Le CLOUD Act est régulièrement invoqué dans les argumentaires commerciaux, souvent sans être expliqué. Résultat : les entreprises savent qu'il faut s'en méfier, sans savoir ce qu'il implique concrètement pour elles.
Voici ce qu'il fait, ce qu'il ne fait pas, et comment mesurer votre exposition en une demi-heure.
L'essentiel
- Adopté en 2018 aux États-Unis, il permet de requérir des données détenues par une entreprise relevant du droit américain.
- Il suit l'entreprise, pas les machines : des données stockées en France sont concernées si l'opérateur relève du droit américain.
- Il ne s'applique pas à une entreprise française opérant un service français, sans lien capitalistique américain.
- Il coexiste avec le RGPD, et cette coexistence crée une tension juridique réelle pour les entreprises exposées aux deux.
- Votre exposition se mesure : listez vos prestataires et regardez qui les opère.
Ce qu'il fait, en une phrase
Il permet aux autorités américaines d'adresser une réquisition à une entreprise soumise au droit des États-Unis, pour obtenir des données qu'elle détient ou contrôle, où qu'elles soient stockées.
Le mot décisif est « contrôle ». Une entreprise peut ne pas stocker vos données sur le sol américain et en avoir le contrôle technique : c'est le cas d'un groupe qui opère, depuis les États-Unis, une infrastructure située en Europe.
Deux conséquences qui surprennent :
- Un centre de données en France ne suffit pas. C'est le point le plus important, et le plus souvent mal compris.
- Une filiale européenne ne suffit pas nécessairement : la question est de savoir si la maison mère exerce un contrôle sur les données.
La tension avec le RGPD
Le RGPD encadre les transferts de données personnelles hors de l'Union européenne et impose des garanties. Le CLOUD Act, lui, peut conduire à une communication de données sans que la personne concernée en soit informée.
Pour une entreprise exposée aux deux, cela crée une situation inconfortable : elle est responsable du traitement au sens du RGPD, et son prestataire peut être contraint par un droit étranger.
Ce n'est pas une impasse — des mécanismes contractuels et techniques existent, à commencer par le chiffrement dont vous détenez les clés — mais c'est une exposition qu'il faut connaître et documenter, notamment dans son registre des traitements.
Voir les obligations RGPD d'une PME qui héberge un ERP.
Mesurer son exposition réelle, en une demi-heure
L'exercice est simple, et presque personne ne l'a fait. Listez vos prestataires qui détiennent des données d'entreprise, et pour chacun répondez à une seule question : quelle société opère ce service, et de quel droit relève-t-elle ?
| Service | À vérifier |
|---|---|
| Hébergement de l'ERP | La société qui opère, et son droit |
| Messagerie professionnelle | Souvent le poste le plus exposé, et jamais examiné |
| Stockage de fichiers partagés | Idem |
| Outil de visioconférence | Enregistrements et transcriptions |
| Envoi de courriels transactionnels | Factures et relances passent par là |
| Sauvegardes | Parfois chez un autre opérateur que les données vives |
Le résultat de cet inventaire est généralement inattendu : l'ERP est souvent le service le mieux maîtrisé, et la messagerie le moins. Ce n'est pas une raison pour ne rien faire sur l'ERP — c'est une raison pour hiérarchiser honnêtement.
Ce qui réduit réellement l'exposition
- Choisir un opérateur relevant du droit européen pour les données les plus sensibles. C'est le levier principal, et le seul qui traite la cause.
- Chiffrer avec des clés que vous détenez, quand c'est possible. Une donnée chiffrée dont l'opérateur n'a pas la clé a une valeur limitée pour un tiers.
- Hiérarchiser. Tout n'a pas la même sensibilité : un fichier clients, des données RH et des secrets industriels ne se traitent pas comme un agenda partagé.
- Documenter, dans votre registre des traitements, où sont les données et qui les opère. C'est une obligation RGPD, et c'est aussi ce qui rend la décision possible.
Le point 3 évite la paralysie : une démarche de souveraineté qui veut tout traiter en même temps ne traite rien. Commencez par ce qui ferait le plus de dégâts en cas de divulgation. Voir les quatre critères vérifiables d'un cloud souverain.
Où nous nous situons
Atalios est une société immatriculée en France, sous le SIREN 109 570 358, dont le siège est à Lyon. Les instances que nous hébergeons sont chez OVHcloud, à Roubaix et Strasbourg, et nos sous-traitants sont listés en annexe du contrat de sous-traitance.
Ce n'est pas un argument moral, c'est un ensemble de faits vérifiables — et c'est exactement ce que vous devez pouvoir obtenir de n'importe quel prestataire. Nos engagements figurent dans le DPA et la politique de confidentialité.
Questions fréquentes
Un centre de données en France protège-t-il du CLOUD Act ?
Non. Le CLOUD Act suit la nationalité et le contrôle de l'entreprise qui opère le service, pas l'emplacement des machines. Une infrastructure située en France mais opérée par une société relevant du droit américain reste dans son champ.
Une filiale française d'un groupe américain est-elle concernée ?
C'est le cas le plus discuté, et la réponse dépend du contrôle effectif exercé sur les données. C'est pourquoi la question utile n'est pas « où est la filiale » mais « qui détient ou contrôle techniquement les données ». À poser, et à faire écrire.
Le RGPD protège-t-il contre le CLOUD Act ?
Il encadre les transferts hors de l'Union et impose des garanties, mais il ne neutralise pas une réquisition étrangère. Pour une entreprise exposée aux deux, la tension est réelle : elle reste responsable du traitement, et son prestataire peut être contraint par un autre droit.
Quel est le service le plus exposé dans une PME ?
Presque toujours la messagerie professionnelle, et presque jamais examinée. L'ERP est souvent le service le mieux maîtrisé. Faites l'inventaire avant de décider : il donne des priorités différentes de celles que l'on imagine.
Que faire si je ne peux pas tout changer ?
Hiérarchiser, et documenter. Commencez par les données dont la divulgation ferait le plus de dégâts — fichier clients, données RH, secrets industriels. Une démarche qui veut tout traiter en même temps ne traite rien, et la documentation de l'exposition est déjà une obligation RGPD.
Pour aller plus loin
- Les quatre critères vérifiables d'un cloud souverain
- Les obligations RGPD d'une PME qui héberge un ERP
- Les quatre critères d'un ERP souverain
En résumé
Le CLOUD Act suit l'entreprise, pas les machines : un centre de données en France ne protège pas si l'opérateur relève du droit américain. Faites l'inventaire de vos prestataires et de leur droit applicable — une demi-heure —, hiérarchisez par sensibilité, chiffrez ce qui peut l'être, et documentez. Parlons de votre exposition.
