CLOUD Act : pourquoi héberger en Europe ne vous protège pas du droit américain

Le 10 juin 2025, devant la commission d'enquête du Sénat sur la souveraineté numérique européenne, Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, prête serment. Le sénateur Dany Wattebled lui pose une question simple : peut-il garantir que les données des citoyens français hébergées chez Microsoft ne seront jamais transmises aux autorités américaines sans une demande explicite du gouvernement français ?

Sa réponse, consignée au compte rendu officiel : "Non, je ne peux pas le garantir."

Cette phrase, prononcée sous serment, met un terme à huit ans de débats marketing sur le "cloud souverain" des hyperscalers américains. Elle confirme ce que les juristes européens et les défenseurs de la souveraineté numérique expliquent depuis 2018 : une loi américaine appelée CLOUD Act donne aux autorités des États-Unis le droit d'exiger toute donnée détenue par une entreprise sous juridiction américaine, indépendamment de l'endroit où cette donnée est physiquement stockée. Votre data center à Francfort n'est juridiquement pas plus européen que celui de Virginia.

Cet article décortique ce que dit vraiment le CLOUD Act, pourquoi il fonctionne ainsi, ce que les réponses européennes ont produit (et pourquoi la plupart ont échoué), et quels fournisseurs sont en 2026 réellement hors d'atteinte.

Ce que la loi dit, mot pour mot

Le CLOUD Act, ou Clarifying Lawful Overseas Use of Data Act, a été adopté le 23 mars 2018 au sein du Consolidated Appropriations Act de cette année-là (Public Law 115-141). Le texte s'insère dans le Titre 18 du Code des États-Unis, chapitre 121, consacré aux communications stockées. Son cœur tient en deux phrases :

Un fournisseur de service de communications électroniques ou de service informatique à distance doit se conformer aux obligations du présent chapitre concernant la préservation, la sauvegarde ou la divulgation du contenu d'une communication câblée ou électronique et de toute information relative à un client ou abonné qui se trouvent en sa possession, sous sa garde ou sous son contrôle, indépendamment du fait que cette communication, ce dossier ou cette information se trouve à l'intérieur ou en dehors des États-Unis.

Le critère juridique n'est plus territorial. Il est désormais celui de la "possession, garde ou contrôle". Si l'entité concernée relève du droit américain, peu importe où se trouvent les données. C'est un basculement fondamental dans la manière de penser la souveraineté numérique.

La loi a été votée en urgence pour répondre à une affaire que la Cour suprême s'apprêtait à trancher (Microsoft Corp. v. United States). Microsoft avait refusé, pour des raisons territoriales, de produire des e-mails stockés à Dublin. Le Congrès a légiféré avant la décision. L'affaire est devenue sans objet en avril 2018.

Quatre instruments américains, souvent confondus

Le CLOUD Act n'est pas le seul outil juridique américain qui touche les données européennes. Les confondre entretient la confusion. Quatre mécanismes coexistent :

Les mandats CLOUD Act (18 U.S.C. § 2713) exigent un juge fédéral, une cause probable, et ciblent une personne précise dans une enquête pénale. Ils peuvent être assortis de gag orders (interdictions de divulgation), renouvelables, et peuvent être contestés via un "comity analysis" si la cible n'est pas américaine et si la divulgation entre en conflit avec le droit d'un "qualifying foreign government". À ce jour, seuls le Royaume-Uni et l'Australie ont signé l'accord nécessaire. L'Union européenne négocie depuis 2019, sans résultat.

La Section 702 de la FISA (50 U.S.C. § 1881a) autorise une surveillance de masse certifiée chaque année par l'Attorney General et le Director of National Intelligence, ciblant des non-Américains à l'étranger pour le renseignement extérieur. Pas de mandat individualisé, pas de notification, pas de recours européen effectif. C'est précisément ce que la Cour de justice de l'UE a invalidé dans Schrems II. La Section 702 a été reconduite en avril 2024 et arrive de nouveau à échéance le 20 avril 2026.

Les National Security Letters (18 U.S.C. § 2709) sont des injonctions administratives émises par le FBI sans contrôle judiciaire. Elles ne peuvent porter que sur des métadonnées et sont systématiquement assorties de gag orders.

