays.
• Prévoir une information préalable avant tout nouveau sous-traitant.
• Prévoir l’information du client en cas de demande d’une autorité, dans les limites de la loi.
• Inscrire une clause de réversibilité : formats, délais, coût, en matière de sortie comme de litige devant les tribunaux.

6. Privilégier une solution souveraine pour les données sensibles

Une solution souveraine réduit la dépendance aux acteurs exposés à l’extraterritorialité de la législation américaine : l’extraterritorialité est au cœur de la question, et la dépendance aussi. La qualification SecNumCloud de l’ANSSI, dans sa version 3.2, intègre des exigences de protection contre les lois extra-européennes. C’est le repère le plus exigeant, à vérifier sur le périmètre exact de l’offre, car chaque périmètre est différent. En France, le gouvernement en a fait la référence du « cloud de confiance » dans sa stratégie nationale pour le cloud.

7. Installer une gouvernance des données

Une stratégie efficace repose sur une gouvernance claire, une gouvernance des données écrite : un responsable désigné, un registre à jour, une revue annuelle des prestataires. Elle permet de renforcer la maîtrise des données, de renforcer la confiance de vos clients et de suivre l’évolution de la réglementation, une réglementation en mouvement constant.

8. Documenter et informer

Gardez une trace écrite de vos choix : registre, analyses, échanges avec les fournisseurs. En cas de contrôle de la CNIL, cette documentation est la meilleure preuve de votre bonne foi.

• Désigner un contact chargé de la protection des données, ou un délégué à la protection des données lorsque c’est obligatoire.
• Informer les personnes concernées des fournisseurs qui hébergent leurs données, dans votre politique de confidentialité.
• Mettre à jour cette information à chaque changement de fournisseur.

Comment choisir un hébergeur cloud face au Cloud Act ?

Posez ces points par écrit à chaque prestataire. Un fournisseur qui ne peut pas y répondre clairement vous donne déjà une indication.

1. 1De quelle juridiction relève l’entité qui signe le contrat, et a-t-elle une maison mère hors de l’UE ?
2. 2Dans quelles villes se trouvent les datacenters, et qui les exploite ?
3. 3Les sauvegardes, la supervision et le support restent-ils en Europe ?
4. 4Qui détient les clés de chiffrement, et où sont-elles conservées ?
5. 5Quelle est la liste complète des sous-traitants ?
6. 6Serai-je informé en cas de demande d’accès par une autorité, et pour quelle raison ?
7. 7Sous quel format, dans quel délai et à quel coût puis-je obtenir mes données ?

Ce qu’un hébergeur européen ne peut pas promettre

Un prestataire français reste soumis au droit français. La justice et les tribunaux français peuvent réquisitionner des données, comme les tribunaux de tout pays tiers via les accords, et l’entraide judiciaire internationale permet à une autorité d’un autre État de demander des données par la voie officielle.

La différence est ailleurs : la procédure suit le droit français et européen, avec ses garanties. C’est ce qui rend le cadre juridique prévisible pour votre entreprise et pour vos partenaires, devant des tribunaux connus.

Questions fréquentes

Mes données sont en Europe chez un fournisseur américain : suis-je protégé ?

Pas entièrement. La localisation dans l’UE ne change pas la nationalité juridique du fournisseur, quel que soit le lien avec vos serveurs. S’il relève du Cloud Act, une autorité américaine peut lui adresser une demande pour accéder à des données stockées en France.

Une filiale française d’un groupe américain est-elle soumise au Cloud Act ?

Elle peut l’être, dès lors que la maison mère exerce un contrôle sur les données : il faut l’avoir vérifié en amont, ce qui n’a pas toujours été fait. C’est pourquoi il faut regarder l’ensemble du groupe, et pas seulement l’entité qui signe le contrat.

Le RGPD m’interdit-il d’utiliser un service américain ?

Non. Le RGPD n’interdit pas un prestataire en particulier. Il impose d’encadrer les transferts, d’évaluer les risques et de sélectionner des sous-traitants offrant des garanties suffisantes. La décision reste celle du responsable de traitement.

Google, Amazon et Microsoft sont-ils concernés ?

Oui. Ce sont des sociétés américaines : leurs services cloud sont soumis au Cloud Act, y compris lorsque les données sont stockées dans leurs régions européennes.

Que faire en priorité ?

Commencez par la cartographie : quels services, quelles données, quels fournisseurs. Un lien vers votre registre suffit à démarrer. Traitez ensuite en priorité les données les plus sensibles, celles de vos clients et celles qui relèvent de votre savoir-faire, en les confiant si besoin à un hébergeur souverain.

En résumé

• Le Cloud Act s’applique aux fournisseurs soumis au droit américain, où que soient stockées les données.
• Le RGPD, notamment son article 48, n’admet un transfert vers une autorité hors d’Europe que sur la base d’un accord international.
• Le Data Privacy Framework facilite certains transferts, mais ne fait pas disparaître le Cloud Act.
• La protection la plus simple consiste à retenir un prestataire européen qui conserve et exploite les données sur le territoire de l’Union.

Mon Cloud Français est une SAS de droit français, sans maison mère étrangère. Elles sont hébergées en France, dans les datacenters OVHcloud de Roubaix et Gravelines, notre seul sous-traitant, et vous pouvez les récupérer sans frais. Pour le détail de nos engagements, consultez notre page Souveraineté & Cloud Act et le registre des sous-traitants.