CLOUD Act (Loi américaine, 2018)

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018 qui oblige les fournisseurs de services cloud sous juridiction US (AWS, Azure, Google Cloud, Oracle, IBM, Salesforce) à fournir les données qu'ils détiennent, qu'elles soient stockées aux États-Unis ou à l'étranger, sur demande des autorités américaines. Crée un conflit direct avec le RGPD européen (Schrems II, 2020). H1 2025 : 6 288 requêtes US sur des données cloud. MAFATE, opéré par UNIVILE SAS (France), n'est PAS soumis au CLOUD Act. Ce que le texte permet vraiment, sans les exagérations habituelles : il autorise les autorités américaines à exiger d'un fournisseur soumis au droit des États-Unis la communication de données qu'il détient ou contrôle, où qu'elles soient stockées. Le critère est le rattachement juridique du fournisseur, jamais la localisation des serveurs. Un centre de données à Paris, opéré par une filiale européenne d'un groupe américain, entre dans le champ. C'est précisément ce que la localisation seule ne résout pas, et ce que beaucoup d'offres appellent pourtant souveraineté. Ce que le texte ne permet pas mérite autant d'attention. Il ne donne pas d'accès direct aux systèmes, ne suspend pas le chiffrement, et prévoit un mécanisme de contestation quand la divulgation violerait le droit d'un pays ayant conclu un accord bilatéral. La France n'en a pas signé, ce qui rend ce recours théorique pour une entreprise française. La conséquence pratique porte sur les clés plutôt que sur les données. Un fournisseur qui ne détient que des données chiffrées, sans les clés correspondantes, ne peut communiquer qu'un contenu inexploitable. C'est ce raisonnement que suit la CNIL lorsqu'elle recommande de confier l'hébergement des données sensibles à des sociétés non soumises au droit américain, et c'est aussi ce qui fait de la séparation des clés un argument juridique et pas seulement technique.