La Section 215 de la FISA (50 U.S.C. § 1861) couvre la collecte de business records à des fins de renseignement extérieur.

Pour un DSI européen, les quatre comptent. Mais le CLOUD Act est celui qui force le plus directement une entreprise privée à remettre vos données, non pour des raisons de renseignement, mais pour des enquêtes pénales ordinaires.

Pourquoi "données en France" ne protège pas

L'affaire Microsoft Ireland est éclairante précisément parce qu'elle a établi le principe que le CLOUD Act a ensuite codifié. En décembre 2013, un juge fédéral du Southern District de New York délivre un mandat exigeant de Microsoft les e-mails liés à une enquête sur un trafic de stupéfiants. Les e-mails sont stockés exclusivement à Dublin. Microsoft refuse pour des raisons territoriales. La cour d'appel du Second Circuit donne raison à Microsoft en juillet 2016. La Cour suprême accorde le certiorari, entend les plaidoiries en février 2018, et s'apprête à juger. Le Congrès adopte le CLOUD Act le 23 mars 2018. L'affaire est déclarée moot. Le DOJ ré-émet immédiatement un mandat sous la nouvelle loi. Microsoft s'exécute.

La leçon : la question n'est ni l'emplacement du serveur, ni l'entité qui a construit le data center, ni le drapeau qui flotte sur la façade. La question est de savoir qui contrôle l'entreprise qui détient vos données. Si cette entreprise, ou sa maison-mère, relève du droit américain, le CLOUD Act s'applique. Microsoft France, filiale de Microsoft Inc., est concernée. AWS Frankfurt, filiale d'Amazon.com Inc., aussi. Google Belgium, filiale d'Alphabet Inc., également.

Ce que Microsoft a reconnu devant le Sénat

Le compte rendu du 10 juin 2025 fait partie du dossier législatif. Anton Carniaux a prêté serment. Interrogé pour savoir si Microsoft pouvait garantir que les données européennes ne seraient jamais transmises aux autorités américaines, il a répondu : "Non, je ne peux pas le garantir." Son collègue Pierre Lagarde, directeur technique secteur public, a ajouté que depuis janvier 2025 les données des clients européens "ne quittent pas l'UE en conditions normales". La question portait précisément sur les conditions anormales.

Cet aveu a un poids institutionnel. Ce n'est ni une tribune de défenseur de la vie privée ni un slide marketing d'un concurrent. C'est un témoignage sous serment du dirigeant en charge des affaires juridiques et publiques de Microsoft en France, livré en réponse à un sénateur élu de la République, et consigné au procès-verbal. Il confirme ce que la loi dit depuis 2018.

Microsoft a déployé un effort considérable pour vendre son "EU Data Boundary" depuis 2024 et son "Microsoft Sovereign Cloud" annoncé en juin 2025. Ces initiatives réduisent peut-être le volume de données européennes qui sortent physiquement de l'UE. Elles ne changent rien au statut juridique de Microsoft Inc., société du Delaware soumise aux mandats américains.

Schrems II : la base juridique

La Cour de justice de l'Union européenne a déjà tranché. Dans l'arrêt Data Protection Commissioner contre Facebook Ireland et Schrems (affaire C-311/18, 16 juillet 2020), connu sous le nom de Schrems II, la Cour a invalidé le Privacy Shield UE-États-Unis. Le paragraphe 184 de l'arrêt est explicite : les lois de surveillance américaines, en particulier la Section 702 de la FISA et l'Executive Order 12333, n'offrent pas un niveau de protection équivalent à celui garanti par l'article 47 de la Charte des droits fondamentaux.

La Cour a autorisé le maintien des clauses contractuelles types, mais uniquement assorties d'une Transfer Impact Assessment documentée et de mesures supplémentaires lorsque le droit du pays tiers crée un risque. Le Comité européen de la protection des données, dans ses Recommandations 01/2020, identifie le chiffrement de bout en bout avec clés détenues exclusivement dans l'EEE comme la principale mesure supplémentaire effective. Point crucial : le chiffrement géré par le fournisseur américain ne suffit pas. Le fournisseur peut être contraint de remettre la clé.

