Le CLOUD Act expliqué : ce que « données en Europe » veut dire, et ne veut pas dire

Ce qu’est le CLOUD Act

En mars 2018, le Congrès américain a adopté le Clarifying Lawful Overseas Use of Data Act, greffé sur une loi budgétaire. Le déclencheur était une procédure judiciaire. Les autorités de poursuite américaines réclamaient à Microsoft des e-mails stockés sur un serveur à Dublin. Microsoft a refusé : ces données se trouvent en Irlande, adressez-vous à un tribunal irlandais. L’affaire était devant la Cour suprême lorsque la nouvelle loi a évacué la question.

Le cœur tient en une seule phrase ajoutée au Stored Communications Act. Un prestataire doit préserver et remettre les données qui se trouvent en sa possession, custody, or control, que ces données se trouvent à l’intérieur ou à l’extérieur des États-Unis.

Notez ce qui ne s’y trouve pas. Sur l’emplacement du serveur, la phrase ne dit rien. Le point d’ancrage, c’est le prestataire : s’il relève de la juridiction américaine, une injonction américaine peut l’atteindre, et cette injonction couvre alors toutes les données qu’il contrôle, partout dans le monde.

Pourquoi « centre de données à Amsterdam » ne répond pas à la question

Un centre de données à Amsterdam dit quelque chose sur la latence, sur l’énergie et sur la question RGPD de savoir si les données quittent l’EEE. Sur le CLOUD Act, il dit très peu. La question qui compte là est : quelle entité juridique exploite cette machine, et de quel droit relève-t-elle ?

Un prestataire néerlandais qui tourne sur une infrastructure cloud américaine, même située dans l’UE, n’a donc pas fait disparaître cette question. Il l’a déplacée vers son sous-traitant. Ce n’est pas une raison de paniquer. C’est une raison d’écrire précisément qui compose la chaîne.

L’étau : l’article 48 du RGPD

Pour un prestataire à qui une telle injonction est signifiée surgit un problème qu’il ne peut pas résoudre seul. L’article 48 du RGPD dispose qu’une décision d’une juridiction ou d’une autorité d’un pays tiers ne peut être reconnue ou exécutée que si elle repose sur un accord international, un traité d’entraide judiciaire par exemple.

Les autorités européennes, le CEPD et le Contrôleur européen, ont détaillé ce que cela signifie dans leur évaluation commune du 10 juillet 2019. Sans un tel accord, ou une autre base au titre du RGPD, un prestataire soumis au droit de l’UE ne peut pas fonder un transfert sur une demande CLOUD Act. Il faut deux choses plutôt qu’une : une base légale pour le traitement (article 6) et une base valable pour le transfert (chapitre V).

Le résultat est un véritable étau. Un ordre juridique exige la remise, l’autre l’interdit. Si l’on vous dit que c’est réglé, on se trompe.

Ce que le CLOUD Act n’est pas

Trois malentendus sont assez tenaces pour être nommés un par un.

Ce n’est pas un accès libre. Pour le contenu des communications, il faut une décision d’un juge américain, fondée sur des soupçons suffisants. C’est du droit de la procédure pénale, pas une captation ouverte.

Ce n’est pas la même chose que le droit du renseignement. La section 702 du FISA et l’Executive Order 12333 concernent la collecte de renseignement, ont d’autres seuils et sont la raison pour laquelle la Cour a invalidé le Privacy Shield dans l’arrêt Schrems II. Ce débat court à côté du CLOUD Act, pas à travers lui.

Et ce n’est pas quelque chose que couvre le Data Privacy Framework. Ce cadre, dont la décision d’adéquation du 10 juillet 2023 a été confirmée par le Tribunal de l’UE dans l’affaire Latombe le 3 septembre 2025 et qui est depuis en pourvoi devant la Cour, règle les conditions dans lesquelles vous pouvez transférer des données vers les États-Unis. Sur les pouvoirs des autorités de poursuite américaines vis-à-vis d’un prestataire américain, il ne dit rien. (État au moment de la publication, le 2 août 2026.)

