Le « Cloud Act » est devenu l'épouvantail des discussions sur l'hébergement : souvent brandi, rarement lu. Résultat : on entend tout et son contraire, du « les Américains lisent vos mails » au « ça ne concerne que les criminels ». Les deux sont faux. Voici ce que la loi permet réellement, ce qu'elle ne permet pas, et ce que ça change concrètement pour une PME française qui choisit où héberger ses données.
Le Cloud Act, c'est quoi exactement ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine votée en mars 2018. Elle est née d'un litige concret : l'affaire Microsoft Ireland, où Microsoft refusait de remettre au FBI des emails stockés dans son datacenter de Dublin, au motif qu'un mandat américain s'arrêtait aux frontières. Le Congrès a tranché en réécrivant la règle : un fournisseur soumis au droit américain doit produire les données qu'il détient, contrôle ou garde, quel que soit le lieu où elles sont stockées.
C'est le point central, et le seul qu'il faut vraiment retenir : le Cloud Act ne parle pas de géographie, il parle de juridiction. La question n'est pas « où est le serveur ? » mais « qui contrôle l'entreprise qui l'opère, et sous quelle loi ? ».
Que permet-il concrètement ?
- Une autorité américaine peut adresser une injonction (warrant ou subpoena) à toute entreprise « soumise à la juridiction des États-Unis » : maison mère américaine, mais aussi filiale locale d'un groupe US.
- L'injonction porte sur les données que l'entreprise détient ou contrôle, y compris dans un datacenter de Paris, Francfort ou Dublin.
- Elle peut être assortie d'une obligation de silence (gag order) : le client dont les données sont produites n'en est pas nécessairement informé.
- La loi prévoit des accords bilatéraux (executive agreements) et des voies de contestation pour le fournisseur, encadrées, et à la main du fournisseur, pas du client.
Ce que le Cloud Act n'est pas : un accès libre-service des agences américaines à tout ce qui traîne. La procédure exige un cadre judiciaire, vise des enquêtes précises, et les grands fournisseurs publient des rapports de transparence. Réduire le débat à « ils lisent tout » est faux, mais l'inverse, « ça ne me concernera jamais », esquive la vraie question.
Mes serveurs sont à Paris chez un fournisseur américain : concerné ?
Oui. C'est précisément le cas que la loi a été écrite pour couvrir. Le datacenter français d'un hyperscaler américain reste sous le contrôle d'une société de droit américain : la localisation répond à une question de latence et de marketing, pas de juridiction. Nous avions détaillé ce point dans notre article sur l'hébergement en France : « hébergé en Europe » et « sous droit européen » sont deux affirmations différentes.
La localisation d'un serveur est une réponse géographique à une question juridique. Le Cloud Act se moque de la géographie.
Et le RGPD, dans tout ça ?
Les deux textes se contredisent frontalement. L'article 48 du RGPD dispose qu'une décision d'une autorité d'un pays tiers exigeant un transfert de données personnelles n'est exécutoire que si elle s'appuie sur un accord international (entraide judiciaire, par exemple). Une injonction Cloud Act directe, sans passer par ces canaux, place donc le fournisseur dans une impasse : violer la loi américaine ou violer le droit européen. Le comité européen de la protection des données (CEPD/EDPB) a souligné ce conflit dès 2019.
Pour vous, client, la conclusion pratique est simple : ce conflit de lois n'est pas le vôtre tant que votre chaîne d'hébergement reste intégralement sous droit européen. Il le devient dès qu'un maillon américain y entre.
Une PME est-elle vraiment à risque ?
Soyons honnêtes : la probabilité qu'une agence américaine s'intéresse au fichier clients d'une PME alsacienne est faible. Si le Cloud Act n'était qu'une question de probabilité, il serait un non-sujet. Mais le risque se joue ailleurs :
- Conformité : votre DPO, vos clients grands comptes et les appels d'offres publics posent la question par écrit. « Chaîne d'hébergement hors du champ du Cloud Act » devient un critère de sélection.
- Clauses en cascade : si vous êtes sous-traitant RGPD de vos propres clients, leur exigence de souveraineté devient contractuellement la vôtre.
- Dépendance : le Cloud Act est un symptôme. Le fond, c'est qu'un tiers hors de votre droit peut changer les règles (conditions, prix, accès) sans que vous ayez de recours réel.
- Secteurs sensibles : santé, juridique, collectivités, défense : là, la question n'est plus théorique du tout.
Comment s'en extraire, concrètement
Trois leviers, par ordre d'efficacité. Un, choisir des fournisseurs de droit européen de bout en bout (hébergeur, mais aussi email, analytics, sauvegarde) : le Cloud Act s'applique par maillon, pas par moyenne. Deux, pour ce qui doit rester chez un acteur américain, chiffrer avec des clés que vous seul détenez : une donnée produite chiffrée sans sa clé perd l'essentiel de sa valeur. Trois, exiger le DPA et la liste des sous-traitants de chaque prestataire : c'est là que se cachent les maillons américains qu'on ne soupçonne pas.
C'est la logique que nous appliquons à notre propre infrastructure : serveurs en France chez des opérateurs de droit français, chaîne technique open source, et hébergement souverain proposé à nos clients avec DPA et sous-traitants déclarés. Pas par idéologie, par simple lecture du droit applicable. Une question sur votre propre chaîne d'hébergement ? Parlons-en.