Le Data Privacy Framework adopté en juillet 2023 ne change rien à cette analyse. Il est attaqué devant la Cour de justice dans l'affaire Latombe, dont le pourvoi a été déposé le 31 octobre 2025. En janvier 2025, l'administration Trump a paralysé le Privacy and Civil Liberties Oversight Board, instance citée 31 fois dans la décision d'adéquation du DPF. La trajectoire est claire.

Pour le contexte plus large sur la manière dont les entreprises européennes y répondent, voir notre guide de la souveraineté numérique.

Pourquoi les réponses européennes n'ont pas fonctionné

La France a adopté une loi de blocage le 26 juillet 1968 (loi 68-678) pour empêcher les entreprises françaises de transmettre des données économiques et commerciales aux autorités étrangères sans passer par les voies diplomatiques. Le rapport Gauvain, remis au Premier ministre le 26 juin 2019, est sans appel : "La loi de blocage ne marche pas. Et, en vérité, elle n'a jamais vraiment été mise en œuvre." Un décret de février 2022 a créé un mécanisme d'alerte piloté par le Service de l'information stratégique et de la sécurité économiques (SISSE), mais l'application reste sporadique.

Le règlement européen 2271/96 (le "blocking statute") date de 1996 et a été réactivé en 2018 contre les sanctions américaines visant l'Iran. La Cour de justice a jugé dans Bank Melli Iran contre Telekom Deutschland (affaire C-124/20, 21 décembre 2021) que son article 5 a un effet direct. Mais le règlement ne couvre que les sanctions extraterritoriales américaines spécifiquement annexées contre Cuba et l'Iran. Il ne couvre pas le CLOUD Act.

La réponse institutionnelle se renforce. Le rapport Draghi (9 septembre 2024) demande explicitement "un contrôle souverain européen des éléments clés de sécurité et de chiffrement" dans les services cloud. Le Cloud and AI Development Act européen, dont la consultation publique a ouvert en avril 2025, devrait définir des standards pour une "capacité cloud et IA européenne hautement sécurisée". L'initiative EuroStack, lancée début 2025 et désormais soutenue par plus de 300 dirigeants européens, demande 300 milliards d'euros d'investissement d'ici 2035.

Que ces initiatives produisent une protection juridique contraignante dans les 24 prochains mois est incertain. Ce qui est certain, c'est que les DSI ne peuvent pas attendre.

Quels fournisseurs sont vraiment hors d'atteinte

Face à cette réalité, le marché cloud européen se classe en quatre niveaux.

Tier 1 : immunité structurelle. Fournisseurs respectant quatre critères cumulatifs : propriété 100 pour cent européenne, pas de filiale américaine, personnel d'exploitation exclusivement européen ayant accès aux données, et clés de chiffrement détenues en Europe. Scaleway (France, groupe Iliad), Outscale (France, Dassault Systèmes, premier cloud public qualifié SecNumCloud 3.2 en décembre 2023), STACKIT (Allemagne, groupe Schwarz), Hetzner (Allemagne, propriété familiale), IONOS (Allemagne, United Internet, coté à Francfort depuis 2023), UpCloud (Finlande), Clever Cloud (France), Infomaniak (Suisse, avec la nuance que la Suisse n'est pas dans l'UE mais opère sous son propre droit de protection des données), Exoscale (Suisse, A1 Telekom Austria).

Tier 2 : européen avec exposition structurelle américaine. OVHcloud est le cas complexe. Coté à Euronext Paris avec la famille Klaba majoritaire, OVHcloud exploite une filiale américaine (OVHcloud US LLC) avec deux data centers en Virginia et en Oregon et environ 200 salariés. La position officielle d'OVHcloud est que le CLOUD Act ne s'applique pas à OVH France. AWS conteste publiquement cette lecture sur sa propre page de conformité CLOUD Act. Le 25 septembre 2025, dans l'affaire The King v. OVH Canada, un tribunal de l'Ontario a contraint OVH Canada à produire des données stockées sur des serveurs en France, au Royaume-Uni et en Australie. Conclusion pratique : OVHcloud reste un fournisseur souverain pour les services qualifiés SecNumCloud, opérés dans ses Trusted Zones (Roubaix, Gravelines, Strasbourg) avec personnel exclusivement européen et isolation logique stricte. En dehors de ces périmètres qualifiés, l'exposition résiduelle n'est pas exclue.

