Deux lois américaines reviennent dès qu’on parle de souveraineté des données : le CLOUD Act et le FISA. Elles n’ont pas le même objet, mais elles partagent un point commun : elles s’appliquent aux fournisseurs soumis au droit américain, y compris pour des données stockées en Europe. Voici ce que chacune permet, ce qu’en a dit l’Europe, et les questions concrètes à poser à votre hébergeur.
Deux lois, deux logiques
Le CLOUD Act : les enquêtes judiciaires
Adopté en 2018, le CLOUD Act permet aux autorités judiciaires américaines d’exiger d’un fournisseur soumis au droit américain les données qu’il possède ou contrôle, où qu’elles soient stockées. Il s’inscrit dans le cadre d’enquêtes pénales. Nous détaillons son fonctionnement et son articulation avec le RGPD dans notre article CLOUD Act et RGPD : ce qui change pour les entreprises.
Le FISA : le renseignement
La section 702 du FISA (Foreign Intelligence Surveillance Act) autorise les services de renseignement américains à collecter des informations visant des personnes non américaines situées hors des États-Unis, avec le concours des fournisseurs de communications et de cloud américains. Elle ne vise pas une enquête précise mais la collecte de renseignement extérieur. Son renouvellement fait l’objet de débats réguliers au Congrès américain.
Ce qu’en a dit l’Europe
En juillet 2020, la Cour de justice de l’Union européenne a invalidé le Privacy Shield, le cadre qui permettait de transférer des données personnelles vers les États-Unis (arrêt dit « Schrems II »). Elle a estimé que les programmes de surveillance américains n’offraient pas des garanties équivalentes à celles du droit européen.
Un nouveau cadre, le Data Privacy Framework, a été adopté par la Commission européenne le 10 juillet 2023, après de nouvelles garanties américaines et la création d’un mécanisme de recours pour les Européens. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 un recours visant à l’annuler.
Ce cadre organise les transferts de données vers des entreprises américaines certifiées. Il ne change pas le fait que les fournisseurs soumis au droit américain restent tenus par le CLOUD Act et le FISA, où que se trouvent leurs serveurs.
Ce que cela change pour une entreprise française
Pour la plupart des données, le choix d’un fournisseur soumis au droit américain est possible dans le cadre du RGPD, à condition d’en évaluer les risques. Pour les données sensibles, l’évaluation pèse davantage : données de santé, données personnelles à grande échelle, secrets industriels, données de recherche.
Pour les données de santé, le référentiel HDS v2.0 impose depuis le 16 mai 2026 un hébergement dans l’Espace économique européen et une information claire des clients sur les risques d’accès par des autorités de pays tiers. C’est une première base de comparaison entre hébergeurs certifiés.
Les questions à poser à votre hébergeur
- À quel droit êtes-vous soumis ? Le siège social, mais aussi celui de la maison mère et des actionnaires qui contrôlent la société.
- Où sont hébergées mes données, sauvegardes comprises ? Les copies de secours et l’administration à distance comptent autant que le stockage principal.
- Quels sous-traitants interviennent ? Support, supervision, logiciels : chaque maillon peut relever d’un autre droit.
- Que se passe-t-il en cas de demande d’une autorité étrangère ? La réponse doit figurer dans le contrat.
- Qui détient les clés de chiffrement ? Si vous gardez seul la maîtrise des clés, le risque baisse.
- Pour les données de santé : quelle est votre information sur les risques d’accès extra-européens ? Le référentiel HDS v2.0 l’exige.
Les réponses de Guardis
Guardis est une marque de MUONA SAS, société de droit français dont le capital est détenu à 100 % par des associés français, sans lien avec une entité américaine ou extra-européenne. Nous exploitons nos propres serveurs et notre réseau (opérateur déclaré à l’ARCEP), dans des datacenters en France, et nous sommes certifiés ISO/IEC 27001:2022 et HDS v2.0 (activités 2 à 6). Vos données relèvent du droit français et du RGPD.
- Notre engagement de souveraineté, en détail
- Cloud souverain pour vos données sensibles
- Hébergement HDS pour vos données de santé
Un projet d’hébergement de données sensibles ? Demandez votre devis.
Questions fréquentes
Quelle différence entre le CLOUD Act et le FISA ?
Le CLOUD Act concerne les demandes des autorités judiciaires dans le cadre d’enquêtes pénales. La section 702 du FISA concerne la collecte de renseignement visant des personnes non américaines. Les deux s’appliquent aux fournisseurs soumis au droit américain.
Le Data Privacy Framework protège-t-il du CLOUD Act ?
Non. Il encadre les transferts de données personnelles vers des entreprises américaines certifiées. Les fournisseurs soumis au droit américain restent tenus par le CLOUD Act et le FISA.
Un hébergeur français est-il concerné par ces lois ?
Pas s’il est de droit français et sans lien de contrôle avec une entité américaine. C’est la première question à poser : la juridiction de l’hébergeur et de son groupe.
Héberger en France suffit-il ?
Non. Ces lois visent le fournisseur, pas l’emplacement des serveurs. Il faut vérifier la localisation et la juridiction.