CLOUD Act, FISA 702 et autres lois américaines

Module 1: Pourquoi un cloud européen ? · Temps de lecture : 12 minutes

Objectif d'apprentissage : à l'issue de cette leçon, vous saurez expliquer quelles lois américaines donnent accès aux données détenues par des entreprises américaines, pourquoi cela s'applique aussi lorsque les données se trouvent en Europe, et quel est l'état de la situation en novembre 2026.

Notions clés : CLOUD Act, 18 U.S.C. 2713, « possession, custody, or control », fournisseur d'un service de communication électronique, FISA Section 702, tribunal FISA (FISC), certification, Executive Order 12333, ordonnance de non-divulgation, droit pénal face au renseignement

Pourquoi des lois américaines concernent des serveurs européens

Dans la leçon 1.1, vous avez vu qu'une entreprise relève du droit du pays où elle est établie. Pour la plupart des grands services cloud, il s'agit des États-Unis. Deux lois américaines reviennent dans toute discussion sur le cloud européen : le CLOUD Act et la Section 702 du FISA. Elles poursuivent un objectif différent et fonctionnent différemment, il est donc utile de bien les distinguer.

Ceci est une explication, pas un conseil juridique. La législation américaine et son interprétation évoluent ; l'état des lieux présenté dans cette leçon date de novembre 2026.

Le CLOUD Act : les enquêtes pénales

Le CLOUD Act signifie Clarifying Lawful Overseas Use of Data Act. La loi a été adoptée le 23 mars 2018, dans le cadre d'une vaste loi budgétaire. Elle fait suite à un procès entre Microsoft et le gouvernement américain : le FBI voulait accéder aux e-mails d'un suspect, stockés sur un serveur en Irlande, et Microsoft refusait car les données se trouvaient hors des États-Unis. Avant que la Cour suprême ne se prononce, le Congrès a adopté le CLOUD Act, ce qui a clos l'affaire.

L'essentiel tient en une phrase, aujourd'hui codifiée sous 18 U.S.C. 2713. En termes simples : un fournisseur d'un service de communication électronique ou d'un service de stockage à distance doit conserver ou remettre les données qui sont en sa « possession, custody, or control », que ces données se trouvent ou non à l'intérieur des États-Unis.

Que signifie cela en pratique ?

• Il s'agit d'enquêtes pénales. L'autorité publique doit disposer d'une ordonnance d'un juge, comme un mandat, tout comme pour des données situées aux États-Unis.
• Il s'agit de données que l'entreprise a sous son contrôle. Si votre messagerie est hébergée chez une filiale européenne, mais que la société mère américaine peut y accéder, celle-ci peut être mise en cause.
• Le fournisseur peut s'opposer si la remise des données entre en conflit avec le droit d'un autre pays, mais seulement dans certains cas (surtout avec des pays ayant conclu un traité spécifique avec les États-Unis, comme le Royaume-Uni et l'Australie). Il n'existe pas encore de traité général entre l'UE et les États-Unis sur ce type de preuves.
• Le client n'en est pas toujours informé. Un juge peut imposer au fournisseur une ordonnance de non-divulgation, lui interdisant de vous avertir.

En contrepartie, le RGPD (art. 48) prévoit qu'une décision ou une injonction étrangère de remise de données n'est reconnue que s'il existe un traité, comme un accord d'entraide judiciaire. Un fournisseur américain peut donc se retrouver coincé entre deux législations. C'est précisément le problème : en tant que client, vous ne pouvez pas choisir quelle loi l'emporte.

Un moment révélateur : en juin 2025, une commission d'enquête du Sénat français a demandé au directeur juridique de Microsoft France s'il pouvait garantir sous serment que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans l'accord de la France. Sa réponse : « Non, je ne peux pas le garantir. » Il a ajouté que l'entreprise conteste les demandes injustifiées et qu'une telle demande ne s'était encore jamais présentée en pratique. Les deux volets de cette réponse sont importants : le risque est faible, mais il existe bel et bien, et l'entreprise ne peut pas l'exclure.

FISA Section 702 : le renseignement sur les étrangers

Le FISA est le Foreign Intelligence Surveillance Act. La Section 702 y a été ajoutée en 2008. Son objectif n'est pas la poursuite d'infractions pénales, mais la collecte de renseignements étrangers. C'est là que réside la grande différence avec le CLOUD Act :

En vertu de la Section 702, les services américains peuvent obliger des fournisseurs de services de communication électronique à collaborer à la collecte de communications de « cibles » étrangères. Pour un Européen, le droit américain offre ici peu de protection : la protection constitutionnelle contre les perquisitions (le quatrième amendement) s'applique surtout aux Américains. Ce programme a joué un rôle central dans l'arrêt Schrems II de la Cour de justice de l'Union européenne (CJUE) (leçon 1.4).

