En juin 2025, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, s'est pr\u00e9sent\u00e9 devant une commission du S\u00e9nat fran\u00e7ais. Sous serment, il lui a \u00e9t\u00e9 demand\u00e9 s'il pouvait garantir que les donn\u00e9es des clients fran\u00e7ais stock\u00e9es chez Microsoft - en particulier les donn\u00e9es confi\u00e9es par l'interm\u00e9diaire de la centrale d'achat public UGAP - ne seraient pas divulgu\u00e9es aux autorit\u00e9s am\u00e9ricaines sans le consentement expr\u00e8s des autorit\u00e9s fran\u00e7aises. Il a r\u00e9pondu succinctement : \u201eNon, je ne peux pas le garantir\u201c. Non, je ne peux pas le garantir. Si Microsoft re\u00e7oit une ordonnance valide d'un tribunal am\u00e9ricain en vertu du CLOUD Act, elle doit s'y conformer. Peu importe o\u00f9 se trouvent physiquement les donn\u00e9es, peu importe ce que la France en pense.<\/p>\n\n\n\n
Cette d\u00e9claration marque un tournant dans le d\u00e9bat sur le cloud europ\u00e9en, non pas parce qu'elle apporte quelque chose de nouveau. C'est parce qu'elle Acte CLOUD<\/a> C'est inscrit noir sur blanc dans la loi depuis 2018. C'est in\u00e9dit parce que cela a \u00e9t\u00e9 dit haut et fort et sous serment par un repr\u00e9sentant de l'un des plus grands fournisseurs am\u00e9ricains, sur l'infrastructure duquel repose une partie substantielle de l'administration publique europ\u00e9enne. D\u00e8s lors, il est impossible de pr\u00e9tendre que le probl\u00e8me est th\u00e9orique.<\/p>\n\n\n\n Dans cet article, nous allons analyser ce que le CLOUD Act signifie r\u00e9ellement pour vous - en tant qu'utilisateur, freelance ou entreprise en Europe - et quand il s'agit d'une raison de changer quelque chose et quand il s'agit simplement d'une raison de le comprendre.<\/p>\n\n\n\n En 2018, le Congr\u00e8s am\u00e9ricain a adopt\u00e9 un amendement \u00e0 des lois plus anciennes, cr\u00e9\u00e9es \u00e0 l'\u00e9poque o\u00f9 le cloud n'existait pas encore. L'objectif n'\u00e9tait pas d'introduire une nouvelle surveillance, mais de clarifier jusqu'o\u00f9 s'\u00e9tend la juridiction am\u00e9ricaine lorsque les donn\u00e9es sont stock\u00e9es aupr\u00e8s d'une entreprise am\u00e9ricaine mais physiquement situ\u00e9es en Europe ou n'importe o\u00f9 ailleurs dans le monde.<\/p>\n\n\n\n Le litige sp\u00e9cifique qui s'est d\u00e9roul\u00e9 en arri\u00e8re-plan est men\u00e9 par Microsoft depuis 2013. Le procureur g\u00e9n\u00e9ral des \u00c9tats-Unis voulait que les courriels soient stock\u00e9s dans un centre de donn\u00e9es irlandais, tandis que Microsoft soutenait que la loi am\u00e9ricaine ne pouvait pas les atteindre. L'affaire est all\u00e9e jusqu'\u00e0 la Cour supr\u00eame. Avant qu'elle ne puisse statuer, le Congr\u00e8s a adopt\u00e9 le CLOUD Act, qui a clos le litige en faveur du procureur : oui, l'injonction am\u00e9ricaine s'applique aux donn\u00e9es d\u00e9tenues \u00e0 l'\u00e9tranger - tant qu'elles sont d\u00e9tenues par un fournisseur sur lequel les \u00c9tats-Unis sont comp\u00e9tents.<\/p>\n\n\n\n L'expression cl\u00e9 autour de laquelle tourne tout le sujet est \u201epossession, garde ou contr\u00f4le\u201c. Si un fournisseur am\u00e9ricain d\u00e9tient vos donn\u00e9es dans le cadre d'une de ces relations, les autorit\u00e9s am\u00e9ricaines peuvent les atteindre, quel que soit le centre de donn\u00e9es europ\u00e9en o\u00f9 elles r\u00e9sident physiquement. Si les donn\u00e9es ne sont pas entre leurs mains (par exemple, parce qu'elles ne sont pas d\u00e9chiffrables sans vos cl\u00e9s ou parce que le fournisseur n'est pas am\u00e9ricain), le CLOUD Act ne s'applique pas.<\/p>\n\n\n\n C'est l\u00e0 tout l'enjeu. Tout le reste n'est qu'un raffinement de cette phrase.<\/p>\n\n\n\n Pour les lecteurs techniques.