Strictement européen.

Ce qui protège des données, c’est le droit auquel est soumise la société qui les détient, bien plus que le pays du datacenter. Deux textes américains s’appliquent hors des États-Unis, et le droit européen n’y répond qu’en partie.

Le CLOUD Act (2018)

Adopté le 23 mars 2018, le CLOUD Act a modifié le Stored Communications Act : les obligations de conservation et de communication de ce régime s’appliquent aux données en la possession, sous la garde ou sous le contrôle du fournisseur concerné, quel que soit le lieu où elles sont stockées (18 U.S.C. § 2713). Il répondait à l’affaire United States v. Microsoft, où Microsoft refusait de remettre des e-mails stockés dans son datacenter de Dublin : après l’adoption du texte et la délivrance d’un nouveau mandat, la Cour suprême a déclaré l’affaire sans objet le 17 avril 2018, sans trancher le fond (décision).

• Qui est visé : les fournisseurs couverts par le Stored Communications Act (communications électroniques et « remote computing services », une notion large) et soumis à la compétence des tribunaux américains. Appartenir à un groupe américain est un facteur d’exposition à examiner : une demande s’applique selon l’entité visée, la compétence du juge, le régime utilisé et le contrôle de cette entité sur les données. Une implantation européenne n’écarte pas ce risque ; une participation américaine ne prouve pas, à elle seule, un accès effectif aux données. Une société européenne peut aussi être concernée si elle a des « contacts suffisants » avec les États-Unis, ce que les juges américains apprécient au cas par cas (position du ministère de la Justice américain, livre blanc d’avril 2019).
• Dans quel cadre : des enquêtes pénales, selon les procédures du Stored Communications Act (mandat, ordonnance judiciaire ou réquisition selon les données). L’information du client varie, et elle peut être différée ou interdite.
• Les recours : le § 2703(h) prévoit, sous conditions, une contestation de certaines demandes de contenu quand le client n’est pas une personne américaine, ne réside pas aux États-Unis, et que la remise risque de violer le droit d’un pays lié aux États-Unis par un accord en vigueur. Le fournisseur doit en principe agir dans les quatorze jours, et le juge met les intérêts en balance : la demande n’est pas annulée d’office (18 U.S.C. § 2703(h)). Les accords en vigueur identifiés dans nos sources sont ceux du Royaume-Uni (depuis le 3 octobre 2022) et de l’Australie (depuis le 31 janvier 2024) (ministère de la Justice américain) ; l’Union européenne en négocie un (Commission européenne). Sans accord, le fournisseur garde les autres moyens de défense, dont l’argument de courtoisie internationale (comity) de common law, que le juge américain apprécie dans le cadre des règles applicables.

La section 702 du FISA

Le CLOUD Act sert la justice pénale ; la section 702 du Foreign Intelligence Surveillance Act relève du renseignement. Elle permet de cibler des personnes non américaines situées hors des États-Unis, sans ordonnance individuelle par cible, sous le contrôle de la cour FISA, en exigeant leurs communications des fournisseurs américains. En 2020, la Cour de justice de l’Union a invalidé le Privacy Shield en raison de garanties insuffisantes face à la surveillance américaine, dont la section 702 fait partie, et de l’absence de recours effectif pour les Européens (arrêt Schrems II, communiqué de la Cour du 16/07/2020). L’arrêt n’interdit pas tout transfert vers les États-Unis : il maintient les clauses contractuelles types, sous réserve de garanties effectives.

La date d’extinction de la section 702, prévue par le FISA Amendments Act de 2008, a été repoussée en dernier lieu au 12 juin 2026 par la loi 119-87 du 30 avril 2026 (texte de la loi). Cette échéance n’a pas mis fin d’un coup aux activités autorisées : le régime transitoire maintient les autorisations délivrées avant cette date jusqu’à leur expiration, au plus un an après leur délivrance. selon des parlementaires et des collaborateurs du Congrès cités par le Congressional Research Service, la cour FISA a délivré la dernière en mars 2026, pour un an, ce qui mène à mars 2027 (note du CRS, 22/06/2026). Au 16/10/2026, nous n’avons identifié aucune loi postérieure ; l’état des textes est revérifié à chaque version du guide.