Tier 3 : co-entreprises hyperscaler/UE. Bleu (Capgemini et Orange, distribuant Azure et Microsoft 365), S3NS (Thales majoritaire, Google plafonné sous 24 pour cent du capital), Delos Cloud (filiale SAP, opéré par Arvato Systems sur technologie Microsoft). S3NS a obtenu SecNumCloud 3.2 en décembre 2025. Ces montages isolent l'opération européenne des opérations mondiales de la maison-mère américaine et réduisent significativement l'exposition CLOUD Act. Risque résiduel : la couche logicielle reste américaine, donc une rupture commerciale (cas SAP-Microsoft en 2024, remplacement de Microsoft par OpenDesk à la CPI en octobre 2025) peut rendre la plateforme indisponible.

Tier 4 : hyperscalers américains avec packaging "EU Data Boundary" ou "European Sovereign Cloud". Microsoft Azure, AWS European Sovereign Cloud (en disponibilité générale depuis le 15 janvier 2026, première région Brandebourg, 7,8 milliards d'euros d'investissement), Google Cloud, Oracle, IBM Cloud, Salesforce. Tous partagent la même faille structurelle : la maison-mère américaine peut recevoir un mandat CLOUD Act couvrant les données traitées par la filiale européenne. Les brochures marketing ne peuvent pas l'emporter sur le droit corporatif du Delaware.

Pour une comparaison plus détaillée des fournisseurs cloud européens et de leurs tarifs, voir notre guide cloud européen vs AWS. Pour le cadre plus large des niveaux de souveraineté cloud, voir notre guide des 4 niveaux de souveraineté cloud.

Le test à 6 questions pour DSI

Avant de signer un contrat cloud, passez votre fournisseur au filtre de six questions binaires :

1. Capital. La maison-mère est-elle constituée dans l'UE/EEE et détenue à plus de 60 pour cent par des entités UE/EEE ?
2. Filiale américaine. Le groupe exploite-t-il une entité juridique aux États-Unis avec une activité opérationnelle, des salariés ou des contrats clients américains ?
3. Personnel d'exploitation. Les administrateurs ayant accès aux données et aux clés sont-ils exclusivement résidents UE/EEE, soumis au droit du travail européen ?
4. Chiffrement. Les clés de chiffrement at-rest et in-transit sont-elles détenues exclusivement dans l'EEE, dans un Hardware Security Module sous votre contrôle ou sous celui du fournisseur sans accès américain ?
5. Code source. La couche logicielle critique est-elle européenne ou open-source auditable, ou dépend-elle d'un éditeur américain soumis à OFAC ?
6. Continuité. En cas de rupture de service américain (sanctions, embargo, contrôle des exportations), le système peut-il continuer à fonctionner en mode dégradé pendant au moins 12 mois sans dépendance externe ?

La feuille de route pratique

Pour les workloads traitant des données sensibles au sens de l'article 9 du RGPD, des données stratégiques, de la propriété intellectuelle ou des infrastructures critiques : migration vers Tier 1 dans les 90 jours, ou Tier 3 si les dépendances Microsoft ou Google ne sont pas substituables. Activez le chiffrement côté client avec gestion européenne des clés (Thales Luna, Atos, Utimaco).

Pour les workloads restant sur Tier 4, documentez un plan de sortie dans les 12 mois. Cela suppose de connaître la durée de migration, le coût, l'alternative Tier 1 retenue, et les dépendances bloquantes (typiquement les licences logicielles propriétaires américaines). Révisez le plan tous les 12 mois.

Événements déclenchant une accélération : un arrêt de la Cour de justice invalidant le Data Privacy Framework dans l'affaire Latombe, le renouvellement de la Section 702 de la FISA au-delà du 20 avril 2026 sans réforme substantielle, la publication du Cloud and AI Development Act avec un critère contraignant de "contrôle souverain européen", ou le rachat de votre fournisseur Tier 2 actuel par une entité non-UE (le rachat de Solvinity par Kyndryl annoncé en novembre 2025 illustre ce risque).

Le témoignage Microsoft au Sénat n'a pas modifié la loi. La loi est claire depuis mars 2018. Ce qui change, c'est la preuve publique qu'un dirigeant de hyperscaler, sous serment, ne peut pas garantir ce que son marketing promet. Planifiez en conséquence.