Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en 2018 qui permet aux autorités judiciaires des États-Unis d'exiger l'accès aux données détenues par tout fournisseur soumis au droit américain, quel que soit le pays où sont situés les serveurs.
Pour une entreprise européenne, héberger des données stratégiques chez un acteur américain, (même dans un datacenter en France) revient donc à accepter un risque d'accès extraterritorial.
Décryptons ensemble le texte, ses risques et les parades à mettre en place pour concilier cette réalité avec le RGPD et protéger les données sensibles de l'entreprise.
Adopté en mars 2018, le Clarifying Lawful Overseas Use of Data Act (Cloud Act)1 vise à clarifier les conditions dans lesquelles les autorités américaines peuvent exiger l’accès à des données électroniques détenues par des prestataires de services numériques. Son adoption a été accélérée par l’affaire Microsoft Ireland : la justice américaine réclamait à Microsoft des emails liés à une enquête criminelle, stockés sur un serveur situé à Dublin. Microsoft avait refusé, en soutenant que la législation américaine ne pouvait pas s'appliquer hors du territoire des États-Unis. Le Cloud Act a précisément été conçu pour lever cette ambiguïté.
Depuis son entrée en vigueur, tout fournisseur de services soumis au droit américain (Microsoft, Amazon Web Services, Google, Apple ou toute autre société immatriculée aux États-Unis, y compris leurs filiales) doit fournir les données qu'il a en sa "possession, garde ou contrôle" lorsqu'un juge américain l'exige, même si elles sont stockées à l'étranger. C'est le cœur de l'extraterritorialité : une loi nationale qui produit des effets juridiques au-delà des frontières de l'État qui l'a votée.
Le texte prévoit certes des garde-fous : le fournisseur peut contester une injonction au nom de la courtoisie internationale (comity, le principe selon lequel un tribunal tient compte des lois d'un État étranger avant d'imposer une obligation qui les violerait), et des accords bilatéraux (executive agreements) peuvent encadrer les demandes croisées. Mais aucun accord de ce type ne lie à ce jour les États-Unis et l'Union européenne : pour une entreprise française, la protection reste donc théorique.
Le Patriot Act2, adopté en 2001 dans le contexte des attentats du 11 septembre, avait pour objectif de renforcer les moyens de lutte contre le terrorisme. Il autorisait notamment les agences de renseignement et les autorités judiciaires américaines à obtenir des données détenues par des entreprises ou des particuliers, mais dans une logique essentiellement centrée sur le territoire national. Les données concernées devaient donc, dans la grande majorité des cas, être stockées ou circuler aux États-Unis.
Le Cloud Act marque un tournant : il explicite et sécurise juridiquement la portée extraterritoriale du droit américain en matière d'accès aux données. Les autorités disposent désormais d'une base légale claire pour exiger des données quelle que soit leur localisation. Pour les entreprises européennes, la nuance est déterminante : là où le Patriot Act laissait subsister une incertitude exploitable en justice, le Cloud Act fait primer sans ambiguïté l'origine juridique du fournisseur sur la géographie des serveurs.
Le Cloud Act relève de la coopération judiciaire pénale : il permet d'exiger des données identifiées, dans le cadre d'une enquête, sur mandat d'un juge. La section 702 du FISA ((Foreign Intelligence Surveillance Act) autorise quant à elle les agences de renseignement américaines (NSA notamment) à collecter massivement les communications de personnes non américaines situées hors des États-Unis, à des fins de renseignement extérieur, sans mandat individuel. Pour un DSI ou un DPO, la distinction compte car un fournisseur américain expose ses clients européens aux deux régimes à la fois.
💡 Bon à savoir : la section 702 du FISA a été réautorisée par le Congrès américain en avril 2024 (Reforming Intelligence and Securing America Act), pour deux ans. Le cadre de surveillance américain reste donc pleinement actif.
Le RGPD repose sur un principe fort : la protection des données personnelles des citoyens européens. Tout transfert hors de l’Union européenne doit respecter des garanties précises (clauses contractuelles types, décision d’adéquation…).
