Cabinet d'avocats parisien : données clients sur AWS région Paris. Question du délégué à la protection des données : « Le Cloud Act s'applique-t-il quand même ? » Réponse courte : potentiellement oui — parce que le prestataire est soumis au droit américain, pas parce que le disque dur est à Paris.
Le CLOUD Act (2018) permet aux autorités américaines de réquisitionner certaines données détenues par des fournisseurs cloud sous juridiction américaine, y compris lorsqu'elles sont stockées à l'étranger. Pour un site européen, l'enjeu n'est pas la panique générale : c'est cartographier qui peut être contraint, sur quoi, et si vos données le permettent.
Ce que le Cloud Act change — concrètement
La loi cible les prestataires américains et les entités qu'ils contrôlent — pas tout hébergeur disposant d'un datacenter en Union européenne. Une ordonnance peut viser le contenu lui-même : courriels, fichiers, métadonnées selon les cas. Elle peut aussi créer un conflit de lois entre ordre américain et blocage européen, pendant que la transparence reste limitée : les gag orders empêchent parfois le prestataire de prévenir le client.
| Configuration | Exposition Cloud Act typique |
|---|---|
| AWS / Azure / GCP région UE | Oui (entité américaine) |
| OVH / Infomaniak / Hetzner (UE) | Pas de Cloud Act US ; autres cadres possibles |
| CDN américain proxyant tout le trafic | À analyser (traitement, journaux) |
| Chiffrement, clés détenues par le client | Réduit les données exploitables |
Un datacenter en Union européenne n'exclut pas la portée américaine si le contrat est signé avec une entité soumise au droit US.
Questions à poser avant signature
Avant de valider un contrat, clarifiez l'identité juridique contractuelle : s'agit-il d'une société américaine ou d'une filiale européenne ? Cartographiez les sous-traitants — sauvegardes, support, supervision — qui pourraient être situés aux États-Unis. Vérifiez la localisation de la production, des copies de secours et des journaux, comme le décrit notre enquête sur la localisation réelle. Demandez des clauses de notification en cas d'ordonnance gouvernementale, lorsque la loi le permet. Enfin, précisez le chiffrement : qui détient les clés, existe-t-il un KMS client, et votre projet exige-t-il SecNumCloud ou une souveraineté renforcée ? Consultez SecNumCloud : critères pour ce dernier point.
Comparez les fiches de l'annuaire : OVHcloud, Scaleway et Infomaniak documentent des positionnements souveraineté différents d'AWS région Paris.
Mitigations proportionnées
Pour des données peu sensibles sur un site vitrine, un hébergeur européen avec un accord de sous-traitance solide suffit souvent ; le Cloud Act pèse peu en pratique. Pour des données sensibles, du secret défense ou certaines données de santé, évitez la chaîne américaine, envisagez SecNumCloud ou HDS selon le cadre français, chiffrez avec des clés client et faites relire le contrat par un juriste. Pour un CDN ou un SaaS américain, cartographiez le traitement ; l'anonymisation ou un routage réservé à l'UE peuvent parfois réduire l'exposition.
Croisez avec RGPD : choisir un hébergeur et Cloud Act et contrat.
Ce que le Cloud Act ne fait pas
La loi n'autorise pas n'importe qui à lire vos données : une procédure américaine est requise. Elle ne remplace pas votre conformité RGPD en tant que responsable de traitement. Elle ne rend pas illégal d'utiliser AWS en région européenne — elle exige une analyse de risque et des garanties documentées.
Le sommet : la région cloud rassure — la juridiction du contrat engage
Pour les sites grand public, le risque réel varie selon la sensibilité des données. Pour les données critiques, l'illusion devient responsabilité.
Décider et avancer sans angle mort
Identifiez d'abord l'entité contractuelle et la maison mère, puis cartographiez les sauvegardes, le CDN et le support tiers. Évaluez la sensibilité des données et les obligations sectorielles qui s'appliquent à votre activité. Choisissez un hébergeur européen ou des garanties de chiffrement et de détention des clés si un prestataire américain reste incontournable. Documentez enfin votre analyse de risque sur les transferts, comme le rappelle le guide Transferts hors UE.
Consultez le comparateur et l'enquête cloud souverain pour affiner votre short-list.
Questions fréquentes
Cloud Act s'applique-t-il si mes données sont en France ?
Oui, c'est possible si le prestataire est soumis au droit américain. La localisation des disques ne suffit pas toujours à exclure une ordonnance visant des données stockées en Union européenne.
Hébergeur européen pur évite-t-il le Cloud Act ?
Cela réduit le risque lié aux États-Unis, à condition qu'il n'existe ni maison mère américaine ni sous-traitant soumis au droit US. Lisez le contrat, pas seulement le marketing.
Chiffrement protège-t-il du Cloud Act ?
Un chiffrement avec clés détenues uniquement par vous limite l'accès exploitable. Des clés hébergées chez un prestataire américain restent exposées.
SecNumCloud et Cloud Act : lien ?
SecNumCloud encadre un hébergement renforcé contre l'accès extraterritorial pour certaines charges sensibles. Ce n'est pas automatique pour tout site web.
Cloud Act pour un site européen : ce n'est pas « interdit US » — c'est savoir qui, juridiquement, peut recevoir une ordonnance sur vos données, où qu'elles dorment.