Cloud souverain, SecNumCloud et Cloud Act : où sont vraiment vos données ?

Où sont vos données ? La réponse spontanée (« chez notre hébergeur, en Europe ») est presque toujours incomplète. La localisation physique d'un serveur ne dit rien du droit qui s'applique aux données qu'il contient : un hébergeur dont la maison mère est américaine peut être contraint de communiquer des données aux autorités des États-Unis, même stockées à Paris. Entre le Cloud Act américain, la qualification SecNumCloud de l'ANSSI et le projet européen de Cloud and AI Development Act présenté en juin 2026, voici de quoi répondre précisément à la question, et surtout décider ce qui doit être protégé, à quel niveau, et dans quels contrats.

Le Cloud Act : pourquoi la localisation de vos serveurs ne suffit pas

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté aux États-Unis en 2018 et codifié au titre 18, section 2713 du Code des États-Unis, permet aux autorités américaines d'exiger d'un fournisseur soumis à la juridiction américaine la communication de données qu'il détient ou contrôle, indépendamment du lieu de stockage. La section 702 du FISA complète ce dispositif pour le renseignement.

La conséquence pratique est directe : une filiale européenne d'un groupe américain, ou une entité européenne contrôlée par une société américaine, peut se voir contrainte de communiquer des données hébergées dans l'Union. La CNIL l'a rappelé expressément dans son communiqué du 19 juillet 2024 sur le schéma européen EUCS : un hébergeur dont la société mère est établie aux États-Unis peut être contraint de communiquer des données aux autorités américaines, quel que soit le lieu de stockage physique. Le débat sur la souveraineté n'est donc pas un débat de datacenters : c'est un débat de droit applicable et de structure capitalistique.

SecNumCloud : le seul référentiel qui traite l'immunité extraterritoriale

SecNumCloud est la qualification de sécurité délivrée par l'ANSSI aux fournisseurs de services cloud (IaaS, PaaS, SaaS, CaaS). Son référentiel en vigueur, la version 3.2 publiée en mars 2022, compte plus de 360 critères couvrant la sécurité technique, organisationnelle et opérationnelle. Sa singularité en Europe tient à son volet juridique : il intègre des critères d'immunité aux législations extraterritoriales (Cloud Act, FISA), avec des exigences sur la structure capitalistique et les droits de vote du prestataire, conçues pour qu'aucune entité hors Union ne puisse le contraindre juridiquement.

C'est ce qui distingue SecNumCloud des certifications avec lesquelles on le confond souvent :

• ISO 27001 atteste un système de management de la sécurité, sans rien dire du droit applicable ni de l'actionnariat ;
• HDS (hébergement de données de santé) impose un cadre sécurité spécifique au secteur santé, mais un hébergeur américain peut être certifié HDS ;
• SecNumCloud seul garantit à la fois le niveau de sécurité et l'immunité juridique extraterritoriale.

En juillet 2026, une dizaine d'offres sont qualifiées SecNumCloud, la liste officielle étant tenue à jour par l'ANSSI. Le vivier reste étroit, ce qui impose d'anticiper : les capacités disponibles chez les prestataires qualifiés ne sont pas illimitées et les projets de migration s'étalent sur plusieurs mois.

Qui est obligé, qui devrait choisir : la cartographie des exigences

Les obligations dures

Pour l'État et ses opérateurs, la doctrine « cloud au centre » (circulaire de 2021, actualisée en 2023) et l'article 31 de la loi SREN imposent que les projets cloud de l'État portant sur des données sensibles recourent à une offre immune des législations extraterritoriales, ce qui désigne en pratique une offre qualifiée SecNumCloud. Les entreprises privées qui contractent avec le secteur public sur des données sensibles héritent contractuellement de ces exigences.

Les standards de fait

Au-delà de l'obligation stricte, SecNumCloud devient un standard attendu dans les secteurs régulés et pour les entités soumises à NIS2 : santé (en complément de la certification HDS pour l'hébergement de données de santé), finance, défense, mais aussi éditeurs SaaS dont les clients grands comptes exigent des garanties de souveraineté dans les appels d'offres. La question n'est plus « sommes-nous obligés ? » mais « que perdons-nous commercialement à ne pas l'être ? ».

Le CADA : l'Europe reprend le modèle français

Le 3 juin 2026, la Commission européenne a présenté sa proposition de règlement Cloud and AI Development Act (CADA), pièce maîtresse de son paquet de souveraineté technologique. Le texte poursuit deux objectifs : développer massivement les capacités européennes de calcul (tripler la capacité de datacenters d'ici 2030, viser l'autonomie à l'horizon 2035), et introduire un cadre de souveraineté à quatre niveaux d'assurance pour les fournisseurs cloud et IA, conditionnant l'accès à la commande publique. Le niveau le plus élevé s'inspire directement du référentiel SecNumCloud : localisation, résilience, absence d'ingérence d'un pays tiers et contrôle capitalistique européen.

