Votre messagerie, votre CRM et votre hébergement sont chez des fournisseurs américains, mais les serveurs sont à Francfort ou à Paris. Un client grand compte vous demande, dans son questionnaire sécurité, si vos données sont « exposées au Cloud Act ». La réponse honnête n'est ni oui ni non : elle dépend de qui contrôle les données, pas de l'endroit où elles sont stockées.
Ce guide pose le cadre juridique du Cloud Act, ce qu'en dit le RGPD (l'article 48 en premier lieu), ce que le Data Privacy Framework couvre et ne couvre pas, puis la méthode pour documenter ce risque fournisseur par fournisseur. Le cas d'un hébergeur précis, avec ses engagements contractuels, est traité dans notre guide AWS et Cloud Act.
Qu'est-ce que le Cloud Act ?
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) est une loi fédérale américaine promulguée le 23 mars 2018. Il n'a pas été voté seul : il forme la division V de la loi de finances Consolidated Appropriations Act, 2018 (H.R. 1625).
Il modifie le Stored Communications Act de 1986, qui encadre l'accès des enquêteurs aux données détenues par les fournisseurs de services en ligne. Sa disposition centrale est le 18 U.S.C. § 2713 : un fournisseur doit conserver et communiquer les données qui sont « en sa possession, sous sa garde ou sous son contrôle », que ces données soient situées aux États-Unis ou à l'étranger.
L'origine : l'affaire Microsoft Irlande
En 2013, un juge new-yorkais délivre un mandat pour obtenir le contenu d'un compte de messagerie Microsoft dans une enquête de trafic de stupéfiants. Les courriels sont stockés à Dublin. Microsoft refuse de les communiquer, et la cour d'appel du deuxième circuit lui donne raison le 14 juillet 2016 : le Stored Communications Act ne s'applique pas hors du territoire américain.
Le Cloud Act tranche la question au profit des enquêteurs alors que l'affaire est pendante devant la Cour suprême. Celle-ci clôt le dossier sans statuer sur le fond le 17 avril 2018 (United States v. Microsoft Corp.), un nouveau mandat ayant été délivré sur le fondement de la loi nouvelle.
Ce que le Cloud Act n'est pas
Le Cloud Act est un outil de procédure pénale : il sert des enquêtes judiciaires, avec un mandat (warrant) délivré par un juge pour le contenu des communications. Ce n'est pas une loi de renseignement. La surveillance de masse dénoncée dans les arrêts Schrems relève d'autres textes, la section 702 du Foreign Intelligence Surveillance Act et l'Executive Order 12333.
La distinction n'est pas académique. Elle explique pourquoi les garanties obtenues par l'Union européenne en 2023 sur le renseignement ne disent rien du Cloud Act (voir plus bas).
Qui est concerné : le critère du contrôle, pas celui de la localisation
Le Cloud Act vise les fournisseurs de services de communications électroniques et de services informatiques à distance soumis à la juridiction américaine. Le critère est le contrôle des données, pas le lieu de stockage. Concrètement :
- Un fournisseur américain qui héberge vos données en Europe est concerné : il contrôle les données, où qu'elles soient.
- La filiale européenne d'un groupe américain l'est très probablement, dès lors que la maison mère a accès aux données ou peut y donner accès.
- Un fournisseur européen ayant une activité significative aux États-Unis peut l'être aussi : la juridiction américaine ne dépend pas de la nationalité de l'actionnaire, et la question s'analyse au cas par cas.
- Vos sous-traitants ultérieurs comptent autant que vos sous-traitants directs : un éditeur français qui s'appuie sur un hébergeur américain reporte sur vous l'exposition de son hébergeur.
Les garde-fous prévus par le texte
Pour le contenu des communications, les autorités doivent obtenir un mandat d'un juge, fondé sur une cause probable (18 U.S.C. § 2703). Les métadonnées et les données d'abonné peuvent être obtenues avec des actes moins exigeants. Le juge peut aussi interdire au fournisseur de prévenir son client de la demande (18 U.S.C. § 2705(b)).
Le fournisseur dispose de 14 jours pour demander l'annulation ou la modification d'une demande (§ 2703(h)). Ce recours est étroit : il suppose que le client visé ne soit ni un ressortissant ni un résident américain, et que la communication fasse courir un risque réel de violer le droit d'un « gouvernement étranger qualifié », c'est-à-dire d'un État qui a conclu un accord exécutif avec les États-Unis. Le Royaume-Uni (accord en vigueur en octobre 2022) et l'Australie (janvier 2024) en ont un. Avant de vous appuyer sur ce recours pour un fournisseur, vérifiez la liste des accords publiée par le Department of Justice.
Ce que dit le RGPD : l'article 48
Le RGPD a anticipé ce type de demande. Selon l'article 48, une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant la communication de données personnelles n'est reconnue ou exécutoire que si elle est fondée sur un accord international, comme un traité d'entraide judiciaire, sans préjudice des autres motifs de transfert du chapitre V (articles 44 et suivants).
