Concept Cloud Act
Loi américaine (2018) : accès des autorités US aux données des fournisseurs américains, même hébergées en Europe : cœur de l'enjeu de souveraineté.
SFEIR AI · Mis à jour le 27 août 2026
L'extraterritorialité du droit américain
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine promulguée le 23 mars 2018, dans le cadre du Consolidated Appropriations Act, 2018 (Pub. L. 115-141, Division V). Introduit à la Chambre des représentants comme H.R. 4943 le 6 février 2018, il modifie le Stored Communications Act de 1986. Sa disposition centrale, codifiée à 18 U.S.C. § 2713, oblige un fournisseur à produire les données en sa possession, sa garde ou son contrôle, qu'elles soient situées ou non sur le territoire des États-Unis.
Le critère est la juridiction, pas la localisation
Une localisation européenne des données ne suffit pas à les protéger : ce qui déclenche l'obligation, c'est que le fournisseur relève de la juridiction américaine. Le texte vise tout fournisseur de services de communication électronique ou de calcul à distance ayant des opérations aux États-Unis, pas seulement les sociétés dont le siège y est établi. Le CLOUD Act prévoit par ailleurs des procédures permettant de contester ou faire annuler un ordre en cas de conflit de lois, et il a rendu sans objet l'affaire United States v. Microsoft Corp. alors pendante devant la Cour suprême.
Le déclencheur de la souveraineté
Le CLOUD Act est l'argument central du débat sur la souveraineté numérique : il motive le recours au cloud de confiance et aux offres souveraines, ainsi que des dispositifs techniques comme le chiffrement à la source et le confidential computing. La qualification SecNumCloud 3.2 en fait un critère explicite, aux côtés du FISA. Il se lit en miroir du RGPD, qui protège les données côté européen.
Questions fréquentes
Une donnée hébergée en Europe est-elle protégée du Cloud Act ?
Pas nécessairement : si le fournisseur est soumis au droit américain, le Cloud Act permet aux autorités US d'y accéder même si les serveurs sont en Europe. D'où l'intérêt des offres de cloud de confiance, juridiquement et techniquement immunisées contre cet accès extraterritorial.
Quelles entreprises sont concernées ?
Tout fournisseur de services de communication électronique ou de calcul à distance ayant des opérations aux États-Unis, et pas seulement les sociétés à siège américain. Une filiale européenne d'un groupe américain reste dans le champ, ce qui déplace l'analyse du datacenter vers la structure capitalistique.
Un fournisseur peut-il contester une demande ?
Oui. Le CLOUD Act prévoit des procédures permettant de contester ou de faire annuler un ordre lorsqu'il crée un conflit de lois, notamment avec le droit européen. Cette voie de recours existe, mais elle est à l'initiative du fournisseur, pas du client.
Quel texte le CLOUD Act modifie-t-il exactement ?
Le Stored Communications Act, codifié au chapitre 121 du titre 18 du code des États-Unis. La disposition clé est ajoutée à 18 U.S.C. § 2713, et les accords exécutifs entre États relèvent de 18 U.S.C. § 2523.
Le Cloud Act impose-t-il une porte dérobée ?
Non. Il organise l'accès des autorités par mandat ou assignation dans le cadre du Stored Communications Act. C'est une procédure judiciaire, distincte d'une obligation technique d'affaiblir le chiffrement. La nuance se perd régulièrement dans le débat public.
Sources
- Congress.gov — H.R. 4943, 115e Congrès · 2018-03-23
- Congressional Research Service — R45173, Cloud Act
regardless of whether such communication, record, or other information is located within or outside of the United States
- Orrick — The CLOUD Act Explained
- Wikipedia — CLOUD Act
Articles liés
Le cloud de confiance : enjeux réglementaires et techniques
Introduction : quand la souveraineté devient un enjeu stratégique Pendant longtemps, la question de la souveraineté numérique était perçue comme un sujet de juristes et de régulateurs, éloigné des préoccupations quotidiennes des équipes techniques. Ce temps est révolu. E...
Cloud souverain S3NS : Google Cloud au service de la confiance
Quand la souveraineté devient un avantage compétitif Pendant longtemps, la question de la souveraineté numérique a été perçue comme une contrainte réglementaire, un frein à l'adoption du cloud plutôt qu'un levier de transformation. Ce temps est révolu. Avec l'émergence d...
Airbus choisit Scaleway pour son « cloud de confiance » : la souveraineté à l'épreuve de l'industrie stratégique
Le 16 juillet 2026, Airbus retient Scaleway comme « cloud de confiance » pour ses données les plus sensibles : conception d'aéronefs, ingénierie, production. Choisi face à neuf concurrents, l'européen prouve que la souveraineté cloud tient l'épreuve de l'industrie stratégique.
Back Market arrête Cursor : ce que dit le signal, ce que disent les documents
Le 27 août 2026, un Principal Engineer de Back Market annonce publiquement l'arrêt de Cursor dans son entreprise, après le rachat par SpaceX. Le témoignage, la chronologie du rachat, et ce que les pages publiques de l'éditeur permettent de vérifier.