Ce mouvement intervient après le blocage du schéma de certification européen EUCS, dont le critère d'immunité aux lois extraterritoriales a été retiré au fil des négociations, retrait contre lequel la CNIL s'était publiquement élevée. Le CADA réintroduit la souveraineté par un autre canal : non plus la certification générale, mais la commande publique. C'est une proposition de règlement, encore soumise à négociation : rien n'est acquis, mais la direction est posée, et elle valide la stratégie française.

Conseil d'avocat : ne construisez pas votre stratégie cloud sur le CADA, qui n'est qu'une proposition. Construisez-la sur les textes en vigueur (SREN, doctrine cloud au centre, NIS2, RGPD) et considérez le CADA comme un signal de direction : les exigences de souveraineté vont se renforcer, pas s'assouplir. Un choix d'hébergement se fait pour cinq à dix ans, il doit intégrer cette trajectoire.

Souveraineté et RGPD : deux questions distinctes qui se cumulent

La souveraineté est souvent confondue avec la conformité RGPD des transferts. Ce sont deux analyses distinctes. Le RGPD encadre les transferts de données personnelles hors Union : un transfert vers les États-Unis peut être licite dans le cadre du mécanisme d'adéquation en vigueur. La question de souveraineté est différente : même sans transfert, même avec des données exclusivement stockées en Europe, l'exposition au Cloud Act subsiste si le fournisseur est soumis à la juridiction américaine.

L'analyse complète croise donc trois plans : la conformité RGPD des traitements et transferts (avec la sous-traitance cloud au sens de l'article 28), l'exposition juridique extraterritoriale du fournisseur, et les exigences sectorielles propres à vos données (santé, finance, défense, secteur public). Trois questions, trois réponses possiblement différentes, un seul choix d'architecture au final.

La méthode : classifier avant de choisir

La souveraineté intégrale coûte cher et n'est pas nécessaire pour tout. La démarche rationnelle procède en quatre temps :

1. Classifier vos données : données sensibles au sens réglementaire (santé, données d'intérêt stratégique, secrets d'affaires critiques), données personnelles courantes, données techniques sans criticité. Chaque catégorie appelle un niveau d'exigence différent ;
2. Cartographier vos dépendances réelles : au-delà de l'hébergeur principal, identifier les sous-traitants ultérieurs, les briques SaaS intégrées, les outils d'administration et de supervision. L'exposition extraterritoriale se niche souvent dans un maillon secondaire ;
3. Arbitrer par catégorie : SecNumCloud pour le cœur sensible, cloud européen standard ou hyperscaler pour le reste, selon le rapport coût-risque. La souveraineté n'oblige pas à abandonner les hyperscalers : elle oblige à savoir précisément ce qu'on leur confie ;
4. Sécuriser contractuellement : clauses de localisation et de non-transfert, information sur les demandes d'autorités étrangères, garanties sur la chaîne de sous-traitance, réversibilité conforme au Data Act pour pouvoir sortir. Le contrat est l'outil qui transforme une promesse commerciale de souveraineté en engagement opposable.

Les questions à poser à votre fournisseur avant de signer

Cinq questions suffisent à faire le tri dans les discours commerciaux : qui contrôle le capital et les droits de vote de l'entité contractante, et jusqu'à quel niveau de la chaîne de détention ? L'entité ou une société de son groupe est-elle soumise à la juridiction d'un pays tiers ? Où sont localisées les données, y compris les sauvegardes et les environnements de support ? Qui peut techniquement accéder aux données (administration, supervision, support), et depuis où ? Quelle est la procédure contractuelle en cas de demande d'une autorité étrangère ? Un fournisseur souverain répond à ces cinq questions par écrit sans difficulté. Les réponses évasives sont une réponse en soi.

Ce qu'il faut retenir pour décider

La localisation européenne de vos serveurs ne vous protège pas du Cloud Act si votre fournisseur est exposé à la juridiction américaine. SecNumCloud est aujourd'hui le seul référentiel qui traite cette exposition, le CADA propose de généraliser cette approche à l'échelle européenne via la commande publique, et la trajectoire réglementaire va clairement vers plus d'exigences de souveraineté. La bonne décision n'est ni le tout-souverain ni le statu quo : c'est une classification de vos données suivie d'un arbitrage documenté, sécurisé par des contrats d'hébergement et de cloud qui transforment les promesses en engagements. Si vous voulez cartographier votre exposition ou sécuriser un projet de migration, vous pouvez échanger sur votre situation directement avec moi.