<\/strong> Le CLOUD Act modifie trois anciennes lois am\u00e9ricaines : le Stored Communications Act, le Wiretap Act et le Pen Register\/Trap and Trace Statute. La principale disposition de fond figure \u00e0 l'article 2713 : un fournisseur doit se conformer aux obligations de la loi sur les communications stock\u00e9es, quel que soit l'endroit o\u00f9 se trouvent les donn\u00e9es. Le deuxi\u00e8me volet (article 2523) \u00e9tablit le cadre des accords ex\u00e9cutifs bilat\u00e9raux avec les pays \u00e9trangers. Le troisi\u00e8me (\u00a7 2703(h)) \u00e9tablit un nouveau recours proc\u00e9dural - l'objection de courtoisie internationale - qu'un fournisseur peut invoquer si le client n'est ni citoyen ni r\u00e9sident des \u00c9tats-Unis et que le respect des obligations violerait la loi d'un \u00c9tat ayant conclu un accord CLOUD Act en bonne et due forme.<\/p>\n<\/blockquote>\n\n\n\n Dans le d\u00e9bat europ\u00e9en, le CLOUD Act est souvent d\u00e9crit comme \u201eles Am\u00e9ricains peuvent prendre vos donn\u00e9es quand ils veulent\u201c. C'est largement exag\u00e9r\u00e9. Il convient de savoir ce que le CLOUD Act n'est manifestement pas.<\/p>\n\n\n\n Il ne s'agit pas d'une nouvelle loi sur la surveillance.<\/strong> Le procureur des \u00c9tats-Unis a toujours besoin d'un mandat fond\u00e9 sur une cause probable, comme avant 2018. Le changement concerne la port\u00e9e juridictionnelle, et non les conditions de l'extradition.<\/p>\n\n\n\n Il ne peut pas obliger le fournisseur \u00e0 d\u00e9crypter des donn\u00e9es dont il n'a pas les cl\u00e9s.<\/strong> La loi pr\u00e9voit express\u00e9ment que les accords conclus en vertu du CLOUD Act ne peuvent pas imposer l'obligation de cr\u00e9er un m\u00e9canisme de d\u00e9cryptage ou de construire une porte d\u00e9rob\u00e9e. C'est pourquoi les services dot\u00e9s d'un v\u00e9ritable cryptage de bout en bout (le fournisseur ne poss\u00e8de jamais les cl\u00e9s) sont soumis \u00e0 un r\u00e9gime de risque diff\u00e9rent de celui d'un nuage traditionnel, o\u00f9 les cl\u00e9s sont g\u00e9r\u00e9es par le fournisseur.<\/p>\n\n\n\n Il n'atteindra pas un fournisseur qui n'a aucun lien avec les \u00c9tats-Unis.<\/strong> Si votre fournisseur de services en nuage est une soci\u00e9t\u00e9 europ\u00e9enne qui n'a pas de filiale, d'actifs ou de pr\u00e9sence op\u00e9rationnelle aux \u00c9tats-Unis, il n'est pas directement concern\u00e9 par le CLOUD Act. Le conflit de lois ne se pose que lorsque le fournisseur rel\u00e8ve des deux juridictions \u00e0 la fois.<\/p>\n\n\n\n Elle n'autorise pas la collecte en vrac ou le ciblage de personnes am\u00e9ricaines par des autorit\u00e9s \u00e9trang\u00e8res.<\/strong> Les accords bilat\u00e9raux autoris\u00e9s par le CLOUD Act (jusqu'\u00e0 pr\u00e9sent uniquement avec le Royaume-Uni et l'Australie) interdisent explicitement la collecte en vrac et le ciblage d\u00e9lib\u00e9r\u00e9 des citoyens am\u00e9ricains par les autorit\u00e9s \u00e9trang\u00e8res.<\/p>\n\n\n\n Il est important de le dire haut et fort. Le CLOUD Act est un outil permettant un acc\u00e8s cibl\u00e9 aux donn\u00e9es dans le cadre d'enqu\u00eates criminelles sp\u00e9cifiques, et non un outil de surveillance g\u00e9n\u00e9ralis\u00e9e. Pour la plupart des utilisateurs europ\u00e9ens, la probabilit\u00e9 th\u00e9orique que leurs donn\u00e9es sp\u00e9cifiques fassent l'objet d'une d\u00e9cision de justice am\u00e9ricaine est faible. Les statistiques des rapports de transparence des principaux fournisseurs montrent que la grande majorit\u00e9 des demandes am\u00e9ricaines concernent des enqu\u00eates individuelles sur des personnes sp\u00e9cifiques.<\/p>\n\n\n\n Un risque plus grand que le CLOUD Act.<\/strong> Pour les plats collecte de donn\u00e9es<\/a> sur les \u00e9trangers au service des \u00c9tats-Unis (FISA 702). Les conditions y sont plus souples, le contr\u00f4le judiciaire plus indirect et la port\u00e9e des programmes (PRISM, Upstream) nettement plus large. Schrems II a invalid\u00e9 le Privacy Shield pr\u00e9cis\u00e9ment \u00e0 cause de la FISA 702, et non \u00e0 cause du CLOUD Act. Lorsque les r\u00e9gulateurs europ\u00e9ens parlent du risque de surveillance am\u00e9ricain, c'est techniquement ce qu'ils veulent dire.