Cinq questions qui déterminent le degré d'européanité d'un service

Module 2: Qu'est-ce qu'un cloud européen, vraiment ? · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez déterminer, à l'aide de cinq questions, sous quel droit relève un service cloud, et expliquer pourquoi un centre de données en Europe ne suffit pas pour cela.

Notions clés : siège (siège social statutaire), propriétaire final, localisation du centre de données, sous-traitant ultérieur, accès à distance, gestion des clés, UE, EEE, décision d'adéquation, « sovereign cloud »

« Nos données sont en Europe. » Et après ?

Presque tous les grands services cloud le disent aujourd'hui : vos données se trouvent dans un centre de données à Francfort, à Amsterdam ou à Dublin. Cela semble rassurant, mais cela ne répond qu'à l'une des questions qui comptent vraiment. Dans le module 1, vous avez vu que le CLOUD Act américain ne s'intéresse pas à l'emplacement du serveur, mais à l'entreprise qui a les données en sa possession, sous sa garde ou sous son contrôle (« possession, custody, or control »). Un serveur à Francfort appartenant à une entreprise dont le propriétaire final est américain peut donc malgré tout relever d'une injonction américaine.

C'est pourquoi il ne faut pas regarder un seul critère, mais cinq. La Bakkerij De Korrel de notre exemple (12 salariés, domaine example.com) utilise actuellement une suite bureautique américaine et souhaite savoir quelles alternatives sont réellement européennes. Grâce à ces cinq questions, elle va démêler le discours marketing des faits.

Question 1 : où l'entreprise est-elle établie ?

Le siège est le pays où l'entreprise qui signe votre contrat est juridiquement immatriculée : le siège social statutaire. Ce pays détermine en premier lieu quel droit s'applique à l'entreprise, quel tribunal est compétent et quelle autorité de contrôle exerce une surveillance.

Pour cela, ne regardez pas le site web, mais la partie contractante : le nom en bas des conditions générales, du contrat de sous-traitance et de la facture. Si l'on y trouve « Example Cloud Ireland Ltd. », votre partenaire contractuel est irlandais, même si la marque est américaine. C'est un bon début, mais ce n'est pas encore une réponse. Pour cela, il vous faut la question 2.

Question 2 : qui est le propriétaire final ?

Le propriétaire final est l'entreprise ou la personne qui se trouve au sommet de la chaîne d'actionnaires. Une filiale européenne d'une société mère américaine est juridiquement une entreprise européenne, mais la société mère exerce un pouvoir de décision. Selon le CLOUD Act, un juge américain peut contraindre la société mère à fournir des données détenues par une filiale, si la société mère en a effectivement le « control ». Que cela se produise réellement dans un cas concret dépend de l'organisation de l'entreprise. Les juristes ne sont pas unanimes sur ce point. C'est précisément pour cela que c'est un risque, et non une certitude.

L'inverse est également possible : une entreprise européenne aujourd'hui peut être rachetée demain. Aux Pays-Bas, ce cas de figure s'est produit en 2025 et 2026 autour de Solvinity, l'entreprise derrière l'infrastructure de DigiD. L'américain Kyndryl souhaitait la racheter ; le gouvernement a interdit ce rachat en mai 2026, après avis du Bureau Toetsing Investeringen (l'organisme néerlandais de contrôle des investissements). Demandez donc aussi à votre prestataire : que devient mon contrat en cas de rachat ? Puis-je alors résilier gratuitement ?

Où trouver le propriétaire ? Dans le registre du commerce (aux Pays-Bas, la KVK ; en Allemagne, le Handelsregister), dans le rapport annuel, ou sur la page « À propos » ou « Mentions légales ». Pour les sociétés cotées en bourse, l'information figure dans les comptes annuels.

Question 3 : où se trouvent les données, et les copies de sauvegarde ?

La localisation du centre de données reste importante. Si vos données se trouvent dans l'UE, il n'y a pas de transfert hors de l'EEE au sens du RGPD, tant que personne de l'extérieur ne peut y accéder. Renseignez-vous sur tous les emplacements : le centre de données principal, le centre de données de secours et les sauvegardes. Un prestataire dont les serveurs sont aux Pays-Bas mais dont les sauvegardes sont aux États-Unis effectue bel et bien un transfert.

Attention ici à trois notions souvent confondues :

La Suisse et le Royaume-Uni ne font donc pas partie de l'UE, mais vous pouvez utiliser un service qui y est établi dans le cadre du RGPD sans clauses contractuelles supplémentaires. La décision concernant la Suisse date de 2000 et a été confirmée lors d'un réexamen en janvier 2024. La décision concernant le Royaume-Uni a été prolongée le 19 décembre 2025 jusqu'au 27 décembre 2031. Une décision d'adéquation peut toutefois être révisée ou annulée par la Cour de justice de l'Union européenne : c'est ce qui s'est produit à deux reprises avec les accords conclus avec les États-Unis (module 1, leçon 1.4). Pour les États-Unis, c'est désormais le Data Privacy Framework qui s'applique, mais uniquement pour les entreprises américaines qui y ont adhéré, avec l'incertitude que vous avez vue à la leçon 1.4.

Question 4 : qui d'autre peut y accéder ? Sous-traitants ultérieurs et accès à distance

Un sous-traitant ultérieur est une autre entreprise à laquelle le prestataire fait appel et qui, ce faisant, traite ou peut voir vos données : le centre de données, un service de sauvegarde, une entreprise de distribution d'e-mails, un service d'assistance situé dans un autre pays, un service d'IA qui résume des e-mails. Le RGPD exige que le prestataire vous informe au préalable des sous-traitants ultérieurs qu'il emploie et vous permette de vous opposer à de nouveaux (article 28 du RGPD, leçon 9.2).

