Cloud Act : pourquoi vos données hébergées en Europe ne sont pas forcément protégées en 2026
Beaucoup de particuliers, d’entreprises et même d’administrations pensent encore qu’il suffit d’héberger leurs données dans un datacenter situé en Europe pour les mettre à l’abri des autorités américaines.
C’est une idée largement répandue… mais juridiquement inexacte.
Le véritable critère n’est pas où sont stockées les données, mais qui contrôle le service cloud.
Qu’est-ce que le CLOUD Act ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine adoptée en mars 2018.
Elle permet aux autorités américaines (FBI, DEA, DOJ…) d’exiger d’une entreprise soumise au droit américain qu’elle remette des données qu’elle détient ou contrôle, même si ces données sont stockées à l’étranger.
Autrement dit :
Ce n’est pas la localisation physique du serveur qui détermine l’application du CLOUD Act, mais la juridiction à laquelle est soumise l’entreprise qui exploite le service.
Pourquoi AWS, Azure et Google Cloud Europe restent concernés
Prenons un exemple.
Une entreprise française stocke toutes ses données chez :
AWS Francfort
Microsoft Azure Paris
Google Cloud Belgique
Les serveurs sont bien situés en Europe.
Pourtant :
Amazon est une société américaine ;
Microsoft est une société américaine ;
Google est une société américaine.
Ces entreprises restent donc susceptibles de recevoir des injonctions fondées sur le CLOUD Act concernant les données qu’elles contrôlent, indépendamment de l’emplacement des serveurs. Dans certaines situations, ces demandes peuvent être accompagnées d’une interdiction d’en informer le client.
Autrement dit :
Un datacenter situé en Europe ne suffit pas, à lui seul, à soustraire les données à la juridiction américaine.
Le conflit avec le droit européen
Cette situation crée une tension avec plusieurs textes européens.
Le RGPD
L’article 48 du RGPD prévoit qu’une décision d’une autorité d’un pays tiers ne peut, en principe, servir de base à un transfert de données que dans le cadre d’un accord international ou d’un autre fondement reconnu par le droit de l’Union.
Le Data Act
Le Data Act, dont les dispositions relatives aux demandes d’accès de pays tiers sont progressivement applicables depuis 2025, impose également aux fournisseurs cloud opérant dans l’Union de mettre en œuvre des mesures techniques et organisationnelles pour limiter les accès incompatibles avec le droit européen et, lorsque cela est possible, de contester ces demandes.
Les grands fournisseurs américains peuvent donc se retrouver confrontés à deux obligations potentiellement contradictoires :
répondre à une injonction américaine ;
respecter le droit européen.
Où en est-on en 2026 ?
Face à cette dépendance, l’Union européenne tente de renforcer sa souveraineté numérique.
En juin 2026, la Commission européenne a présenté le Cloud and AI Development Act (CADA).
Son objectif est notamment de renforcer l’écosystème européen du cloud, de développer des infrastructures souveraines et de réduire la dépendance vis-à-vis des hyperscalers américains, qui représentent encore une part très importante du marché européen. (Stratégie numérique de l’UE)
Mais ces évolutions prendront du temps.
D’ici là, la question reste particulièrement sensible pour :
les administrations ;
les entreprises stratégiques ;
les données de santé ;
les secrets industriels ;
les données personnelles sensibles.
Comment réduire réellement le risque ?
Aucune solution n’offre une protection absolue.
En revanche, plusieurs approches permettent de réduire très fortement le risque.
leur envoi dans le cloudavant
1. Chiffrer les données
C’est probablement la mesure la plus efficace.
Le principe est simple :
Vos fichiers sont chiffrés sur votre ordinateur avant d’être envoyés vers le cloud.
Le fournisseur ne stocke alors qu’une version illisible de vos données et ne possède pas la clé permettant de les déchiffrer.
Concrètement, plusieurs solutions permettent de le faire :
Proton Drive : chiffrement de bout en bout (zero-knowledge) intégré. Proton ne peut pas lire vos fichiers.
Tresorit : stockage cloud avec chiffrement de bout en bout destiné aux particuliers et aux entreprises.
Cryptomator : logiciel libre qui crée un coffre-fort chiffré. Celui-ci peut ensuite être synchronisé avec OneDrive, Google Drive, Dropbox, iCloud Drive, AWS ou pratiquement n’importe quel service cloud.
