CLOUD Act (USA)

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée le 23 mars 2018, intégrée à la loi de finances Consolidated Appropriations Act. Elle établit qu'un fournisseur de services de communication électronique soumis à la juridiction des États-Unis doit remettre aux autorités américaines les données de ses clients quelle que soit leur localisation géographique, y compris lorsqu'elles sont stockées dans un datacenter européen. Pour les organisations françaises, c'est le point de friction majeur entre le recours au cloud américain et les obligations du RGPD.

Origine : l'affaire Microsoft Ireland

Le texte naît d'un contentieux emblématique. En 2013, dans le cadre d'une enquête sur un trafic de stupéfiants, le FBI adresse à Microsoft un mandat portant sur des courriels stockés à Dublin. Microsoft refuse, arguant que le Stored Communications Act ne s'applique pas hors du territoire américain. L'affaire remonte jusqu'à la Cour suprême. Le Congrès coupe court au débat en votant le CLOUD Act, qui rend la question sans objet : le législateur tranche explicitement en faveur de l'extraterritorialité.

Fonctionnement technique et juridique

Le CLOUD Act modifie le Stored Communications Act (18 U.S.C. §2703) en y ajoutant une mention décisive : l'obligation de conservation et de divulgation s'applique « que la communication soit située à l'intérieur ou à l'extérieur des États-Unis ». Concrètement :

• Périmètre des entités visées : tout fournisseur de service de communication électronique (ECS) ou de traitement à distance (RCS) relevant de la juridiction américaine — donc les groupes US et leurs filiales de droit européen qu'ils contrôlent capitalistiquement.
• Périmètre des données : contenus (fichiers, courriels, sauvegardes) et métadonnées (journaux de connexion, adresses IP, annuaires).
• Recours limités : le fournisseur peut déposer une motion to quash uniquement si le client n'est ni ressortissant ni résident américain et si la divulgation créerait un risque matériel de violation du droit d'un « gouvernement étranger qualifié », c'est-à-dire signataire d'un accord exécutif. La France n'en dispose pas.
• Accords exécutifs bilatéraux : le CLOUD Act autorise des États tiers à adresser directement leurs réquisitions aux fournisseurs américains, sans passer par l'entraide judiciaire. Le Royaume-Uni a activé le sien en octobre 2022, l'Australie a signé en 2021. Les négociations UE–États-Unis restent ouvertes.

Point critique souvent mal compris : la localisation du datacenter ne protège pas. C'est le rattachement juridique de l'entité qui déclenche l'obligation, pas la géographie des disques. Une région eu-west-3 à Paris ou une souscription hébergée en Allemagne restent dans le champ dès lors que l'opérateur dépend d'une maison mère américaine.

La collision avec le RGPD

L'article 48 du RGPD dispose qu'une décision d'une autorité administrative ou judiciaire d'un pays tiers n'est exécutoire dans l'Union que si elle s'appuie sur un accord international en vigueur — typiquement un traité d'entraide judiciaire (MLAT). Un responsable de traitement qui répondrait directement à une réquisition CLOUD Act s'expose donc à une sanction européenne, tandis qu'un refus l'expose à une sanction américaine. Le Comité européen de la protection des données et le Contrôleur européen ont formalisé ce constat d'incompatibilité dans un avis conjoint de 2019.

Ce conflit s'inscrit dans la même lignée que l'arrêt Schrems II (juillet 2020), qui a invalidé le Privacy Shield en raison de l'accès disproportionné des agences américaines aux données. Le Data Privacy Framework adopté en 2023 encadre les programmes de renseignement (FISA 702, EO 12333) mais ne neutralise pas le CLOUD Act, qui relève de la coopération pénale ordinaire.

Exemples concrets d'exposition

• Une messagerie Microsoft 365 hébergée en France, contenant les échanges d'un comité de direction industriel.
• Des sauvegardes chiffrées déposées chez un opérateur américain, lorsque celui-ci détient les clés de chiffrement (KMS managé).
• Un CRM Salesforce ou un outil de visioconférence Zoom stockant des données de santé ou des identités de sources journalistiques.
• Un SIEM SaaS agrégeant les journaux de sécurité d'un opérateur d'importance vitale — donc une cartographie de son infrastructure.

Concepts liés

Le CLOUD Act s'articule avec la souveraineté numérique, le shadow IT (usage non cartographié de SaaS américains), la gestion des clés de chiffrement, le chiffrement homomorphe et le confidential computing. Il croise aussi les exigences de NIS 2 et de DORA sur la maîtrise de la chaîne de sous-traitance informatique.

Bonnes pratiques

• Cartographier la chaîne capitalistique de chaque fournisseur et sous-traitant, pas seulement la localisation des serveurs.
• Classifier les données et réserver les catégories sensibles (santé, secret des affaires, données d'OIV) à des hébergeurs qualifiés SecNumCloud, dont le référentiel 3.2 impose un critère d'immunité aux lois extraterritoriales.
• Reprendre le contrôle des clés : BYOK et surtout HYOK, avec des HSM opérés en Europe par une entité de droit européen. Un chiffrement dont le fournisseur détient la clé n'offre aucune protection contre une réquisition.
• Formaliser une analyse d'impact des transferts (TIA) adossée aux clauses contractuelles types, avec mesures supplémentaires documentées.
• Négocier des clauses de notification obligeant le fournisseur à informer le client de toute réquisition, dans la limite des gag orders américains.
• Exiger la réversibilité : formats ouverts, export intégral, absence de dépendance à des services propriétaires non substituables.