Vous pensez que vos données sont en sécurité parce qu’elles sont en Europe. Elles ne le sont pas.
Votre entreprise stocke ses fichiers sur Microsoft Azure dans un datacenter à Paris. Votre messagerie tourne sur Google Workspace, serveurs en Irlande. Vos sauvegardes sont sur Amazon AWS, région Europe.
Vous avez fait les bons choix, non ?
Pas exactement. Ces données sont physiquement en Europe — mais elles restent juridiquement sous la souveraineté des États-Unis.
C’est le principe du CLOUD Act. Et la plupart des Européens n’en ont jamais entendu parler.
Qu’est-ce que le CLOUD Act ?
Le CLOUD Act — Clarifying Lawful Overseas Use of Data Act — est une loi fédérale américaine adoptée en mars 2018. Son principe est simple et redoutable : les autorités américaines (FBI, NSA, DOJ) peuvent exiger l’accès aux données stockées par n’importe quelle entreprise américaine, quel que soit le pays où ces données sont physiquement hébergées.
La règle est claire : c’est la nationalité du fournisseur qui compte, pas l’adresse de son datacenter.
Concrètement, cela concerne directement :
- Amazon Web Services (AWS)
- Microsoft Azure
- Google Cloud
- Dropbox, Salesforce, Slack
- Et la quasi-totalité des solutions SaaS américaines
Le mensonge du datacenter européen
C’est le point le plus important — et le plus mal compris.
Beaucoup d’entreprises et de particuliers pensent que stocker leurs données « en France » ou « en Europe » suffit à les protéger. C’est une illusion.
Exemple concret : vos emails transitent par des serveurs Azure localisés en Irlande. Mais Microsoft Corporation est une entité de droit américain. Elle est donc tenue de répondre à toute injonction judiciaire fédérale — y compris pour des données stockées à Dublin, Paris ou Berlin.
C’est exactement ce qui s’est passé en 2013, avant même le CLOUD Act : le FBI avait exigé que Microsoft lui fournisse des données stockées en Irlande dans le cadre d’une enquête sur un trafic de drogue. Microsoft avait refusé. La bataille juridique qui s’en est suivie a duré cinq ans — et a abouti directement à l’adoption du CLOUD Act en 2018, précisément pour lever toute ambiguïté.
La leçon : le CLOUD Act n’est pas une menace théorique. Il a été conçu pour répondre à une situation réelle, et il s’applique aujourd’hui à l’ensemble du cloud américain en Europe.
L’ampleur du problème en chiffres
Les chiffres donnent le vertige.
AWS, Azure et Google Cloud contrôlent collectivement plus de 72 % du marché européen du cloud. Autrement dit, les données de près des trois quarts des entreprises et administrations européennes sont potentiellement accessibles aux autorités américaines — sans qu’elles en soient informées, et sans passer par les procédures judiciaires locales.
En 2026, 94 % des entreprises européennes utilisent des services de cloud public pour héberger leurs actifs les plus critiques.
CLOUD Act vs RGPD : un conflit de lois sans arbitre
C’est là que la situation devient particulièrement inconfortable pour les entreprises européennes.
Le RGPD impose une protection forte aux données personnelles des citoyens européens. Il exige que tout transfert de données vers un pays tiers garantisse un niveau de protection équivalent au niveau européen.
Le CLOUD Act va dans la direction inverse : il permet aux autorités américaines d’accéder à ces données sans nécessairement respecter les normes européennes de protection, et sans en informer la personne concernée.
Le résultat : les entreprises européennes se retrouvent face à un dilemme juridique insoluble. Se conformer aux demandes américaines risque de les mettre en violation du RGPD. Refuser risque des sanctions aux États-Unis.
Ce conflit de lois dure depuis 2018. Il n’est toujours pas résolu.
Le paradoxe de l’EUDIW
Si vous avez suivi l’actualité du portefeuille d’identité numérique européen — l’EUDIW — vous voyez immédiatement le problème.
L’UE construit un système censé centraliser l’identité complète de 450 millions de citoyens : carte d’identité, permis, diplômes, données bancaires, dossier médical.
Et l’implémentation allemande, pour la cryptographie de ce portefeuille, s’appuie sur Google et Apple.
Deux entreprises américaines. Soumises au CLOUD Act.
L’Union européenne crée une « identité souveraine européenne » sur une infrastructure soumise au droit américain. Le paradoxe est total.
Ce que vous pouvez faire concrètement
Il existe des solutions — mais elles demandent une décision consciente.
1. Identifier vos données critiques Toutes vos données ne méritent pas le même niveau de protection. Commencez par identifier ce qui est vraiment sensible : données clients, propriété intellectuelle, données médicales, communications confidentielles.
2. Chiffrer avant de stocker Le chiffrement est actuellement la barrière la plus efficace contre les effets du CLOUD Act. Si vos données sont chiffrées avec des clés que vous contrôlez — et non le fournisseur — elles sont accessibles aux autorités américaines mais illisibles. C’est une protection partielle mais réelle.
3. Choisir des alternatives hors juridiction américaine Pour les données les plus sensibles, des alternatives existent qui échappent structurellement au CLOUD Act :
Proton Drive est basé en Suisse — hors UE, hors juridiction américaine, hors CLOUD Act. Chiffrement de bout en bout, clés contrôlées par l’utilisateur. C’est l’approche la plus simple pour les particuliers et les petites structures.
Pour les entreprises, les solutions certifiées SecNumCloud par l’ANSSI (agence française de cybersécurité) offrent des garanties juridiques plus solides — bien que leur disponibilité reste limitée.
4. Auditer vos fournisseurs SaaS Chaque outil SaaS américain que vous utilisez — Slack, Salesforce, Zoom, Dropbox — est potentiellement soumis au CLOUD Act. Établissez un inventaire et évaluez les alternatives européennes pour les usages les plus sensibles.
La réponse européenne : trop lente, trop timide
Depuis 2018, le Conseil européen travaille sur un projet de règlement appelé « e-Evidence » — parfois surnommé le « Cloud Act européen » — visant à harmoniser les injonctions européennes de production de données.
Ce texte n’est toujours pas adopté.
Pendant ce temps, les hyperscalers américains investissent massivement pour consolider leur position en Europe. AWS a ouvert sa quatrième région française à Marseille en 2025. Azure exploite désormais six régions en Europe de l’Ouest. Google Cloud a inauguré son datacenter parisien en 2025.
Ces investissements ne changent rien à la situation juridique — mais ils renforcent la dépendance structurelle de l’Europe aux infrastructures américaines.
Ce qu’il faut retenir
Vos données peuvent être physiquement stockées en France, en Allemagne ou en Irlande. Si elles sont gérées par une entreprise américaine, elles restent juridiquement accessibles aux autorités des États-Unis.
Ce n’est pas une théorie. C’est le droit américain en vigueur depuis 2018.
La souveraineté numérique européenne ne se décrète pas — elle se choisit, service par service, fournisseur par fournisseur.
En savoir plus sur Webologie
Subscribe to get the latest posts sent to your email.