Or, le Cloud Act entre en contradiction directe avec ce principe. L’article 48 du RGPD3 stipule en effet que les autorités d’un pays tiers ne peuvent obtenir des données qu’à travers des accords internationaux ou des mécanismes de coopération judiciaire. Avec le Cloud Act, les autorités américaines contournent cette règle et imposent un accès extraterritorial.
Ce conflit est d’autant plus sensible que de nouvelles réglementations européennes comme la directive NIS2 ou le Data Act imposent aux entreprises une maîtrise accrue de leurs flux de données et de leurs prestataires cloud. Pour une entreprise européenne, l’incompatibilité entre le règlement européen sur la protection des données personnelles et l’extraterritorialité du Cloud Act entraîne donc un double risque : des sanctions possibles de la CNIL pour non-conformité au RGPD, et une perte de maîtrise sur des données sensibles.
Intéressé·e par le sujet ?
Découvrez l’ensemble des obligations cyber à respecter en entreprise.
En 2020, l’arrêt Schrems II de la Cour de justice de l’Union Européenne a invalidé le Privacy Shield, accord qui encadrait les transferts de données vers les États-Unis. La Cour a estimé que la législation américaine ne garantissait pas un niveau de protection équivalent à celui de l’UE, en raison principalement des programmes de surveillance fondés sur la section 702 du FISA et l'Executive Order 12333 : le Cloud Act participant du même contexte d'accès étendu des autorités américaines aux données.
Depuis, un nouveau cadre a été adopté : le Data Privacy Framework (DPF), validé par une décision d'adéquation de la Commission européenne en juillet 2023. Il autorise à nouveau les transferts vers les entreprises américaines certifiées, mais reste juridiquement contesté : un premier recours en annulation (affaire Latombe) a été rejeté par le Tribunal de l'UE en septembre 2025, sans éteindre le débat de fond. Après les précédents Safe Harbor et Privacy Shield, sa pérennité ne peut être tenue pour acquise et il n'apporte de toute façon aucune protection contre une injonction fondée sur le Cloud Act, qui relève d'un autre mécanisme que les transferts commerciaux.
Depuis, la CNIL et le Comité européen de la protection des données (EDPB) rappellent régulièrement que le recours à des fournisseurs soumis au droit américain doit être strictement encadré.4 L’ANSSI recommande de son côté de privilégier des solutions souveraines. Son référentiel SecNumCloud intègre explicitement des critères d'immunité aux lois extraterritoriales : actionnariat, gouvernance et exploitation hors de portée de juridictions non européennes.
Les risques du Cloud Act pour les entreprises européennes ne se limitent malheureusement pas à la conformité. Pour une entreprise, le Cloud Act peut représenter un levier d’espionnage industriel : des données stratégiques comme des résultats de recherche, des brevets, des négociations ou des projets confidentiels peuvent être accessibles aux autorités américaines. Rien ne garantit que ces informations ne soient pas exploitées indirectement par des acteurs économiques concurrents.
Ce risque n'a rien de théorique dans un contexte de guerre économique où le renseignement d'affaires s'appuie sur des instruments juridiques. Les secteurs qui manipulent de la propriété intellectuelle à forte valeur (industrie, défense, pharmacie, énergie) sont les premiers concernés, et c'est précisément pour eux que la question du fournisseur cloud devient une décision stratégique
Sur le plan opérationnel, l’accès potentiel des autorités américaines aux données hébergées chez des prestataires soumis au droit US fragilise les secteurs les plus stratégiques : santé, finance, énergie, défense, infrastructures critiques. Une compromission ou une divulgation de données sensibles peut désorganiser des services entiers et ralentir la continuité des activités.
Sur le plan juridique, le recours à des fournisseurs concernés par le Cloud Act expose l’entreprise à un risque direct de non-conformité au RGPD. Comme évoqué précédemment, une telle situation peut entraîner des sanctions financières importantes infligées par la CNIL ou par d’autres autorités européennes de protection des données. Le paradoxe est cruel : l'entreprise peut être sanctionnée en Europe pour un transfert qu'elle n'a ni décidé ni pu empêcher.
Sur le plan réputationnel enfin, la perception des clients et partenaires compte autant que les obligations réglementaires. Le simple soupçon que des données confidentielles puissent être accessibles à des tiers peut éroder durablement la relation de confiance, avec des répercussions sur l'image de marque, la fidélisation et, à terme, la compétitivité. Dans les appels d'offres publics comme privés, la question "êtes-vous soumis au Cloud Act?" figure désormais couramment dans les grilles d'évaluation des fournisseurs.
