\nPoints cl\u00e9s :<\/strong><\/p>\n
\n
- Le Cloud Act est une loi f\u00e9d\u00e9rale am\u00e9ricaine de mars 2018. Elle oblige tout fournisseur soumis \u00e0 la juridiction am\u00e9ricaine \u00e0 transmettre les donn\u00e9es qu’il contr\u00f4le aux autorit\u00e9s am\u00e9ricaines, m\u00eame si ces donn\u00e9es sont stock\u00e9es hors des \u00c9tats-Unis.<\/li>\n
- La loi ne vise pas la nationalit\u00e9 du serveur mais celle de l’entreprise qui le contr\u00f4le : une filiale europ\u00e9enne d’un groupe am\u00e9ricain reste concern\u00e9e.<\/li>\n
- Le r\u00e9gulateur europ\u00e9en lui-m\u00eame (EDPB et EDPS, dans un avis conjoint) consid\u00e8re qu’une demande Cloud Act ne peut g\u00e9n\u00e9ralement pas \u00eatre ex\u00e9cut\u00e9e l\u00e9galement sous RGPD sans accord international pr\u00e9alable.<\/li>\n
- SecNumCloud est la seule qualification fran\u00e7aise qui impose une immunit\u00e9 v\u00e9rifi\u00e9e face \u00e0 ce type de loi, la CNIL l’a explicitement point\u00e9 comme un manque dans le projet de certification europ\u00e9enne EUCS.<\/li>\n<\/ul>\n<\/blockquote>\n
\nLe Cloud Act, c’est quoi exactement ?<\/h2>\n
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi f\u00e9d\u00e9rale am\u00e9ricaine promulgu\u00e9e en mars 2018. Elle fait deux choses distinctes. D’abord, elle inscrit dans la loi un principe de juridiction : une entreprise soumise au droit am\u00e9ricain doit produire les donn\u00e9es qu’elle a \u00ab en sa possession, sous sa garde ou son contr\u00f4le \u00bb, quel que soit le pays o\u00f9 ces donn\u00e9es sont physiquement stock\u00e9es. Ensuite, elle cr\u00e9e un cadre pour que les \u00c9tats-Unis signent des accords bilat\u00e9raux avec d’autres pays, permettant \u00e0 chacun de demander directement des donn\u00e9es \u00e0 un fournisseur soumis \u00e0 la juridiction de l’autre.<\/p>\n
D’o\u00f9 vient cette loi, et pourquoi vise-t-elle des donn\u00e9es stock\u00e9es hors des \u00c9tats-Unis ?<\/h2>\n
Le Cloud Act r\u00e8gle, par la loi, un litige n\u00e9 en 2013 : le minist\u00e8re de la Justice am\u00e9ricain r\u00e9clamait \u00e0 Microsoft des courriels stock\u00e9s sur un serveur en Irlande, au nom d’un mandat de perquisition classique. Microsoft a refus\u00e9, arguant qu’un mandat am\u00e9ricain ne pouvait pas s’appliquer \u00e0 des donn\u00e9es h\u00e9berg\u00e9es hors des \u00c9tats-Unis. La cour d’appel a donn\u00e9 raison \u00e0 Microsoft en 2016, l’affaire est mont\u00e9e jusqu’\u00e0 la Cour supr\u00eame, et le Congr\u00e8s a tranch\u00e9 en amont en votant le Cloud Act en mars 2018 : la localisation des donn\u00e9es devient sans effet, seule compte la question de qui contr\u00f4le l’entreprise qui les h\u00e9berge.<\/p>\n
Qui est concern\u00e9 par le Cloud Act ?<\/h2>\n
La loi vise la nationalit\u00e9 juridique de l’entreprise qui contr\u00f4le les donn\u00e9es, pas la localisation du serveur qui les stocke, et la plupart des r\u00e9sum\u00e9s simplifient ce point \u00e0 l’exc\u00e8s en parlant d’\u00ab h\u00e9bergeurs am\u00e9ricains \u00bb comme si la nationalit\u00e9 des datacenters suffisait \u00e0 trancher la question. Le Cloud Act s’applique \u00e0 toute entit\u00e9 soumise \u00e0 la juridiction am\u00e9ricaine, ce qui inclut une filiale europ\u00e9enne d’un groupe dont la maison m\u00e8re est am\u00e9ricaine, m\u00eame si cette filiale op\u00e8re des serveurs en France ou en Allemagne. Un datacenter \u00e0 Paris ne suffit pas \u00e0 sortir du champ de la loi si l’op\u00e9rateur qui l’exploite reste une entreprise de droit am\u00e9ricain ou en d\u00e9pend juridiquement.<\/p>\n
