Schrems II (Arrêt CJUE C-311/18 protection données vs Cloud Act US)
#Définition Schrems II
Arrêt de la Cour de Justice de l'UE (CJUE) du 16 juillet 2020 dans l'affaire C-311/18 (Maximillian Schrems c. Facebook Ireland + DPC Irlande). Pour approfondir, consultez la page service Souveraineté Numérique Responsable.
Côté implémentation, A invalidé le Privacy Shield UE-US (mécanisme transfert données personnelles UE → US). Constat juridique : législation US (FISA Section 702, Executive Order 12333, Cloud Act 2018) ne respecte pas standards RGPD européens — accès programmes surveillance NSA et obligation transferts données aux autorités US sans avis utilisateur.
Conséquence pratique : transfert de données personnelles UE vers AWS, Azure, GCP, OpenAI requiert Standard Contractual Clauses (SCC) renforcées + analyse d'impact transfert (TIA) + mesures techniques complémentaires (chiffrement de bout en bout, anonymisation). Pour données sensibles : qualification SecNumCloud ou stack souveraine France recommandée comme réponse structurelle.
On voit trop de projets échouer par méconnaissance de Schrems II. La théorie compte — mais la mise en pratique encore plus.
#Schrems II expliqué simplement
Schrems II c'est l'arrêt européen qui dit « les données personnelles européennes ne sont pas vraiment protégées chez AWS, Azure ou Google US à cause de la loi américaine ». Pratiquement : si vous utilisez ChatGPT, AWS ou Azure pour traiter des données européennes, vous devez prouver à la CNIL que vous avez mis en place des protections supplémentaires — chiffrement, contrats spéciaux (SCC), analyse d'impact (TIA).
Sinon amende RGPD jusqu'à 4 % de votre CA mondial. La solution la plus propre : utiliser une stack souveraine France/UE comme Mistral + OVHcloud SecNumCloud, qui élimine le problème juridique à la racine.
Situation classique dans les projets que Nehos accompagne. Ce scénario, on le voit sur 3 projets sur 5 en phase de cadrage.
#Cas d'usage concrets
Banque — audit Schrems II et bascule IA (exemple de situation) — Un audit Schrems II des flux envoyés à OpenAI par les conseillers clientèle identifie des risques RGPD sur plusieurs usages. Décision possible : basculer vers Mistral Large 2 auto-hébergé chez un hébergeur qualifié SecNumCloud. Les données ne quittent plus l'UE, ce qui évite d'avoir à documenter une TIA ou à négocier des SCC pour ces flux.
Éditeur SaaS B2B européen — audit transferts analytics (exemple de situation) — Audit Schrems II sur les outils analytics → Google Analytics transférait données comportementales utilisateurs UE vers US sans TIA documentée. Décision : remplacement Google Analytics par Plausible (hébergement UE). Conformité CNIL rétablie en 3 semaines, coût de migration inférieur à 5 000 €, argument conformité ajouté aux réponses aux appels d'offres enterprise.
Collectivité territoriale — décision SecNumCloud post-Schrems II (exemple de situation) — Après un audit Schrems II, le comité conformité d'une collectivité décide de ne plus héberger chez un fournisseur américain les données des citoyens (état civil, données fiscales, données sociales).
Migration envisagée vers un hébergeur qualifié SecNumCloud. La conformité Schrems II et la doctrine Cloud au centre sont alors satisfaites simultanément, un point qui compte dans les marchés publics.
#Schrems II chez Nehos Groupe
Notre service Souveraineté Numérique Responsable couvre ce périmètre de A à Z.
La méthode Nehos est documentée sur méthode Stack Souveraine Nehos. Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. Les résultats se mesurent sur le projet lui-même, pas sur des moyennes promises à l'avance. On livre, on mesure, on itère. Pas de slides sans livrable.
#Termes associés
Pour aller plus loin, explorez les termes connexes.
- RGPD (Règlement Général Protection Données)
- Cloud Act US (loi extraterritoriale américaine)
- SecNumCloud (qualification ANSSI cloud souverain)
- Cloud au centre (Doctrine française)
- Privacy Shield (mécanisme UE-US invalidé)
- FISA (Foreign Intelligence Surveillance Act)
- SCC Standard Contractual Clauses
- TIA Transfer Impact Assessment
Explorez chaque définition pour construire une vision complète du sujet.
