Patriot Act et Cloud Act : faut-il vraiment fuir les clouds américains
Imaginez que vous louez un coffre-fort dans une banque suisse. Le coffre est en Suisse, la clé est en Suisse, vos documents sont en Suisse. Mais le propriétaire de la banque est américain. Et un beau matin, le FBI débarque (non pas à Genève, mais à New York) et dit au siège : « ouvrez le coffre numéro 4 712 ». Le propriétaire s’exécute, parce que la loi américaine l’y oblige. Si vous arrivez depuis le guide sur la souveraineté et le RGPD dans le cloud européen, vous savez déjà que la localisation de vos serveurs ne protège rien du tout quand l’opérateur est soumis au droit américain. Cette analogie du coffre-fort n’est pas une métaphore : c’est exactement le mécanisme du Cloud Act.
La réponse courte à « faut-il fuir les clouds US ? » est : si vous traitez des données personnelles de citoyens européens, vous n’avez pas le choix. Le RGPD l’interdit dans les faits. Si vous traitez des données commerciales sensibles (plans stratégiques, propriété intellectuelle, contrats), la prudence élémentaire devrait suffire à vous convaincre.
Deux lois, un même résultat : l’accès extraterritorial à vos données
Le Patriot Act a été voté six semaines après le 11 septembre 2001, dans un élan d’unanimité nationale qui n’avait pas vraiment le temps de s’embarrasser de nuances juridiques. Sa Section 215 permettait au FBI d’obtenir des « business records » (un terme volontairement vague qui inclut à peu près tout) via un tribunal secret (la FISA Court) sans que la cible soit informée. En 2015, le USA FREEDOM Act a limité certains des excès les plus voyants, mais le mécanisme de base reste intact.
Le Cloud Act, voté en 2018, est plus chirurgical et, d’une certaine manière, plus dangereux. Il ne se cache pas derrière des tribunaux secrets. Il dit simplement, noir sur blanc : toute entreprise américaine doit fournir les données stockées sur ses serveurs, où que ces serveurs se trouvent dans le monde. L’article 2713 du titre 18 du US Code est d’une clarté brutale. Pas de zone grise, pas d’ambiguïté, pas de marge de manoeuvre.
Ce que le RGPD exige pour le stockage cloud européen
Le conflit est frontal, et ce que le RGPD exige pour le stockage cloud mérite un article à part entière. L’article 48 du RGPD interdit le transfert de données personnelles vers un pays tiers en l’absence de garanties adéquates. Le Cloud Act ordonne exactement ce transfert. Un fournisseur américain qui reçoit une injonction se retrouve littéralement en infraction quel que soit son choix : s’il obéit, il viole le RGPD ; s’il refuse, il viole le droit américain. Microsoft l’a reconnu publiquement dans ses rapports de transparence : ce n’est pas un secret.
Google, Amazon et Microsoft traitent chaque année des dizaines de milliers de demandes d’accès gouvernementales. Google a publié plus de 180 000 demandes pour le seul premier semestre 2024. La grande majorité concerne des comptes individuels, mais les demandes visant des comptes d’entreprise existent et augmentent. Le problème n’est pas la fréquence : c’est le fait que le mécanisme existe et qu’il est légal.
Schrems II et le Cloud Act : des risques bien au-delà des mots
L’arrêt Schrems II a invalidé le Privacy Shield en 2020 précisément à cause de cette contradiction. La CJUE a jugé que le droit américain n’offrait pas un niveau de protection « substantiellement équivalent » au droit européen. Le successeur du Privacy Shield, le Data Privacy Framework adopté en 2023, repose sur un décret présidentiel américain (Executive Order 14086) qui peut être révoqué par le prochain président d’un trait de plume. Ce n’est pas une base légale solide. C’est un château de cartes politique.
Les risques concrets du Cloud Act pour les entreprises européennes vont au-delà de la conformité réglementaire. Il y a l’espionnage industriel (les demandes FISA ne sont pas limitées au terrorisme), la perte de contrôle sur les données clients, et le risque réputationnel. Quand Max Schrems a attaqué Facebook, ce n’était pas pour le plaisir du contentieux : c’était parce que les données de millions d’Européens étaient accessibles à la NSA via PRISM, un programme dont l’existence même n’était pas censée être publique.
La sortie de secours existe, et elle n’est pas compliquée : utiliser un fournisseur cloud dont le siège social et l’infrastructure sont situés dans une juridiction qui ne peut pas recevoir d’injonction américaine. La Suisse, avec la nLPD entrée en vigueur en 2023, offre un cadre juridique solide et indépendant. Les fournisseurs européens (OVHcloud, Hetzner, Scaleway) sont également hors de portée du Cloud Act. Le choix n’est pas technique : Google Drive, OneDrive et kDrive font grosso modo la même chose. Le choix est juridique. Et en matière de juridiction, il n’y a pas de demi-mesure.