Le Cloud Act : le laissez-passer controversé des États-Unis pour contourner le RGPD

Une entreprise française héberge les données de ses clients chez un prestataire cloud basé à Paris. Elle pense, à juste titre, être protégée par le RGPD. Pourtant, si ce prestataire appartient à un groupe américain, les autorités des États-Unis peuvent réclamer l’accès à ces informations sans passer par un juge français, sans traité international, et sans même prévenir l’entreprise concernée. Cette situation, loin d’être théorique, découle directement du Cloud Act, une loi fédérale votée en mars 2018 qui a rebattu les cartes de la souveraineté numérique mondiale.

Pour les directions administratives et financières de PME industrielles ou de services, la question n’est plus académique. Un rapport confidentiel commandé par le ministère allemand de l’Intérieur, révélé en décembre 2025, a confirmé ce que beaucoup de juristes redoutaient depuis des années : stocker ses données en Europe ne suffit plus à les mettre hors de portée des autorités américaines dès lors que l’hébergeur reste sous juridiction américaine. Entre extraterritorialité du droit américain et exigences de protection des données personnelles imposées par Bruxelles, les entreprises se retrouvent au milieu d’un conflit juridique qu’elles n’ont pas choisi.

En bref :

• Le Cloud Act permet aux autorités américaines d’accéder aux données de tout fournisseur cloud américain, où que soient stockés les serveurs.
• Cette loi entre en conflit direct avec l’article 48 du RGPD, qui exige un accord international pour tout transfert de données vers un pays tiers.
• Aucune notification n’est obligatoire : ni l’entreprise cliente, ni la personne concernée ne sont informées d’une demande d’accès.
• Les sanctions RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial en cas de transfert non conforme.
• Des alternatives existent : fournisseurs souverains européens, chiffrement à clés européennes, clauses contractuelles renforcées.
• Des projets comme Gaia-X ou Sovereign Cloud Stack visent à réduire la dépendance européenne aux hyperscalers américains.

Qu’est-ce que le Cloud Act et pourquoi menace-t-il vos données ?

Le Clarifying Lawful Overseas Use of Data Act, plus connu sous son acronyme Cloud Act, modifie le Stored Communications Act américain de 1986. Son objectif affiché consistait à faciliter les enquêtes pénales à une époque où les données circulent et se stockent dans des clouds répartis sur plusieurs continents. Dans les faits, cette loi donne aux autorités fédérales américaines un pouvoir de contrainte considérable sur toute entreprise technologique ayant un lien avec le territoire américain.

Le mécanisme fonctionne sans procédure d’entraide judiciaire internationale. Un mandat ou une assignation américaine suffit à obliger un fournisseur cloud à livrer des données, même stockées à Francfort, Marseille ou Dublin. C’est justement l’affaire Microsoft contre les États-Unis, portant sur des courriels hébergés en Irlande, qui a servi de déclencheur législatif à ce texte voté quasiment sans débat, glissé dans une loi de finances en mars 2018.

Cette absence de garde-fou pose un problème structurel pour la confidentialité des échanges professionnels. Comme le détaille la synthèse disponible sur le Cloud Act, la personne dont les données sont consultées n’a pas à être informée, pas plus que son pays de résidence. Une entreprise peut donc apprendre des mois plus tard, voire jamais, que ses informations stratégiques ont transité vers une agence fédérale américaine.

Un texte né d’un bras de fer judiciaire

Avant le Cloud Act, le FBI se heurtait régulièrement à des refus des géants technologiques, qui invoquaient la localisation physique des serveurs pour échapper aux mandats américains. Le Congrès a donc voulu clarifier la portée du droit américain en l’étendant explicitement à toute donnée sous contrôle d’une entreprise américaine, peu importe où elle se trouve physiquement. Microsoft, Apple et Google ont d’ailleurs salué cette clarification, qui leur offrait enfin un cadre juridique stable, même contesté à l’étranger.

Qui est réellement concerné par cette législation extraterritoriale ?

Beaucoup de dirigeants pensent, à tort, que le Cloud Act ne vise que les géants américains directement installés outre-Atlantique. En réalité, le périmètre est bien plus large. Sont concernées les entreprises américaines historiques comme Microsoft, Amazon ou Salesforce, mais aussi leurs filiales installées en Europe, ainsi que toute société étrangère disposant d’une présence commerciale significative aux États-Unis.

Une PME française qui utilise Microsoft Azure pour héberger sa comptabilité, ou Amazon Web Services pour son ERP, se retrouve donc mécaniquement exposée. Même chose pour une entreprise qui recourt à Salesforce pour sa gestion commerciale. Le lien juridique avec les États-Unis suffit à déclencher l’applicabilité du texte, indépendamment de la localisation réelle des données.

