Le Cloud Act et la section 702 du FISA permettent tous deux à des autorités américaines d'obtenir des données détenues par des fournisseurs soumis au droit des États-Unis, y compris lorsque ces données sont stockées en Europe. Le premier s'inscrit dans des enquêtes pénales, sous contrôle d'un juge ; la seconde relève du renseignement extérieur et vise des personnes non américaines situées hors des États-Unis 13. Dans les deux cas, ce qui compte n'est pas la localisation du serveur, mais le droit auquel est soumis le fournisseur.
Pour une organisation européenne, l'enjeu concret est double : le risque de divulgation de données sensibles sans passer par les voies de coopération européennes, et le risque de conflit avec le RGPD, dont l'article 48 encadre strictement la réponse aux demandes d'autorités de pays tiers 5. Cet article expose ce que disent les textes, l'état de la section 702 en 2026 et les leviers dont dispose un DSI ou un RSSI.
Le Cloud Act : une obligation de divulgation indépendante du lieu de stockage
Adopté en mars 2018 2, le Clarifying Lawful Overseas Use of Data Act a créé la section 2713 du titre 18 du code des États-Unis. Elle impose aux fournisseurs de services de communications électroniques et d'informatique à distance de préserver, sauvegarder ou divulguer les contenus et données relatifs à un client qui sont en leur possession, sous leur garde ou sous leur contrôle, que ces données soient situées à l'intérieur ou à l'extérieur des États-Unis 1.
Les garde-fous prévus par le texte
Le texte prévoit une analyse de « courtoisie internationale » : un fournisseur peut demander, dans un délai de 14 jours, la modification ou l'annulation d'une injonction s'il estime raisonnablement que le client n'est pas une personne américaine, ne réside pas aux États-Unis, et que la divulgation créerait un risque sérieux de violer le droit d'un gouvernement étranger dit « qualifié » 1. Le juge met alors en balance plusieurs facteurs, dont l'intérêt des autorités américaines, celui de l'État étranger et les liens du client avec les États-Unis 1.
Le Cloud Act permet aussi la conclusion d'accords exécutifs donnant à des partenaires un accès direct aux preuves électroniques. Le département de la Justice recense un accord avec le Royaume-Uni du 3 octobre 2019 et un accord avec l'Australie du 15 décembre 2021 ; les négociations avec l'Union européenne ont repris le 3 mars 2023, sans accord conclu à ce stade selon la même page 2.
Pour le Cloud Act, la question décisive n'est pas « où sont mes données ? » mais « qui les contrôle et sous quel droit ? ».
FISA section 702 : le renseignement extérieur et son statut en 2026
La section 702 du Foreign Intelligence Surveillance Act, codifiée au 50 U.S.C. § 1881a, permet à l'Attorney General et au directeur du renseignement national d'autoriser conjointement, pour une durée maximale d'un an, le ciblage de personnes raisonnablement supposées se trouver hors des États-Unis afin d'obtenir des renseignements extérieurs 3. Ils peuvent adresser aux fournisseurs de services de communications électroniques des directives leur imposant de fournir immédiatement toute information, installation ou assistance nécessaire ; en cas de refus, une ordonnance de la Foreign Intelligence Surveillance Court peut être demandée pour les y contraindre 3.
Une base légale expirée, une surveillance qui se poursuit
Selon le Brennan Center, la section 702 a expiré le 12 juin 2026, faute de réautorisation par le Congrès 4. Les certifications approuvées par la FISA Court le 17 mars 2026 restent toutefois applicables jusqu'au 17 mars 2027, et la surveillance peut donc se poursuivre jusqu'à cette date ; le dépôt de nouvelles certifications peut en outre prolonger automatiquement les précédentes pendant leur examen 4. À la date de rédaction, le débat sur la réautorisation reste ouvert au Congrès. Pour une analyse de risques, cette incertitude ne change pas la conclusion : il faut raisonner sur l'existence durable de pouvoirs de ce type, quel que soit leur véhicule législatif.
Ce que le droit européen oppose : RGPD et Data Privacy Framework
L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant le transfert de données personnelles n'est reconnue ou exécutoire que si elle est fondée sur un accord international, comme un traité d'entraide judiciaire. Dans ses lignes directrices 02/2024, finalisées en juin 2025, le Comité européen de la protection des données rappelle qu'en l'absence d'un tel accord, un transfert ne peut intervenir qu'à titre exceptionnel et doit satisfaire à la fois à l'article 6 et aux conditions du chapitre V du RGPD 5.
Pour les transferts commerciaux, le Data Privacy Framework, adopté en 2023, repose notamment sur l'Executive Order 14086 et sur la Data Protection Review Court créée en 2022 6. Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours de Philippe Latombe contre ce cadre (affaire T-553/23) 6. Un pourvoi a été formé devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P) 7. La pérennité du cadre reste donc suspendue à cette procédure.
Point souvent mal compris : le Data Privacy Framework encadre les transferts volontaires de données personnelles. Il ne neutralise ni le Cloud Act ni la section 702, et il ne couvre pas les données non personnelles stratégiques (secrets d'affaires, données industrielles, informations de défense).
Ce que cela change concrètement pour vos données
Le risque extraterritorial est réel mais circonscrit. Il dépend de trois paramètres : le droit auquel est soumis le fournisseur et ses sous-traitants, la capacité technique de ce fournisseur à accéder aux données en clair, et la nature des données. Une donnée publique ou peu sensible hébergée chez un hyperscaler américain présente un risque faible ; un plan industriel, un dossier de contentieux ou des données de santé à grande échelle justifient une approche différente.
