Vous utilisez Microsoft 365 ? Google Workspace ? Salesforce ? Vos données — et celles de vos clients — sont soumises au Cloud Act américain, quelle que soit leur localisation physique.

Qu'est-ce que le Cloud Act ?

Le Clarifying Lawful Overseas Use of Data Act (2018) oblige les entreprises américaines à fournir aux autorités américaines les données de leurs clients sans passer par les autorités françaises et sans nécessairement vous en informer.

Cela s'applique à :
- Microsoft (Azure, Office 365, Teams)
- Google (Google Workspace, Google Cloud)
- Amazon (AWS)
- Salesforce
- Slack
- Zoom

Peu importe que vos données soient stockées dans un datacenter à Paris : si l'entreprise qui les héberge est américaine, le Cloud Act s'applique.

Le conflit avec le RGPD

Le RGPD vous oblige à protéger les données personnelles de vos clients et collaborateurs contre tout accès non autorisé. Le Cloud Act crée une tension irrésolue : vous pouvez être en conformité RGPD tout en étant exposé à un accès US.

En pratique, aucune décision de justice française ou européenne ne peut bloquer une demande Cloud Act valide. La Commission Européenne en est consciente mais n'a pas de solution normative à ce jour.

Ce que ça signifie pour votre secteur

Avocats et notaires : le secret professionnel est protégé en droit français mais pas opposable aux autorités américaines via le Cloud Act.

Cabinets comptables et DAF : les données financières clients hébergées sur des SaaS américains sont théoriquement accessibles.

Bureaux d'études et R&D : la propriété intellectuelle et les brevets en développement sont exposés.

Secteur médical : les données de santé (DMP, logiciels métier cloud) sont soumises au secret médical mais pas au Cloud Act.

La solution : souveraineté des données

Hébergement en France chez un opérateur français

Choisir un hébergeur français non filiale d'un groupe américain — OVHcloud, Scaleway, Clever Cloud — garantit que vos données ne tombent pas sous la juridiction américaine.

Applications sur mesure déployées localement

Une application développée et hébergée localement, sans dépendance à des services tiers américains, est la solution la plus robuste. C'est l'approche que nous proposons avec nos logiciels sur mesure.

Chiffrement de bout en bout avant envoi dans le cloud

Si vous devez utiliser un SaaS américain, le chiffrement des données côté client (avant envoi) — avec une clé que vous seul détenez — limite l'impact d'un accès Cloud Act. Le prestataire ne peut fournir que des données chiffrées illisibles.

Le label SecNumCloud

L'ANSSI qualifie les solutions cloud françaises avec le label SecNumCloud. Un prestataire labellisé offre des garanties contractuelles et techniques contre l'accès par des autorités étrangères. C'est le référentiel de confiance pour les données sensibles françaises.

Besoin d'un audit de vos dépendances cloud ? Nous identifions vos expositions en 48h.