Le Cloud Act américain concerne-t-il votre PME ? Comprenez les enjeux RGPD et les critères pour choisir un hébergeur cloud conforme, en Lorraine ou ailleurs.
En résumé :
Vous avez sûrement déjà croisé ce terme dans un article ou une conversation entre dirigeants : Cloud Act. Et vous vous êtes peut-être demandé si ça concernait votre entreprise, ou si c'était un sujet réservé aux multinationales et aux administrations.
La réponse honnête : ça dépend de votre hébergeur, pas de votre taille. Une boutique en ligne lorraine qui stocke ses données chez un géant américain est, juridiquement, exactement dans le même cas qu'un grand groupe du CAC 40. La différence, c'est qu'elle n'a généralement ni le service juridique ni le budget pour s'en préoccuper. C'est précisément pour ça que le sujet mérite d'être traité simplement, sans vous vendre une peur disproportionnée ni un jargon de cabinet d'avocats.
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine adoptée en 2018, qui modifie le Stored Communications Act de 1986 et permet à la justice américaine d'exiger d'un fournisseur de services établi aux États-Unis qu'il transmette les données de ses clients, que ces données soient stockées sur le sol américain ou à l'étranger. Concrètement : avant le Cloud Act, obtenir des données stockées hors des États-Unis nécessitait une procédure d'entraide judiciaire internationale, plus lente et plus encadrée. Le Cloud Act permet de contourner cette étape.
Le texte établit deux mécanismes : un accès extraterritorial direct pour les autorités américaines, et la possibilité de signer des accords bilatéraux avec d'autres pays pour faciliter l'accès mutuel aux données. Il ne se limite pas aux serveurs situés aux États-Unis : il s'applique à toute entreprise soumise au droit américain, qu'il s'agisse du siège, d'une filiale d'un groupe américain ou d'une cotation sur un marché boursier américain : un serveur AWS situé à Paris reste donc concerné.
Ce n'est pas une question d'interprétation : les deux textes se contredisent structurellement. Le RGPD, en vigueur depuis le 25 mai 2018, encadre strictement tout transfert de données hors Union européenne via ses articles 44 (niveau de protection adéquat du pays destinataire), 48 (une décision d'une autorité étrangère ne suffit pas à elle seule à justifier un transfert) et 49 (dérogations strictement encadrées).
Le problème, c'est que le Cloud Act permet justement à une autorité américaine de contourner cette logique d'accord international. L'arrêt Schrems II de la Cour de justice de l'Union européenne, rendu en 2020, a invalidé le Privacy Shield qui encadrait jusque-là les transferts de données vers les États-Unis, la Cour ayant estimé que la législation américaine (notamment le Cloud Act) ne garantissait pas un niveau de protection équivalent à celui de l'UE. Depuis, aucun cadre n'a totalement refermé cette brèche juridique.
Et non, le chiffrement ne résout pas tout : si l'hébergeur détient lui-même les clés de chiffrement, ce qui est le cas par défaut chez les grands fournisseurs américain, le Cloud Act continue de s'appliquer aux données une fois déchiffrées. Seul un chiffrement géré entièrement par vous, avec des clés que votre hébergeur ne possède jamais, change réellement la donne : une contrainte technique que peu de TPE/PME sont équipées pour gérer au quotidien.
C'est là que beaucoup d'entreprises se trompent. La question n'est pas "où sont mes données ?" mais "qui les héberge, juridiquement ?". Le Cloud Act s'applique aux entreprises françaises qui confient leurs données à des entreprises américaines, ainsi qu'à leurs filiales implantées en Europe.
Concrètement, si vous utilisez la plupart des grandes solutions SaaS américaines (même via leur entité européenne, même avec des serveurs situés en France) vous êtes structurellement exposé. Ce n'est pas une question de bonne ou mauvaise volonté de ces fournisseurs : c'est une question de droit américain, qui s'impose à eux quel que soit l'endroit où ils stockent vos fichiers.
À l'inverse, un hébergeur dont le siège, l'actionnariat et l'exploitation technique sont entièrement français ou européens, sans lien capitalistique ou juridique avec une entité américaine, n'entre tout simplement pas dans le champ d'application de la loi.
Soyons clairs : le Department of Justice américain ne s'intéresse pas, dans l'écrasante majorité des cas, aux données d'un artisan ou d'une PME de la Creuse. Le Cloud Act vise principalement des enquêtes pénales, du terrorisme, de la criminalité organisée. Le risque de réquisition directe est réel mais statistiquement faible pour une petite structure.
Le vrai risque, pour vous, est ailleurs : c'est votre propre conformité RGPD. Si vous confiez les données de vos clients à un sous-traitant exposé au Cloud Act sans en avoir conscience ni l'avoir documenté, c'est vous, responsable de traitement, qui portez le risque en cas de contrôle CNIL, pas votre fournisseur cloud. Le recours à un fournisseur soumis au droit américain expose l'entreprise à un risque direct de non-conformité RGPD, et ce risque ne concerne pas uniquement votre hébergement principal : vos sauvegardes externalisées obéissent exactement aux mêmes règles de localisation.
