CLOUD Act (Clarifying Lawful Overseas Use of Data Act)
L'essentiel
Le CLOUD Act, c'est la loi qui permet à la justice américaine de réclamer des données à une entreprise américaine même si ces données sont stockées en Europe. Ce qui compte, ce n'est pas où sont les serveurs, c'est qui contrôle l'entreprise. Résultat : mettre ses données dans un datacenter parisien opéré par un groupe américain ne protège de rien. Et le fournisseur peut avoir l'interdiction de vous prévenir que la demande a eu lieu.
Détails Techniques
Loi fédérale américaine (Clarifying Lawful Overseas Use of Data Act) promulguée le 23 mars 2018, modifiant le Stored Communications Act (18 U.S.C. § 2703). Elle impose aux fournisseurs de services de communication électronique et d'informatique à distance relevant de la juridiction des États-Unis de communiquer, sur procédure judiciaire valide, les données en leur possession, garde ou contrôle, indépendamment du lieu de stockage. Elle prévoit également la conclusion d'accords exécutifs bilatéraux avec des gouvernements étrangers qualifiés et autorise, sous conditions, des injonctions de confidentialité (18 U.S.C. § 2705(b)).
#Définition : qu'est-ce que le CLOUD Act ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine promulguée le 23 mars 2018, adoptée par voie d'amendement au budget fédéral. Elle modifie le Stored Communications Act (18 U.S.C. § 2703) pour trancher une ambiguïté ancienne : un fournisseur de services de communication électronique ou d'informatique à distance soumis à la juridiction américaine doit remettre aux autorités les données qu'il détient ou contrôle, quel que soit le pays où elles sont physiquement stockées.
Le texte est né d'un contentieux précis : en 2013, Microsoft avait refusé de livrer des e-mails hébergés dans son datacenter de Dublin, au motif qu'un mandat américain s'arrêtait aux frontières des États-Unis. L'affaire est montée jusqu'à la Cour suprême, qui l'a déclarée sans objet en avril 2018 — le CLOUD Act venait d'être voté et tranchait dans le sens de l'administration.
#Ce que le texte permet — et ce qu'il ne permet pas
Le sujet est caricaturé dans les deux sens, autant être précis. Le CLOUD Act ne crée pas un accès libre-service des agences américaines à n'importe quelle donnée. Une procédure judiciaire valide reste nécessaire : pour le contenu des communications, un mandat délivré par un juge sur la base d'une probable cause. Le fournisseur dispose d'une possibilité de contestation, mais elle est encadrée et étroite.
Ce que le texte fait, en revanche, c'est neutraliser l'argument de la localisation. Le critère déclencheur n'est pas la géographie du serveur, c'est le rattachement juridique du prestataire. Une entité dont la société mère est de droit américain entre dans le champ, y compris pour des données traitées par sa filiale européenne. S'y ajoute la possibilité d'une injonction de confidentialité (18 U.S.C. § 2705(b)) interdisant au fournisseur d'informer son client de la demande. C'est ce dernier point qui inquiète le plus les DSI : l'absence de contradictoire.
Second mécanisme, moins commenté : des accords exécutifs bilatéraux permettant à un gouvernement étranger qualifié d'adresser directement ses réquisitions aux opérateurs américains. Le Royaume-Uni a signé le premier en 2019, l'Australie a suivi. Côté Union européenne, les négociations sont ouvertes depuis 2019 et n'ont pas abouti.
#Le conflit avec l'article 48 du RGPD
Voilà le nœud du dossier. L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant un transfert de données n'est reconnue en Europe que si elle s'appuie sur un accord international en vigueur, typiquement un traité d'entraide judiciaire. Une réquisition CLOUD Act adressée directement à un prestataire, sans passer par cette voie, ne remplit pas cette condition.
Le Comité européen de la protection des données et le Contrôleur européen de la protection des données l'ont écrit noir sur blanc dans leur avis conjoint 2/2019 : y répondre sans base conventionnelle exposerait le responsable de traitement à une violation du RGPD. Le prestataire américain se retrouve donc pris dans un conflit de lois qu'aucune juridiction n'a définitivement tranché à ce jour. Ce n'est pas un risque théorique mais une insécurité juridique structurelle, et elle se transmet au client européen, qui reste responsable de traitement au sens du règlement. C'est aussi le terrain que couvre notre audit de conformité Schrems II et RGPD strict.
#Ne pas confondre CLOUD Act, FISA 702 et Data Privacy Framework
Trois régimes distincts sont régulièrement mélangés dans les argumentaires commerciaux. Le CLOUD Act relève de l'entraide pénale, sur mandat. La section 702 du FISA relève du renseignement extérieur, avec un contrôle nettement plus lâche — c'est elle, avec le décret présidentiel 12333, que la CJUE a visée dans l'arrêt Schrems II de juillet 2020 pour invalider le Privacy Shield. Le Data Privacy Framework, décision d'adéquation adoptée en juillet 2023, encadre le second via le décret 14086 (critères de proportionnalité, cour de révision). Il ne neutralise pas le premier. Un transfert peut être parfaitement licite au titre du DPF tout en laissant intacte l'exposition au CLOUD Act.