✏️ Retour terrain : lors d'un audit, le RSSI d'un groupe client de LockSelf a recensé un bon nombre d'outils SaaS "hébergés en Europe" appartenaient en réalité à des groupes américains, donc exposés au Cloud Act malgré la localisation des serveurs. La cartographie capitalistique de ses fournisseurs est depuis intégrée à chaque appel d'offres, et les mots de passe comme les transferts de fichiers sensibles ont été migrés vers des solutions souveraines.
La première barrière contre le Cloud Act consiste à réduire le risque à la source. En choisissant des hébergeurs et prestataires exclusivement soumis au droit européen (non soumis au Cloud Act), l’entreprise limite la possibilité qu’une injonction américaine soit légalement applicable : un juge américain ne peut pas contraindre un opérateur qui n'a aucun lien de rattachement avec la juridiction des États-Unis.
Les certifications ANSSI et autres labels de confiance comme SecNumCloud apportent des garanties de conformité et de sécurité renforcées. Ils assurent que l’opérateur est localisé en Europe, et qu’il répond aux exigences de l’UE en matière de résilience, de transparence et de traçabilité. Plusieurs acteurs se positionnent sur ce créneau, à l’image d’OVHcloud ou 3DS Outscale, qui ne relèvent pas de juridictions extra-européennes et offrent une alternative crédible face aux hyperscalers américains.
Le choix d'un fournisseur non soumis au droit américain constitue une première étape, mais il ne suffit pas toujours. La souveraineté numérique exige que toute la chaîne (infrastructures, exploitation et gouvernance) reste sous contrôle européen. Autrement dit, il faut s'assurer que ni la localisation des serveurs, ni la nationalité juridique des opérateurs, ni celle de leurs actionnaires ou sous-traitants n'ouvrent la porte à des obligations extraterritoriales.
C’est tout l’enjeu du "cloud de confiance", défendu par le gouvernement français, qui impose une gouvernance européenne intégrale : propriété des infrastructures, exploitation opérationnelle et gestion juridique sans dépendance vis-à-vis d’actionnaires étrangers. Cette approche, plus exigeante que le simple critère de localisation, permet aux organisations de protéger leurs données stratégiques contre toute contrainte légale étrangère, y compris lorsque celle-ci transite par un maillon intermédiaire de la chaîne de sous-traitance.
Même avec un fournisseur européen, le risque ne disparaît pas totalement : une faille contractuelle ou une dépendance technologique peut exposer certaines données. C’est pourquoi le chiffrement constitue un garde-fou indispensable, à condition d'être bien architecturé. Si les clés sont détenues par le fournisseur de cloud, celui-ci pourra être contraint de les transmettre aux autorités américaines en cas d’injonction, ce qui annule l'intérêt du dispositif.
La véritable protection réside dans le contrôle exclusif des clés par l’entreprise. L’usage de HSM (Hardware Security Modules) internes, ou confiés à un tiers de confiance européen, empêche tout accès direct par le prestataire. Ainsi, même si un fournisseur soumis au Cloud Act devait être contraint de livrer des données, il ne pourrait en fournir qu’une version chiffrée et donc inexploitable. Pour les échanges les plus sensibles, le chiffrement de bout en bout pousse cette logique jusqu'au destinataire final.
Le chiffrement limite l'exploitation des données, mais sans architecture interne résiliente, ses bénéfices restent partiels. Le Cloud Act agit comme une contrainte juridique dont l'impact est amplifié si les environnements informatiques ne sont pas cloisonnés : plus le périmètre accessible est large, plus une injonction (ou une compromission) emporte de données d'un coup.
La segmentation réseau (VLAN, NAC) et une approche Zero Trust permettent justement de cloisonner les environnements sensibles, réduisant ainsi la propagation d’une cyberattaque et l’impact d’une éventuelle injonction. La même logique s’applique aux identités et aux accès. Une politique IAM robuste, associée au principe du moindre privilège, garantit que chaque utilisateur ne dispose que des droits nécessaires à son rôle.