VeraCrypt : permet de créer un conteneur chiffré (véritable disque virtuel) que vous pouvez sauvegarder où vous le souhaitez.
Dans ces cas, le fournisseur cloud ne voit qu’un ensemble de données chiffrées.
Même s’il est légalement contraint de transmettre les fichiers, il ne dispose pas des clés nécessaires pour en lire le contenu.
2. Choisir un fournisseur européen lorsque cela est pertinent
Des entreprises comme :
OVHcloud
Infomaniak
Scaleway
Hetzner
Exoscale
relèvent principalement du droit européen.
Cela ne constitue pas une immunité absolue contre toute demande étrangère.
En revanche, contrairement aux fournisseurs dont la société mère est américaine, elles ne sont pas soumises au CLOUD Act du seul fait de leur nationalité.
Le choix d’un fournisseur européen constitue donc un élément de réduction du risque, mais il ne remplace pas le chiffrement.
3. Garder la maîtrise des données les plus sensibles
Pour certaines informations critiques, l’auto-hébergement reste la solution offrant le plus haut niveau de contrôle.
NAS, serveurs dédiés ou infrastructures privées permettent de conserver :
les données ;
les sauvegardes ;
les clés de chiffrement.
C’est souvent l’approche la plus souveraine pour les informations réellement stratégiques.
La vraie question n’est pas “où ?”
Lorsqu’on parle de souveraineté numérique, beaucoup demandent :
« Où sont hébergées mes données ? »
La question est utile…
Mais elle est incomplète.
Les vraies questions sont plutôt :
Qui contrôle l’infrastructure ?
Qui détient les clés de chiffrement ?
À quel droit est soumis le fournisseur ?
C’est la combinaison de ces trois éléments qui détermine réellement le niveau de protection de vos données.
Le cloud n’est pas seulement une question de serveurs.
C’est aussi une question de juridiction, de contrôle… et, au final, de souveraineté numérique.
Sources
CLOUD Act (États-Unis, 2018)
RGPD – article 48
Règlement (UE) 2023/2854 (Data Act), chapitre VII
Proposition de Cloud and AI Development Act (CADA) de la Commission européenne (3 juin 2026) (Stratégie numérique de l’UE)
Beaucoup de particuliers, d’entreprises et même d’administrations pensent encore qu’il suffit d’héberger leurs données dans un datacenter situé en Europe pour les mettre à l’abri des autorités américaines.
C’est une idée largement répandue… mais juridiquement inexacte.
Le véritable critère n’est pas où sont stockées les données, mais qui contrôle le service cloud.
Qu’est-ce que le CLOUD Act ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine adoptée en mars 2018.
Elle permet aux autorités américaines (FBI, DEA, DOJ…) d’exiger d’une entreprise soumise au droit américain qu’elle remette des données qu’elle détient ou contrôle, même si ces données sont stockées à l’étranger.
Autrement dit :
Ce n’est pas la localisation physique du serveur qui détermine l’application du CLOUD Act, mais la juridiction à laquelle est soumise l’entreprise qui exploite le service.
Pourquoi AWS, Azure et Google Cloud Europe restent concernés
Prenons un exemple.
Une entreprise française stocke toutes ses données chez :
AWS Francfort
Microsoft Azure Paris
Google Cloud Belgique
Les serveurs sont bien situés en Europe.
Pourtant :
Amazon est une société américaine ;
Microsoft est une société américaine ;
Google est une société américaine.
Ces entreprises restent donc susceptibles de recevoir des injonctions fondées sur le CLOUD Act concernant les données qu’elles contrôlent, indépendamment de l’emplacement des serveurs. Dans certaines situations, ces demandes peuvent être accompagnées d’une interdiction d’en informer le client.
Autrement dit :
Un datacenter situé en Europe ne suffit pas, à lui seul, à soustraire les données à la juridiction américaine.
Le conflit avec le droit européen
Cette situation crée une tension avec plusieurs textes européens.
Le RGPD
L’article 48 du RGPD prévoit qu’une décision d’une autorité d’un pays tiers ne peut, en principe, servir de base à un transfert de données que dans le cadre d’un accord international ou d’un autre fondement reconnu par le droit de l’Union.