<\/p>\n<\/blockquote>\n\n\n\n Voici ce que la plupart des articles sur CLOUD Act n'abordent pas : quand il est n\u00e9cessaire de changer pour vous, et quand ce n'est pas le cas. Examinons la situation l'une apr\u00e8s l'autre.<\/p>\n\n\n\n Utilisateur priv\u00e9 de services communs.<\/strong> Vous avez Gmail<\/a>, Les donn\u00e9es personnelles peuvent \u00eatre stock\u00e9es dans iCloud, OneDrive, Dropbox, etc. Le CLOUD Act s'applique techniquement \u00e0 vos donn\u00e9es, mais la probabilit\u00e9 que les autorit\u00e9s am\u00e9ricaines les recherchent sp\u00e9cifiquement est tr\u00e8s faible. Si vous traitez de sant\u00e9, de finances, de relations priv\u00e9es ou de sujets politiquement sensibles, il y a lieu de r\u00e9fl\u00e9chir \u00e0 des alternatives europ\u00e9ennes (Proton<\/a>, Tuta<\/a>, Infomaniaque<\/a>, Tresorit). Non pas \u00e0 cause du FBI, mais \u00e0 cause du profil de confiance g\u00e9n\u00e9ral envers les prestataires qui ont l'obligation l\u00e9gale de faire passer les int\u00e9r\u00eats d'un \u00c9tat avant les v\u00f4tres.<\/p>\n\n\n\n Travailleur ind\u00e9pendant ou petite entreprise sans pression r\u00e9glementaire.<\/strong> Vous vous occupez de la comptabilit\u00e9, de la facturation et de la communication avec les clients. \u00c0 moins que vous ne comptiez parmi vos clients quelqu'un dont les donn\u00e9es int\u00e9ressent quelqu'un d'autre (d\u00e9fense, journalistes, m\u00e9decins, chercheurs, lobbyistes, politiciens), le risque r\u00e9el de la loi CLOUD est faible pour vous. D'un point de vue strat\u00e9gique, le profil de confiance g\u00e9n\u00e9ral envers le fournisseur et la question de savoir qui peut lire les donn\u00e9es de votre entreprise en cours d'exploitation - et non qui peut les faire valoir devant un tribunal - sont plus pertinents.<\/p>\n\n\n\n Une profession sensible.<\/strong> Avocat, m\u00e9decin, th\u00e9rapeute, journaliste, chercheur, enqu\u00eateur, conseiller fiscal. Pour ces professions, la loi CLOUD est une question pertinente d'un point de vue op\u00e9rationnel - non pas parce que quelqu'un veut les surveiller tous, mais parce que vous ne pouvez pas vous conformer \u00e0 un devoir professionnel de confidentialit\u00e9 si un fournisseur dans une juridiction \u00e9trang\u00e8re peut vous communiquer des donn\u00e9es sans que vous le sachiez. Les organisations professionnelles de certains pays europ\u00e9ens commencent d\u00e9j\u00e0 \u00e0 aborder cette question de mani\u00e8re normative. Pour ces professions, il vaut la peine d'avoir soit un fournisseur europ\u00e9en sans lien avec les \u00c9tats-Unis, soit des services avec un v\u00e9ritable cryptage de bout en bout lorsque le type de travail le permet.<\/p>\n\n\n\n Entreprise de taille moyenne avec des clients europ\u00e9ens.<\/strong> C'est ici que GDPR<\/a>. Si vous traitez les donn\u00e9es personnelles de clients europ\u00e9ens, vous \u00eates tenu par le droit europ\u00e9en de savoir qui peut y acc\u00e9der. Le r\u00e9gulateur europ\u00e9en (EDPB) l'a clairement indiqu\u00e9 dans ses orientations mises \u00e0 jour en juin 2025 : l'exigence directe du CLOUD Act n'a pas de base l\u00e9gitime ind\u00e9pendante dans le droit europ\u00e9en. Si votre fournisseur am\u00e9ricain communique les donn\u00e9es sans passer par la voie juridique appropri\u00e9e, vous risquez d'avoir des probl\u00e8mes avec le r\u00e9gulateur europ\u00e9en. C'est pourquoi les grandes entreprises europ\u00e9ennes commencent \u00e0 envisager s\u00e9rieusement des architectures hybrides \u00e0 partir de 2024, o\u00f9 les donn\u00e9es sensibles restent dans l'infrastructure europ\u00e9enne et o\u00f9 le nuage am\u00e9ricain n'est utilis\u00e9 que pour les parties moins sensibles de l'op\u00e9ration.<\/p>\n\n\n\n Organisme r\u00e9glement\u00e9 ou administration publique.