Ce que répond le droit européen

• RGPD, article 48 : une décision d’une juridiction ou d’une autorité d’un pays tiers exigeant la communication de données personnelles n’est reconnue ou exécutoire que si elle repose sur un accord international, comme un traité d’entraide judiciaire, sans préjudice des autres motifs de transfert du chapitre V. Une injonction étrangère ne suffit donc pas, à elle seule, à fonder la communication : il faut une base de traitement et un fondement de transfert. Un fournisseur soumis aux deux droits peut se retrouver face à des obligations contradictoires (texte de l’article 48, CNIL ; lignes directrices 02/2024 du CEPD, version 2.1 du 4 juin 2025).
• Data Privacy Framework : la décision d’adéquation du 10 juillet 2023 encadre les transferts commerciaux vers les sociétés américaines certifiées, en s’appuyant sur des garanties ajoutées au renseignement américain en 2022. Le Tribunal de l’Union a rejeté le 3 septembre 2025 le recours en annulation dirigé contre cette décision (T-553/23) ; un pourvoi a été formé le 31 octobre 2025 (C-703/25 P), sans décision connue au 16/10/2026. L’adéquation reste suivie : le 31 juillet 2026, le CEPD a demandé à la Commission d’évaluer l’effet sur le cadre de l’arrêt Trump v. Slaughter de la Cour suprême américaine (29 juin 2026), qui touche l’indépendance de la FTC ; cette lettre ne suspend pas la décision (lettre du CEPD).
• Règlement E-Evidence : applicable depuis le 18 août 2026, il organise la production et la conservation transfrontières de preuves électroniques auprès des fournisseurs qui offrent leurs services dans l’Union, où qu’elles soient stockées, par des injonctions des autorités d’un État membre. Les autorités compétentes et les conditions varient selon la catégorie de données : la production de données de trafic et de contenu vise notamment les infractions punies d’une peine maximale d’au moins trois ans et certaines infractions énumérées. Un fournisseur européen n’est donc pas à l’abri des demandes des autorités européennes (règlement (UE) 2023/1543 ; Commission européenne).

SecNumCloud, la réponse française

Le référentiel SecNumCloud 3.2 de l’ANSSI (8 mars 2022, en vigueur au 16/10/2026) combine des exigences techniques, organisationnelles et juridiques, à apprécier ensemble. Parmi elles, l’exigence 19.6 demande au prestataire qualifié un siège statutaire, une administration centrale et un principal établissement dans l’Union. Le capital et les droits de vote détenus, directement ou indirectement, par des entités hors Union sont plafonnés à 24 % individuellement et 39 % collectivement, sans droit de veto ni de nomination de la majorité des dirigeants. Un sous-traitant hors Union ne doit pas avoir la possibilité technique d’accéder aux données, et le prestataire doit garder une autonomie d’exploitation (exigence 19.6, p. 50-51). La qualification porte sur une offre précise, ses versions et le périmètre de la décision, qu’elle soit IaaS, PaaS, CaaS ou SaaS (FAQ de l’ANSSI) : un SaaS hébergé sur une infrastructure qualifiée n’est pas qualifié pour autant, et s’il envoie ses documents à une API américaine, il reste exposé.

Ce qu’il faut en retenir

Le chiffrement se juge à la maîtrise des clés et à l’accès au texte en clair. Le chiffrement au repos ne suffit pas quand le fournisseur peut déchiffrer, et un modèle d’IA doit lire le texte pour le traiter. Le chiffrement de bout en bout ou certaines architectures de calcul confidentiel réduisent l’exposition, sans supprimer toutes les dépendances (position de l’ANSSI sur le confidential computing, 17/10/2025). Le contrat ne règle pas tout non plus : interrogé sous serment par une commission d’enquête du Sénat le 10 juin 2025, au sujet des prestations Microsoft proposées via l’UGAP, le directeur des affaires publiques et juridiques de Microsoft France a déclaré ne pas pouvoir garantir que ces données ne seraient jamais transmises sur injonction américaine sans l’accord des autorités françaises, tout en affirmant que cela ne s’était jamais produit (compte rendu du Sénat). D’où le critère de ce guide : on regarde qui détient et qui opère chaque brique, pas où se trouve le disque.