Ce constat a conduit certaines entreprises à revoir entièrement leur stratégie d’hébergement. Le cas des attestations de prêts garantis par l’État, hébergées un temps chez Amazon pendant la crise sanitaire, avait déjà soulevé des interrogations sur la souveraineté des données publiques françaises. Le sujet reste sensible et illustre bien que même des données financières critiques peuvent transiter par une infrastructure soumise au droit américain.

Pourquoi le Cloud Act entre-t-il en collision frontale avec le RGPD ?

L’article 48 du RGPD encadre strictement les transferts de données personnelles vers des pays tiers. Il exige qu’une décision étrangère exigeant ce transfert repose sur un accord international reconnu, comme un traité d’entraide judiciaire. Or le Cloud Act est une loi unilatérale américaine, pas un traité négocié avec l’Union européenne. Ce simple fait crée une contradiction juridique difficile à résoudre pour les entreprises prises entre deux systèmes de droit.

Le Comité européen de la protection des données a été clair sur ce point : un fournisseur soumis au droit européen ne peut pas justifier un transfert de données uniquement par une demande fondée sur le Cloud Act. Pourtant, cette position de principe ne protège pas concrètement l’entreprise qui reçoit une telle demande et doit choisir entre deux obligations contradictoires.

Le dilemme des responsables informatiques

Imaginons une direction des systèmes d’information confrontée à une demande d’accès formulée au titre du Cloud Act sur des données clients européens. Deux options s’offrent à elle, aucune n’étant satisfaisante.

Option choisie	Conséquence principale	Risque juridique associé
Se conformer à la demande américaine	Transfert de données non couvert par un accord international	Sanction RGPD jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial
Refuser de coopérer	Non-respect d’un mandat fédéral américain	Poursuites pénales et sanctions aux États-Unis, coupure possible du service cloud

Cette situation, que certains juristes qualifient d’impossibilité juridique, illustre bien pourquoi la question du Cloud Act ne peut plus être traitée comme un simple détail contractuel. Elle touche directement la sécurité des données et la capacité même de l’entreprise à respecter ses obligations réglementaires. D’ailleurs, comprendre les mécanismes du DPA et ses enjeux pour 2026 devient un préalable indispensable pour toute entreprise sous-traitante au sens du RGPD.

Quels risques concrets pour une PME industrielle ou de services ?

Au-delà du cadre légal, les conséquences pratiques méritent d’être détaillées, car elles touchent directement l’activité quotidienne de l’entreprise. Une PME qui externalise sa comptabilité ou sa gestion de production sur un cloud américain expose potentiellement ses secrets industriels, ses formules, ses plans de fabrication ou ses données RH.

La perte de contrôle sur les informations sensibles constitue le premier risque. Un concurrent américain pourrait, par un jeu d’influences ou de procédures judiciaires parallèles, accéder indirectement à des données stratégiques hébergées chez un hyperscaler. Ce n’est pas un scénario de fiction : c’est une possibilité juridique réelle documentée par plusieurs cabinets spécialisés, notamment analysée sur ce blog dédié à la législation extraterritoriale sur les données.

Le second risque tient à l’insécurité juridique permanente. Une entreprise ne peut jamais garantir à ses propres clients que leurs données n’ont pas été consultées par une autorité étrangère. Cette incertitude complique toute démarche de conformité et fragilise la relation de confiance construite avec les clients européens, particulièrement dans des secteurs sensibles comme la santé ou la finance.

L’impact réputationnel, souvent sous-estimé

Que se passerait-il si la presse économique révélait qu’une PME française a vu les données de ses clients transmises aux autorités américaines sans son consentement ? Le dommage réputationnel pourrait être considérable, bien au-delà de la sanction financière elle-même. Une violation de données en 2026 ne se limite plus à une simple amende : elle engage la confiance commerciale sur le long terme.

Quelles solutions concrètes pour limiter l’exposition de votre entreprise ?

Face à ce constat, plusieurs stratégies permettent de réduire significativement les risques, sans pour autant offrir une garantie absolue.

• Privilégier un fournisseur cloud européen sans aucun lien capitalistique ou commercial avec les États-Unis, comme OVHcloud, Scaleway ou T-Systems.
• Chiffrer les données de bout en bout avec une gestion des clés exclusivement européenne, rendant les données inexploitables même en cas de demande américaine.
• Exiger des clauses contractuelles renforcées imposant la notification immédiate de toute demande d’accès reçue par le prestataire.
• Réaliser un audit de conformité régulier pour vérifier la localisation réelle et la juridiction applicable à chaque prestataire cloud utilisé.
• Documenter la cartographie des sous-traitants pour identifier précisément les flux de données transfrontaliers.

Cette démarche s’inscrit dans une logique plus large de conformité RGPD, où la rédaction d’un accord de protection des données solide avec chaque sous-traitant devient une pièce maîtresse du dispositif. Sans ce document, l’entreprise ne peut ni tracer les responsabilités, ni prouver sa diligence en cas de contrôle de la CNIL.

