Le Cloud Act expliqué

Le Clarifying Lawful Overseas Use of Data Act, promulgué aux États-Unis en 2018, oblige les entreprises soumises au droit américain à communiquer des données aux autorités fédérales sur simple ordonnance, quelle que soit la localisation physique de ces données. En clair : si votre prestataire est une société américaine ou une filiale d'un groupe américain, vos données peuvent être demandées par une cour américaine même si elles sont physiquement en France, en Allemagne ou aux Pays-Bas.

Le Cloud Act n'exige pas que les autorités américaines passent par les canaux d'entraide judiciaire internationale. La demande s'adresse directement à l'entreprise, avec des délais très courts et, souvent, une clause de confidentialité qui interdit à l'entreprise d'informer ses clients.

Un datacenter en France me protège-t-il du Cloud Act ?

Non, pas à lui seul. Héberger vos données dans un datacenter français produit deux effets réels : elles relèvent du RGPD, qui s'applique dès que le traitement a lieu sur le sol européen, et elles échappent à un accès physique non autorisé par un acteur étranger. C'est utile, mais ça ne les soustrait pas à une injonction adressée à un éditeur américain.

La localisation ne modifie pas l'obligation d'une entreprise américaine de répondre à une injonction Cloud Act. L'affaire United States v. Microsoft, portée jusqu'à la Cour suprême américaine, posait précisément cette question : le gouvernement réclamait des e-mails stockés dans le datacenter irlandais de Microsoft. Le Cloud Act, adopté en mars 2018, a réglé le débat avant tout jugement sur le fond, la Cour suprême ayant alors déclaré l'affaire sans objet. La loi établit que l'entreprise doit communiquer les données, indépendamment de leur localisation.

Résultat pratique : un hébergeur qui vous dit 'vos données sont en France' ne vous dit pas que vos données sont hors de portée du Cloud Act si son logiciel ou son service vient d'un éditeur américain.

Quelles entreprises sont concernées ?

Toute entreprise constituée sous le droit américain, toute filiale d'un groupe américain, et potentiellement toute société dont les opérations aux États-Unis sont significatives. Microsoft, Google, Amazon Web Services, Salesforce, Dropbox, et leurs partenaires de distribution sont dans ce périmètre.

Beaucoup de prestataires européens revendent des logiciels américains ou appuient leur service sur une infrastructure américaine. Dans ce cas, le maillon faible n'est pas le datacenter français, c'est l'éditeur du logiciel sous-jacent. C'est précisément le piège des solutions de sauvegarde qui se présentent comme souveraines avec un moteur non européen.

Qui est réellement exposé ?

Le risque n'est pas théorique pour les seuls suspects criminels. Les enquêtes de la Federal Trade Commission, les litiges commerciaux impliquant des entreprises américaines, les procédures antitrust, et les demandes de renseignements sont autant de canaux par lesquels une injonction peut viser une entreprise ou un prestataire sans lien direct avec les États-Unis.

Pour un cabinet d'avocats, un établissement de santé, une collectivité ou toute organisation manipulant des données sensibles, l'exposition au Cloud Act est un critère de choix de prestataire aussi important que la disponibilité du service ou le prix.

Kryolys est un éditeur français, opéré en France, sans contrôle américain. Vos sauvegardes y restent hors du champ d'application du Cloud Act, non pas parce que le datacenter est en France, mais parce que l'entreprise l'est. C'est le principe d'une sauvegarde souveraine pour les entreprises.