Cloud Act et Data Privacy Framework : héberger chez un acteur américain sans se mettre en risque

Votre client grand compte vous demande où sont hébergées ses données. Vous répondez « chez un hyperscaler, région Paris », et la question suivante tombe : « et le Cloud Act ? ». La bonne réponse n'est pas juridique, elle est documentaire : le cadre qui autorise cet hébergement existe, encore faut-il prouver que vous en remplissez les conditions. Depuis l'arrêt Trump v. Slaughter du 29 juin 2026 et la lettre du Comité européen de la protection des données du 31 juillet 2026, ce cadre est publiquement fragilisé. Cet article ne rejoue pas Schrems II : il donne la décision à prendre, les pièces à écrire, et le plan à déclencher si l'adéquation tombe.

La question à l'envers : ce que votre client vous demandera de prouver

Un éditeur SaaS ne se fait presque jamais sanctionner pour avoir hébergé chez un acteur américain. Il perd des appels d'offres, ou signe des engagements qu'il ne peut pas tenir, parce qu'il est incapable de produire trois documents en 48 heures : la preuve du mécanisme de transfert sur lequel il s'appuie, la liste à jour de ses sous-traitants ultérieurs et de leur localisation, et la procédure applicable si une autorité étrangère réclame des données.

L'article 5, paragraphe 2, du RGPD renverse la charge : c'est à vous de prouver que vous êtes en règle. Sur un contrat SaaS, votre client est responsable de traitement et vous êtes sous-traitant. Il porte l'obligation d'encadrer le transfert, mais vous détenez l'information. L'article 28, paragraphe 3, sous a), vous impose d'ailleurs de ne traiter les données que sur instruction documentée, transferts hors Union compris.

Le coût du défaut de documentation est connu. Le 22 mai 2023, l'autorité irlandaise a infligé à Meta Ireland une amende de 1,2 milliard d'euros pour des transferts vers les États-Unis fondés sur des clauses contractuelles types assorties de mesures supplémentaires jugées insuffisantes, avec injonction de suspendre les transferts. À l'échelle d'un éditeur de 40 personnes, le plafond de l'article 83 du RGPD reste de 20 millions d'euros ou 4 % du chiffre d'affaires mondial : le manquement aux règles de transfert relève de la tranche haute.

La décision d'adéquation : ce qu'elle couvre exactement

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le cadre de protection des données UE-États-Unis. Son effet est celui de l'article 45 du RGPD : le transfert vers un destinataire couvert ne nécessite aucune autorisation particulière, ni clauses contractuelles types, ni analyse d'impact du transfert. C'est un allègement considérable, et c'est précisément ce qui rend sa portée exacte si importante.

Cette décision ne dit pas que « les États-Unis sont adéquats ». Elle dit que les entreprises américaines qui se sont auto-certifiées auprès du Département du commerce, qui figurent sur la liste publique du programme avec un statut actif, et qui ont déclaré couvrir la catégorie de données concernée, offrent un niveau de protection adéquat. Trois conditions cumulatives, dont aucune n'est acquise de façon permanente : la certification se renouvelle chaque année et peut passer en statut inactif.

Une filiale n'hérite pas du certificat de sa maison mère

L'entité qui contracte avec vous n'est pas toujours celle qui est certifiée. Un contrat signé avec la filiale irlandaise ou luxembourgeoise d'un groupe américain ne relève même pas de la décision d'adéquation, puisque l'importateur est européen : ce qu'il faut alors regarder, ce sont les entités américaines du groupe qui accèdent effectivement aux données. La question n'est jamais « ce fournisseur est-il certifié ? » mais « quelle entité reçoit ou consulte mes données, et à quel titre ? ».

