Le Cloud Act expliqué simplement (et ce que ça change pour une PME belge)

L’essentiel : Le Cloud Act est une loi américaine de 2018 qui autorise les autorités des États-Unis à réclamer les données détenues par une entreprise américaine, où que ces données soient physiquement stockées. Un serveur situé en Belgique ne vous protège donc pas si le fournisseur, lui, est américain. Pour une PME belge, le vrai sujet n’est pas le FBI qui frappe à la porte. C’est votre capacité à démontrer que vos traitements respectent le RGPD, ce qui devient difficile quand votre prestataire est soumis à une loi qui peut le contraindre à l’ignorer.

Le Cloud Act, en une phrase

Cloud Act est l’acronyme de Clarifying Lawful Overseas Use of Data Act, un texte adopté aux États-Unis en mars 2018. Derrière le nom, une règle simple : une autorité américaine peut exiger d’une entreprise de droit américain qu’elle lui remette les données qu’elle détient, même si ces données sont stockées à l’étranger.

La loi est née d’une affaire concrète. Le gouvernement américain réclamait à Microsoft des e-mails stockés dans un datacenter en Irlande. Microsoft refusait, arguant que les données étaient hors du territoire américain. Le Cloud Act a tranché le débat dans le sens des autorités : ce qui compte, c’est la nationalité de l’entreprise qui détient les données, pas l’endroit où le disque dur se trouve.

C’est tout le principe, et c’est ce qui le rend contre-intuitif pour beaucoup de dirigeants.

Pourquoi un serveur en Europe n’y change rien

L’argument commercial qu’on entend le plus souvent, c’est « nos données sont hébergées en Europe ». Google, Microsoft et Amazon ont tous ouvert des datacenters dans l’Union européenne, et ils le mettent en avant. C’est vrai, et ça ne règle pas le problème du Cloud Act.

La raison est juridique, pas technique. Le Cloud Act ne s’intéresse pas à la localisation physique du serveur. Il s’intéresse à qui contrôle l’entreprise. Un datacenter Google installé à Bruxelles ou à Saint-Ghislain appartient à Google, une société américaine. Si une autorité américaine adresse une demande valable à Google aux États-Unis, la maison mère est tenue d’y répondre, quel que soit le pays où les octets sont rangés.

Autrement dit, la question à poser à un fournisseur n’est pas « où sont mes données ? ». C’est « quelle est la nationalité de l’entreprise à qui je les confie ? ». Un hébergeur allemand comme Hetzner et un prestataire belge comme Digitis relèvent du droit européen, point. Un fournisseur américain reste soumis au droit américain, même avec un datacenter en Belgique.

Le conflit avec le RGPD

Là où ça devient un vrai sujet de conformité, c’est que le Cloud Act entre en collision frontale avec le RGPD.

D’un côté, le Cloud Act peut obliger un fournisseur américain à transmettre des données aux autorités de son pays. De l’autre, le RGPD interdit le transfert de données personnelles hors de l’Union européenne sans une base légale solide, et impose au responsable du traitement de garantir la protection de ces données. Le fournisseur américain se retrouve coincé entre deux obligations contradictoires : une loi qui le force à livrer, un règlement qui lui interdit de le faire.

Et vous, dans cette histoire ? En tant que PME belge qui utilise l’outil, vous êtes le responsable du traitement au sens du RGPD. La responsabilité de la conformité vous revient, pas au fournisseur. C’est votre nom sur le registre des traitements, c’est vous qui répondez devant l’Autorité de protection des données en cas de contrôle.

Ce qu’une PME belge risque vraiment

Il faut être honnête sur le niveau de risque, parce que le sujet est souvent présenté de façon anxiogène. Le Cloud Act vise d’abord le renseignement et les enquêtes criminelles. La probabilité qu’une autorité américaine réclame les données d’une PME belge lambda est très faible. Sur ce point, le dirigeant qui pense « on n’est pas une cible » a probablement raison.