La loi elle-même prévoit une porte de sortie. Un prestataire peut demander l’annulation d’une injonction si le client n’est pas une US person, ne réside pas aux États-Unis et si la remise créerait un risque important d’enfreindre le droit d’un qualifying foreign government. Cette dernière expression vise un pays ayant conclu un Executive Agreement avec les États-Unis. De tels accords existent avec le Royaume-Uni (signé en 2019, en vigueur depuis 2022) et l’Australie (signé en 2021, en vigueur depuis 2024). Les négociations avec l’UE durent depuis des années. Pour un client néerlandais, cette porte est en pratique encore fermée.

Quatre questions à poser à votre prestataire

Assez de théorie. Qu’en faire, quand on est coiffeur, kinésithérapeute ou consultant avec quelques centaines de fiches clients dans un outil de planification ?

1. Quelle entité juridique se trouve derrière le service, et où est-elle établie ? Pas la marque et pas le centre de données : la personne avec qui vous avez un contrat.
2. Qui sont les sous-traitants ultérieurs, et de quel pays viennent-ils ? C’est la question qui rapporte le plus et qu’on pose le moins souvent. Un prestataire qui a mis de l’ordre là-dedans a la liste sous la main.
3. Qui détient les clés ? « Stocké chiffré » chez une partie qui détient elle-même la clé n’offre aucune protection contre une injonction signifiée à cette même partie.
4. Que se passe-t-il lorsqu’une demande arrive ? Le prestataire conteste-t-il ? Êtes-vous averti, dans la mesure du permis ? Existe-t-il un rapport de transparence ?

Si vous n’obtenez pas de réponse à la deuxième question, vous en savez assez.

Où se situe Calio

Vient alors la question que vous êtes en droit de poser à un article publié sur le site d’un prestataire : et ici, comment cela se passe-t-il ?

Calio est un service néerlandais sans établissement aux États-Unis. Une injonction américaine ne peut pas nous être signifiée directement. L’application et la base de données tournent dans un centre de données à Amsterdam.

Ce n’est pas la fin de l’histoire, et nous n’avons pas envie de l’embellir. Notre hébergeur et la partie qui stocke nos sauvegardes sont des entreprises américaines avec des sociétés et des centres de données européens. Pour l’envoi des e-mails de confirmation et de rappel, nous utilisons un service américain qui expédie depuis l’Irlande. Le modèle de langue derrière l’aide à la recherche par IA tourne chez Mistral AI en France et ne reçoit jamais que la phrase saisie par un invité.

Ce que cela signifie : « centre de données dans l’UE » réduit ici la question du CLOUD Act, il ne la ramène pas à zéro. C’est vrai de presque tout SaaS européen, et un prestataire qui affirme le contraire n’a pas lu la loi ou espère que vous ne la lirez pas. Quelles parties exactement, et ce qu’elles font, figure dans notre contrat de sous-traitance, délibérément ennuyeux et complet.

Ce que nous pouvons promettre est la seule chose qu’un prestataire puisse honnêtement promettre : que nous écrivons qui compose la chaîne, que nous annonçons tout changement trente jours à l’avance, et que nous ne faisons pas comme si un drapeau sur une page d’accueil réglait une question juridique.

En bref

• Le CLOUD Act s’attache au prestataire, pas à l’emplacement des données. Un centre de données européen appartenant à une entreprise américaine est pleinement à sa portée.
• L’article 48 du RGPD interdit la remise sur injonction étrangère sans base conventionnelle. Le prestataire est coincé entre deux ordres juridiques.
• Le Data Privacy Framework et Schrems II traitent une autre question : les transferts et le droit du renseignement, pas la procédure pénale.
• Le gain pratique n’est pas un drapeau sur un site, mais un prestataire capable de nommer sa chaîne.