\n
- Ce qui ne suffit pas :<\/strong> Un datacenter situ\u00e9 en France ou en Europe.<\/li>\n
- Ce qui reste concern\u00e9 :<\/strong> Une filiale europ\u00e9enne d’un groupe dont la maison m\u00e8re est am\u00e9ricaine.<\/li>\n
- Ce qui est d\u00e9terminant :<\/strong> La structure juridique de l’op\u00e9rateur qui exploite l’infrastructure.<\/li>\n<\/ul>\n
Cloud Act et RGPD : un conflit r\u00e9el, pas une hypoth\u00e8se<\/h2>\n
Le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es (EDPB) et le Contr\u00f4leur europ\u00e9en de la protection des donn\u00e9es (EDPS) ont publi\u00e9 une analyse juridique conjointe sur ce sujet : une demande formul\u00e9e au titre du Cloud Act ne peut, en g\u00e9n\u00e9ral, pas \u00eatre ex\u00e9cut\u00e9e l\u00e9galement sous RGPD sans un accord international pr\u00e9alable de type trait\u00e9 d’entraide judiciaire. L’article 48 du RGPD exige justement qu’une d\u00e9cision judiciaire \u00e9trang\u00e8re s’appuie sur un tel accord pour \u00eatre reconnue en Europe. En pratique, un fournisseur pris entre les deux textes s’expose \u00e0 un choix impossible : r\u00e9pondre \u00e0 l’injonction am\u00e9ricaine et risquer une violation du RGPD, ou refuser et s’exposer \u00e0 des sanctions aux \u00c9tats-Unis. La CNIL, de son c\u00f4t\u00e9, demande que les certifications cloud europ\u00e9ennes (comme le projet EUCS) int\u00e8grent un crit\u00e8re d’immunit\u00e9 face \u00e0 ce type de loi, un crit\u00e8re que SecNumCloud impose d\u00e9j\u00e0.<\/p>\n
Comment s’en prot\u00e9ger : le r\u00f4le de la qualification SecNumCloud<\/h2>\n
La seule r\u00e9ponse structurelle, ce n’est pas une clause contractuelle ou un chiffrement plus fort, c’est la nature juridique de l’op\u00e9rateur lui-m\u00eame. Le cloud Outscale Dassault Syst\u00e8mes est une entit\u00e9 de droit fran\u00e7ais, sans maison m\u00e8re am\u00e9ricaine qui l’exposerait au Cloud Act. Sur sa r\u00e9gion cloudgouv-eu-west-1, qualifi\u00e9e SecNumCloud 3.2, cette immunit\u00e9 fait partie des exigences v\u00e9rifi\u00e9es par l’ANSSI, pas d’une promesse commerciale. L’offre cloud souverain Ohmycad s’appuie sur cette base : la r\u00e9gion SecNumCloud reste une option, activ\u00e9e quand votre r\u00e9glementation ou votre client final l’exige, mais l’absence de lien capitalistique avec une entreprise am\u00e9ricaine, elle, ne d\u00e9pend d’aucune option.<\/p>\n
Conclusion<\/h2>\n
Le Cloud Act n’est pas une menace th\u00e9orique agit\u00e9e par les vendeurs de cloud souverain. C’est une loi vot\u00e9e, appliqu\u00e9e, et jug\u00e9e incompatible avec le RGPD par le r\u00e9gulateur europ\u00e9en lui-m\u00eame dans la plupart des cas concrets. Choisir un h\u00e9bergeur, c’est choisir qui peut \u00eatre contraint de livrer vos donn\u00e9es, et selon quel droit.<\/p>\n
