Cloud Act et entreprises européennes : les risques qu'on préfère ignorer
Posons le décor. Vous êtes DSI d’une entreprise européenne de 200 personnes. Vos équipes utilisent Microsoft 365 : emails, OneDrive, Teams, SharePoint. Un matin, Microsoft reçoit un mandat (warrant) du Department of Justice américain demandant l’accès aux emails de votre directeur commercial. Microsoft s’exécute, parce que le Cloud Act l’y oblige. Vous n’êtes pas informé. Votre directeur commercial n’est pas informé. La demande peut inclure une clause de non-divulgation (gag order) qui interdit à Microsoft de vous prévenir. Si cette situation vous semble du domaine de la fiction, c’est parce que les entreprises concernées n’en parlent pas, précisément à cause de ces clauses. Si vous venez du guide sur la souveraineté et le RGPD dans le cloud, vous savez que ce scénario est juridiquement banal.
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), voté en mars 2018, a une fonction très précise : éliminer toute ambiguïté sur l’obligation des entreprises américaines de fournir des données, où que ces données soient stockées. Avant le Cloud Act, Microsoft avait refusé de fournir au FBI des emails hébergés en Irlande (l’affaire Microsoft Corp. v. United States, 2016). Le Cloud Act a été voté spécifiquement pour que cette situation ne se reproduise plus.
Les trois risques que votre DPO sous-estime probablement
Le premier risque est juridique. Si une autorité américaine accède à des données personnelles de citoyens européens via le Cloud Act, votre entreprise, en tant que responsable de traitement au sens du RGPD, est en infraction avec l’article 48. Pas votre fournisseur cloud. Vous. La nuance est cruciale : c’est le responsable de traitement qui prend l’amende, pas le sous-traitant. Et l’amende peut atteindre 4% du chiffre d’affaires annuel mondial ou 20 millions d’euros, selon le montant le plus élevé.
Le deuxième risque est opérationnel. Le Cloud Act ne se limite pas aux affaires criminelles. Les demandes peuvent provenir de toute autorité fédérale ou locale américaine, y compris dans le cadre d’enquêtes de contre-espionnage (FISA Section 702) ou de litiges commerciaux entre entreprises américaines et européennes. Imaginons qu’un concurrent américain vous attaque en justice aux États-Unis. Dans le cadre du discovery, il peut obtenir un subpoena qui force votre fournisseur cloud américain à produire vos documents internes. Vos plans stratégiques, vos négociations en cours, vos marges : tout est potentiellement accessible.
Le troisième risque est réputationnel. Quand l’autorité autrichienne de protection des données a jugé Google Analytics non conforme en janvier 2022, les entreprises qui l’utilisaient se sont retrouvées sous le feu des projecteurs. La même logique s’applique au cloud : si une violation de données est rendue publique parce qu’un fournisseur américain a dû se conformer à une injonction Cloud Act, la confiance de vos clients et partenaires en prend un coup.
L’arrêt Schrems II n’a pas résolu le conflit
L’arrêt Schrems II a invalidé le Privacy Shield, mais il n’a pas créé de mécanisme pour résoudre le conflit entre le RGPD et le Cloud Act. Le Data Privacy Framework (2023) ne traite pas non plus du Cloud Act. Il traite de la surveillance gouvernementale (Section 702 du FISA), ce qui est un problème connexe mais différent. Le Cloud Act est un mécanisme de coopération judiciaire, pas un programme de surveillance. La distinction juridique est importante, et elle explique pourquoi le DPF ne résout pas le problème.
Les clauses contractuelles types (SCC) ne résolvent rien non plus. Microsoft, Google et Amazon proposent tous des DPA (Data Processing Agreements) exemplaires, rédigés par des armées d’avocats. Mais un DPA est un contrat de droit privé. Le Cloud Act est une loi fédérale. En cas de conflit, la loi fédérale l’emporte, toujours. Votre fournisseur peut être de bonne foi, avoir les meilleures intentions du monde, et être quand même dans l’impossibilité juridique de respecter ses engagements contractuels envers vous.
Le Patriot Act en embuscade : une couche supplémentaire
Le Patriot Act ajoute une dimension supplémentaire. La Section 215 (désormais encadrée par le USA FREEDOM Act) et les National Security Letters permettent au FBI de demander des métadonnées (qui contacte qui, quand, combien de fois) sans passer par un juge. Les NSL incluent systématiquement une clause de non-divulgation. Votre fournisseur ne peut pas vous dire qu’il a reçu une NSL, et vous ne pouvez pas savoir que vos métadonnées ont été consultées.
Les chiffres sont parlants. Microsoft a reçu entre 0 et 499 demandes FISA au premier semestre 2023 (la loi interdit de donner le chiffre exact, oui, vraiment). Google a reçu dans la même fourchette. Amazon ne publie même pas ces chiffres. Le manque de transparence fait partie du design du système.
La solution n’est pas de négocier de meilleures clauses contractuelles avec votre fournisseur américain. C’est de choisir un fournisseur qui n’est pas soumis au Cloud Act. Un fournisseur suisse comme Infomaniak, ou un fournisseur européen comme OVHcloud, ne peut pas recevoir d’injonction Cloud Act, parce que le Cloud Act ne s’applique qu’aux entreprises américaines et à leurs filiales. Ce n’est pas une question de technologie. C’est une question de juridiction. Et la juridiction, contrairement à une fonctionnalité logicielle, ne se négocie pas.