#Conséquence opérationnelle : l'exposition est juridique, pas géographique
C'est exactement la raison d'être de la qualification SecNumCloud. L'ANSSI n'exige pas seulement des datacenters en Union européenne : elle impose cumulativement une souveraineté juridique (immunité aux lois extraterritoriales, capital et contrôle européens), une souveraineté physique et une souveraineté humaine. Sans ces trois verrous, un datacenter à Roubaix ou à Marseille opéré par une entité contrôlée depuis les États-Unis reste dans le champ du texte américain. La doctrine Cloud au centre de la DINUM en tire les conséquences pour l'État.
Pour une DSI, l'arbitrage se joue en amont de l'architecture technique, pas après. Cartographier les traitements réellement sensibles, isoler ceux-là chez un fournisseur non soumis au droit américain, documenter le raisonnement dans l'analyse d'impact : c'est la démarche de notre service Souveraineté Numérique Responsable, formalisée dans la méthode Stack Souveraine Nehos. Tout n'a pas vocation à migrer, en particulier dans un secteur banque-assurance régulé où les charges non sensibles restent majoritaires. Mais ce qui doit migrer doit l'être pour des raisons écrites, opposables à un auditeur.
Applications Concrètes
« Le cahier des charges exclut toute exposition à une loi extraterritoriale. Le critère d'exclusion porte sur le rattachement juridique du prestataire, pas sur l'adresse du datacenter : un hébergement en France chez un opérateur sous contrôle américain reste disqualifiant. »
« Le risque CLOUD Act se documente comme un risque de communication non autorisée à un tiers, avec impossibilité d'exercer un recours effectif du fait des injonctions de confidentialité. C'est ce raisonnement qui justifie l'isolement du traitement chez un fournisseur non soumis au droit américain. »
« Envoyer des prompts contenant des secrets d'affaires vers une API de modèle opérée par un éditeur américain crée une exposition. L'alternative habituelle consiste à auto-héberger un modèle à poids ouverts sur une infrastructure qualifiée, en gardant les données dans le périmètre européen. »
Questions fréquentes sur le CLOUD Act
Non, et c'est une confusion courante. Le CLOUD Act s'inscrit dans le cadre pénal du Stored Communications Act : pour obtenir le contenu de communications, l'autorité américaine doit produire un mandat délivré par un juge sur la base d'une probable cause. Ce que le texte supprime, ce n'est pas l'exigence de procédure, c'est l'argument de la localisation à l'étranger. Le renseignement extérieur relève d'un autre régime, la section 702 du FISA, dont les garanties sont bien plus faibles — c'est celui-là que la CJUE a sanctionné dans Schrems II.
Non. C'est le point le plus mal compris du sujet. Le facteur de rattachement retenu par la loi américaine est le contrôle exercé par une entité soumise à la juridiction des États-Unis, pas l'emplacement physique des machines. Une région cloud à Paris ou à Francfort opérée par une filiale d'un groupe américain reste dans le périmètre. Les clauses contractuelles, les engagements de résistance juridique et le chiffrement au repos géré par le fournisseur atténuent le risque sans le supprimer, puisque le fournisseur conserve la capacité technique d'accéder aux données ou aux clés.
Deux finalités, deux régimes. Le CLOUD Act sert des enquêtes pénales, cible des comptes identifiés et passe par un mandat judiciaire. La section 702 du FISA autorise la collecte de renseignement extérieur visant des personnes non américaines situées hors des États-Unis, avec un contrôle juridictionnel indirect et une portée bien plus large. C'est la section 702, combinée au décret 12333, qui a motivé l'invalidation du Privacy Shield en 2020. Les deux régimes coexistent : traiter l'un ne règle pas l'autre.
Non. L'adéquation adoptée en juillet 2023 répond aux griefs de Schrems II sur le renseignement : le décret 14086 introduit des critères de nécessité et de proportionnalité et crée une cour de révision de la protection des données. Cela concerne la surveillance de sécurité nationale. Le CLOUD Act, lui, n'est pas modifié : un prestataire certifié DPF reste tenu de répondre à une réquisition pénale américaine. Le DPF sécurise la base légale du transfert, il ne fait pas disparaître l'exposition juridique.
En le traitant comme n'importe quel risque de divulgation non autorisée. Concrètement : identifier les traitements exposés, qualifier la sensibilité réelle des données, évaluer la probabilité et l'impact d'une réquisition, décrire les mesures techniques et organisationnelles retenues (chiffrement avec gestion des clés côté client, pseudonymisation, cloisonnement, choix d'un fournisseur hors juridiction américaine), puis assumer une décision motivée. L'analyse d'impact est le bon véhicule. Un auditeur ne reproche pas un risque résiduel documenté ; il reproche une absence d'analyse.
Non, et prétendre le contraire serait malhonnête. La majorité des charges de travail d'une entreprise ne contient ni données personnelles sensibles, ni secrets industriels, ni informations soumises à une obligation sectorielle. Le raisonnement utile est différentiel : cartographier, classer, puis isoler la fraction réellement critique chez un fournisseur qualifié. Une architecture hybride bien découpée coûte moins cher et se défend mieux qu'une migration totale menée pour des raisons d'affichage.