Le chiffrement, une protection réelle mais limitée

Le chiffrement à clés européennes constitue une avancée technique intéressante, mais elle a ses limites. Même chiffrées, les données restent soumises à l’obligation légale de conservation imposée par le droit américain dès leur réception par le fournisseur. Une agence fédérale pourrait, dans certains cas, exiger la transmission des clés elles-mêmes, rendant la protection illusoire. Il ne s’agit donc pas d’une solution miracle, mais d’une couche de sécurité supplémentaire dans une stratégie globale de sécurité des données.

Que disent les institutions françaises et européennes face à cette extraterritorialité ?

L’Assemblée nationale française n’est pas restée silencieuse. Dans un rapport de 2019, les parlementaires ont qualifié le Cloud Act d’étape supplémentaire dans l’unilatéralisme extraterritorial américain, une formule qui traduit bien l’inquiétude d’une partie de la classe politique face à cette forme de surveillance à distance.

Le Superviseur européen de la protection des données a également exprimé des réserves sérieuses sur la compatibilité de cette loi avec les principes fondamentaux du RGPD. Cette position institutionnelle, bien que ferme sur le plan des principes, ne résout cependant pas le problème pratique des entreprises confrontées à une demande concrète.

Certains observateurs, comme le rappelle une analyse publiée sur l’impact du Cloud Act sur le RGPD, estiment que le véritable danger ne réside pas tant dans la loi américaine elle-même que dans la lenteur de la réaction européenne face à ce texte. Cette absence de réponse rapide et coordonnée laisse les entreprises seules face à des choix juridiques complexes.

Le rapport allemand qui a relancé le débat

Publié fin 2025 après avoir été maintenu confidentiel, le rapport commandé par le ministère allemand de l’Intérieur a confirmé les craintes les plus vives. Il établit que le Cloud Act, combiné à la section 702 du Foreign Intelligence Surveillance Act prolongée jusqu’en avril 2026, offre aux agences américaines un accès quasi total aux données hébergées par des entreprises américaines, y compris via leurs filiales locales. Ce document a relancé le débat sur la fiabilité réelle des hébergeurs présentés comme conformes au RGPD.

Comment construire une véritable souveraineté numérique face à cette dépendance ?

La dépendance européenne aux infrastructures cloud américaines n’est pas qu’une question technique ou budgétaire. Elle est devenue un enjeu politique et juridique majeur, révélé au grand jour par le Cloud Act. Plusieurs initiatives tentent d’y répondre, avec des résultats encore inégaux mais des ambitions claires.

Le projet Gaia-X, fédération de fournisseurs cloud européens, vise à créer un écosystème interopérable respectant les standards européens de protection des données. Sovereign Cloud Stack, de son côté, propose une infrastructure open-source entièrement développée sur le sol européen. Ces initiatives restent perfectibles, mais elles représentent une alternative crédible face à la domination des hyperscalers américains.

Pour une PME, s’orienter vers ces solutions demande souvent un accompagnement spécifique. Faire appel à un expert en protection des données personnelles permet d’évaluer précisément les risques liés à chaque prestataire et de bâtir une feuille de route réaliste, adaptée à la taille et aux moyens de l’entreprise. La souveraineté numérique ne se décrète pas en un jour, elle se construit progressivement, contrat par contrat, audit après audit.

Une entreprise qui anticipe ces enjeux aujourd’hui se protège d’un risque réputationnel et financier qui ne fera que s’accentuer à mesure que la réglementation européenne se durcit face aux pressions extraterritoriales américaines.

Le Cloud Act s’applique-t-il si mes données sont stockées uniquement en France ?

Oui, dès lors que le fournisseur cloud est une entreprise américaine ou une filiale d’un groupe américain, la localisation physique des serveurs en France ne suffit pas à écarter l’application du Cloud Act.

Une entreprise européenne peut-elle refuser une demande fondée sur le Cloud Act ?

Juridiquement, le refus expose l’entreprise à des sanctions américaines, tandis que la conformité expose à des sanctions RGPD. Ce dilemme illustre l’absence de solution simple face à ce conflit de lois.

Le chiffrement des données protège-t-il totalement contre le Cloud Act ?

Le chiffrement à clés européennes limite l’exploitation des données par les autorités américaines, mais l’obligation légale de conservation demeure et la transmission des clés peut être exigée dans certains cas.

Quels fournisseurs cloud sont considérés comme souverains en Europe ?

Des acteurs comme OVHcloud, Scaleway ou T-Systems sont généralement cités comme sans lien capitalistique avec les États-Unis, ce qui les place hors du champ d’application direct du Cloud Act.

Le RGPD interdit-il formellement tout transfert de données vers les États-Unis ?

Le RGPD n’interdit pas tout transfert, mais il encadre strictement les conditions, notamment via l’article 48, qui exige un fondement d’accord international, ce que le Cloud Act ne constitue pas.