Cloud Act, FISA et souveraineté des données

Le salarié n'a pas à juger du droit applicable : son rôle est de ne pas contourner les outils choisis par l'entreprise. Un service cloud personnel ou gratuit, utilisé pour un document de travail, échappe au choix d'hébergeur, à la classification des données et au contrat que la direction a pu négocier.

Le CERT-FR rappelle aussi que, dans le cloud, les clients de services cloud ont des responsabilités importantes dans la gestion des données et des identités¹. Un salarié qui partage un fichier ou téléverse un document agit sur les données de l'entreprise.

Deux habitudes en découlent : utiliser les outils fournis ou validés, et signaler à la direction informatique un usage cloud qui n'a pas été validé ; demander avant d'y déposer de grandes bases de données de santé, d'infractions ou de données de mineurs, que la CNIL vise parmi les données sensibles⁵.

Le choix de l'hébergeur devient une décision de droit autant que de technique. Le CERT-FR écrit qu'il est indispensable d'évaluer ces risques au cas par cas¹.

Pour les traitements les plus sensibles, la CNIL recommande de recourir à un prestataire exclusivement soumis au droit européen et offrant le niveau de protection adéquat⁵. Le CERT-FR signale un second risque. Un service fourni par un prestataire étranger peut être soumis à des restrictions à l'exportation ou à des sanctions, qui peuvent évoluer dans le temps, ce qui touche la disponibilité des données et des applications¹.

Le chapitre V du RGPD encadre les transferts de données personnelles vers des pays tiers. L'article 44 pose le principe : un transfert n'a lieu que si les conditions du chapitre sont respectées, de façon que le niveau de protection garanti par le règlement ne soit pas compromis³.

Le chapitre prévoit plusieurs voies. La décision d'adéquation de la Commission ne nécessite pas d'autorisation spécifique (article 45)³. En son absence, des garanties appropriées sont possibles : règles d'entreprise contraignantes ou clauses types de protection des données, notamment (article 46)³. Des dérogations existent pour des situations particulières, comme le consentement explicite de la personne concernée (article 49)³.

L'article 48 traite le cas précis d'une injonction étrangère : une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant un transfert ou une divulgation de données ne peut être reconnue ou rendue exécutoire que si elle repose sur un accord international, tel qu'un traité d'entraide judiciaire³.

Côté américain, la Commission explique que l'adéquation a suivi un décret présidentiel du 7 octobre et un règlement du procureur général américain. Ces textes ont introduit des garanties contraignantes pour répondre à l'arrêt Schrems II de la Cour de justice de l'Union européenne de juillet 2020 : accès des agences de renseignement limité à ce qui est nécessaire et proportionné, et mécanisme de recours indépendant pour les plaintes des Européens⁴. Ces garanties s'appliquent à tous les transferts vers des entreprises américaines, quel que soit l'outil de transfert utilisé⁴.

Côté français, la version 3.2 du référentiel SecNumCloud de l'ANSSI intègre des exigences de protection face à l'application de ces lois extraterritoriales¹. La CNIL précise que cette certification permet une protection contre les accès par des autorités étrangères⁵.

La décision d'adéquation sur le Data Privacy Framework est adoptée et vaut pour les entreprises américaines participantes⁴. Le RGPD prévoit un examen périodique d'une décision d'adéquation au moins tous les quatre ans, et la Commission peut l'abroger, la modifier ou la suspendre si le niveau de protection n'est plus adéquat³.

La certification européenne EUCS était encore un projet en juillet 2024. À cette date, la CNIL relevait que le projet piloté par l'ENISA ne permettait plus de s'assurer que l'hébergeur n'est pas soumis à une législation extra-européenne, même aux niveaux les plus élevés et même à titre optionnel⁵. Elle appelait à y réintroduire des critères d'immunité aux lois extra-européennes, inspirés de SecNumCloud⁵. Cette question devait être rediscutée dès la constitution de la nouvelle Commission européenne⁵. En France, la loi du 21 mai citée par la CNIL, dite loi SREN, prévoit que, pour des données d'une sensibilité particulière pour l'État, le service cloud doit mettre en œuvre des critères de sécurité et de protection des données afin d'empêcher tout accès par des autorités publiques d'États tiers non autorisé par le droit de l'Union ou d'un État membre⁵. La doctrine « Cloud au centre » demande de son côté aux autorités publiques de s'assurer que les données « d'une sensibilité particulière » hébergées dans le cloud ne soient pas soumises à des lois extra-européennes⁵.