<\/strong> Pour vous, c'est nuage souverain<\/a> Le choix d'une solution de rechange est presque in\u00e9vitable, soit parce que le cadre r\u00e9glementaire national l'exige (SecNumCloud en France, BSI C5 en Allemagne), soit parce que la responsabilit\u00e9 pour toute infraction \u00e0 la l\u00e9gislation sur la protection de l'environnement n'a pas encore \u00e9t\u00e9 \u00e9tablie. fuite de donn\u00e9es<\/a> serait politiquement et financi\u00e8rement intenable. C'est dans ce segment que le march\u00e9 europ\u00e9en s'est transform\u00e9 le plus rapidement au cours des deux derni\u00e8res ann\u00e9es.<\/p>\n\n\n\n Ce que le GDPR et le CLOUD Act font l'un pour l'autre.<\/strong> Pour un fournisseur ou un sous-traitant europ\u00e9en qui est \u00e9galement soumis \u00e0 la juridiction am\u00e9ricaine (en raison de son si\u00e8ge, de sa filiale ou de ses actifs aux \u00c9tats-Unis), un conflit insoluble se pose : se conformer \u00e0 une d\u00e9cision de justice am\u00e9ricaine signifie violer l'article 48 du GDPR, se conformer au GDPR signifie violer une d\u00e9cision de justice am\u00e9ricaine. Le guide de l'EDPB 02\/2024, version finale 2.1, dat\u00e9 du 4 juin 2025, indique explicitement que l'exigence de la loi CLOUD directe ne peut \u00eatre justifi\u00e9e par un \u201eint\u00e9r\u00eat l\u00e9gitime\u201c au sens de l'article 6, paragraphe 1, point f), du GDPR. Cons\u00e9quence pratique : les fournisseurs des deux juridictions n'ont pas de voie totalement s\u00fbre du point de vue du droit pur. L'une des rares options claires consiste \u00e0 renvoyer les autorit\u00e9s am\u00e9ricaines au MLAT (Interstate Mutual Legal Assistance Treaty), qui est officiellement disponible.<\/p>\n<\/blockquote>\n\n\n\n Ces deux derni\u00e8res ann\u00e9es, le mot \u201esouverain\u201c a \u00e9t\u00e9 tellement utilis\u00e9 dans le marketing des fournisseurs d'informatique d\u00e9mat\u00e9rialis\u00e9e qu'il a commenc\u00e9 \u00e0 perdre sa signification concr\u00e8te. Ramenons-le \u00e0 l'essentiel - sans le marketing.<\/p>\n\n\n\n En Europe, il existe aujourd'hui trois types d'offres qui se pr\u00e9sentent comme \u201esouveraines\u201c et chacune a une relation diff\u00e9rente avec le CLOUD Act.<\/p>\n\n\n\n Des fournisseurs v\u00e9ritablement europ\u00e9ens.<\/strong> Fran\u00e7ais OVHcloud, 3DS Outscale, Oodrive, NumSpot, Scaleway. Suisse Infomaniac. L'Allemand Hetzner et d'autres participants \u00e0 l'initiative Gaia-X. Ces entreprises ont des capitaux europ\u00e9ens, une direction europ\u00e9enne et une pr\u00e9sence am\u00e9ricaine nulle ou minime. Elles ne sont pas directement couvertes par le CLOUD Act. Leur faiblesse se situe au niveau de l'\u00e9chelle - elles ne peuvent pas rivaliser avec AWS ou Azure en ce qui concerne la profondeur des services sp\u00e9cialis\u00e9s (apprentissage automatique, entreposage de donn\u00e9es, distribution g\u00e9ographique) en r\u00e8gle g\u00e9n\u00e9rale. Mais pour la plupart des besoins standard, ils sont tout \u00e0 fait suffisants.<\/p>\n\n\n\n Partenariats hybrides \u201esouverains\u201c.<\/strong> French Bleu (Orange + Capgemini exploitent la technologie Azure), S3NS (Thales avec 95 % et Google<\/a> Cloud avec 5 % utilisant la technologie GCP), Delos Cloud allemand (SAP utilise Azure pour l'administration publique). Mod\u00e8le : une entreprise europ\u00e9enne avec des capitaux europ\u00e9ens exploite une technologie cloud am\u00e9ricaine sous licence dans une instance isol\u00e9e, avec ses propres centres de donn\u00e9es, ses propres employ\u00e9s et aucune connectivit\u00e9 avec l'infrastructure am\u00e9ricaine. S3NS a re\u00e7u la plus haute qualification fran\u00e7aise SecNumCloud 3.2 le 19 d\u00e9cembre 2025 ; Bleu a pass\u00e9 la deuxi\u00e8me \u00e9tape (J1) en novembre 2025.<\/p>\n\n\n\n Cette vague est \u00e0 la fois la plus affirm\u00e9e politiquement et la plus controvers\u00e9e. L'ANSSI reconna\u00eet ces mod\u00e8les, mais son directeur Vincent Strubel a explicitement d\u00e9clar\u00e9 en janvier 2026 que SecNumCloud n'est pas un label politique de souverainet\u00e9, mais un outil de cybers\u00e9curit\u00e9. En d'autres termes : L'ANSSI ne pr\u00e9tend pas que le S3NS est totalement immunis\u00e9 contre le CLOUD Act. Elle affirme qu'il r\u00e9pond \u00e0 ses normes techniques et proc\u00e9durales et que le contr\u00f4le op\u00e9rationnel des donn\u00e9es est entre les mains des Europ\u00e9ens.