\nPoints cl\u00e9s :<\/strong><\/p>\n
\n
- Le Cloud Act est une loi f\u00e9d\u00e9rale am\u00e9ricaine de mars 2018. Elle oblige tout fournisseur soumis \u00e0 la juridiction am\u00e9ricaine \u00e0 transmettre les donn\u00e9es qu’il contr\u00f4le aux autorit\u00e9s am\u00e9ricaines, m\u00eame si ces donn\u00e9es sont stock\u00e9es hors des \u00c9tats-Unis.<\/li>\n
- La loi ne vise pas la nationalit\u00e9 du serveur mais celle de l’entreprise qui le contr\u00f4le : une filiale europ\u00e9enne d’un groupe am\u00e9ricain reste concern\u00e9e.<\/li>\n
- Le r\u00e9gulateur europ\u00e9en lui-m\u00eame (EDPB et EDPS, dans un avis conjoint) consid\u00e8re qu’une demande Cloud Act ne peut g\u00e9n\u00e9ralement pas \u00eatre ex\u00e9cut\u00e9e l\u00e9galement sous RGPD sans accord international pr\u00e9alable.<\/li>\n
- SecNumCloud est la seule qualification fran\u00e7aise qui impose une immunit\u00e9 v\u00e9rifi\u00e9e face \u00e0 ce type de loi, la CNIL l’a explicitement point\u00e9 comme un manque dans le projet de certification europ\u00e9enne EUCS.<\/li>\n<\/ul>\n<\/blockquote>\n
\nLe Cloud Act, c’est quoi exactement ?<\/h2>\n
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi f\u00e9d\u00e9rale am\u00e9ricaine promulgu\u00e9e en mars 2018. Elle fait deux choses distinctes. D’abord, elle inscrit dans la loi un principe de juridiction : une entreprise soumise au droit am\u00e9ricain doit produire les donn\u00e9es qu’elle a \u00ab en sa possession, sous sa garde ou son contr\u00f4le \u00bb, quel que soit le pays o\u00f9 ces donn\u00e9es sont physiquement stock\u00e9es. Ensuite, elle cr\u00e9e un cadre pour que les \u00c9tats-Unis signent des accords bilat\u00e9raux avec d’autres pays, permettant \u00e0 chacun de demander directement des donn\u00e9es \u00e0 un fournisseur soumis \u00e0 la juridiction de l’autre.<\/p>\n
D’o\u00f9 vient cette loi, et pourquoi vise-t-elle des donn\u00e9es stock\u00e9es hors des \u00c9tats-Unis ?<\/h2>\n
Le Cloud Act r\u00e8gle, par la loi, un litige n\u00e9 en 2013 : le minist\u00e8re de la Justice am\u00e9ricain r\u00e9clamait \u00e0 Microsoft des emails stock\u00e9s sur un serveur en Irlande, au nom d’un mandat de perquisition classique. Microsoft a refus\u00e9, arguant qu’un mandat am\u00e9ricain ne pouvait pas s’appliquer \u00e0 des donn\u00e9es h\u00e9berg\u00e9es hors des \u00c9tats-Unis. La cour d’appel a donn\u00e9 raison \u00e0 Microsoft en 2016, l’affaire est mont\u00e9e jusqu’\u00e0 la Cour supr\u00eame, et le Congr\u00e8s a tranch\u00e9 en amont en votant le Cloud Act en mars 2018 : la localisation des donn\u00e9es devient sans effet, seule compte la question de qui contr\u00f4le l’entreprise qui les h\u00e9berge.<\/p>\n
\u00bfA qui\u00e9n afecta la Ley Cloud?<\/h2>\n
La loi vise la nationalit\u00e9 juridique de l’entreprise qui contr\u00f4le les donn\u00e9es, pas la localisation du serveur qui les stocke, et la plupart des r\u00e9sum\u00e9s simplifient ce point \u00e0 l’exc\u00e8s en parlant d’\u00ab h\u00e9bergeurs am\u00e9ricains \u00bb comme si la nationalit\u00e9 des datacenters suffisait \u00e0 trancher la question. Le Cloud Act s’applique \u00e0 toute entit\u00e9 soumise \u00e0 la juridiction am\u00e9ricaine, ce qui inclut une filiale europ\u00e9enne d’un groupe dont la maison m\u00e8re est am\u00e9ricaine, m\u00eame si cette filiale op\u00e8re des serveurs en France ou en Allemagne. Un datacenter \u00e0 Paris ne suffit pas \u00e0 sortir du champ de la loi si l’op\u00e9rateur qui l’exploite reste une entreprise de droit am\u00e9ricain ou en d\u00e9pend juridiquement.<\/p>\n