Pour mettre les choses en perspective : même quand l'enjeu est sensible, comme les données de santé hébergées via le Health Data Hub français, le Conseil d'État a jugé en 2026 qu'un accès aux données par les autorités américaines ne pouvait être totalement exclu, mais a estimé que les garanties contractuelles et techniques mises en place (pseudonymisation, durée de conservation limitée, contrôle des accès) suffisaient à encadrer ce risque de façon acceptable. Autrement dit : même les juridictions françaises ne traitent pas le Cloud Act comme un danger absolu et automatique, mais comme un risque à gérer de façon proportionnée. C'est exactement l'approche qu'une PME devrait adopter : sans naïveté, mais sans paranoïa non plus.
Vous allez peut-être tomber, en vous renseignant, sur le terme SecNumCloud. C'est la qualification délivrée par l'ANSSI (l'agence nationale de cybersécurité) aux prestataires cloud répondant à des exigences de sécurité et de souveraineté très strictes. Cette qualification vise notamment à garantir la capacité d'un service cloud à résister à une injonction issue de l'application de lois extraterritoriales.
C'est un référentiel exigeant et coûteux, pensé pour l'État, les opérateurs d'importance vitale et les secteurs réglementés, pas pour une TPE qui héberge son site vitrine ou ses sauvegardes. Si un prestataire grand public vous vend du "cloud souverain" en brandissant SecNumCloud sans que ce soit réellement pertinent pour votre usage, c'est souvent plus du marketing que de l'information utile. La bonne question pour une PME n'est pas "mon hébergeur est-il qualifié SecNumCloud ?" mais simplement : "mon hébergeur est-il, par sa structure juridique, concerné par le Cloud Act ou non ?"
Siège social et actionnariat français ou européens, sans maison mère américaine : c'est le critère décisif, plus important que la localisation physique des serveurs.
Datacenters situés en France ou dans l'UE, exploités directement par le prestataire et non loués à un acteur tiers exposé.
Un hébergeur français peut malgré tout s'appuyer sur des outils de sécurité (CDN, protection anti-DDoS) opérés par des fournisseurs américains. Demandez la transparence sur ce point.
Un registre de traitement à jour, un accord de sous-traitance (DPA) précis sur la localisation des données et l'absence de transfert hors UE.
En cas de question ou d'incident, choisir un hébergeur web local en Lorraine, une équipe joignable qui connaît votre contexte, ça change tout par rapport à un support générique délocalisé.
Plusieurs acteurs se positionnent sur ce créneau, à l'image d'OVHcloud ou 3DS Outscale, qui ne relèvent pas de juridictions extra-européennes et offrent une alternative crédible face aux hyperscalers américains. À l'inverse, méfiez-vous des offres dites "hybrides" : des solutions portées par une société française mais reposant techniquement sur la pile technologique d'un hyperscaler américain (Microsoft, Google). Même qualifiées SecNumCloud, ces offres restent, selon le directeur général de l'ANSSI lui-même, plus exposées qu'une solution entièrement française : le fournisseur de la technologie reste soumis aux lois américaines, même s'il n'a pas directement accès aux données.
Chez CloudEst, la réponse est simple parce que la structure l'est aussi : nous sommes une société française, sans actionnariat ni filiation américaine, et nous opérons notre propre infrastructure en France. Par construction, nous ne relevons pas du champ d'application du Cloud Act. Pas de discours marketing autour d'une certification que notre activité ne justifie pas : juste une réalité juridique vérifiable, doublée d'une conformité RGPD assumée et d'un accompagnement local, à taille humaine, pour les TPE et PME de toute la Lorraine.
Le Cloud Act n'est pas une menace abstraite réservée aux grandes entreprises. C'est une réalité juridique qui touche silencieusement des milliers de PME françaises, sans qu'elles en aient jamais été informées, simplement parce qu'elles ont souscrit un abonnement chez un fournisseur américain.
La bonne nouvelle : s'en prémunir ne demande ni certification coûteuse ni expertise juridique. Il suffit de poser les bonnes questions au bon prestataire et d'exiger des réponses claires, vérifiables, sans jargon.
Chez CloudEst, la réponse tient en une phrase : nous sommes une société française, nous opérons notre propre infrastructure en France, et nous n'avons aucun lien avec une entité soumise au droit américain. Ce n'est pas une promesse marketing : c'est une réalité structurelle que vous pouvez contracter et opposer.
Si vous hésitez encore sur la formule d'hébergement adaptée à votre activité, notre comparatif hébergement mutualisé vs VPS vous aide à clarifier votre besoin. Et si la question de la sécurité de vos données vous préoccupe au-delà du seul hébergement web, notre guide sur pourquoi externaliser ses sauvegardes complète utilement cette lecture.
Vous voulez savoir si votre hébergement actuel vous expose à un risque de conformité ? Contactez l'équipe CloudEst pour un état des lieux sans engagement.