Soyez particulièrement attentif à l'accès à distance. Des données situées à Amsterdam, mais qu'un collaborateur du support situé dans un pays hors EEE peut consulter pour résoudre un incident, sont également considérées comme transférées selon les autorités de contrôle européennes. Un centre de données en Europe doté d'une assistance mondiale consultable 24 heures sur 24 est donc moins européen qu'il n'y paraît.

Où trouver cette liste ? En général en annexe du contrat de sous-traitance ou sur une page distincte intitulée « sous-traitants ultérieurs » ou « sub-processors ». Si cette liste est absente, ou si elle est vague (« nous travaillons avec des partenaires soigneusement sélectionnés »), c'est un signal d'alerte.

Question 5 : qui détient la clé ?

Le chiffrement ne protège des autres que s'ils ne possèdent pas la clé. Chez la plupart des services cloud, vos données sont chiffrées en transit (https) et au repos (sur le disque), mais c'est le prestataire qui détient la clé. Si le prestataire doit remettre des données, il peut les déchiffrer. Avec le chiffrement de bout en bout ou un chiffrement dont vous seul gérez la clé, le prestataire ne le peut pas. Cela protège mieux, mais cela a un prix : la recherche, l'édition collaborative dans le navigateur et la récupération d'un mot de passe oublié fonctionnent alors souvent mal, voire pas du tout. Demandez donc : quelles parties sont chiffrées de bout en bout, et que ne puis-je plus faire dans ce cas ?

« Sovereign cloud » des entreprises américaines

Les grands prestataires américains répondent à la demande de souveraineté. Quelques exemples, pour que vous reconnaissiez ces termes :

• Microsoft EU Data Boundary : Microsoft a annoncé en février 2025 que les données clients de Microsoft 365, Dynamics 365, Power Platform et la plupart des services Azure sont stockées et traitées au sein de l'UE et des pays de l'AELE, y compris les données de support. Microsoft précise elle-même que, dans des cas limités, certaines données continuent d'être traitées hors de l'UE, par exemple pour la sécurité. Microsoft reste une entreprise américaine. En juin 2025, le directeur juridique de Microsoft France a déclaré sous serment devant le Sénat français ne pas pouvoir garantir que des données ne seraient jamais transmises sans autorisation aux autorités américaines.
• AWS European Sovereign Cloud : disponible de manière générale depuis le 15 janvier 2026, avec une première région au Brandebourg (Allemagne). Il est géré par une société de droit allemand avec du personnel au sein de l'UE et est techniquement séparé du reste d'AWS. Le propriétaire final reste Amazon. Des analystes soulignent que le risque lié au CLOUD Act peut ainsi être réduit, mais pas démontrablement supprimé.
• Modèles de coopération : en France et en Allemagne, des entreprises européennes exploitent sous licence des technologies cloud américaines, de sorte que l'entreprise européenne garde le contrôle. L'efficacité de ce montage dépend des accords relatifs aux mises à jour, à la gestion et aux accès.

De tels services peuvent constituer une étape intermédiaire raisonnable pour certaines organisations. Mais posez-leur les mêmes cinq questions. La réponse à la question 2 (le propriétaire) reste différente, pour ces services, de celle d'une entreprise entièrement européenne.

En pratique : à quoi cela ressemble chez un prestataire

Prenons un Nextcloud WebOké comme exemple. Siège et propriétaire : une société néerlandaise (bv). Centre de données : selon la documentation, deux centres de données néerlandais de NorthC. Logiciel : Nextcloud, développé par la société allemande Nextcloud GmbH, open source. La clé du chiffrement du stockage est détenue par le prestataire ; vous pouvez activer vous-même le chiffrement de bout en bout dossier par dossier. Chez d'autres prestataires européens, comme d'autres hébergeurs Nextcloud, mailbox.org, Infomaniak ou IONOS, vous rechercherez les mêmes cinq réponses aux mêmes endroits : contrat, registre du commerce, contrat de sous-traitance et liste des sous-traitants ultérieurs.

Résumé

• Un centre de données en Europe ne répond qu'à l'une des cinq questions.
• Les cinq questions : siège, propriétaire final, localisation des données et des sauvegardes, sous-traitants ultérieurs et accès à distance, et qui détient la clé.
• Une filiale européenne d'une entreprise américaine peut malgré tout relever du CLOUD Act.
• La Suisse et le Royaume-Uni ne font pas partie de l'UE, mais disposent d'une décision d'adéquation ; l'EEE est l'UE plus la Norvège, l'Islande et le Liechtenstein.
• Les services « sovereign cloud » des entreprises américaines réduisent les risques, mais ne changent pas la réponse à la question du propriétaire.

Quiz

Exercice

Exercice A2.1 : Qui reçoit et envoie les e-mails pour votre domaine ? Renseignez votre propre domaine. Le programme recherche les enregistrements MX et développe entièrement votre enregistrement SPF. Vous indiquez quelles organisations reçoivent vos e-mails et lesquelles peuvent envoyer des e-mails en votre nom. Vous voyez ainsi en quelques minutes quelles parties sont déjà impliquées dans votre messagerie.

Exercice E2.1 : Les cinq questions pour vos propres services. Choisissez deux services que vous utilisez actuellement (par exemple votre messagerie et votre stockage de fichiers) et un possible remplaçant européen. Recherchez, pour ces trois services, les réponses aux cinq questions, en indiquant la source.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 1.1: Qu'est-ce que Nextcloud et qu'est-ce qu'un WebOké Nextcloud ?
• Guide Nextcloud 3.1: Comment WebOké sécurise-t-il votre Nextcloud ?
• Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
• Commission européenne, aperçu des décisions d'adéquation : https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (données « regardless of whether » elles se trouvent aux États-Unis ou en dehors)