Un accès distant est un transfert

Dans leurs lignes directrices 05/2021 adoptées dans leur version finale le 14 février 2023, les autorités européennes ont posé trois critères cumulatifs : l'exportateur est soumis au RGPD, il communique ou met à disposition des données, et l'importateur se trouve dans un pays tiers. Aucun déplacement de fichier n'est requis. Une équipe de support qui se connecte depuis l'Inde à votre console d'administration réalise un transfert vers l'Inde, que la décision d'adéquation américaine ne couvre évidemment pas. C'est le point que la plupart des éditeurs oublient dans leur cartographie, et c'est celui que les clients bancaires et assurantiels vérifient en premier.

Vérifier qu'un fournisseur est réellement couvert

Le 15 janvier 2026, le Comité européen de la protection des données a publié la deuxième version de sa foire aux questions destinée aux entreprises européennes qui transfèrent vers des sociétés américaines certifiées. Le message tient en une phrase : avant tout transfert, l'exportateur doit vérifier que l'entreprise américaine détient une auto-certification active et que celle-ci couvre les données en cause.

En pratique, la vérification prend cinq minutes sur le moteur de recherche des participants du programme, et porte sur quatre points :

• le nom exact de l'entité qui reçoit les données, tel qu'il figure dans votre contrat, et non le nom commercial du groupe ;
• le statut de la certification, actif et non inactif, avec sa date de renouvellement ;
• le cadre couvert, car la certification pour le cadre suisse ou pour l'extension britannique ne vaut pas couverture du cadre UE-États-Unis ;
• le périmètre déclaré, en particulier la distinction entre données de ressources humaines et autres données, qui fait l'objet d'engagements différents.

Cette vérification se conserve : une capture datée, versée au registre des traitements. Elle se refait au moins une fois par an et à chaque renouvellement contractuel.

Point de vigilance : une clause affirmant « le prestataire est certifié Data Privacy Framework » ne prouve rien. Ce qui prouve, c'est la copie datée de la fiche de participation, plus l'engagement du prestataire de vous informer sans délai de toute perte ou suspension de sa certification. Sans cette obligation, vous découvrirez le passage en statut inactif lors de votre prochain audit, c'est-à-dire trop tard.

Le Cloud Act : ce qu'il permet, ce qu'il ne permet pas

Le Clarifying Lawful Overseas Use of Data Act de 2018 a modifié le Stored Communications Act pour préciser qu'un fournisseur de services de communication ou d'informatique à distance soumis à la juridiction américaine doit produire les données qu'il détient, conserve ou contrôle, que celles-ci soient stockées aux États-Unis ou à l'étranger. Le critère est le contrôle sur la donnée, pas la localisation du disque. Une filiale européenne contrôlée par une société américaine entre dans le champ.

Deux précisions changent l'analyse de risque. Le Cloud Act n'est pas un dispositif de surveillance de masse : il s'inscrit dans une procédure pénale et exige un acte judiciaire, un mandat fondé sur une cause probable pour le contenu des communications. Les programmes de renseignement relèvent d'autres fondements, notamment la section 702 du FISA, que la Cour de justice avait visés dans son arrêt du 16 juillet 2020. Par ailleurs, le fournisseur peut contester une injonction, mais le mécanisme d'opposition fondé sur la courtoisie internationale suppose un accord bilatéral qualifié : il en existe un avec le Royaume-Uni, en vigueur depuis 2022, et un avec l'Australie ; il n'en existe toujours pas avec l'Union européenne en 2026.

Enfin, les fournisseurs eux-mêmes ne nient plus le risque. Le 10 juin 2025, devant la commission d'enquête sénatoriale sur la commande publique, le directeur des affaires publiques et juridiques de Microsoft France, interrogé sous serment sur sa capacité à garantir que des données françaises ne seraient jamais transmises aux autorités américaines, a répondu qu'il ne pouvait pas le garantir. La réponse est la seule honnête, et elle vaut pour tous les acteurs concernés.

La conclusion opérationnelle n'est pas d'abandonner les hyperscalers, mais d'admettre un risque de faible probabilité et de fort impact, puis de le traiter par l'architecture et le contrat plutôt que par le déni.