État des lieux en novembre 2026

La Section 702 doit être régulièrement reconduite par le Congrès. En avril 2024, la loi RISAA l'a prolongée de deux ans, jusqu'en avril 2026. En avril 2026, une prolongation longue n'a pas abouti ; deux prolongations courtes ont suivi. Le 12 juin 2026, la loi a expiré, pour la première fois depuis 2008. Selon les informations disponibles, la collecte se poursuit en pratique, car le tribunal FISA avait déjà approuvé les certifications annuelles en mars 2026 ; celles-ci courent environ jusqu'en mars 2027. Le Congrès poursuit les discussions sur une nouvelle prolongation pendant la session de transition à partir du 9 novembre 2026.

Pour votre choix, cela signifie ceci : que la loi ait ou non momentanément expiré, le problème de fond ne disparaît pas. Il est fort probable qu'une nouvelle prolongation intervienne, et les pouvoirs en question pourraient revenir sous une autre forme.

Executive Order 12333 : sans juge

Outre ces lois, il existe l'Executive Order 12333 de 1981, un décret présidentiel relatif aux activités de renseignement. Il couvre par exemple l'interception de câbles internet et la collecte de données hors des États-Unis, sans intervention d'un juge et sans que l'entreprise doive coopérer. Pour les données chiffrées en transit, cela pose moins de problème ; pour les données hébergées chez une entreprise américaine, le CLOUD Act et la Section 702 constituent les voies pertinentes.

Quelle est l'ampleur réelle du risque ?

Soyons francs : pour la plupart des petites organisations, il est peu probable que les services américains s'intéressent précisément à leur messagerie. Il existe néanmoins des raisons de prendre la question au sérieux :

• Vous ne le saurez pas. En raison des ordonnances de non-divulgation, vous n'en serez peut-être jamais informé.
• Vous n'êtes pas la seule personne concernée. Votre messagerie contient des données de clients, de fournisseurs et de salariés. Vous devez protéger leurs données (leçon 1.2).
• Certaines données sont sensibles. Un cabinet d'avocats, un médecin généraliste, un journaliste ou une école n'a pas le même arbitrage à faire qu'une boulangerie.
• Les règles peuvent changer sans que vous ayez votre mot à dire.

La Boulangerie De Korrel n'a guère à craindre d'un service de renseignement. Mais Sanne se rend compte que sa boîte e-mail contient aussi les arrêts maladie de son personnel. Ce sont des données de santé, et elle doit donc redoubler de vigilance à leur sujet.

En pratique : à quoi cela ressemble chez un prestataire

Un prestataire européen sans société mère américaine et sans sous-traitants américains ne relève pas du CLOUD Act et n'est pas un « provider » au sens de la Section 702. Il peut toujours être tenu de collaborer avec la police et la justice européennes, mais selon le droit européen et national, avec un juge européen comme garde-fou. Chez WebOké, le guide de Nextcloud précise que vos fichiers ne transitent pas vers des entreprises de cloud américaines. Chez d'autres prestataires, recherchez une liste de sous-traitants et identifiez le propriétaire juridique (leçon 2.1).

Résumé

• Le CLOUD Act (2018) oblige les fournisseurs américains à remettre les données sous leur contrôle sur ordonnance pénale, même si elles se trouvent à l'étranger.
• La Section 702 du FISA donne aux services américains accès aux communications de non-Américains situés hors des États-Unis, à des fins de renseignement, sans ordonnance par personne.
• La Section 702 a expiré le 12 juin 2026, mais selon les informations disponibles, la collecte se poursuit sur la base de certifications datant de mars 2026 ; une nouvelle prolongation est en discussion.
• Un serveur situé en Europe ne protège pas si l'entreprise qui le gère relève du droit américain.
• Le risque est faible pour la plupart des organisations, mais il n'est ni exclu, ni contrôlable.

Quiz

Exercice

Exercice E1.3 : De quel droit relève votre service ? Choisissez votre principal service cloud. Déterminez quelle entreprise conclut le contrat avec vous (indiqué dans les conditions), où elle est établie, et quelle est la société mère ultime. Répondez : le CLOUD Act peut-il s'appliquer à ce service, et pourquoi ?

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII) : https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) et le rapport du CRS « FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act » (congress.gov, R48592)
• Règlement (UE) 2016/679 (RGPD), article 48 (décisions étrangères de remise de données)