<\/p>\n\n\n\n OVHcloud - le plus grand fournisseur v\u00e9ritablement europ\u00e9en - soutient que les mod\u00e8les hybrides ne sont pas totalement immunis\u00e9s parce que la d\u00e9pendance \u00e0 l'\u00e9gard de la technologie am\u00e9ricaine sous licence cr\u00e9e un lien \u00e0 long terme dont l'applicabilit\u00e9 juridique ne peut pas \u00eatre test\u00e9e \u00e0 l'avance dans une situation de crise. Le litige est ouvert et aucune d\u00e9cision de justice ne l'a encore tranch\u00e9.<\/p>\n\n\n\n Les \u201ezones de d\u00e9barquement\u201c am\u00e9ricaines en Europe.<\/strong> Microsoft Cloud for Sovereignty, AWS European Sovereign Cloud (ouverture en janvier 2026 \u00e0 Brandenburg), Oracle EU Sovereign Cloud. La pr\u00e9sentation commerciale est similaire \u00e0 celle des cat\u00e9gories pr\u00e9c\u00e9dentes. En pratique, elles sont diff\u00e9rentes : l'op\u00e9rateur reste la soci\u00e9t\u00e9 m\u00e8re am\u00e9ricaine ou sa filiale europ\u00e9enne sous juridiction am\u00e9ricaine. Le CLOUD Act s'applique ici sans r\u00e9serve. AWS d\u00e9clare dans ses rapports de transparence \u00e0 partir de 2020 qu'elle n'a pas divulgu\u00e9 de contenu d'entreprise ou de gouvernement stock\u00e9 en dehors des \u00c9tats-Unis - un signal empirique important, mais pas une garantie juridique pour l'avenir.<\/p>\n\n\n\n Comment le contr\u00f4leur le lit.<\/strong> Cadres europ\u00e9ens horizontaux tels que NIS2<\/a> ou DORA ne prescrivent pas en soi le choix de l'informatique en nuage \u00e0 utiliser. Elles exigent une gestion des risques de la cha\u00eene d'approvisionnement, l'opposabilit\u00e9 contractuelle au fournisseur, l'auditabilit\u00e9, un plan d'interruption et un contr\u00f4le d'acc\u00e8s. Pour les secteurs ayant leur propre r\u00e9glementation (sant\u00e9, finance, informations classifi\u00e9es, infrastructures critiques), il existe des qualifications nationales que le cloud souverain exige g\u00e9n\u00e9ralement - SecNumCloud en France, BSI C5 en Allemagne, et des cadres similaires dans d'autres pays. C'est \u00e0 ce niveau que le \u201ecloud souverain\u201c passe d'un d\u00e9bat strat\u00e9gique \u00e0 une obligation l\u00e9gale.<\/p>\n<\/blockquote>\n\n\n\n Parall\u00e8lement \u00e0 la loi CLOUD, un deuxi\u00e8me volet du m\u00eame probl\u00e8me est abord\u00e9 en Europe : la question de savoir comment les donn\u00e9es europ\u00e9ennes peuvent l\u00e9galement \u00eatre transmises aux \u00c9tats-Unis. Il y a eu trois vagues.<\/p>\n\n\n\n Le Safe Harbor (2000) a \u00e9t\u00e9 invalid\u00e9 en 2015 par la CJUE dans l'affaire Schrems I. Le Privacy Shield (2016) a \u00e9t\u00e9 invalid\u00e9 en 2020 dans l'affaire Schrems II. La troisi\u00e8me tentative - le cadre de protection des donn\u00e9es UE-\u00c9tats-Unis (DPF) - est en vigueur depuis juillet 2023. La CJUE devrait se prononcer sur sa validit\u00e9 entre 2026 et 2027. Le premier round a d\u00e9j\u00e0 eu lieu en septembre 2025, lorsque le Tribunal de l'UE a rejet\u00e9 le recours de l'eurod\u00e9put\u00e9 fran\u00e7ais Philippe Latombe. En novembre 2025, M. Latombe a fait appel devant la Cour de justice elle-m\u00eame, qui a tendance \u00e0 \u00eatre beaucoup plus s\u00e9v\u00e8re dans son \u00e9valuation des pratiques de surveillance des \u00c9tats-Unis.<\/p>\n\n\n\n Il est important pour le CLOUD Act que le DPF ne l'affecte pas directement. Le DPF traite des transferts de donn\u00e9es commerciales de l'UE vers les \u00c9tats-Unis. La loi CLOUD traite de ce que les autorit\u00e9s am\u00e9ricaines peuvent faire avec les donn\u00e9es une fois que les entreprises am\u00e9ricaines les ont en leur possession. Il s'agit de deux niveaux parall\u00e8les d'un m\u00eame probl\u00e8me - et ensemble, ils sont la raison pour laquelle le d\u00e9bat europ\u00e9en sur la souverainet\u00e9 num\u00e9rique a pris une telle ampleur au cours de la p\u00e9riode 2024-2026.<\/p>\n\n\n\n Ce qui peut arriver au DPF.