Susi login

Le CLOUD Act américain – ce qu’il signifie et qui il concerne

Mise à jour : 28 août 2026. Cette page expose une question juridique aussi fidèlement que les sources publiques le permettent. Elle ne constitue pas un conseil juridique.

De quoi s’agit-il

Le Clarifying Lawful Overseas Use of Data Act, dit CLOUD Act, est une loi des États-Unis adoptée en 2018. Elle oblige les fournisseurs de services de communication et d’informatique en nuage relevant de la juridiction américaine à communiquer les données qu’ils détiennent, conservent ou contrôlent — que ces données soient stockées aux États-Unis ou en dehors.

La disposition déterminante est le 18 U.S.C. § 2713. Ce qui compte n’est pas l’emplacement du serveur, mais la question de savoir qui exerce un contrôle juridique et effectif sur les données.

Pourquoi « des serveurs en Europe » ne répond pas à la question

De nombreux fournisseurs mettent en avant des centres de données situés dans l’UE. C’est un avantage réel pour la latence, pour la disponibilité et pour toute une série de questions de protection des données. Au regard du CLOUD Act, cela ne change rien.

Lorsqu’une entreprise relève de la juridiction américaine, l’obligation de communication porte sur l’ensemble des données qu’elle contrôle — y compris celles hébergées à Francfort, à Dublin ou à Vienne. Un centre de données européen exploité par un groupe américain n’y change rien.

La question de savoir si, et dans quelles conditions, cela vaut également pour les filiales européennes de groupes américains n’est pas tranchée. Une expertise de l’Université de Cologne réalisée pour le ministère fédéral allemand de l’Intérieur, ainsi qu’une étude du service scientifique du Bundestag, retiennent le contrôle du groupe. D’autres voix, notamment au sein du Cross-Border Data Forum, contestent tout automatisme. Nous n’avons connaissance d’aucune décision de justice américaine publiée qui aurait ordonné, sur le fondement du § 2713, la communication de données détenues par une filiale établie dans l’UE. Prétendre à une certitude sur ce point — dans un sens comme dans l’autre — revient à dépasser ce que les sources permettent d’affirmer.

Le conflit avec le RGPD

L’article 48 du règlement général sur la protection des données prévoit que les décisions d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant la communication de données à caractère personnel ne peuvent être reconnues ou rendues exécutoires que si elles sont fondées sur un accord international.

C’est là que réside la véritable difficulté, et elle est structurelle : un fournisseur relevant de la juridiction américaine se trouve face à un conflit de normes qu’il ne peut pas résoudre lui-même. Il peut soit se conformer à l’injonction américaine, soit respecter le RGPD. Pas les deux. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données l’ont établi précisément dans leur réponse commune à la commission LIBE.

Ce conflit ne peut être écarté ni par contrat, ni par le choix d’un lieu d’hébergement. Il tient à l’état du droit, non à une défaillance de tel ou tel fournisseur.

Un détail rarement mentionné : le § 2703(h) du CLOUD Act ouvre une voie de contestation d’une injonction. Cette voie n’est cependant ouverte qu’à l’égard des États ayant conclu avec les États-Unis un executive agreement. À ce jour, il s’agit du Royaume-Uni et de l’Australie. Pour des données autrichiennes, ce mécanisme de protection reste sans effet. Subsiste la mise en balance, plus faible et d’origine jurisprudentielle, fondée sur le principe de comity.

Quelle est la fréquence réelle ?

Sur ce point, les rapports de transparence des fournisseurs eux-mêmes sont plus utiles que la publicité de leurs concurrents.

Pour le second semestre 2025, Microsoft fait état de communications de données de contenu aux autorités répressives américaines concernant trois clients entreprises non américains dont les données étaient hébergées hors des États-Unis. L’un de ces trois clients était, selon les indications de Microsoft, établi dans l’UE ou l’AELE. Le même rapport précise qu’aucune de ces communications ne portait sur des données de contenu Azure. Amazon Web Services ne signale aucun cas de ce type pour le premier semestre 2026.

Ces chiffres réfutent deux affirmations courantes à la fois. « Cela arrive en permanence » est faux. Les cas sont très rares. « Cela n’est jamais arrivé » est tout aussi faux. Cela s’est produit, et un client entreprise européen figurait parmi les personnes concernées.

Ce qu’en disent les juridictions européennes

Le Conseil d’État s’est prononcé en mars 2026 et a retenu une formule plus honnête que la plupart des discours commerciaux des deux camps : le risque d’accès ne peut être totalement exclu — mais, compte tenu des garanties en place, il demeure acceptable.

Une décision de la cour d’appel de Karlsruhe en matière de marchés publics et une décision de la conférence allemande des autorités de protection des données vont dans le même sens. La jurisprudence européenne traite donc le CLOUD Act comme un risque réel mais circonscrit — ni motif d’exclusion, ni cause de nullité.

Ce que cela signifie pour SUSI

Par défaut, nous recourons à un fournisseur de modèles établi dans l’UE, dont le traitement passe par des points de terminaison européens. Ce fournisseur ne relève pas de la juridiction américaine. En fonctionnement normal, la question ne se pose donc pas.

Elle se pose dans deux cas :

Ce que nous n’affirmons pas

Nous ne disons pas que vos données seront saisies chez un fournisseur américain. Les chiffres ci-dessus montrent que cela se produit très rarement, et nous n’avons aucune raison d’en faire plus que ce que cela représente.

Nous ne disons pas que les fournisseurs américains manquent de sécurité. Ils exploitent des dispositifs de sécurité considérables, le plus souvent supérieurs au nôtre.

Nous ne disons pas que cette situation juridique ne nous concerne en rien. Selon une thèse défendue dans l’expertise mentionnée plus haut, l’exploitation d’un site web s’adressant aussi à des visiteurs américains peut suffire à faire entrer une entreprise dans le champ de la juridiction américaine. Nous l’estimons peu probable, et nous n’avons ni filiale, ni société mère, ni infrastructure aux États-Unis — mais un « cela ne nous concerne pas » sans nuance serait une affirmation plus forte que ce que nous pouvons étayer.

Ce que nous affirmons est ceci : le conflit de normes existe, il est structurel, et aucun contrat ne le fait disparaître. Pour l’éviter, il faut changer d’espace juridique, non de lieu d’hébergement. C’est précisément la raison pour laquelle notre configuration par défaut est ce qu’elle est.

Sources

Des informations complémentaires sur le traitement de vos données figurent dans notre politique de confidentialité.