Cloud Act : définition et portée pour vos données

Que permet le Cloud Act ?

Le Cloud Act oblige un fournisseur à remettre aux autorités américaines, sur réquisition, les données qu’il possède, garde ou contrôle, où qu’elles se trouvent. Il vise les fournisseurs de services de communications électroniques et de services informatiques à distance (stockage ou traitement fournis au public). L’obligation de conserver ou de communiquer s’applique, que les données se trouvent aux États-Unis ou ailleurs (18 U.S.C. § 2713).

Le texte date du 23 mars 2018 (Pub. L. 115-141). Son nom complet est Clarifying Lawful Overseas Use of Data Act. Il répond à l’affaire Microsoft. En juillet 2016, une cour d’appel fédérale avait jugé que la loi n’obligeait pas Microsoft à livrer des courriels stockés en Irlande. Le gouvernement a ensuite obtenu un nouveau mandat fondé sur le Cloud Act. La Cour suprême a alors déclaré l’affaire sans objet, le 17 avril 2018.

À qui s’applique le Cloud Act ?

Le Cloud Act s’applique à tout fournisseur qui relève de la juridiction américaine, pas seulement aux entreprises américaines. Selon le ministère américain de la Justice, cette juridiction s’étend au-delà des sociétés dont le siège est aux États-Unis ou que des Américains détiennent. Elle n’est pas illimitée pour autant : elle dépend des liens du fournisseur avec les États-Unis, au cas par cas.

Le critère porte sur le contrôle des données, pas sur leur emplacement. Pour une filiale, le ministère estime que le contrôle exercé sur ses données relève d’un examen des faits. Une filiale européenne d’un groupe américain ne vous met donc pas, par principe, hors de portée du texte.

Cloud Act ou RGPD : quelle différence ?

Le Cloud Act oblige un fournisseur à communiquer des données ; le RGPD, règlement européen, encadre leur communication à un pays tiers. Selon son article 48, une décision étrangère de transfert de données personnelles doit reposer sur un accord international pour être reconnue ou exécutée dans l’Union, sans préjudice des autres bases de transfert du RGPD. Un traité d’entraide judiciaire en est l’exemple. Le fournisseur peut donc se trouver pris entre deux droits.

La loi américaine prévoit une voie de contestation (18 U.S.C. § 2703(h)). Le fournisseur dispose de 14 jours pour contester une réquisition qui vise un client ni américain ni résident des États-Unis. Il invoque alors le risque de violer le droit d’un « gouvernement étranger qualifié » (qualifying foreign government). Cette qualité suppose un accord exécutif en vigueur avec les États-Unis. Au 25 octobre 2026, le ministère américain de la Justice recense deux accords, avec le Royaume-Uni (2019) et l’Australie (2021). Ni la France ni l’Union n’y figurent : les négociations entre l’Union et les États-Unis sur les preuves électroniques ont repris en mars 2023. Hors de ce cadre, le texte laisse s’appliquer les règles jurisprudentielles américaines sur la courtoisie internationale.

Que change le Cloud Act pour votre décision ?

• L’emplacement des serveurs ne règle pas la question. Un hébergement en France fixe la localisation, pas la juridiction. La fiche souveraineté numérique détaille cette distinction. Interrogez aussi le fournisseur du modèle de langage que votre outil appelle.

• Les clés de chiffrement déplacent la question. Selon le ministère américain de la Justice, le Cloud Act ne crée aucun pouvoir nouveau pour contraindre un fournisseur à déchiffrer. Un chiffrement dont vous gardez seul les clés limite ce que le fournisseur peut remettre en clair.

• Le fournisseur peut vous prévenir, sauf interdiction d’un juge. Le même document indique que les fournisseurs peuvent informer le titulaire du compte d’une réquisition, sauf ordonnance de protection. Inscrivez cet engagement d’information dans le contrat.

• Une offre qualifiée réduit l’exposition. La version 3.2 de SecNumCloud exige que le prestataire relève exclusivement du droit de l’Union. Selon l’ANSSI, une offre qualifiée doit résister à une injonction issue de lois extraterritoriales. Réservez cette exigence aux données qui la justifient.

• Chiffrez la sortie avant d’en avoir besoin. Si la juridiction de votre fournisseur devient un problème, votre dépendance fournisseur détermine le coût et le délai d’un changement.