Le CLOUD Act est une loi américaine. Elle permet aux autorités des États-Unis d’obtenir des données auprès des fournisseurs soumis au droit américain, même lorsque ces données sont stockées en France. Pour une entreprise française, la question n’est donc pas seulement « où sont mes données ? », mais aussi « à quel droit est soumis mon fournisseur ? ». Voici ce que dit la loi, comment elle s’articule avec le RGPD, et les critères concrets pour garder vos données sous droit français.
Le CLOUD Act, c’est quoi ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) a été adopté aux États-Unis le 23 mars 2018. Il oblige les fournisseurs de services de communication et de cloud soumis au droit américain à communiquer, sur demande d’une autorité judiciaire américaine, les données qui sont en leur « possession, garde ou contrôle », quel que soit l’endroit où elles sont stockées.
La loi est née d’une affaire où un fournisseur américain contestait la remise de courriels stockés en Irlande. Le CLOUD Act a tranché : la localisation des serveurs ne suffit plus à écarter une demande américaine.
Le texte prévoit deux mécanismes :
- une procédure de contestation : le fournisseur peut demander l’annulation d’une demande lorsque le client
n’est pas américain et que la remise des données l’obligerait à enfreindre le droit d’un pays partenaire ; - des accords bilatéraux entre les États-Unis et d’autres États pour encadrer ces échanges. Le premier a été signé
avec le Royaume-Uni en octobre 2019.
Qui est concerné ?
Le critère est la juridiction du fournisseur, pas l’emplacement des serveurs :
- les fournisseurs de cloud, de messagerie ou de logiciels en ligne de droit américain ;
- leurs filiales et les structures qu’ils contrôlent, y compris en Europe ;
- et donc, indirectement, toute entreprise française qui confie ses données à l’un de ces fournisseurs.
Un fournisseur de droit français, sans lien capitalistique ou de contrôle avec une entité américaine, n’entre pas dans ce périmètre.
CLOUD Act et RGPD : comment les deux textes s’articulent
Le RGPD encadre strictement la communication de données personnelles à une autorité étrangère. Son article 48 prévoit qu’une décision d’une juridiction ou d’une autorité d’un pays tiers demandant la remise de données personnelles n’est reconnue en Europe que si elle s’appuie sur un accord international, comme un traité d’entraide judiciaire. Le Comité européen de la protection des données a précisé ce point dans des lignes directrices adoptées en décembre 2024 : répondre à une telle demande constitue un transfert, qui doit respecter les règles du RGPD.
Un fournisseur soumis aux deux droits peut donc se trouver face à deux obligations contraires. Pour l’entreprise cliente, responsable de traitement au sens du RGPD, c’est un risque à évaluer au moment de choisir ses prestataires, en particulier pour les données sensibles.
Données de santé : ce que prévoit le référentiel HDS v2.0
Pour les données de santé, la réglementation française va plus loin. Le référentiel de certification HDS v2.0,
obligatoire pour tous les hébergeurs certifiés depuis le 16 mai 2026, ajoute des exigences de souveraineté :
- l’hébergement physique des données de santé doit se faire dans l’Espace économique européen ;
- l’hébergeur doit informer ses clients des risques d’accès aux données par des autorités de pays tiers, par exemple lorsqu’il appartient à un groupe non européen.
La certification HDS ne dit donc pas, à elle seule, quel droit s’applique à l’hébergeur : c’est l’information qu’il
vous doit, et qu’il faut lire.
Comment garder vos données sous droit français
- Cartographiez vos données sensibles : données de santé, données personnelles, secrets d’affaires. Ce sont elles qui justifient un hébergement maîtrisé.
- Vérifiez la juridiction du fournisseur et de son groupe, pas seulement la localisation des datacenters :
siège, actionnariat, contrôle. - Contrôlez le contrat : contrat de sous-traitance (article 28 du RGPD), localisation des données, conduite à tenir en cas de demande d’une autorité étrangère, réversibilité.
- Chiffrez les données sensibles et gardez la maîtrise des clés de chiffrement.
- Pour les données de santé, exigez un hébergeur certifié HDS v2.0 et lisez son information sur les risques d’accès extra-européens.
L’approche Guardis
Guardis est une marque de MUONA SAS, société de droit français dont le capital est détenu à 100 % par des associés français, sans lien avec une entité américaine ou extra-européenne. Nos infrastructures sont en France, réparties sur 6 zones de disponibilité, et nous sommes certifiés ISO/IEC 27001:2022 et HDS v2.0 (activités 2 à 6). Vos données relèvent du droit français et du RGPD.
- Notre engagement de souveraineté, en détail
- Hébergement HDS pour vos données de santé
- Cloud souverain pour vos données sensibles
Un projet d’hébergement de données sensibles ? Demandez votre devis.
Questions fréquentes
Le CLOUD Act s’applique-t-il à un hébergeur français ?
Il s’applique aux fournisseurs soumis au droit américain, y compris à leurs filiales. Un hébergeur de droit français sans lien de contrôle avec une entité américaine n’est pas concerné.
Héberger ses données en France suffit-il à se protéger du CLOUD Act ?
Non. Le CLOUD Act vise les données que le fournisseur possède ou contrôle, où qu’elles soient. C’est la juridiction du fournisseur et de son groupe qui compte, en plus de la localisation.
CLOUD Act ou RGPD : lequel s’applique ?
Les deux peuvent s’appliquer à un fournisseur soumis au droit américain qui traite des données en Europe. L’article 48 du RGPD ne reconnaît une demande étrangère que si elle repose sur un accord international : le fournisseur peut alors se trouver face à deux obligations contraires.
Le chiffrement suffit-il ?
Le chiffrement réduit le risque si vous gardez seul la maîtrise des clés. Il complète le choix d’un fournisseur soumis au droit européen, il ne le remplace pas.
Quelles données sont les plus concernées ?
Les données personnelles, et en particulier les données de santé, ainsi que les informations stratégiques de l’entreprise (contrats, recherche, finances).