CLOUD Act

Le déclencheur a été une enquête sur un trafic de drogue en 2013. Les autorités américaines ont signifié à Microsoft un mandat pour des e-mails stockés sur des serveurs en Irlande, et Microsoft a refusé, en soutenant que le Stored Communications Act ne s'étendait pas aux données détenues à l'étranger. Le Congrès a répondu avec le CLOUD Act, qui a modifié cette loi, et la Cour suprême a renvoyé l'affaire comme sans objet en avril 2018.

La loi a aussi créé des executive agreements, une voie plus rapide que les traités d'entraide judiciaire, par lesquels des États partenaires peuvent demander des données directement aux prestataires du pays de l'autre. Le premier accord, avec le Royaume-Uni, est entré en vigueur le 8 juillet 2020. Le Conseil de l'UE a autorisé la Commission à négocier un accord de l'UE en juin 2019. Un obstacle est l'article 48 du RGPD, selon lequel une décision de justice étrangère ne rend pas à elle seule licite un transfert de données personnelles, sauf si elle repose sur un accord international.

La circulaire de la BaFin sur l'externalisation vers le cloud demande à une banque d'évaluer le droit de chaque juridiction concernée, y compris les règles d'application de la loi, et le lieu du siège du prestataire. Le guide de la BCE sur l'externalisation cloud demande une liste de pays autorisés qui pondère le risque juridique et politique. Une maison mère américaine est donc une donnée de l'évaluation des risques de la banque, même quand chaque serveur est dans l'UE.

Microsoft France a rendu cet écart visible en juin 2025. Interrogé sous serment lors d'une commission d'enquête du Sénat français pour savoir s'il pouvait garantir que les données de citoyens français n'atteindraient pas les autorités américaines sans accord français, son directeur des affaires publiques et juridiques a répondu, comme l'a rapporté The Register: « No, I cannot guarantee that, but, again, it has never happened before. » Il a ajouté que Microsoft conteste les demandes qu'il juge infondées.

Le chiffrement avec des clés que la banque détient elle-même limite ce qu'un prestataire peut remettre, car le CSIS note que la loi n'oblige pas les prestataires à déchiffrer les données. Le confidential computing étend cette protection aux données pendant leur traitement. Le cloud souverain pour les banques place l'exploitation et les accès administrateur au sein d'une entité de l'UE.

Aucune de ces mesures ne supprime la question juridique pour un prestataire à maison mère américaine. Elles déterminent ce que le prestataire pourrait produire s'il recevait une injonction, et l'évaluation des risques de la banque doit le décrire par écrit.

Oui, quand les données sont détenues par un prestataire soumis à la juridiction américaine qui en a la possession ou le contrôle. L'emplacement du serveur ne tranche pas la question, et un data center allemand exploité par une entreprise à capitaux américains reste donc concerné.

L'article 48 du RGPD ne reconnaît une décision de justice étrangère comme base d'un transfert que s'il existe un accord international, et le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont décrit un conflit possible avec le CLOUD Act dans une réponse commune en 2019. Un prestataire peut contester une injonction contraire au droit d'un pays partenaire, mais cette voie n'existe que pour les pays ayant un executive agreement.

Le Patriot Act de 2001 a élargi les pouvoirs de surveillance après les attentats du 11 septembre. Le CLOUD Act de 2018 a modifié le Stored Communications Act pour trancher si les mandats américains s'étendent aux données stockées à l'étranger, et a ajouté les executive agreements avec des États partenaires.