<\/strong> Si la Cour de justice de l'UE annule l'arr\u00eat Schrems III, le transfert de donn\u00e9es \u00e0 caract\u00e8re personnel de l'UE vers les \u00c9tats-Unis se fera \u00e0 nouveau dans un vide juridique. Les fournisseurs am\u00e9ricains y r\u00e9pondront par des clauses contractuelles types (CCN) et des mesures techniques suppl\u00e9mentaires, comme l'exige l'arr\u00eat Schrems II. Pour le client europ\u00e9en, il s'agit g\u00e9n\u00e9ralement d'une charge administrative suppl\u00e9mentaire, et non d'un d\u00e9sastre - mais d'un point de vue strat\u00e9gique, cela pousse encore plus les entreprises vers le \"nuage\" europ\u00e9en. L'effondrement \u00e9ventuel du DPF figure donc dans les initiatives souveraines en mati\u00e8re de \"cloud\" comme un sc\u00e9nario silencieux qui acc\u00e9l\u00e8re la migration.<\/p>\n<\/blockquote>\n\n\n\n Si vous \u00eates confront\u00e9 \u00e0 la d\u00e9cision de savoir o\u00f9 mener votre propre op\u00e9ration, le d\u00e9bat sur la loi CLOUD peut \u00eatre r\u00e9duit \u00e0 quelques questions qui se posent de mani\u00e8re pragmatique.<\/p>\n\n\n\n La premi\u00e8re question concerne la sensibilit\u00e9 des donn\u00e9es. Si vous vous occupez principalement de marketing, de communications d'entreprise de routine ou d'op\u00e9rations non personnelles, votre d\u00e9cision devrait \u00eatre motiv\u00e9e principalement par des param\u00e8tres op\u00e9rationnels et \u00e9conomiques - le CLOUD Act est une pr\u00e9occupation l\u00e9gitime, mais ne devrait probablement pas \u00eatre la principale. Si vous traitez des dossiers m\u00e9dicaux, des dossiers juridiques de clients, des sources journalistiques, des donn\u00e9es de recherche ou toute autre chose qui pourrait \u00eatre d\u00e9vastatrice pour vous si un tiers mettait la main dessus, le risque est r\u00e9el d'un point de vue op\u00e9rationnel - et m\u00e9rite une consid\u00e9ration architecturale distincte, et non un argument r\u00e9sign\u00e9 du type \u201ede toute fa\u00e7on, je ne vais pas le changer\u201c.<\/p>\n\n\n\n La deuxi\u00e8me question est d'ordre r\u00e9glementaire. Si vous relevez d'une r\u00e9glementation sectorielle qui exige un environnement qualifi\u00e9 (SecNumCloud en France, BSI C5 en Allemagne, \u00e9quivalents dans d'autres pays), le cloud souverain n'est pas une option - c'est une r\u00e9glementation. Si vous relevez de cadres horizontaux tels que NIS2 ou DORA, la prescription est plus g\u00e9n\u00e9rale (gestion des risques, contr\u00f4le contractuel, surveillance des fournisseurs), mais elle va dans le m\u00eame sens.<\/p>\n\n\n\n La troisi\u00e8me question est d'ordre architectural. Si vous disposez d'une architecture en couches (donn\u00e9es moins sensibles s\u00e9par\u00e9es des donn\u00e9es plus sensibles), vous pouvez souvent appliquer un mod\u00e8le hybride : couche moins sensible dans le nuage am\u00e9ricain pour les avantages op\u00e9rationnels, couche sensible dans le nuage europ\u00e9en ou sur site. Dans la pratique, c'est la voie de compromis la plus courante choisie par les moyennes et grandes entreprises europ\u00e9ennes entre 2025 et 2026.<\/p>\n\n\n\n La quatri\u00e8me question porte sur le processus de bout en bout chiffrement<\/a>. Pour la communication, les sauvegardes ou le stockage de fichiers, la voie r\u00e9aliste aujourd'hui (Proton, Tuta, Tresorit, Cryptee, Signal<\/a>, Matrice<\/a> auto-h\u00e9berg\u00e9). Attention - Signal est un op\u00e9rateur am\u00e9ricain ; son profil de risque est diff\u00e9rent de celui des services europ\u00e9ens (Proton, Tuta, Threema<\/a>). Pour les bases de donn\u00e9es et les t\u00e2ches analytiques, un v\u00e9ritable cryptage de bout en bout est techniquement possible, mais les performances ne sont pas pratiques pour la plupart des charges de travail dans le monde r\u00e9el. Il s'agit plut\u00f4t d'un chiffrement hybride avec contr\u00f4le des cl\u00e9s du c\u00f4t\u00e9 r\u00e9el.