\n
- Lo que no basta:<\/strong> Un centro de datos situado en Francia o en Europa.<\/li>\n
- Lo que sigue siendo de aplicaci\u00f3n:<\/strong> Une filiale europ\u00e9enne d’un groupe dont la maison m\u00e8re est am\u00e9ricaine.<\/li>\n
- Lo que resulta determinante:<\/strong> La structure juridique de l’op\u00e9rateur qui exploite l’infrastructure.<\/li>\n<\/ul>\n
La Ley Cloud y el RGPD: un conflicto real, no una hip\u00f3tesis<\/h2>\n
Le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es (EDPB) et le Contr\u00f4leur europ\u00e9en de la protection des donn\u00e9es (EDPS) ont publi\u00e9 une analyse juridique conjointe sur ce sujet : une demande formul\u00e9e au titre du Cloud Act ne peut, en g\u00e9n\u00e9ral, pas \u00eatre ex\u00e9cut\u00e9e l\u00e9galement sous RGPD sans un accord international pr\u00e9alable de type trait\u00e9 d’entraide judiciaire. L’article 48 du RGPD exige justement qu’une d\u00e9cision judiciaire \u00e9trang\u00e8re s’appuie sur un tel accord pour \u00eatre reconnue en Europe. En pratique, un fournisseur pris entre les deux textes s’expose \u00e0 un choix impossible : r\u00e9pondre \u00e0 l’injonction am\u00e9ricaine et risquer une violation du RGPD, ou refuser et s’exposer \u00e0 des sanctions aux \u00c9tats-Unis. La CNIL, de son c\u00f4t\u00e9, demande que les certifications cloud europ\u00e9ennes (comme le projet EUCS) int\u00e8grent un crit\u00e8re d’immunit\u00e9 face \u00e0 ce type de loi, un crit\u00e8re que SecNumCloud impose d\u00e9j\u00e0.<\/p>\n
Comment s’en prot\u00e9ger : le r\u00f4le de la qualification SecNumCloud<\/h2>\n
La seule r\u00e9ponse structurelle, ce n’est pas une clause contractuelle ou un chiffrement plus fort, c’est la nature juridique de l’op\u00e9rateur lui-m\u00eame. Le cloud Outscale Dassault Syst\u00e8mes est une entit\u00e9 de droit fran\u00e7ais, sans maison m\u00e8re am\u00e9ricaine qui l’exposerait au Cloud Act. Sur sa r\u00e9gion cloudgouv-eu-west-1, qualifi\u00e9e SecNumCloud 3.2, cette immunit\u00e9 fait partie des exigences v\u00e9rifi\u00e9es par l’ANSSI, pas d’une promesse commerciale. L’offre cloud souverain Ohmycad s’appuie sur cette base : la r\u00e9gion SecNumCloud reste une option, activ\u00e9e quand votre r\u00e9glementation ou votre client final l’exige, mais l’absence de lien capitalistique avec une entreprise am\u00e9ricaine, elle, ne d\u00e9pend d’aucune option.<\/p>\n
Conclusi\u00f3n<\/h2>\n
Le Cloud Act n’est pas une menace th\u00e9orique agit\u00e9e par les vendeurs de cloud souverain. C’est une loi vot\u00e9e, appliqu\u00e9e, et jug\u00e9e incompatible avec le RGPD par le r\u00e9gulateur europ\u00e9en lui-m\u00eame dans la plupart des cas concrets. Choisir un h\u00e9bergeur, c’est choisir qui peut \u00eatre contraint de livrer vos donn\u00e9es, et selon quel droit.<\/p>\n