Le conflit avec l'article 48 du RGPD et la loi de blocage

L'article 48 du RGPD est la disposition la plus utile de tout le chapitre V pour un éditeur, et la moins citée dans les contrats. Il prévoit qu'une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant la communication de données ne peut être reconnue ou rendue exécutoire qu'à la condition d'être fondée sur un accord international en vigueur, tel qu'un traité d'entraide judiciaire. Autrement dit : une injonction américaine notifiée directement à une société européenne n'a, en droit de l'Union, aucune force exécutoire.

Les lignes directrices 02/2024 consacrées à cet article, adoptées dans leur version finale le 4 juin 2025, ajoutent la nuance décisive : l'article 48 n'est pas lui-même un fondement autorisant la communication. Répondre à une demande étrangère reste un traitement qui suppose une base légale au sens de l'article 6 et un outil de transfert au sens du chapitre V. Une entreprise européenne qui transmet spontanément des données à une autorité américaine « pour coopérer » commet donc un manquement, même de bonne foi.

À cela s'ajoute une contrainte proprement française, souvent découverte trop tard. L'article 1er bis de la loi n° 68-678 du 26 juillet 1968 interdit à toute personne de rechercher ou de communiquer des documents ou renseignements d'ordre économique, commercial, industriel, financier ou technique tendant à la constitution de preuves en vue de procédures judiciaires ou administratives étrangères. L'article 3 punit l'infraction de six mois d'emprisonnement et de 18 000 euros d'amende. Un dirigeant qui répond seul à une demande venue de l'étranger s'expose personnellement.

La traduction contractuelle doit figurer dans votre accord de sous-traitance comme dans celui que vous imposez à votre hébergeur : notification au client de toute demande d'autorité étrangère, sauf interdiction légale ; contestation systématique des demandes générales ou non conformes au droit de l'Union ; minimisation stricte de ce qui est produit ; journalisation. C'est ce qu'avait négocié Doctolib avec son hébergeur, et cela a pesé dans la décision examinée plus loin.

L'analyse d'impact du transfert, quatre pages qui suffisent

La CNIL a publié le 9 juillet 2025 la version finale de son guide pratique sur l'analyse d'impact des transferts de données. Deux enseignements de méthode en découlent.

Le premier porte sur le périmètre : l'analyse est requise pour les transferts encadrés par les outils de l'article 46, clauses contractuelles types et règles d'entreprise contraignantes. Elle n'est pas exigée lorsque le transfert repose sur une décision d'adéquation ou sur une dérogation de l'article 49. Un éditeur qui s'appuie valablement sur la certification américaine de son fournisseur n'a donc pas à produire d'analyse d'impact pour ce flux, mais la preuve de la certification. Beaucoup de projets s'épuisent à rédiger le mauvais document.

Le second est un enseignement de structure. La méthode de la CNIL se déroule en six étapes : connaître son transfert, identifier l'outil de transfert utilisé, évaluer la législation et les pratiques du pays de destination, recenser et adopter des mesures supplémentaires, mettre en œuvre ces mesures, puis réévaluer à intervalles appropriés le niveau de protection. Quatre pages suffisent pour un flux donné : une page de cartographie (quelles données, quel volume, quelle entité destinataire, quels sous-traitants ultérieurs), une demi-page sur l'outil, une page sur le droit du pays de destination, une page de mesures supplémentaires, et une conclusion datée avec une date de revue.

Ce qui fait échouer une analyse d'impact

Trois défauts reviennent systématiquement : l'analyse générique, recopiée d'un modèle et applicable à n'importe quel transfert, donc à aucun ; l'analyse sans conclusion, qui décrit le risque sans dire si le transfert peut avoir lieu ; l'analyse jamais revue, alors que la sixième étape impose la réévaluation. Quatre pages datées et revues chaque année valent mieux que trente pages produites une fois. Notez que les clauses contractuelles types en vigueur restent celles de 2021 : le jeu annoncé pour les importateurs déjà soumis au RGPD par l'effet de son article 3, paragraphe 2, n'a toujours pas été adopté.

