Vous avez choisi un hébergement « en Europe » pour votre CRM, votre messagerie ou votre outil de facturation. Sur le papier, vos données restent sur le sol européen. Pourtant, si le fournisseur qui les héberge est une société américaine — ou la filiale d'un groupe américain — une loi votée à Washington peut, dans certains cas, contraindre ce prestataire à les communiquer aux autorités des États-Unis. Sans forcément vous prévenir.
Ce texte, c'est le Cloud Act. Il coexiste avec le RGPD, qui protège les données personnelles de vos clients et de vos salariés. Deux logiques juridiques qui, sur certains dossiers, se contredisent frontalement. Pour un dirigeant de PME, la question n'a rien de théorique : elle touche vos contrats, votre responsabilité et la confiance de vos clients.
Le sujet mérite mieux que la panique ou l'indifférence. Ni « tout le cloud américain est un piège », ni « ça ne concerne que les grands groupes ». L'enjeu réel est simple : savoir où sont vos données, ce qu'elles valent, et décider en connaissance de cause. Voici comment procéder.
Le Cloud Act, en clair
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018, autorise les autorités américaines à exiger d'un fournisseur soumis au droit américain qu'il communique les données qu'il détient ou contrôle — quel que soit le pays où ces données sont physiquement stockées. Autrement dit, un datacenter situé à Paris ou à Francfort ne place pas les données hors de portée si l'entreprise qui l'exploite relève de la juridiction américaine.
« Soumis au droit américain » recouvre un périmètre large : une société basée aux États-Unis, mais aussi, selon les montages, ses filiales européennes. La demande peut de surcroît s'accompagner d'une clause de confidentialité qui empêche le fournisseur de vous en informer.
La tension avec le RGPD
Le RGPD (règlement (UE) 2016/679, sous le contrôle de la CNIL) encadre strictement le traitement et le transfert des données personnelles hors de l'Union. Un fournisseur qui répondrait à une injonction américaine pourrait se retrouver en contradiction directe avec ses obligations européennes.
Ce conflit n'est pas hypothétique. En 2020, la Cour de justice de l'Union européenne (arrêt « Schrems II ») a invalidé le Privacy Shield, précisément parce que le droit américain n'offrait pas de garanties suffisantes contre l'accès des autorités aux données européennes. Un nouveau cadre a depuis pris le relais, mais il reste contesté et peut évoluer. Bâtir sa conformité sur un socle susceptible d'être remis en cause reste un pari.
Faut-il s'inquiéter ? Cela dépend de vos données
La bonne question n'est pas « suis-je visé ? » mais « qu'est-ce que je confie, et à qui ? ». Toutes les données ne se valent pas : un agenda d'équipe et un fichier de paie n'appellent pas le même niveau de précaution.
Quelques exemples de données qui justifient une vigilance renforcée dans une PME :
- Données RH et de santé : paie, arrêts, dossiers du personnel
- Fichiers clients et prospects d'un secteur sensible : défense, santé, énergie, secteur public
- Propriété intellectuelle : R&D, code source, plans, secrets de fabrication
- Données soumises à une exigence contractuelle de localisation ou de souveraineté : marchés publics, sous-traitance d'un grand compte
- Éléments juridiques et financiers stratégiques : contentieux, opérations de fusion-acquisition
Cartographier avant de décider
On ne protège que ce que l'on a identifié. Avant de changer d'outil ou de signer un nouveau contrat, il faut savoir où l'on en est : quels fournisseurs, quelle nationalité juridique, quelles données chez chacun. Beaucoup de dirigeants découvrent à cette étape des services adoptés par une équipe sans validation — le « shadow IT » — qui échappent totalement à la cartographie officielle.
Votre plan d'action
Rien de tout cela n'exige de tout migrer du jour au lendemain. La démarche se veut progressive et proportionnée au risque réel.
- Cartographier vos fournisseurs numériques et repérer ceux qui relèvent du droit américain (maison mère, filiales, sous-traitants)
- Classifier vos données par sensibilité : publiques, internes, confidentielles, critiques
- Croiser les deux : quelles données critiques sont hébergées chez un acteur soumis au Cloud Act ?
- Chiffrer ce qui peut l'être en gardant la maîtrise des clés — le chiffrement côté client réduit fortement l'utilité d'une donnée qui serait saisie
- Relire vos contrats et clauses de sous-traitance : localisation, notification en cas de demande d'autorité, garanties de transfert
- Envisager une alternative souveraine ou européenne pour les seules données qui le justifient, pas par principe pour tout
- Documenter vos choix : en cas de contrôle CNIL, la traçabilité de votre analyse de risque compte autant que la décision elle-même
Comment Sedona peut aider
La première étape — savoir où sont réellement vos données et à qui vous les confiez — est souvent la plus laborieuse. Sedona.AI accompagne les PME et ETI sur ce travail de cartographie : recenser les services exposés sur Internet et les briques tierces qui les font tourner, via un audit de surface d'attaque externe (Sedona Radar) et une reconnaissance en source ouverte (OSINT), pour objectiver ce qui est visible et hébergé où. Nous ne délivrons aucune certification, et Sedona Radar fournit un score de conformité indicatif, jamais une garantie juridique : l'objectif est de vous donner une vision claire pour arbitrer, avec votre conseil, en connaissance de cause. Pour faire le point sur votre exposition, parlons-en.