Le risque réel est ailleurs. Il n’est pas dans la demande d’accès elle-même, il est dans votre incapacité à démontrer votre conformité. Le RGPD ne vous demande pas de prouver que vos données n’ont jamais fuité. Il vous demande de démontrer que vous avez mis en place les mesures appropriées et que vous maîtrisez la chaîne de responsabilité de vos traitements. Or, si votre fournisseur est soumis à une loi qui peut le contraindre à ignorer le RGPD, cette démonstration devient bancale.

C’est un risque de conformité, pas un risque d’espionnage. Et ça change la façon d’y répondre : on ne se protège pas du Cloud Act en achetant un pare-feu, on s’en protège en choisissant des fournisseurs qui n’y sont pas soumis.

Le Data Privacy Framework règle-t-il le problème ?

Une objection légitime : depuis 2023, un accord appelé Data Privacy Framework encadre à nouveau les transferts de données entre l’Union européenne et les États-Unis. Certaines entreprises américaines y adhèrent et s’en servent comme base légale de transfert.

Le Data Privacy Framework fournit effectivement un cadre de transfert reconnu par la Commission européenne. Mais il n’efface pas le Cloud Act. Ce sont deux choses différentes : l’un encadre les transferts commerciaux de données, l’autre concerne l’accès des autorités américaines. Un fournisseur peut très bien adhérer au Data Privacy Framework et rester, en parallèle, soumis aux réquisitions du Cloud Act. Et ce cadre reste contesté devant la justice européenne, dans la lignée des précédents Safe Harbor et Privacy Shield que la Cour a successivement invalidés. J’ai détaillé cet historique dans un article dédié sur Google Analytics et le RGPD, parce que c’est exactement le même mécanisme juridique qui est en jeu.

En clair : le Data Privacy Framework réduit l’insécurité juridique des transferts, il ne fait pas disparaître la juridiction américaine sur un fournisseur américain.

Ma vraie motivation, sans posture

Je vais être franc sur les raisons qui m’ont poussé à sortir Digitis des grandes plateformes américaines, parce qu’elles ne sont pas celles qu’on met en avant dans une brochure.

Ce n’est pas la peur du Cloud Act. Je ne me suis jamais réveillé la nuit en pensant que le DOJ allait réclamer mes fichiers clients. Ma motivation est double, et plus terre à terre. D’abord, l’anticipation : le cadre juridique se durcit d’année en année, les régulateurs européens montent en exigence, et je préfère avoir réglé la question avant qu’un client ou un contrôle ne me la pose. Ensuite, une lassitude bien réelle face à la dégradation continue des produits que je payais. Des hausses de prix unilatérales, des fonctionnalités qui bougent sans prévenir, des données qui servent à entraîner des modèles que je n’ai pas choisis. À un moment, l’idée de reprendre la main sur mes propres outils est devenue plus reposante que de subir ces choix.

Le Cloud Act, dans ma décision, n’a pas été le déclencheur. Il a été la confirmation juridique d’une direction que je prenais déjà pour d’autres raisons.

Ce que ça implique concrètement

Si vous voulez réduire votre exposition, la démarche n’a rien de spectaculaire. Elle tient en une question posée à chaque fournisseur : sous quelle juridiction êtes-vous ? Si le siège est aux États-Unis, le Cloud Act s’applique, quelle que soit la localisation de vos données.

À partir de là, il ne s’agit pas de tout arracher du jour au lendemain. Il s’agit d’identifier les traitements sensibles, de regarder où ils vivent, et de basculer en priorité ceux qui posent le plus de risque de conformité vers des briques opérées en Europe. C’est la logique de notre cloud européen : chaque service tourne chez un fournisseur soumis au seul droit européen, et la chaîne de responsabilité reste lisible en cas de contrôle.

Le Cloud Act n’est pas une raison de paniquer. C’est une raison de savoir précisément à qui vous confiez quoi, et de faire des choix conscients plutôt que subis. Pour une PME belge, c’est souvent la différence entre une conformité qu’on peut démontrer et une conformité qu’on espère.