<\/p>\n\n\n\n La cinqui\u00e8me question est d'ordre \u00e9conomique. La diff\u00e9rence de prix entre le cloud europ\u00e9en et le cloud am\u00e9ricain d\u00e9pend aujourd'hui fortement du type de charge de travail. Pour le stockage d'objets, les instances de calcul de base et les clusters Kubernetes, les fournisseurs europ\u00e9ens sont souvent comp\u00e9titifs, voire moins chers que les fournisseurs hyperscale am\u00e9ricains. Pour les services g\u00e9r\u00e9s avanc\u00e9s (entreposage de donn\u00e9es, apprentissage automatique, distribution g\u00e9ographique), les offres souveraines europ\u00e9ennes ont g\u00e9n\u00e9ralement tendance \u00e0 \u00eatre plus ch\u00e8res. C'est une r\u00e9alit\u00e9 qui doit \u00eatre consciemment prise en compte dans la prise de d\u00e9cision.<\/p>\n\n\n\n Le CLOUD Act lui-m\u00eame n'est pas principalement un outil de surveillance. Il s'agit d'une solution l\u00e9gislative \u00e0 un probl\u00e8me g\u00e9ographique qui faisait d\u00e9faut au Congr\u00e8s am\u00e9ricain apr\u00e8s l'affaire Microsoft Irlande - et que le Congr\u00e8s a r\u00e9solu en faveur des autorit\u00e9s am\u00e9ricaines et au d\u00e9triment du contr\u00f4le proc\u00e9dural europ\u00e9en par le biais du MLAT. Pour la plupart des utilisateurs europ\u00e9ens, l'impact r\u00e9el du CLOUD Act est moins important que ne le sugg\u00e8rent les documents commerciaux des fournisseurs europ\u00e9ens de services en nuage.<\/p>\n\n\n\n Mais au niveau du syst\u00e8me, l'impact est exactement celui qu'Anton Carniaux a d\u00e9crit au S\u00e9nat fran\u00e7ais : nous ne pouvons pas garantir. Et cette incapacit\u00e9 \u00e0 garantir est un probl\u00e8me structurel. Elle fait de l'infrastructure sur laquelle reposent les donn\u00e9es critiques des Etats, des entreprises et des citoyens europ\u00e9ens un outil dont les r\u00e8gles sont \u00e9crites par d'autres. Pour les \u00c9tats, les organisations r\u00e9glement\u00e9es et les professions sensibles, c'est une raison d'investir dans un parcours de cloud souverain enti\u00e8rement europ\u00e9en ou au moins hybride. Pour les utilisateurs ordinaires et les petites entreprises, il s'agit plut\u00f4t d'une raison de r\u00e9fl\u00e9chir aux donn\u00e9es sp\u00e9cifiques qui seraient r\u00e9ellement affect\u00e9es par la perte de contr\u00f4le juridictionnel - et de proc\u00e9der \u00e0 un changement \u00e0 cet endroit. Le reste peut rester l\u00e0 o\u00f9 il est.<\/p>\n\n\n\n R\u00e9ponse europ\u00e9enne - DPF, lignes directrices de l'EDPB, SecNumCloud, partenariat pour les nuages souverains, messagers du gouvernement<\/a> sur la matrice, les alternatives europ\u00e9ennes comme Infomaniac, Proton ou Threema - est largement rationnelle mais in\u00e9gale. Les gouvernements et les charges classifi\u00e9es vont de l'avant, les soins de sant\u00e9 et les PME restent sur la pile am\u00e9ricaine parce qu'ils n'ont pas la pression r\u00e9glementaire ou l'espace financier pour migrer. Ce qui se passe dans le nuage europ\u00e9en depuis 2023 est une consolidation lente et co\u00fbteuse de cette in\u00e9galit\u00e9 - et le CLOUD Act en est le catalyseur, pas la cause.<\/p>\n\n\n\n Porte d\u00e9rob\u00e9e<\/strong> - Un chemin cach\u00e9 d\u00e9lib\u00e9r\u00e9ment int\u00e9gr\u00e9 qui vous permet de contourner la protection normale (telle que le cryptage).<\/p>\n\n\n\n Collecte en vrac<\/strong> - Collecte de donn\u00e9es en vrac sans soup\u00e7on sp\u00e9cifique et cibl\u00e9, g\u00e9n\u00e9ralement utilis\u00e9e par les agences de renseignement.<\/p>\n\n\n\n Accords CLOUD Act (accords ex\u00e9cutifs)<\/strong> - Accords bilat\u00e9raux entre \u00c9tats qui permettent aux autorit\u00e9s \u00e9trang\u00e8res de demander des donn\u00e9es directement aux fournisseurs am\u00e9ricains (et vice versa), avec des limites int\u00e9gr\u00e9es contre les abus. Jusqu'\u00e0 pr\u00e9sent, ces accords n'ont \u00e9t\u00e9 conclus qu'avec le Royaume-Uni (\u00e0 partir d'octobre 2022) et l'Australie (\u00e0 partir du 31 janvier 2024). Des n\u00e9gociations sont en cours avec l'UE et le Canada.