Le cloud Outscale Dassault Syst\u00e8mes est une entit\u00e9 de droit fran\u00e7ais, sans d\u00e9pendance capitalistique \u00e0 une entreprise am\u00e9ricaine, avec une r\u00e9gion cloudgouv-eu-west-1 qualifi\u00e9e SecNumCloud 3.2 pour les donn\u00e9es qui l’exigent. L’offre cloud souverain Ohmycad construit son infog\u00e9rance sur cette base juridique, pas seulement sur une promesse de localisation.<\/p>\n
Le bon r\u00e9flexe : v\u00e9rifier qui contr\u00f4le juridiquement votre h\u00e9bergeur, pas seulement o\u00f9 sont ses serveurs.<\/p>\n
D\u00e9couvrir l’offre cloud souverain Ohmycad \u2192<\/a><\/p>\n
Pour aller plus loin :<\/strong> le label cloud de confiance<\/a> \u00b7 la qualification SecNumCloud<\/a><\/p>\n
Sources<\/h2>\n
\n
- justice.gov, livre blanc du DOJ sur le CLOUD Act<\/a><\/li>\n
- EDPB \/ EDPS, analyse juridique conjointe sur le Cloud Act<\/a><\/li>\n
- CNIL, 19\/07\/2024, risques d’une certification europ\u00e9enne sans crit\u00e8re d’immunit\u00e9<\/a><\/li>\n<\/ul>\n
\n FAQ<\/p>\n
Questions fr\u00e9quentes<\/h2>\n
\nLe Cloud Act s’applique-t-il seulement aux entreprises am\u00e9ricaines ?<\/summary>\n
Non. Il s’applique \u00e0 toute entit\u00e9 soumise \u00e0 la juridiction am\u00e9ricaine, y compris une filiale europ\u00e9enne d’un groupe dont la maison m\u00e8re est am\u00e9ricaine.<\/p>\n<\/details>\n
\nUn h\u00e9bergeur qui a des serveurs en France peut-il quand m\u00eame \u00eatre soumis au Cloud Act ?<\/summary>\n
Oui, si l’entreprise qui exploite ces serveurs d\u00e9pend juridiquement d’une maison m\u00e8re am\u00e9ricaine. La localisation physique des donn\u00e9es ne suffit pas \u00e0 \u00e9carter la loi, seule la structure juridique de l’op\u00e9rateur compte.<\/p>\n<\/details>\n
\nCloud Act et RGPD, lequel l’emporte en cas de conflit ?<\/summary>\n
Aucun des deux ne l’emporte proprement, c’est justement le probl\u00e8me identifi\u00e9 par l’EDPB et l’EDPS : sans accord international entre les \u00c9tats-Unis et l’Europe, une demande Cloud Act n’a pas de base l\u00e9gale claire sous RGPD, ce qui expose le fournisseur \u00e0 un conflit d’obligations.<\/p>\n<\/details>\n
\nLe label cloud de confiance prot\u00e8ge-t-il du Cloud Act ?<\/summary>\n
C’\u00e9tait sa raison d’\u00eatre : le label d\u00e9signait SecNumCloud plus une immunit\u00e9 face au Cloud Act. Depuis la version 3.2 du r\u00e9f\u00e9rentiel, cette immunit\u00e9 est v\u00e9rifi\u00e9e par la qualification SecNumCloud elle-m\u00eame. Le d\u00e9tail est dans notre article d\u00e9di\u00e9<\/a>.<\/p>\n<\/details>\n
\nSecNumCloud garantit-il une immunit\u00e9 totale face \u00e0 toute loi \u00e9trang\u00e8re ?<\/summary>\n
La qualification v\u00e9rifie une immunit\u00e9 face aux lois extraterritoriales comme le Cloud Act, obtenue par une structure juridique europ\u00e9enne sans d\u00e9pendance \u00e0 un acteur soumis \u00e0 ces lois. Le d\u00e9tail des crit\u00e8res est dans notre article sur SecNumCloud<\/a>.<\/p>\n<\/details>\n<\/section>\n
Besoin d’un h\u00e9bergement souverain, op\u00e9r\u00e9 et chiffr\u00e9 sur votre p\u00e9rim\u00e8tre ? Un ing\u00e9nieur Ohmycad revient vers vous avec un chiffrage, pas avec une grille tarifaire g\u00e9n\u00e9rique : se faire rappeler<\/a>. L’offre compl\u00e8te est sur la page cloud souverain<\/a>.<\/p>\n