--- id: CP-374 slug: cloud-act-fisa-702-souverainete-donnees lang: fr title: Cloud Act, FISA et souveraineté des données description: Des lois américaines peuvent ouvrir l'accès à des données hébergées en Europe. Ce que dit le RGPD, ce que change le cadre UE-États-Unis, et SecNumCloud. canonical_url: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Cloud Act, FISA et souveraineté des données », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-039 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ en: https://startbrain.io/cyberpedia/en/articles/cloud-act-fisa-702-data-sovereignty/ de: https://startbrain.io/cyberpedia/de/articles/cloud-act-fisa-702-datensouveranitaet/ es: https://startbrain.io/cyberpedia/es/articles/cloud-act-fisa-702-soberania-datos/ sources: - "n": 1 title: "Cloud computing : état de la menace informatique" publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf published: "2025-02-19" accessed: "2026-11-03" - "n": 2 title: Le devoir de souveraineté numérique publisher: Sénat url: https://www.senat.fr/rap/r19-007-1/r19-007-13.html published: "2019-10-01" accessed: "2026-11-03" - "n": 3 title: CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 accessed: "2026-11-03" - "n": 4 title: EU-US data transfers publisher: Commission européenne url: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en accessed: "2026-11-03" - "n": 5 title: "Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles" publisher: CNIL url: https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres published: "2024-07-19" accessed: "2026-11-03" --- # Cloud Act, FISA et souveraineté des données Quand une entreprise confie ses fichiers, ses messages ou ses logiciels à un service cloud, elle choisit aussi, sans toujours le voir, le droit auquel ces données sont soumises. Le CERT-FR, rattaché à l'ANSSI, note que certains hébergeurs relèvent de législations comme le Cloud Act et le FISA américains, qui permettent aux autorités de ces pays d'accéder aux données conservées dans le cloud, y compris en dehors de leur territoire [1]. Le rapport du Sénat écrit que « les géants américains sont tenus à l'application des régimes de sanctions extraterritoriales ou des règles d'accès aux preuves électroniques (comme le Cloud Act) » [2]. Cette fiche explique ce que cela change pour un salarié et pour une direction. ## En 30 secondes - Où ça arrive : dans tout service cloud (stockage, messagerie, bureautique en ligne) fourni par un prestataire soumis à une loi extra-européenne, même si les serveurs sont en Europe [1]. - Ce que le droit prévoit : le RGPD ne reconnaît une décision d'une autorité d'un pays tiers exigeant des données que si elle repose sur un accord international, comme un traité d'entraide judiciaire [3]. - Ce que propose la France : la version 3.2 du référentiel SecNumCloud de l'ANSSI intègre des exigences de protection face à ces lois [1]. - Le réflexe : avant de déposer une donnée dans un outil cloud, vérifier qu'il est fourni ou validé par l'entreprise, et demander à la direction informatique ou au délégué à la protection des données quelles données y ont leur place. ## Questions directes ### Les données hébergées en Europe sont-elles à l'abri des lois américaines ? Pas forcément. Selon le CERT-FR, ces lois permettent aux autorités américaines d'accéder aux données conservées dans le cloud, y compris en dehors de leur territoire [1]. La CNIL parle d'un risque pour les données stockées par une entreprise soumise à un droit extra-européen, comme les hébergeurs dont la société mère est aux États-Unis [5]. ### Le fournisseur peut-il prévenir son client ? Le CERT-FR décrit des lois qui imposent aux hébergeurs de transmettre à leurs autorités les données de leurs clients, sans voie de recours ni information de ces derniers [1]. ### Le chiffrement suffit-il ? Non, d'après le CERT-FR. Il n'offre pas une protection adéquate si les clés de chiffrement sont aussi dans le cloud, ce qui est généralement le cas quand les données chiffrées sont traitées dans le cloud et pas seulement stockées [1]. ### Que dit le RGPD ? L'article 48 écarte la reconnaissance automatique d'une décision étrangère : elle ne peut être reconnue ou rendue exécutoire que si elle est fondée sur un accord international en vigueur entre le pays demandeur et l'Union ou un État membre [3]. ### Les États-Unis sont-ils un pays « adéquat » ? Pour les entreprises qui participent au Data Privacy Framework, oui. La Commission européenne a adopté sa décision d'adéquation un 10 juillet, et les données personnelles peuvent circuler librement de l'UE vers ces entreprises [4]. La CNIL date cette décision du 10 juillet 2023 [5]. ## Ce que ça change pour un salarié Le salarié n'a pas à juger du droit applicable : son rôle est de ne pas contourner les outils choisis par l'entreprise. Un service cloud personnel ou gratuit, utilisé pour un document de travail, échappe au choix d'hébergeur, à la classification des données et au contrat que la direction a pu négocier. Le CERT-FR rappelle aussi que, dans le cloud, les clients de services cloud ont des responsabilités importantes dans la gestion des données et des identités [1]. Un salarié qui partage un fichier ou téléverse un document agit sur les données de l'entreprise. Deux