<\/p>\n\n\n\n Objection de courtoisie<\/strong> - Objection pour des raisons de courtoisie internationale. Dispositif proc\u00e9dural par lequel un prestataire peut demander \u00e0 un tribunal am\u00e9ricain d'annuler ou de modifier une ordonnance dont l'ex\u00e9cution violerait la loi d'un \u00c9tat \u00e9tranger.<\/p>\n\n\n\n Cryptage de bout en bout (E2EE<\/a>)<\/strong> - cryptage dans lequel seuls l'exp\u00e9diteur et le destinataire poss\u00e8dent des cl\u00e9s ; fournisseur de services<\/a> et ne peuvent pas en d\u00e9crypter le contenu, m\u00eame avec une d\u00e9cision de justice.<\/p>\n\n\n\n EDPB (European Data Protection Board)<\/strong> - un organisme qui publie des documents contraignants et des recommandations sur l'application du GDPR.<\/p>\n\n\n\n FISA 702<\/strong> - une loi am\u00e9ricaine qui permet la collecte cibl\u00e9e de renseignements sur des \u00e9trangers en dehors des \u00c9tats-Unis. G\u00e9n\u00e9ralement plus importante que la loi CLOUD en termes de risque de surveillance europ\u00e9enne.<\/p>\n\n\n\n MLAT (Trait\u00e9 d'entraide judiciaire)<\/strong> - trait\u00e9 d'entraide judiciaire. Il s'agit de la voie formelle traditionnelle par laquelle un procureur am\u00e9ricain demande des donn\u00e9es \u00e0 un \u00c9tat europ\u00e9en avec l'accord d'un tribunal europ\u00e9en. Lente (10 mois en moyenne), c'est pourquoi le CLOUD Act est souvent contourn\u00e9 par les autorit\u00e9s am\u00e9ricaines.<\/p>\n\n\n\n Possession, garde ou contr\u00f4le<\/strong> - possession, custody, control\u201e. Il s'agit de la phrase cl\u00e9 de la loi CLOUD qui d\u00e9termine si l'agence am\u00e9ricaine peut atteindre le fournisseur.<\/p>\n\n\n\n Mandat avec cause probable<\/strong> - une d\u00e9cision de justice fond\u00e9e sur des soup\u00e7ons raisonnables. Condition standard pour obtenir le contenu des communications aux \u00c9tats-Unis.<\/p>\n\n\n\n Schrems I \/ II \/ \u00e9ventuellement III<\/strong> - une s\u00e9rie d'arr\u00eats de la CJUE qui ont progressivement aboli les m\u00e9canismes de transfert de donn\u00e9es personnelles entre l'UE et les \u00c9tats-Unis (Safe Harbor 2015, Privacy Shield 2020, ou le Data Privacy Framework dans les ann\u00e9es suivantes).<\/p>\n\n\n\n SecNumCloud<\/strong> - Qualification fran\u00e7aise pour les services en nuage adapt\u00e9s aux applications sensibles de l'administration publique. Niveau le plus \u00e9lev\u00e9 3.2.<\/p>\n\n\n\n Les informations et les \u00e9valuations contenues dans cet article sont bas\u00e9es sur des sources accessibles au public \u00e0 la date de publication et sont susceptibles d'\u00eatre modifi\u00e9es au fil du temps. Pour une \u00e9valuation juridique sp\u00e9cifique de votre situation, nous vous recommandons de consulter un conseiller juridique sp\u00e9cialis\u00e9 dans la protection des donn\u00e9es et le droit des technologies de l'information.<\/em><\/p>\n\n\n\n V \u010dervnu 2025 st\u00e1l ve v\u00fdboru francouzsk\u00e9ho Sen\u00e1tu Anton Carniaux, \u0159editel pro ve\u0159ejn\u00e9 a pr\u00e1vn\u00ed z\u00e1le\u017eitosti Microsoft France. Pod p\u0159\u00edsahou […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"activitypub_content_warning":"","activitypub_content_visibility":"","activitypub_max_image_attachments":4,"activitypub_interaction_policy_quote":"anyone","activitypub_status":"federated","footnotes":""},"categories":[32],"tags":[],"class_list":["post-741","post","type-post","status-publish","format-standard","hentry","category-digitalni-suverenita"],"yoast_head":"\n
\n\n\n\nCe que fait la loi CLOUD avec son langage simple<\/h2>\n\n\n\n
\n
\n\n\n\nCe que le CLOUD Act ne peut pas faire (et comment les m\u00e9dias le d\u00e9naturent souvent)<\/h2>\n\n\n\n
\n
\n\n\n\nQuand cela vous concerne<\/h2>\n\n\n\n
\n
\n\n\n\nNuage souverain : qu'est-ce que c'est vraiment et quand est-ce que c'est utile ?<\/h2>\n\n\n\n
\n
\n\n\n\nSchrems, DPF et l'avenir<\/h2>\n\n\n\n
\n
\n\n\n\nUn cadre pratique pour la prise de d\u00e9cision<\/h2>\n\n\n\n
\n\n\n\nQu'est-ce que cela implique ?<\/h2>\n\n\n\n
\n\n\n\nGlossaire<\/h2>\n\n\n\n
\n\n\n\n
\n\n\n\nSources d'information<\/h2>\n\n\n\n
\n