Si votre fournisseur cloud est basé aux États-Unis, une ordonnance valide d’un tribunal américain peut obliger cette entreprise à récupérer les données de votre entreprise sur des serveurs n’importe où dans le monde.

Des entreprises comme Google, Microsoft et Amazon sont vulnérables à cette intrusion, rendue possible par le CLOUD Act, une loi de 2018 qui donne aux responsables de l’application de la loi américaine des tentacules mondiaux.

C’est particulièrement problématique pour les entreprises de l’UE. Si votre fournisseur américain transmet vos messages ou vos fichiers, cela pourrait constituer une violation du GDPR pour divulgation de données personnelles, ce qui peut entraîner des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé.

C’est la réalité que les entreprises américaines occultent lorsqu’elles parlent de « conformité au RGPD » et de « cloud souverain européen » dans leur marketing. Un centre de données européen d’un fournisseur américain est toujours géré par une entreprise sous juridiction américaine. Pour votre entreprise, cela signifie que les décisions d’approvisionnement comportent une responsabilité de conformité que vous n’avez peut-être pas prise en compte. Pour vos clients, cela signifie que les données personnelles qu’ils vous ont confiées peuvent se retrouver dans un processus juridique sur lequel ils n’ont aucun pouvoir (et qu’ils pourraient même ne jamais connaître).

Voici une explication simple du CLOUD Act, pourquoi cette législation invasive est importante pour les entreprises, et comment limiter votre exposition. L’endroit où vos données se trouvent ne détermine plus qui peut y accéder.

Qu’est-ce que le CLOUD Act ?

Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nouvelle fenêtre)) est une loi fédérale américaine entrée en vigueur en 2018. Elle permet aux forces de l’ordre fédérales, principalement le Department of Justice et le FBI, mais aussi les polices fédérales, étatiques et locales, d’obtenir un mandat, une ordonnance du tribunal ou une assignation obligeant les entreprises technologiques sous juridiction américaine à transmettre des données, quel que soit l’endroit dans le monde où ces données sont physiquement stockées.

Par exemple, si le FBI obtient un mandat obligeant Microsoft à transmettre les messages d’une entreprise européenne, Microsoft doit s’y conformer, même si un tribunal européen désapprouve la demande.

Le CLOUD Act a un objectif légitime de police. Il est conçu pour aider les forces de l’ordre fédérales à enquêter sur des crimes graves tels que le terrorisme, l’exploitation des enfants et la cybercriminalité. Il n’est pas conçu pour la collecte de renseignements, qui relève d’une autorité américaine distincte (FISA Section 702), souvent confondue avec lui.

Cet objectif légitime ne retire toutefois pas le problème structurel pour les entreprises : Le CLOUD Act peut mettre un fournisseur sous juridiction américaine dans une position où satisfaire à une ordonnance légale américaine signifie enfreindre le droit de l’UE. Il laisse les entreprises prises entre deux régimes de conformité sans moyen de satisfaire aux deux.

Quelle est l’origine du CLOUD Act ?

Le CLOUD Act a été adopté en 2018 par le gouvernement américain pour modifier le Stored Communications Act (SCA) de 1986. Cet amendement était, en grande partie, une réponse à une affaire judiciaire en cours(nouvelle fenêtre), l’affaire « Microsoft-Ireland ».

En 2013, Microsoft a contesté un mandat fédéral exigeant les messages d’un client faisant l’objet d’une enquête pour trafic de drogue, des messages stockés par Microsoft sur des serveurs en Irlande. Cette affaire reposait sur une question juridique épineuse : un mandat américain délivré en vertu du SCA pouvait-il atteindre des communications numériques contrôlées par une entreprise basée aux États-Unis, mais stockées sur un serveur de données en dehors des États-Unis ?

En 2018, l’affaire était en appel devant la Cour suprême lorsque le Congrès américain a adopté le CLOUD Act. Cela a à la fois rendu caduque l’affaire « Microsoft-Ireland » et résolu la question des pouvoirs extraterritoriaux du gouvernement américain sur les données stockées sur le sol étranger, du moins sur le papier.

Quels pouvoirs le CLOUD Act donne-t-il au gouvernement américain ?