Chiffrement et détention des clés : la seule mesure qui déplace le curseur

Parmi les mesures supplémentaires, le chiffrement est la seule qui change réellement l'analyse, et à une condition : que le fournisseur ne puisse pas déchiffrer. Si votre hébergeur peut restaurer vos données en clair pour vous dépanner, il peut le faire pour une autorité. La question n'est donc pas « les données sont-elles chiffrées ? », qui reçoit toujours une réponse positive, mais « qui détient les clés, et le fournisseur peut-il y accéder seul ? ».

Le juge des référés du Conseil d'État l'a validé dans son ordonnance du 12 mars 2021, InterHop et autres, n° 450163. Saisi d'une demande de suspension du partenariat de vaccination confié à Doctolib, hébergé chez la filiale luxembourgeoise d'Amazon Web Services, il a écarté le recours en relevant un faisceau précis : des données limitées à l'identification et aux rendez-vous, sans motif médical, supprimées au plus tard trois mois après ; un hébergement en France et en Allemagne chez un prestataire certifié hébergeur de données de santé au sens de l'article L. 1111-8 du code de la santé publique ; un avenant instaurant une procédure de contestation des demandes d'accès non conformes au droit de l'Union ; et un chiffrement reposant sur un tiers de confiance situé en France. Le niveau de protection n'a pas été jugé manifestement insuffisant.

C'est une décision de référé, rendue dans un contexte d'urgence sanitaire, et elle ne vaut pas blanc-seing. Mais elle donne la combinaison gagnante : minimisation, durée courte, clause de résistance aux demandes étrangères, et clés hors de portée du fournisseur.

Conseil d'avocat : méfiez-vous du chiffrement présenté comme une case cochée. Trois limites doivent figurer noir sur blanc dans l'analyse. Les métadonnées échappent presque toujours au chiffrement applicatif et sont souvent aussi révélatrices que le contenu. Les données en cours de traitement sont en clair en mémoire. Et un coffre à clés géré par le fournisseur lui-même vous laisse au point de départ. Je fais systématiquement écrire le nom de l'entité qui détient la clé maître et le pays où elle est établie.

Le plan de repli si l'adéquation tombe

C'est la section que la plupart des éditeurs sautent, et c'est la seule qui aura de la valeur le jour venu. État des lieux à ce jour, précisément daté.

Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours en annulation formé par le député Philippe Latombe, jugeant notamment la juridiction de recours américaine suffisamment indépendante. Un pourvoi a été formé devant la Cour de justice le 31 octobre 2025, affaire C-703/25 P, toujours pendant et sans date d'audience annoncée. Microsoft est intervenue le 28 juin 2026 au soutien de la Commission.

En parallèle, l'édifice institutionnel sur lequel repose l'adéquation s'est dégradé. L'organe américain de contrôle du renseignement est privé de quorum depuis la révocation de trois de ses cinq membres le 27 janvier 2025, ce qui l'empêche d'assurer les revues annuelles prévues. Puis, le 29 juin 2026, la Cour suprême des États-Unis a rendu l'arrêt Trump v. Slaughter, qui écarte la jurisprudence Humphrey's Executor de 1935 et reconnaît au président le pouvoir de révoquer discrétionnairement les membres des autorités administratives indépendantes. Le 31 juillet 2026, le Comité européen de la protection des données a demandé à la Commission d'examiner si cette décision affecte la validité de l'adéquation, l'indépendance des autorités de contrôle étant un critère central de l'appréciation.

Deux scénarios de rupture existent, et ils n'ont pas le même rythme. Une annulation par la Cour de justice produit un effet immédiat, sans période de transition : c'est ce qui s'est passé le 16 juillet 2020 pour le cadre précédent. Une suspension décidée par la Commission serait plus progressive, mais rien ne l'oblige à ménager un délai confortable. Dans les deux cas, le temps de réaction se compte en semaines.

Le plan tient en quatre lignes, et les trois premières ne coûtent rien.