Le cloud Outscale Dassault Syst\u00e8mes est une entit\u00e9 de droit fran\u00e7ais, sans d\u00e9pendance capitalistique \u00e0 une entreprise am\u00e9ricaine, avec une r\u00e9gion cloudgouv-eu-west-1 qualifi\u00e9e SecNumCloud 3.2 pour les donn\u00e9es qui l’exigent. L’offre cloud souverain Ohmycad construit son infog\u00e9rance sur cette base juridique, pas seulement sur une promesse de localisation.<\/p>\n
Lo que hay que hacer: comprobar qui\u00e9n controla legalmente tu proveedor de alojamiento, no solo d\u00f3nde est\u00e1n sus servidores.<\/p>\n
D\u00e9couvrir l’offre cloud souverain Ohmycad \u2192<\/a><\/p>\n
Para profundizar en el tema:<\/strong> la etiqueta \u00abCloud de confianza\u00bb<\/a> \u00b7 la certificaci\u00f3n SecNumCloud<\/a><\/p>\n
Fuentes<\/h2>\n
\n
- justice.gov, libro blanco del Departamento de Justicia (DOJ) sobre la Ley CLOUD<\/a><\/li>\n
- EDPB \/ EDPS, an\u00e1lisis jur\u00eddico conjunto sobre la Ley Cloud Act<\/a><\/li>\n
- CNIL, 19\/07\/2024, risques d’une certification europ\u00e9enne sans crit\u00e8re d’immunit\u00e9<\/a><\/li>\n<\/ul>\n
\n Preguntas frecuentes<\/p>\n
Preguntas frecuentes<\/h2>\n
\nLe Cloud Act s’applique-t-il seulement aux entreprises am\u00e9ricaines ?<\/summary>\n
Non. Il s’applique \u00e0 toute entit\u00e9 soumise \u00e0 la juridiction am\u00e9ricaine, y compris une filiale europ\u00e9enne d’un groupe dont la maison m\u00e8re est am\u00e9ricaine.<\/p>\n<\/details>\n
\n\u00bfPuede un proveedor de alojamiento que tiene servidores en Francia estar sujeto, aun as\u00ed, a la Ley Cloud?<\/summary>\n
Oui, si l’entreprise qui exploite ces serveurs d\u00e9pend juridiquement d’une maison m\u00e8re am\u00e9ricaine. La localisation physique des donn\u00e9es ne suffit pas \u00e0 \u00e9carter la loi, seule la structure juridique de l’op\u00e9rateur compte.<\/p>\n<\/details>\n
\nCloud Act et RGPD, lequel l’emporte en cas de conflit ?<\/summary>\n
Aucun des deux ne l’emporte proprement, c’est justement le probl\u00e8me identifi\u00e9 par l’EDPB et l’EDPS : sans accord international entre les \u00c9tats-Unis et l’Europe, une demande Cloud Act n’a pas de base l\u00e9gale claire sous RGPD, ce qui expose le fournisseur \u00e0 un conflit d’obligations.<\/p>\n<\/details>\n
\n\u00bfProtege el sello \u00abCloud de confianza\u00bb frente a la Ley Cloud Act?<\/summary>\n
C’\u00e9tait sa raison d’\u00eatre : le label d\u00e9signait SecNumCloud plus une immunit\u00e9 face au Cloud Act. Depuis la version 3.2 du r\u00e9f\u00e9rentiel, cette immunit\u00e9 est v\u00e9rifi\u00e9e par la qualification SecNumCloud elle-m\u00eame. Le d\u00e9tail est dans nuestro art\u00edculo espec\u00edfico<\/a>.<\/p>\n<\/details>\n
\n\u00bfGarantiza SecNumCloud una inmunidad total frente a cualquier ley extranjera?<\/summary>\n
La certificaci\u00f3n verifica la inmunidad frente a leyes extraterritoriales como la Cloud Act, obtenida mediante una estructura jur\u00eddica europea que no depende de ning\u00fan sujeto sometido a dichas leyes. Los detalles de los criterios se encuentran en nuestro art\u00edculo sobre SecNumCloud<\/a>.<\/p>\n<\/details>\n<\/section>\n
Besoin d’un h\u00e9bergement souverain, op\u00e9r\u00e9 et chiffr\u00e9 sur votre p\u00e9rim\u00e8tre ? Un ing\u00e9nieur Ohmycad revient vers vous avec un chiffrage, pas avec une grille tarifaire g\u00e9n\u00e9rique : que te llamen<\/a>. L’offre compl\u00e8te est sur la page nube soberana<\/a>.<\/p>\n