Cloud Act et RGPD : ce que dit le droit, ce qui protège

Le Cloud Act, loi fédérale américaine promulguée le 23 mars 2018, oblige un fournisseur soumis au droit américain à remettre sur réquisition les données qu'il a en sa possession, sous sa garde ou sous son contrôle, que ces données soient situées aux États-Unis ou en dehors. Le RGPD, par son article 48, prévoit qu'une telle décision étrangère ne peut être reconnue ou exécutée dans l'Union que si elle repose sur un accord international en vigueur, comme un traité d'entraide judiciaire.

Que permet exactement le Cloud Act ?

Le texte a été adopté pendant l'affaire Microsoft Ireland, dans laquelle Microsoft contestait devoir remettre des courriels stockés en Irlande. Il ajoute au code des États-Unis la section 2713 du titre 18 : les fournisseurs de services de communications électroniques et d'informatique à distance, ce qui couvre messageries, hébergeurs et services cloud, doivent conserver et divulguer les contenus et métadonnées de leurs clients quel que soit le lieu de stockage. Le critère est le contrôle exercé par le fournisseur, pas la localisation du serveur.

Le Cloud Act s'inscrit dans le cadre pénal : selon le ministère américain de la Justice, cité par le Comité européen de la protection des données et le Contrôleur européen de la protection des données, le mandat est délivré par un juge sur la base d'une « probable cause » liée à une infraction précise.

Le fournisseur dispose d'un recours limité, prévu à la section 2703(h) : une requête en annulation déposée dans les 14 jours, recevable seulement si le client n'est pas une personne américaine, ne réside pas aux États-Unis, et si la divulgation ferait courir un risque de violer le droit d'un « gouvernement étranger qualifiant », c'est-à-dire lié aux États-Unis par un accord exécutif. La page du ministère de la Justice recense des accords avec le Royaume-Uni (signé le 3 octobre 2019) et l'Australie (15 décembre 2021). Pour l'Union, elle mentionne la reprise des négociations annoncée le 3 mars 2023, sans accord signé.

Que dit l'article 48 du RGPD face au Cloud Act ?

Le 10 juillet 2019, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont adressé à la commission LIBE du Parlement européen une analyse juridique conjointe. Leurs conclusions :

une décision étrangère ne constitue pas en elle-même une base légale de transfert ;
sans accord international, un prestataire soumis au droit de l'Union ne peut pas fonder la divulgation de données personnelles sur une réquisition du Cloud Act ;
un tel transfert ne serait licite qu'avec une base légale au titre de l'article 6 et une dérogation au titre de l'article 49, ce qui laisse surtout l'intérêt vital de la personne, dans des cas exceptionnels ;
face à une demande directe, les entreprises doivent en principe la refuser et renvoyer l'autorité vers le traité d'entraide existant.

Le fournisseur américain qui opère en Europe se trouve donc exposé à deux obligations contraires. La doctrine « cloud au centre » de l'État s'appuie sur les articles 28 et 48 du RGPD pour exiger que les données d'une sensibilité particulière soient immunisées contre ces demandes.

Le Data Privacy Framework règle-t-il la question ?

La Commission européenne a adopté le 10 juillet 2023 une décision d'adéquation pour les organisations américaines inscrites au Data Privacy Framework, après le décret présidentiel du 7 octobre 2022 qui encadre le renseignement d'origine électromagnétique et crée un mécanisme de recours. Le 3 septembre 2025, le Tribunal de l'Union européenne a rejeté le recours en annulation (affaire T-553/23, Latombe contre Commission) et confirmé qu'à la date de la décision, les États-Unis assuraient un niveau de protection adéquat.

Ce cadre organise les transferts volontaires vers des entreprises certifiées. Il ne transforme pas une réquisition pénale en transfert autorisé : en 2019 déjà, les deux autorités européennes relevaient que les demandes adressées directement aux fournisseurs par les autorités américaines ne relevaient pas de la décision d'adéquation alors en vigueur.

Quelle différence entre Cloud Act et FISA 702 ?

La section 702 du Foreign Intelligence Surveillance Act relève du renseignement. Elle permet à l'Attorney General et au directeur du renseignement national d'autoriser, pour un an au plus, le ciblage de personnes raisonnablement supposées se trouver hors des États-Unis afin d'obtenir des informations de renseignement étranger. Les fournisseurs de communications électroniques doivent apporter immédiatement leur assistance, dans le secret. L'autorisation repose sur une ordonnance de la cour FISA qui porte sur la certification et les procédures de ciblage, pas sur chaque personne visée.

La section 702 a été prorogée à plusieurs reprises, en dernier lieu par deux lois des 18 et 30 avril 2026 qui ont fixé son échéance au 12 juin 2026, sous réserve des dispositions transitoires de la loi de 2008 pour les autorisations déjà délivrées. Le texte publié par Cornell ne mentionne pas de nouvelle prorogation au 22 septembre 2026.

Qu'est-ce qui protège les données, alors ?

Le critère juridique d'abord : quelle entité contrôle le prestataire et ses sous-traitants, et sous quel droit. Un centre de données en France opéré par une filiale d'un groupe américain reste dans le champ de la section 2713. L'article Ce que veut dire héberger en France détaille les questions à poser.
Des clés de chiffrement détenues par le client ou par un tiers non soumis au droit américain : un fournisseur qui n'a pas accès aux clés ne peut remettre que des données chiffrées.
Pour les données sensibles, une offre qualifiée SecNumCloud, dont le chapitre 19.6 encadre capital, siège et sous-traitants hors de l'Union : voir ce que garantit SecNumCloud.
Des clauses contractuelles : information du client sur toute demande d'autorité étrangère lorsque la loi le permet, engagement de contester et de renvoyer vers le traité d'entraide, liste à jour des sous-traitants.
Un inventaire des données concernées : savoir quels systèmes contiennent quoi, grâce à une cartographie des flux, avant de décider où chaque ensemble doit être hébergé.

Questions fréquentes

Le Cloud Act s'applique-t-il à un hébergeur français ?

Il vise les fournisseurs soumis à la juridiction américaine. Un hébergeur français sans lien de contrôle américain n'y est pas soumis ; une filiale française d'un groupe américain peut l'être.

Héberger ses données en Europe chez un fournisseur américain suffit-il ?

Non. La section 2713 retient le contrôle des données par le fournisseur, quel que soit le lieu de stockage.

Existe-t-il un accord entre l'Union européenne et les États-Unis sur le Cloud Act ?

Le ministère américain de la Justice mentionne la reprise des négociations annoncée le 3 mars 2023 ; aucun accord signé n'y figure au 22 septembre 2026.

Sources

Tous les articles

Cloud Act et RGPD : ce que permet le texte américain et ce qui protège