1. Le mécanisme de substitution contractuel. Faites signer dès aujourd'hui, avec vos fournisseurs américains comme avec vos clients, les clauses contractuelles types de 2021 en annexe dormante, applicables de plein droit si la décision d'adéquation est annulée, suspendue ou modifiée. C'est la ligne la plus rentable de votre dossier de conformité : elle vous évite de renégocier dans l'urgence avec un fournisseur qui aura, ce jour-là, quelques milliers de clients à traiter avant vous.
2. L'analyse d'impact déjà écrite. Rédigez maintenant, dans le scénario clauses contractuelles types, l'analyse d'impact des six étapes de la CNIL, et rangez-la. Le jour où l'adéquation tombe, elle est datée, relue et opposable, au lieu d'être improvisée.
3. La réversibilité opérationnelle. Le règlement européen sur les données, applicable depuis le 12 septembre 2025, impose aux fournisseurs d'informatique en nuage de lever les obstacles au changement de prestataire, avec un préavis et une période de transition encadrés, et interdit totalement les frais de changement à compter du 12 janvier 2027. Vérifiez que votre contrat reflète ces droits, exigez les formats d'export et testez une restauration complète. Un plan de réversibilité jamais testé est une fiction.
4. La séparation par catégorie de données. Identifiez le sous-ensemble qui devrait effectivement changer d'hébergement en cas de rupture et chiffrez la migration en jours-homme. Il représente le plus souvent une fraction du volume total : savoir laquelle transforme un risque existentiel en projet borné.

Quand la souveraineté devient une obligation et non un argument commercial

Deux régimes coexistent. Pour la quasi-totalité des éditeurs SaaS privés, aucune règle n'impose un hébergement souverain : l'exigence vient du marché et des questionnaires d'appel d'offres, ce qui la rend souvent plus contraignante que la loi.

Pour d'autres, l'obligation est écrite. L'article 31 de la loi n° 2024-449 du 21 mai 2024 impose aux administrations de l'État, à ses opérateurs et à certains groupements d'intérêt public, lorsque le système traite des données d'une sensibilité particulière, de veiller à ce que le service d'informatique en nuage mette en œuvre des critères garantissant la protection contre tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union ou d'un État membre. Le texte ne vise pas votre société, mais il descend jusqu'à vous par le contrat dès que vous vendez à une administration. Dans la santé, la certification d'hébergeur de données de santé de l'article L. 1111-8 du code de la santé publique répond à une exigence de sécurité, pas d'immunité aux lois extraterritoriales : les deux questions se cumulent, comme le montre le dossier de la souveraineté du cloud et de la qualification SecNumCloud.

Le reste relève de l'arbitrage, que les exigences applicables aux transferts internationaux, les points de vigilance du contrat d'externalisation cloud et l'historique de l'adéquation américaine aident à poser. Ce qui décide, c'est la classification de vos données : le cœur sensible d'un côté, le reste de l'autre, avec une justification écrite pour chacun.

Ce qu'il faut retenir

Héberger chez un acteur américain reste licite. Ce qui ne l'est pas, c'est de le faire sans savoir sur quel mécanisme vous vous appuyez, sans avoir vérifié que votre fournisseur est couvert, sans clause de résistance aux demandes d'autorités étrangères et sans plan de repli signé d'avance. Les trois pièces qui font la différence tiennent en quelques heures : la preuve datée de la couverture de votre fournisseur, une analyse d'impact de quatre pages prête pour le scénario de rupture, et une annexe de clauses contractuelles types dormante dans chaque contrat.

J'accompagne les éditeurs SaaS sur ce triptyque, de la cartographie des flux à la rédaction des clauses opposables, dans le cadre d'une mise en conformité RGPD adaptée aux contraintes propres aux éditeurs de logiciels et SaaS. Si vous devez répondre à un questionnaire client la semaine prochaine ou sécuriser un choix d'hébergement pour les cinq ans à venir, vous pouvez échanger sur votre situation directement avec moi.