habitudes en découlent : utiliser les outils fournis ou validés, et signaler à la direction informatique un usage cloud qui n'a pas été validé ; demander avant d'y déposer de grandes bases de données de santé, d'infractions ou de données de mineurs, que la CNIL vise parmi les données sensibles [5]. ## Ce que ça change pour la direction Le choix de l'hébergeur devient une décision de droit autant que de technique. Le CERT-FR écrit qu'il est indispensable d'évaluer ces risques au cas par cas [1]. Pour les traitements les plus sensibles, la CNIL recommande de recourir à un prestataire exclusivement soumis au droit européen et offrant le niveau de protection adéquat [5]. Le CERT-FR signale un second risque. Un service fourni par un prestataire étranger peut être soumis à des restrictions à l'exportation ou à des sanctions, qui peuvent évoluer dans le temps, ce qui touche la disponibilité des données et des applications [1]. ## Ce que dit le texte Le chapitre V du RGPD encadre les transferts de données personnelles vers des pays tiers. L'article 44 pose le principe : un transfert n'a lieu que si les conditions du chapitre sont respectées, de façon que le niveau de protection garanti par le règlement ne soit pas compromis [3]. Le chapitre prévoit plusieurs voies. La décision d'adéquation de la Commission ne nécessite pas d'autorisation spécifique (article 45) [3]. En son absence, des garanties appropriées sont possibles : règles d'entreprise contraignantes ou clauses types de protection des données, notamment (article 46) [3]. Des dérogations existent pour des situations particulières, comme le consentement explicite de la personne concernée (article 49) [3]. L'article 48 traite le cas précis d'une injonction étrangère : une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant un transfert ou une divulgation de données ne peut être reconnue ou rendue exécutoire que si elle repose sur un accord international, tel qu'un traité d'entraide judiciaire [3]. Côté américain, la Commission explique que l'adéquation a suivi un décret présidentiel du 7 octobre et un règlement du procureur général américain. Ces textes ont introduit des garanties contraignantes pour répondre à l'arrêt Schrems II de la Cour de justice de l'Union européenne de juillet 2020 : accès des agences de renseignement limité à ce qui est nécessaire et proportionné, et mécanisme de recours indépendant pour les plaintes des Européens [4]. Ces garanties s'appliquent à tous les transferts vers des entreprises américaines, quel que soit l'outil de transfert utilisé [4]. Côté français, la version 3.2 du référentiel SecNumCloud de l'ANSSI intègre des exigences de protection face à l'application de ces lois extraterritoriales [1]. La CNIL précise que cette certification permet une protection contre les accès par des autorités étrangères [5]. ## Où en est l'application La décision d'adéquation sur le Data Privacy Framework est adoptée et vaut pour les entreprises américaines participantes [4]. Le RGPD prévoit un examen périodique d'une décision d'adéquation au moins tous les quatre ans, et la Commission peut l'abroger, la modifier ou la suspendre si le niveau de protection n'est plus adéquat [3]. La certification européenne EUCS était encore un projet en juillet 2024. À cette date, la CNIL relevait que le projet piloté par l'ENISA ne permettait plus de s'assurer que l'hébergeur n'est pas soumis à une législation extra-européenne, même aux niveaux les plus élevés et même à titre optionnel [5]. Elle appelait à y réintroduire des critères d'immunité aux lois extra-européennes, inspirés de SecNumCloud [5]. Cette question devait être rediscutée dès la constitution de la nouvelle Commission européenne [5]. En France, la loi du 21 mai citée par la CNIL, dite loi SREN, prévoit que, pour des données d'une sensibilité particulière pour l'État, le service cloud doit mettre en œuvre des critères de sécurité et de protection des données afin d'empêcher tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union ou d'un État membre [5]. La doctrine « Cloud au centre » demande de son côté aux autorités publiques de s'assurer que les données « d'une sensibilité particulière » hébergées dans le cloud ne soient pas soumises à des lois extra-européennes [5]. ## Sources 1. CERT-FR (ANSSI), « Cloud computing : état de la menace informatique », 19 février 2025. https://cert.cyber.gouv.fr/uploads/CERTFR-2025-CTI-001.pdf (consulté le 3 novembre 2026) 2. Sénat, « Le devoir de souveraineté numérique », 1 octobre 2019. https://www.senat.fr/rap/r19-007-1/r19-007-13.html (consulté le 3 novembre 2026) 3. CNIL, « CHAPITRE V - Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales ». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre5 (consulté le 3 novembre 2026) 4. Commission européenne, « EU-US data transfers ». https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en (consulté le 3 novembre 2026) 5. CNIL, « Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles », 19 juillet 2024. https://www.cnil.fr/fr/cloud-les-risques-dune-certification-europeenne-permettant-lacces-des-autorites-etrangeres (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/cloud-act-fisa-702-souverainete-donnees/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.