Le 10 juillet 2019, le Comité européen de la protection des données (EDPB) et le Contrôleur européen (EDPS) ont précisé ce point dans une réponse conjointe à la commission LIBE du Parlement européen : une demande fondée sur le Cloud Act ne constitue pas, à elle seule, une base légale de transfert, et les dérogations de l'article 49 ne peuvent la couvrir que de façon très limitée. La voie prévue reste l'entraide judiciaire, en particulier l'accord UE - États-Unis du 25 juin 2003.
Un conflit de lois que le fournisseur porte, et que vous documentez
Un fournisseur qui reçoit une demande du Cloud Act se trouve entre deux obligations : la loi américaine qui lui impose de communiquer, et le RGPD qui le lui interdit hors accord international. En France, la loi dite « de blocage » du 26 juillet 1968, réformée par un décret du 18 février 2022, ajoute une interdiction pour certaines informations économiques sensibles.
Ce conflit ne se règle pas dans vos contrats. Mais l'article 28 vous oblige à choisir des sous-traitants qui présentent des garanties suffisantes : l'exposition d'un fournisseur au Cloud Act fait partie de ce que vous devez évaluer et tracer.
Cloud Act et Data Privacy Framework : ce que l'adéquation couvre et ne couvre pas
La décision d'adéquation 2023/1795 du 10 juillet 2023 permet de transférer des données vers les entreprises américaines certifiées au Data Privacy Framework (DPF) sans garanties supplémentaires. Elle repose sur l'Executive Order 14086 du 7 octobre 2022, qui encadre les activités de renseignement et crée une voie de recours, la Data Protection Review Court.
Le Cloud Act ne relève pas du renseignement : il relève de la procédure pénale. La certification DPF d'un fournisseur sécurise vos transferts vers lui, elle ne dit rien de ce qu'il fera d'une demande judiciaire américaine. Les deux questions se traitent séparément dans votre analyse.
Un cadre validé, puis fragilisé
Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours en annulation du DPF formé par le député Philippe Latombe (affaire T-553/23). Mais le 29 juin 2026, la Cour suprême américaine a jugé dans Trump v. Slaughter que la Federal Trade Commission n'était plus nécessairement indépendante du pouvoir exécutif, alors que la décision d'adéquation s'appuie sur cette indépendance (notre actualité du 4 juillet 2026).
Conséquence pratique : ne pas faire reposer tous vos transferts vers les États-Unis sur le seul DPF, et garder prêtes des clauses contractuelles types pour vos fournisseurs critiques. Le point complet sur les outils de transfert disponibles est dans notre guide transférer des données vers les États-Unis, et la liste des pays adéquats dans pays compatibles avec le RGPD.
Fournisseur américain hébergeant en UE : êtes-vous protégé ?
Héberger en Europe réduit les transferts, mais pas l'exposition au Cloud Act. Les lignes directrices 05/2021 de l'EDPB (version finale du 14 février 2023) rappellent en outre qu'un accès à distance depuis un pays tiers, par exemple pour le support, constitue lui-même un transfert. Trois leviers changent réellement la situation.
Le chiffrement avec des clés que vous maîtrisez
Si les données sont chiffrées et que le fournisseur n'a pas accès aux clés, il ne peut communiquer qu'un contenu inintelligible. C'est la mesure supplémentaire de référence des recommandations 01/2020 de l'EDPB (version 2.0 du 18 juin 2021). Elle a une limite : elle ne fonctionne pas pour un service qui doit lire les données en clair pour les traiter (messagerie, CRM, outil d'IA).
Les offres qualifiées SecNumCloud
Le référentiel SecNumCloud 3.2 de l'ANSSI (mars 2022) comporte des exigences de protection contre les lois extraterritoriales : une offre qualifiée doit être immunisée contre l'application de droits non européens. Pour les données d'une sensibilité particulière, la loi SREN du 21 mai 2024 impose aux administrations de l'État de recourir à des offres présentant ce niveau de protection, et la certification HDS des hébergeurs de données de santé exige depuis 2024 un hébergement dans l'Espace économique européen. Attention au calendrier : toutes les offres de « cloud de confiance » annoncées ne sont pas encore qualifiées (l'exemple de Bleu, en octobre 2026).
Le choix d'un fournisseur hors juridiction américaine
C'est la seule option qui supprime le risque au lieu de le réduire, à condition de vérifier aussi les sous-traitants ultérieurs du fournisseur retenu. Notre outil gratuit d'alternatives européennes recense des fournisseurs par catégorie de service. Pour les outils les plus répandus, voir aussi notre guide sur Office 365 et le RGPD.