Le CLOUD Act a habilité le gouvernement américain à demander des données ciblées, où qu’elles soient stockées, en renforçant les ordonnances SCA extraterritoriales adressées aux fournisseurs américains. La loi a clarifié que les forces de l’ordre américaines peuvent utiliser des mandats, des assignations et des ordonnances du tribunal pour accéder aux données de communication stockées électroniquement situées en dehors des États-Unis, si le fournisseur de stockage est soumis à la juridiction américaine et que les données demandées sont pertinentes et essentielles à une enquête criminelle en cours. Une demande au titre du CLOUD Act s’adresse directement au fournisseur, contournant le processus beaucoup plus lent de MLAT (Traité d’entraide judiciaire)(nouvelle fenêtre) sur lequel le gouvernement américain s’appuyait auparavant.

Le CLOUD Act a également habilité les gouvernements disposés à signer un accord exécutif bilatéral avec le gouvernement américain, ce qui permettrait aux forces de l’ordre des pays partenaires de faire des demandes directes, transfrontalières et spécifiques à chaque affaire pour obtenir des données de fournisseurs de services basés aux États-Unis.

Les accords exécutifs accélèrent la collecte de preuves dans les affaires criminelles graves comme le terrorisme et l’exploitation des enfants, où le processus MLAT peut prendre des mois. Au moment de la rédaction, seuls deux accords exécutifs existent : entre les États-Unis et le Royaume-Uni (entrés en vigueur en octobre 2022(nouvelle fenêtre)), et entre les États-Unis et l’Australie (entrés en vigueur en janvier 2024(nouvelle fenêtre)). Des négociations entre le gouvernement américain, l’UE et le Canada(nouvelle fenêtre) ont été engagées mais ne sont pas encore conclues.

Les fournisseurs de technologies disposent d’un mécanisme de sécurité : ils peuvent contester ou demander à modifier une ordonnance américaine au titre de la « courtoisie » — le principe juridique selon lequel les tribunaux s’inclinent devant les lois d’autres juridictions — si s’y conformer signifierait enfreindre une loi étrangère, en particulier une loi couverte par un accord exécutif. En dehors du Royaume-Uni et de l’Australie, cette contestation fondée sur la courtoisie de common law est la seule option disponible.

Cependant, comme l’affirme l’Electronic Privacy Information Center (EPIC)(nouvelle fenêtre), même avec la courtoisie, le CLOUD Act laisse aux clients, y compris les entreprises, peu de recours réels. Les fournisseurs ne sont pas tenus d’informer un client dont les données ont été consultées, les clients n’ont pas le droit indépendant de contester une demande (cela dépend entièrement du fournisseur qui choisit de s’y opposer), et les accords exécutifs excluent explicitement la création de toute nouvelle voie de recours pour les personnes concernées.

Le CLOUD Act face au GDPR

En Europe, où les propres recherches de Proton montrent que plus de 74 % de toutes les entreprises cotées en bourse dépendent de services technologiques basés aux États-Unis, le CLOUD Act est particulièrement préoccupant car il entre en conflit avec le Règlement général sur la protection des données (GDPR) de l’UE.

En vertu de l’article 48(nouvelle fenêtre) du GDPR, une ordonnance d’un tribunal étranger ou une décision d’une autorité administrative (y compris une ordonnance SCA) visant à transférer ou divulguer des données personnelles n’est pas automatiquement reconnue ou exécutée dans l’UE, à moins qu’elle ne soit prise en vertu d’un accord international, tel qu’un MLAT.

Bien qu’il n’y ait pas eu de cas où le GDPR a sanctionné une entreprise en lien avec une ordonnance du CLOUD Act, il existe un précédent de régulateurs agissant sur cette catégorie de risque : en 2023, la Commission de protection des données d’Irlande a infligé à Meta une amende record de 1,2 milliard d’euros(nouvelle fenêtre) pour des transferts UE-États-Unis exposés à la loi de surveillance américaine : plus précisément l’article 702 de la FISA, et non le CLOUD Act.