Le Data Act
Le Data Act, dont les dispositions relatives aux demandes d’accès de pays tiers sont progressivement applicables depuis 2025, impose également aux fournisseurs cloud opérant dans l’Union de mettre en œuvre des mesures techniques et organisationnelles pour limiter les accès incompatibles avec le droit européen et, lorsque cela est possible, de contester ces demandes.
Les grands fournisseurs américains peuvent donc se retrouver confrontés à deux obligations potentiellement contradictoires :
répondre à une injonction américaine ;
respecter le droit européen.
Où en est-on en 2026 ?
Face à cette dépendance, l’Union européenne tente de renforcer sa souveraineté numérique.
En juin 2026, la Commission européenne a présenté le Cloud and AI Development Act (CADA).
Son objectif est notamment de renforcer l’écosystème européen du cloud, de développer des infrastructures souveraines et de réduire la dépendance vis-à-vis des hyperscalers américains, qui représentent encore une part très importante du marché européen. (Stratégie numérique de l’UE)
Mais ces évolutions prendront du temps.
D’ici là, la question reste particulièrement sensible pour :
les administrations ;
les entreprises stratégiques ;
les données de santé ;
les secrets industriels ;
les données personnelles sensibles.
Comment réduire réellement le risque ?
Aucune solution n’offre une protection absolue.
En revanche, plusieurs approches permettent de réduire très fortement le risque.
leur envoi dans le cloudavant
1. Chiffrer les données
C’est probablement la mesure la plus efficace.
Le principe est simple :
Vos fichiers sont chiffrés sur votre ordinateur avant d’être envoyés vers le cloud.
Le fournisseur ne stocke alors qu’une version illisible de vos données et ne possède pas la clé permettant de les déchiffrer.
Concrètement, plusieurs solutions permettent de le faire :
Proton Drive : chiffrement de bout en bout (zero-knowledge) intégré. Proton ne peut pas lire vos fichiers.
Tresorit : stockage cloud avec chiffrement de bout en bout destiné aux particuliers et aux entreprises.
Cryptomator : logiciel libre qui crée un coffre-fort chiffré. Celui-ci peut ensuite être synchronisé avec OneDrive, Google Drive, Dropbox, iCloud Drive, AWS ou pratiquement n’importe quel service cloud.
VeraCrypt : permet de créer un conteneur chiffré (véritable disque virtuel) que vous pouvez sauvegarder où vous le souhaitez.
Dans ces cas, le fournisseur cloud ne voit qu’un ensemble de données chiffrées.
Même s’il est légalement contraint de transmettre les fichiers, il ne dispose pas des clés nécessaires pour en lire le contenu.
2. Choisir un fournisseur européen lorsque cela est pertinent
Des entreprises comme :
OVHcloud
Infomaniak
Scaleway
Hetzner
Exoscale
relèvent principalement du droit européen.
Cela ne constitue pas une immunité absolue contre toute demande étrangère.
En revanche, contrairement aux fournisseurs dont la société mère est américaine, elles ne sont pas soumises au CLOUD Act du seul fait de leur nationalité.
Le choix d’un fournisseur européen constitue donc un élément de réduction du risque, mais il ne remplace pas le chiffrement.
3. Garder la maîtrise des données les plus sensibles
Pour certaines informations critiques, l’auto-hébergement reste la solution offrant le plus haut niveau de contrôle.
NAS, serveurs dédiés ou infrastructures privées permettent de conserver :
les données ;
les sauvegardes ;
les clés de chiffrement.
C’est souvent l’approche la plus souveraine pour les informations réellement stratégiques.
La vraie question n’est pas “où ?”
Lorsqu’on parle de souveraineté numérique, beaucoup demandent :
« Où sont hébergées mes données ? »
La question est utile…
Mais elle est incomplète.
Les vraies questions sont plutôt :
Qui contrôle l’infrastructure ?
Qui détient les clés de chiffrement ?
À quel droit est soumis le fournisseur ?
C’est la combinaison de ces trois éléments qui détermine réellement le niveau de protection de vos données.
Le cloud n’est pas seulement une question de serveurs.
C’est aussi une question de juridiction, de contrôle… et, au final, de souveraineté numérique.
Sources
CLOUD Act (États-Unis, 2018)
RGPD – article 48
Règlement (UE) 2023/2854 (Data Act), chapitre VII
Proposition de Cloud and AI Development Act (CADA) de la Commission européenne (3 juin 2026) (Stratégie numérique de l’UE)
1👍1