Pour aller plus loin, une solution souveraine et certifiée par l’ANSSI comme LockPass apporte un contrôle granulaire sur les comptes sensibles : accès nominatifs, secrets centralisés, privilèges temporisés et tracés. Le tout dans un outil 100% français, non-soumis au Cloud Act. Cette maîtrise réduit considérablement l'impact d'un accès imposé, car même si des données devaient être transmises, l'exfiltration resterait limitée à un périmètre réduit et maîtrisé.
Même avec un chiffrement robuste et une segmentation avancée, aucun dispositif n'est infaillible. Les organisations doivent donc se doter d'une capacité de supervision et de réaction en continu. La mise en place d'un SOC (Security Operations Center) permet de détecter rapidement toute tentative d’accès suspect ou toute anomalie de flux , et de réagir en temps réel : couper un accès, déclencher une alerte juridique, documenter l'incident.
Par ailleurs, l’intégration de clauses contractuelles spécifiques dans les accords avec les prestataires peut constituer une barrière supplémentaire (par exemple, une interdiction explicite de se soumettre à une injonction extraterritoriale sans en informer le client). Ces clauses n’ont pas toujours une portée juridique absolue face aux lois américaines, mais elles permettent à l’entreprise d’affirmer sa position et de disposer d’un levier en cas de litige.
La meilleure protection contre les effets du Cloud Act repose sur une gouvernance claire des données. La première étape consiste à cartographier et classifier les informations sensibles, afin de savoir précisément où elles se trouvent et quel niveau de protection leur appliquer. Sur cette base, la souveraineté numérique peut être intégrée à la stratégie SI : chaque choix technologique ou contractuel doit être évalué en fonction de son impact sur la maîtrise des données, mais aussi en tenant compte des impératifs de performance et de coût.
Cette démarche doit rester vivante. Le suivi des évolutions réglementaires, comme le Data Act ou la directive NIS2, permet d’ajuster en continu la politique de protection pour rester conforme aux standards européens. Enfin, le rôle des DSI et RSSI est central : ce sont eux qui traduisent ces orientations stratégiques en politiques opérationnelles concrètes, en arbitrant entre exigences métiers, contraintes réglementaires et objectifs de sécurité.
💡 Conseil pratique : intégrez une question type dans tous vos appels d'offres : « Votre société, sa maison mère ou l'un de ses sous-traitants critiques est-il soumis à une législation extraterritoriale non européenne (Cloud Act, FISA) ? La qualité de la réponse est déjà un signal.
Réduire son exposition au Cloud Act passe par des choix concrets sur les usages les plus sensibles : mots de passe, fichiers confidentiels, échanges de documents. C'est exactement le périmètre de la suite LockSelf, éditée et hébergée en France, dont le capital comme l'exploitation relèvent exclusivement du droit français, donc hors de portée du Cloud Act.
LockPass centralise et protège les mots de passe et secrets de l'entreprise avec un contrôle granulaire des accès. LockTransfer sécurise l'envoi et la réception de fichiers sensibles, en remplacement des outils de transfert grand public soumis au droit américain. LockFiles offre un espace de stockage chiffré pour vos documents confidentiels et vos projets stratégiques. Le Dashboard donne aux DSI et RSSI une vue consolidée pour piloter la sécurité, tracer les usages et prouver la conformité (RGPD, NIS2, DORA).
Le tout s'appuie sur un chiffrement AES-256, une certification CSPN délivrée par l'ANSSI en 2018 et un hébergement souverain en France (Outscale, Scaleway) ou On-Premises pour les organisations qui l'exigent. Vous conservez la maîtrise de vos données de bout en bout : aucune injonction extraterritoriale ne peut contraindre LockSelf à les remettre.
Votre prochaine action : cartographiez vos trois usages les plus exposés (mots de passe, transferts, stockage sensible), identifiez la nationalité juridique de chaque fournisseur concerné, puis testez la suite LockSelf gratuitement pendant 14 jours sur le périmètre le plus critique.
_____
Sources :
1 https://www.eurojust.europa.eu/publication/cloud-act
2 https://www.senat.fr/lc/lc263/lc263.pdf
3 https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5#Article48
4 https://www.cnil.fr/fr/les-outils-de-la-conformite/transferer-des-donnees-hors-de-lue