Comment documenter le risque Cloud Act : la méthode du DPO
Le risque Cloud Act ne se supprime pas d'un coup ; il se cartographie, se pondère et se trace. Six étapes, dans cet ordre :
- Cartographier. Pour chaque sous-traitant du registre, et pour ses sous-traitants ultérieurs : nationalité du groupe, lieu d'hébergement, accès du support depuis un pays tiers. C'est le travail de base de la gestion des sous-traitants.
- Classer les données. Données de santé et autres catégories de l'article 9, données couvertes par un secret (bancaire, médical), données des collectivités : ce sont elles qui justifient une mesure forte.
- Lire le contrat. Les clauses contractuelles types de 2021 (décision 2021/914) imposent à l'importateur, en clause 15, de vous informer d'une demande d'accès d'une autorité publique quand il le peut, de la contester si elle est illégale et de ne communiquer que le minimum. Vérifiez que le DPA du fournisseur reprend ces engagements et qu'il publie un rapport de transparence.
- Évaluer. Le Cloud Act fait partie de l'analyse du droit du pays tiers dans votre analyse d'impact des transferts, à côté du renseignement. Pour un traitement sensible, il alimente aussi l'AIPD.
- Décider et tracer. Mesure retenue (chiffrement à clés maîtrisées, offre qualifiée, changement de fournisseur) ou risque résiduel accepté, avec la justification et le nom de celui qui l'accepte. C'est cette trace que vous montrerez à un client ou à la CNIL.
- Revoir. Changement d'actionnaire d'un fournisseur, nouvelle localisation, nouvel événement sur le DPF : la revue est au moins annuelle pour les fournisseurs critiques.
Pour aller plus loin sur les transferts eux-mêmes, notre livre blanc sur les transferts de données hors UE détaille chaque outil, des clauses contractuelles types aux règles d'entreprise contraignantes.
Questions fréquemment posées
Qu'est-ce que le Cloud Act ?
Le Clarifying Lawful Overseas Use of Data Act est une loi fédérale américaine du 23 mars 2018. Il oblige les fournisseurs de services soumis à la juridiction américaine à communiquer aux autorités, dans le cadre d'une enquête pénale, les données qu'ils ont en leur possession, sous leur garde ou sous leur contrôle, y compris quand elles sont stockées hors des États-Unis (18 U.S.C. § 2713).
Le Cloud Act s'applique-t-il aux données hébergées en France ?
Oui, si elles sont contrôlées par un fournisseur soumis à la juridiction américaine. Le critère est le contrôle des données, pas leur localisation : des serveurs à Paris exploités par un fournisseur américain ou sa filiale restent dans le champ du texte.
Le Cloud Act est-il compatible avec le RGPD ?
Les deux textes entrent en conflit. L'article 48 du RGPD ne reconnaît une demande d'autorité étrangère que si elle est fondée sur un accord international, comme un traité d'entraide judiciaire. Pour l'EDPB et l'EDPS (réponse conjointe du 10 juillet 2019), une demande fondée sur le seul Cloud Act ne constitue pas une base légale de transfert.
Le Data Privacy Framework protège-t-il contre le Cloud Act ?
Non. Le DPF (décision d'adéquation du 10 juillet 2023) encadre les transferts vers les entreprises américaines certifiées et les activités de renseignement. Le Cloud Act relève de la procédure pénale : la certification DPF d'un fournisseur ne dit rien de la façon dont il traitera une demande judiciaire.
Un fournisseur européen est-il à l'abri du Cloud Act ?
Pas automatiquement. Un fournisseur européen qui a une activité significative aux États-Unis peut relever de la juridiction américaine, et ses propres sous-traitants peuvent être américains. Il faut vérifier les deux points avant de conclure.
Mon fournisseur doit-il me prévenir d'une demande au titre du Cloud Act ?
Pas toujours. Un juge américain peut lui interdire de vous en informer. Les clauses contractuelles types de 2021 l'obligent à vous prévenir quand la loi le lui permet et à contester une demande illégale : vérifiez que ces engagements figurent dans votre DPA.
Comment réduire le risque Cloud Act sans changer de fournisseur ?
Le levier le plus efficace est le chiffrement avec des clés que vous seul détenez, quand le service n'a pas besoin de lire les données en clair. À défaut, documentez l'exposition dans votre analyse d'impact des transferts, limitez les données confiées au fournisseur et suivez ses rapports de transparence.
Tenir ce suivi dans la durée
Le Cloud Act ne change pas souvent ; vos fournisseurs, si. Une acquisition, une nouvelle région d'hébergement ou un nouveau sous-traitant ultérieur suffit à modifier l'exposition d'un traitement. La difficulté pour un DPO n'est pas de comprendre le texte, c'est de garder à jour, pour chaque fournisseur, l'information qui permet de répondre à un questionnaire client ou à un contrôle.
Leto relie votre registre, vos sous-traitants et leurs transferts dans un même outil, et Hari, notre IA, vous aide à répondre aux questionnaires sécurité de vos clients. Pour voir comment, réservez une démo.