Il faut aussi tenir compte de la chaîne complète. Un fournisseur européen peut s'appuyer sur des sous-traitants, des outils de support ou des services de supervision rattachés au droit américain ; à l'inverse, une filiale européenne d'un groupe américain reste en principe exposée via sa maison mère. L'analyse doit donc porter sur chaque acteur capable d'accéder aux données ou aux clés, et pas seulement sur le contractant principal. Enfin, la probabilité d'une demande n'est pas uniforme : elle dépend du secteur, des activités internationales de l'organisation et de l'intérêt que ses données peuvent présenter pour une enquête ou pour le renseignement.
Le référentiel SecNumCloud traite ce sujet en imposant que le prestataire soit soumis au seul droit européen, et en exigeant qu'il documente les risques résiduels liés aux lois extra-européennes 8. Il reconnaît aussi que ses garanties sur l'accès du prestataire aux données sont contractuelles, et renvoie au client la mise en place d'un chiffrement complémentaire sous sa maîtrise si nécessaire 8.
Mesures de réduction du risque
- Cartographier les données par niveau de sensibilité et identifier celles dont la divulgation à une autorité étrangère serait inacceptable.
- Pour ces données, privilégier un fournisseur soumis exclusivement au droit européen, par exemple une offre qualifiée SecNumCloud.
- Lorsqu'un fournisseur soumis au droit américain est conservé, chiffrer les données sensibles avec des clés gérées hors de son contrôle (HSM ou KMS externe), en sachant que le chiffrement ne protège pas les données traitées en clair par le service.
- Exiger contractuellement l'information du client en cas de demande d'autorité, dans la mesure permise par la loi, et la contestation des demandes disproportionnées.
- Documenter, dans l'analyse d'impact et le registre RGPD, l'évaluation du risque d'accès par des autorités de pays tiers et les mesures retenues.
- Définir une procédure interne de traitement des demandes d'autorités étrangères, associant DPO, juristes et RSSI, avant d'en recevoir une.
- Revoir l'analyse à chaque évolution majeure : décision de la Cour de justice sur le Data Privacy Framework, réautorisation de la section 702, accord UE–États-Unis sur les preuves électroniques.
Conclusion
Le Cloud Act et la section 702 ne justifient ni le déni ni la panique. Ils imposent une analyse de risques fondée sur la nature des données et le droit applicable au fournisseur, plutôt que sur la seule localisation des serveurs. Le contexte juridique de 2026, entre expiration de la base légale de la section 702 et pourvoi contre le Data Privacy Framework, plaide pour des architectures qui restent robustes quelle que soit l'issue. C'est cette analyse, croisant juridique et architecture, que DATASWING mène avec les RSSI et les DPO.
— Questions fréquentes
Ce qu'on nous demande souvent
Le Cloud Act s'applique-t-il aux données hébergées en France ?+
Oui, si le fournisseur est soumis au droit américain. Le Cloud Act impose la divulgation des données en possession, sous la garde ou le contrôle du fournisseur, qu'elles soient stockées aux États-Unis ou ailleurs. La localisation en France ne suffit donc pas : c'est le rattachement juridique du fournisseur et de sa maison mère qui détermine l'exposition.
La section 702 du FISA est-elle toujours en vigueur en 2026 ?+
Selon le Brennan Center, la base légale de la section 702 a expiré le 12 juin 2026 faute de réautorisation. Les certifications approuvées par la FISA Court en mars 2026 restent toutefois valables jusqu'au 17 mars 2027, et la surveillance peut se poursuivre d'ici là. La réautorisation était encore en débat à la date de rédaction.
Le chiffrement suffit-il à se protéger du Cloud Act ?+
Il réduit fortement le risque si les clés restent hors du contrôle du fournisseur, par exemple dans un HSM ou un KMS externe. Mais un service qui traite les données en clair, comme une base de données managée ou un service d'analyse, y a nécessairement accès pendant le traitement. Le chiffrement est un levier, pas une immunité.
Le Data Privacy Framework protège-t-il contre le Cloud Act ?+
Non. Le Data Privacy Framework encadre les transferts de données personnelles vers des entreprises américaines certifiées. Il ne limite pas les pouvoirs d'injonction du Cloud Act ni la section 702, et ne couvre pas les données non personnelles. Il fait par ailleurs l'objet d'un pourvoi devant la Cour de justice, formé le 31 octobre 2025.
— Sources
Références citées
Les textes réglementaires et documentations évoluent : vérifiez la version en vigueur avant toute décision. Cet article n'est pas un avis juridique.
-
[1]
S.2383 – Clarifying Lawful Overseas Use of Data Act (CLOUD Act) ↗U.S. Congress · 2018-02
-
[2]
CLOUD Act Resources ↗U.S. Department of Justice · 2023
-
[3]
50 U.S. Code § 1881a – Procedures for targeting certain persons outside the United States other than United States persons ↗Legal Information Institute, Cornell Law School · 2024
-
[4]
Section 702 Surveillance Authority Will Not Lapse if Reauthorized by March 2027 ↗Brennan Center for Justice · 2026-09
-
[5]
Guidelines 02/2024 on Article 48 GDPR (version finale) ↗Comité européen de la protection des données (EDPB) · 2025-06
-
[6]
Le Tribunal de l'Union européenne valide le Data Privacy Framework ↗Le Club des juristes · 2025-09
-
[7]
Affaire C-703/25 P, Latombe / Commission – pourvoi formé le 31 octobre 2025 ↗Journal officiel de l'Union européenne (EUR-Lex) · 2025
- [8]