Applications Concrètes
« Un audit Schrems II des flux envoyés à OpenAI par les conseillers clientèle identifie des risques RGPD sur plusieurs usages. Décision possible : basculer vers Mistral Large 2 auto-hébergé chez un hébergeur qualifié SecNumCloud. Les données ne quittent plus l'UE, ce qui évite d'avoir à documenter une TIA ou à négocier des SCC pour ces flux. »
« Un audit Schrems II des outils analytics révèle que Google Analytics transfère des données comportementales d'utilisateurs UE vers les États-Unis sans TIA documentée. Décision possible : remplacer Google Analytics par un outil hébergé dans l'UE, comme Plausible. La migration est généralement courte, et l'argument conformité peut ensuite figurer dans les réponses aux appels d'offres. »
« Après un audit Schrems II, le comité conformité d'une collectivité décide de ne plus héberger chez un fournisseur américain les données des citoyens (état civil, données fiscales, données sociales). Migration envisagée vers un hébergeur qualifié SecNumCloud. La conformité Schrems II et la doctrine Cloud au centre sont alors satisfaites simultanément, un point qui compte dans les marchés publics. »
Questions & réponses
Questions fréquentes sur Schrems II
Schrems II oblige toute entreprise française qui transfère des données personnelles vers un fournisseur américain (AWS, Azure, Google, OpenAI) à documenter une analyse d'impact transfert (TIA), à signer des Standard Contractual Clauses renforcées, et à mettre en place des mesures techniques complémentaires — chiffrement de bout en bout, pseudonymisation, limitation des données transférées. Sans ces mesures documentées, vous êtes en infraction RGPD, exposé à une plainte CNIL et à une amende pouvant atteindre 4 % de votre chiffre d'affaires mondial. Concrètement : si vos équipes utilisent ChatGPT ou Copilot Microsoft sans encadrement juridique formalisé, vous avez un problème Schrems II aujourd'hui.
Les sanctions sont celles du RGPD article 83(5) : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel — le montant le plus élevé des deux. Ce n'est pas théorique : le DPC irlandais a infligé 1,2 milliard d'euros d'amende à Meta en mai 2023 précisément pour transferts illicites vers les États-Unis post-Schrems II. En France, la CNIL a sanctionné plusieurs entreprises pour usage de Google Analytics sans TIA documentée. Pour une PME européenne, le risque réel n'est pas toujours la mega-amende — c'est l'injonction de cesser les transferts, ce qui peut signifier arrêter votre CRM, votre analytics ou votre outil IA du jour au lendemain.
Oui, c'est le point juridique central et le plus contre-intuitif. Le Cloud Act de 2018 autorise le gouvernement américain à exiger d'une entreprise de droit américain la remise de données stockées n'importe où dans le monde — France, Allemagne, Irlande inclus. AWS Paris, Azure Amsterdam, Google Frankfurt : peu importe la géographie des serveurs, si la maison mère est incorporée aux États-Unis, les données restent sous portée du Cloud Act. C'est exactement ce que la CJUE a retenu dans Schrems II pour invalider le Privacy Shield : la surveillance de masse américaine (NSA via FISA 702) est incompatible avec les droits fondamentaux RGPD, et aucune localisation physique ne change cette réalité juridique.
Oui, et c'est la réponse la plus robuste juridiquement disponible en France. Un fournisseur qualifié SecNumCloud est par construction une entité de droit européen dont la maison mère n'est pas soumise au Cloud Act américain. La qualification ANSSI impose trois verrous cumulatifs : immunité aux lois extraterritoriales, hébergement physique en UE, équipe d'exploitation européenne. En déployant sur OVHcloud SecNumCloud, vous éliminez le risque Schrems II à la source — il n'y a pas de transfert hors UE, donc pas de TIA à rédiger, pas de SCC à négocier, pas de risque de Schrems III à anticiper. C'est aussi l'argument que la doctrine Cloud au centre de la DINUM a institutionnalisé pour les administrations.
Partiellement, et probablement temporairement. Le Data Privacy Framework (DPF), adopté en juillet 2023, rétablit un mécanisme de transfert UE-US reconnu adéquat par la Commission européenne. Mais Max Schrems lui-même a déposé un recours devant la CJUE — ce que le milieu appelle déjà Schrems III — en contestant le fait que FISA Section 702 n'a pas fondamentalement changé. Horizon probable d'invalidation : 2025-2027. Construire votre architecture de conformité entièrement sur le DPF, c'est parier sur une stabilité juridique que l'histoire récente contredit deux fois en dix ans. La réponse durable, c'est de réduire structurellement votre dépendance aux transferts UE-US pour les données sensibles — pas d'espérer que le cadre diplomatique tienne.