CLOUD Act : pourquoi vos clés chez AWS, Azure et Google ne sont pas hors de portée américaine

Le CLOUD Act atteint-il des données hébergées en Europe ?

Oui. Le CLOUD Act oblige tout fournisseur américain à transmettre au gouvernement des États-Unis les données qu'il détient, y compris quand elles sont stockées dans ses datacenters européens. Le lieu physique de stockage est juridiquement sans effet. Pour un éditeur de logiciel qui confie ses clés de chiffrement à un hyperscaler américain, cela signifie qu'une injonction américaine peut viser ces clés, quelle que soit la région cloud choisie.

Six mille deux cent quatre-vingt-huit. C'est le nombre de demandes légales que le gouvernement américain a adressées à Microsoft au seul premier semestre 2025 pour obtenir des données de consommateurs, selon le rapport de transparence de Microsoft (Law Enforcement Requests Report). Parmi elles, 59 mandats visaient explicitement des données stockées hors du territoire américain, et 31 % de l'ensemble étaient assorties d'ordres de non-divulgation interdisant à Microsoft d'informer les utilisateurs. Microsoft n'est qu'un des trois hyperscalers qui hébergent les données de la quasi-totalité des entreprises européennes.

Ce que le CLOUD Act permet réellement

Le Clarifying Lawful Overseas Use of Data Act, promulgué le 23 mars 2018, a modifié le Stored Communications Act en ajoutant une section 2713 au titre 18 du U.S. Code. Le texte est d'une clarté inhabituelle : tout fournisseur de services de communication électronique doit se conformer aux obligations de divulgation du contenu de toute communication en sa possession, sous sa garde ou sous son contrôle, « que cette communication soit située à l'intérieur ou à l'extérieur des États-Unis ».

L'expression « regardless of whether such communication is located within or outside of the United States » constitue le cœur du problème. AWS, Microsoft Azure et Google Cloud, trois entreprises américaines, sont légalement tenues de transmettre les données qu'elles hébergent, y compris à Francfort, Paris ou Amsterdam. Le CLOUD Act prévoit un mécanisme de contestation (motion to quash) réservé aux cas où le client n'est pas américain et où un accord bilatéral existe. Deux accords ont été signés, avec le Royaume-Uni et l'Australie. L'Union européenne n'en a pas. Pour les données de clients européens, la contestation reste théorique.

En juillet 2025, un dirigeant de Microsoft a admis publiquement que l'entreprise « ne peut pas garantir » la localisation des données hors de portée américaine, selon The Register. Cette déclaration traduit une réalité juridique que le marketing cloud préfère taire.

Le conflit avec le RGPD

L'article 48 du RGPD pose un principe clair : une décision d'un tribunal d'un pays tiers exigeant un transfert de données personnelles n'est reconnue que si elle est fondée sur un accord international. Le CLOUD Act contourne ces traités en permettant un accès direct. L'EDPB et l'EDPS ont conclu dès 2019 qu'il existe « des options très limitées pour les fournisseurs de se conformer au CLOUD Act sans enfreindre le RGPD ».

Le 27 janvier 2025, la révocation de trois membres du Privacy and Civil Liberties Oversight Board a privé le board de quorum. Un tribunal fédéral a jugé cette révocation illégale le 21 mai 2025 ; le gouvernement a fait appel. La Section 702 du FISA, qui autorise la surveillance sans mandat des communications de non-Américains, reste un facteur d'incertitude structurel sur la stabilité du DPF.

85 % du cloud européen sous juridiction américaine

La CNIL a adopté une position sans ambiguïté : la solution la plus effective consiste à confier l'hébergement des données sensibles à des sociétés non soumises au droit américain, et à recourir à un hébergeur soumis exclusivement au droit européen, notamment via la qualification SecNumCloud.

SecNumCloud : la réponse française, et ses limites

SecNumCloud est une qualification ANSSI, dont le référentiel est publié par l'ANSSI, qui impose l'immunité extraterritoriale (le fournisseur ne peut être soumis à une loi d'un pays tiers exigeant l'accès aux données), l'indépendance capitalistique européenne, et l'hébergement dans l'EEE avec transparence sur les accès. Plusieurs fournisseurs sont qualifiés (OVHcloud, Oodrive, Cloud Temple, Outscale, Orange Business, Worldline) et d'autres en cours de qualification.

Point d'honnêteté que MAFATE assume : MAFATE ne détient pas la qualification SecNumCloud. L'hébergement des clés se fait en France chez Scaleway, et l'opérateur, UNIVILE SAS, est une société française non soumise au CLOUD Act. C'est un fait juridique vérifiable, distinct d'un label que nous ne revendiquons pas.

Le chiffrement applicatif comme réponse technique

Le chiffrement neutralise le risque juridique du CLOUD Act à une condition précise : que les clés ne soient pas détenues par le fournisseur d'infrastructure américain. Si les données sont chiffrées avec des clés que l'hyperscaler ne possède pas, une injonction CLOUD Act adressée à cet hyperscaler ne produit que des fichiers illisibles. L'attaque juridique se heurte à une impossibilité technique.

C'est le modèle de l'enveloppe cryptographique : les données sont chiffrées par des clés de données (DEK), elles-mêmes protégées par une clé maître (KEK) conservée hors de l'infrastructure de stockage. MAFATE conserve ces clés en France, chez UNIVILE SAS, opérateur français non soumis au CLOUD Act, ce qui garantit que les données chiffrées restent illisibles même en cas d'injonction juridictionnelle étrangère adressée au fournisseur d'infrastructure.

Un mot sur NIS2, fréquemment invoquée sur ce sujet : la directive (UE) 2022/2555 n'est pas transposée en France. La Commission européenne a saisi la Cour de justice de l'Union européenne le 8 juillet 2026 pour défaut de transposition (Le Monde Informatique, juillet 2026). Présenter un contrôle ANSSI au titre de NIS2 comme une obligation actuelle serait faux. L'exigence présente et opposable en la matière vient du RGPD (article 48 et transferts hors UE) et, pour la finance, de DORA.

Pourquoi c'est un sujet d'éditeur, pas seulement de RSSI

Un éditeur de logiciel qui vend à des clients régulés (santé, finance, secteur public) se voit poser une question de plus en plus fréquente dans les questionnaires sécurité : « où sont hébergées les clés, et sous quelle juridiction ? ». Répondre « chez notre fournisseur cloud américain, région Europe » ne suffit plus, parce que la région ne protège pas du CLOUD Act. Répondre « clés en France, chez un opérateur français hors CLOUD Act » débloque la case.

Le Data Privacy Framework reste menacé par l'appel devant la CJUE. S'il est invalidé, ce qui s'est déjà produit deux fois avec ses prédécesseurs, chaque transfert vers un fournisseur US devra être couvert par des clauses contractuelles types assorties de mesures techniques complémentaires, dont le chiffrement avec clés hors de portée américaine. Pour un éditeur, anticiper ce scénario, c'est éviter de devoir re-architecturer sa gestion des clés sous la pression d'un client qui perd sa propre conformité.

C'est le job d'une plateforme de chiffrement applicatif comme MAFATE, qui s'adresse aux éditeurs SaaS régulés, avec l'architecture publiée sur sa page sécurité. Si un contrat vous est bloqué sur la question de la juridiction des clés, parler à un ingénieur vous fait gagner l'analyse juridique que vos concurrents mènent encore à tâtons.