Pour les fournisseurs cloud basés aux États-Unis, cela signifie que si le gouvernement américain demande des données qu’ils traitent mais qui sont contrôlées par des entreprises européennes, se conformer au CLOUD Act pourrait signifier enfreindre le GDPR. En vertu de l’article 28(nouvelle fenêtre), le fournisseur (sous-traitant) ne peut agir que sur les instructions documentées du responsable du traitement, et « divulguer des données à un gouvernement étranger » ne fait pas partie de ces instructions.

L’exposition ne se limite pas au fournisseur. Si le fournisseur divulgue les données d’un client en réponse à une ordonnance contraignante sans la base d’accord international exigée par l’article 48 (ce qui, étant donné qu’aucun accord exécutif du CLOUD Act n’existe entre les États-Unis et l’UE à l’heure actuelle, signifie un MLAT) l’entreprise qui possède ces données porte sa propre responsabilité, pas seulement le fournisseur qu’elle a engagé pour les stocker.

Pourquoi l’emplacement des données ne signifie pas la souveraineté des données

En juin 2025(nouvelle fenêtre), le propre directeur des affaires publiques et juridiques de Microsoft France, Anton Carniaux, s’est vu demander sous serment au Sénat français(nouvelle fenêtre) s’il pouvait garantir que les données des citoyens français ne seraient jamais transmises aux autorités américaines sans le consentement de la France.

Sa réponse : « Non. Je ne peux pas garantir cela. » Il a ajouté que « cela ne s’est jamais produit auparavant », ce qui, bien sûr, ne signifie pas que cela ne pourrait pas se produire à l’avenir.

Le message était clair : La souveraineté des données ne concerne plus l’endroit où les données sont stockées, mais qui contrôle ces données. L’emplacement de vos serveurs de données et les gouvernements qui ont autorité sur eux ne sont plus nécessairement la même chose.

Ce fait dérange à côté des offres cloud « conformes au RGPD » que les géants américains du cloud (ou « hyperscalers ») commercialisent auprès des entreprises européennes. Ces produits « cloud souverain européen » sont gérés par des entreprises dont le siège est aux États-Unis, ou contrôlées par une société mère américaine, et les protections du GDPR ne s’étendent que dans la mesure où la loi américaine le permet.

Comment l’architecture de chiffrement à accès zéro atténue l’exposition au CLOUD Act

Si votre fournisseur de stockage cloud est soumis à la juridiction américaine et que les forces de l’ordre américaines exigent l’accès à vos données (pour des raisons juridiques légitimes), ni vous ni votre fournisseur ne pouvez empêcher que cela se produise. À ce stade, la seule défense de vos données est le chiffrement.

Le chiffrement rend les données illisibles et inutilisables par les cybercriminels et les gouvernements, les transformant en « texte chiffré » que seul quelqu’un possédant la bonne clé peut lire.

Cependant, le chiffrement offert par la plupart des fournisseurs cloud américains comporte un inconvénient fatal : ils conservent eux-mêmes les clés de déchiffrement. Cela signifie qu’ils peuvent lire vos données, ou être contraints de remettre une copie lisible à un tiers tel que les forces de l’ordre américaines.

Pour une véritable protection contre l’exposition des données de fichiers et de messages, que ce soit aux cybercriminels ou aux gouvernements, vous avez besoin du chiffrement de bout en bout ou du chiffrement à accès zéro, qui empêche le fournisseur d’accéder aux données.

Un fournisseur qui utilise le chiffrement à accès zéro n’a pas la clé pour déchiffrer les fichiers qu’il traite et stocke sur ses serveurs. Il peut encore être contraint de divulguer des données lorsque les forces de l’ordre l’exigent, même si les données sont stockées dans une juridiction qui applique une norme stricte de protection des données, comme la Suisse. Mais les fichiers remis seraient chiffrés et illisibles.

Comment Proton protège les entreprises du CLOUD Act

Proton est protégé du CLOUD Act de deux manières clés :

    \n
  • La juridiction suisse, qui limite qui peut contraindre Proton à transmettre des données
    • \n \n
  • Et un chiffrement fort, qui limite ce qu’ils peuvent faire avec tout ce que Proton transmet
    • \n

Proton a son siège à Genève, en Suisse, en dehors de la juridiction américaine et de la portée des ordonnances du CLOUD Act. Les autorités américaines ne peuvent pas non plus recourir à un raccourci bilatéral : la Suisse n’est partie à aucun accord exécutif du CLOUD Act.

Cela ne retire pas complètement les procédures judiciaires. La Suisse dispose de son propre cadre d’entraide judiciaire, qui permet aux autorités suisses de coopérer avec des enquêtes étrangères. Mais toute demande doit d’abord être validée par le droit suisse, sous le contrôle des tribunaux suisses : il ne peut pas s’agir d’un mandat signifié directement au fournisseur.

L’historique juridique de Proton montre que nous sommes prêts et capables de contester le droit suisse. En 2020, nous avons contesté une loi suisse sur la conservation des données que nous jugions être une tentative inappropriée d’utiliser les lois sur les télécommunications pour porter atteinte à la vie privée. En 2021, le Tribunal administratif fédéral a statué que les services de messagerie ne sont pas des fournisseurs de télécommunications et ne sont donc pas soumis aux exigences de conservation de la loi.

Et même une ordonnance suisse réussie a des limites sur ce qu’elle peut obtenir. Le chiffrement de bout en bout et à accès zéro de Proton signifie que le contenu des messages et les fichiers sont illisibles pour Proton lui-même, et il n’y a pas de clé à remettre, peu importe qui le demande. Le contenu de vos messages, documents, fichiers et autres données reste hors de portée.

\n
\n Essayez Proton for Business\n
\n

Questions fréquentes sur le CLOUD Act

Le CLOUD Act prévaut-il sur le GDPR ?

Le CLOUD Act ne prime pas sur le GDPR, mais il entre en conflit avec lui. Une injonction au titre du CLOUD Act peut placer un fournisseur américain dans une situation où s’y conformer enfreint l’article 48 du GDPR (aucune reconnaissance automatique d’une injonction étrangère sans accord international). Aucune des deux lois ne cède devant l’autre, et le fournisseur, ainsi que toute entreprise européenne qu’il sert, se retrouve pris entre les deux.

Le CLOUD Act ne concerne-t-il que les entreprises américaines ?

Le CLOUD Act ne s’applique pas uniquement aux entreprises dont le siège est aux États-Unis, ni à celles contrôlées par une société mère américaine. Il vise aussi tout fournisseur ayant une présence juridique ou un lien commercial suffisant avec les États-Unis. Une filiale américaine, du personnel ou des bureaux situés aux États-Unis, ou des activités délibérément tournées vers des clients américains peuvent suffire à faire entrer une organisation dont le siège est situé hors des États-Unis dans le champ d’application du CLOUD Act.

Puis-je refuser une demande au titre du CLOUD Act ?

Le client (responsable du traitement) n’est généralement pas le destinataire de la demande : c’est le fournisseur. Le fournisseur peut soulever une contestation fondée sur la courtoisie internationale si s’y conformer enfreint une loi étrangère, ou s’y opposer si la demande est juridiquement irrégulière. Mais si les voies de recours sont épuisées et que l’injonction reste valide, le fournisseur est contraint de s’y conformer.

Quelle est la différence entre le CLOUD Act et un MLAT ?

Lorsqu’une preuve numérique est demandée via un traité d’entraide judiciaire (MLAT), cette demande fait l’objet d’un contrôle judiciaire, un processus minutieux et lent. Les accords exécutifs activés par le CLOUD Act permettent aux autorités chargées de l’application de la loi de contourner la procédure MLAT lorsqu’elles demandent des données à un pays partenaire. À ce jour, seuls le Royaume-Uni et l’Australie ont conclu des accords exécutifs avec les États-Unis.

Le chiffrement empêche-t-il les demandes au titre du CLOUD Act ?

Le chiffrement n’empêche pas une injonction légale, mais si un fournisseur stocke des données clients avec un chiffrement de bout en bout ou un chiffrement à accès zéro, il ne disposera d’aucune donnée lisible à remettre aux autorités, car il ne possède pas les clés de déchiffrement. Il ne remettrait donc que des fichiers chiffrés.