Le Cloud Act expliqué : ce qu'il change pour vos données

Cet article informe, il ne remplace pas un conseil juridique. Rangee est notre produit ; les textes cités ont été relus le 2 novembre 2026.

Le Cloud Act est une loi américaine du 23 mars 2018. Elle oblige les fournisseurs de services en ligne soumis au droit américain à remettre aux autorités les données qu'ils contrôlent, même si ces données sont stockées hors des États-Unis. Elle encadre aussi des accords avec des pays partenaires.

On la cite souvent pour dire tout et son contraire. Pour les uns, elle livre toutes les données européennes à Washington. Pour les autres, elle ne concerne que les grands criminels. Les deux lectures sont fausses. Ce guide part du texte lui-même, de la foire aux questions du ministère américain de la Justice et des positions européennes, puis en tire des vérifications concrètes pour vos outils.

Qu'est-ce que le Cloud Act ?

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) a été voté le 23 mars 2018, dans la loi de finances fédérale (Pub. L. 115-141). Il a deux volets : une obligation pour les fournisseurs de remettre les données qu'ils contrôlent, où qu'elles soient, et un cadre pour des accords bilatéraux d'accès aux preuves numériques.

Le premier volet tient en une phrase, ajoutée au code fédéral à la section 2713. Un fournisseur de communications électroniques ou de stockage à distance doit conserver ou communiquer certaines données. Il s'agit des contenus, des métadonnées et des informations sur ses clients qui sont sous sa « possession, garde ou contrôle ». Et cela « regardless of whether » ces données se trouvent aux États-Unis ou ailleurs.

La loi est née d'un litige. Le gouvernement américain réclamait à Microsoft des e-mails stockés dans un centre de données en Irlande. Microsoft refusait, au motif que la loi de 1986 ne s'appliquait pas hors du territoire. Le Cloud Act a tranché la question : le lieu de stockage ne compte plus, seul compte le contrôle.

Le second volet permet aux États-Unis de signer des « accords exécutifs » avec des pays qui respectent l'État de droit. Selon la page du ministère de la Justice, deux accords sont signés : avec le Royaume-Uni en 2019 et l'Australie en 2021. Les négociations avec l'Union européenne ont repris en mars 2023 et n'ont pas abouti au 1er novembre 2026.

Quelles entreprises sont concernées ?

Sont concernés les fournisseurs de communications électroniques et de stockage à distance soumis à la compétence des tribunaux américains. Selon le ministère de la Justice, cela couvre les messageries, les opérateurs, les réseaux sociaux et le stockage en ligne. La compétence « n'est pas limitée » aux sociétés américaines : elle dépend des liens de l'entreprise avec les États-Unis.

Trois cas se présentent en pratique :

• L'éditeur est américain, ou c'est la filiale européenne d'un groupe américain qui contrôle les données. Il est concerné, quel que soit l'endroit où se trouvent les serveurs. La foire aux questions du ministère précise que la structure du groupe ne change pas l'analyse : seule compte l'entité qui a le contrôle.
• L'éditeur est européen mais a une présence aux États-Unis : une filiale, des bureaux, une activité « délibérément dirigée » vers le marché américain. Il peut être concerné. C'est une analyse au cas par cas, que le ministère qualifie de « highly fact-dependent ».
• L'éditeur est européen, sans activité dirigée vers les États-Unis. Il est en principe hors du champ du Cloud Act. Mais ses sous-traitants peuvent ne pas l'être.

Ce dernier point est le plus souvent oublié. Un logiciel français qui stocke ses fichiers chez un hébergeur américain expose ces fichiers : c'est l'hébergeur qui les détient, et lui est soumis au droit américain. La question ne porte donc pas sur un fournisseur, mais sur toute la chaîne.

Que permet le Cloud Act aux autorités américaines ?

Le Cloud Act permet à une autorité américaine qui enquête sur un crime d'exiger d'un fournisseur les données qu'il contrôle, y compris à l'étranger. Pour le contenu d'un compte, il faut un mandat. Selon le ministère de la Justice, un juge indépendant le signe sur la base d'une « cause probable », et il décrit précisément les données visées.

Un mandat pour le contenu, une réquisition pour le reste

Le mandat (warrant) donne accès au contenu : messages, fichiers, bases. Les informations sur l'abonné, comme le nom, l'adresse de facturation ou les adresses IP de connexion, s'obtiennent avec des procédures moins exigeantes, prévues par la même loi de 1986. Le Cloud Act n'a pas créé ces procédures : il a étendu leur portée aux données stockées hors des États-Unis.

Le client n'est pas toujours prévenu. Un juge peut interdire au fournisseur de vous informer, s'il estime que l'avertissement mettrait l'enquête en danger. La foire aux questions du ministère précise que ces interdictions sont en général limitées à un an.

Les accords exécutifs, dans les deux sens

Un accord exécutif permet aux autorités d'un pays partenaire de s'adresser directement à un fournisseur américain, avec leurs propres procédures. Les États-Unis obtiennent la même chose en retour. Ces accords sont réservés à la criminalité grave et interdisent de cibler les personnes américaines. Aucun n'existe avec la France ni avec l'Union européenne.

Le droit de contester, et sa limite

Un fournisseur peut demander l'annulation d'un mandat dans les 14 jours, selon l'alinéa (h) de la section 2703. Deux conditions s'appliquent. Le client ne doit être ni américain ni résident aux États-Unis. Et la remise doit créer un « risque important » de violer le droit d'un « gouvernement étranger qualifié ».

C'est là que le texte joue contre les Européens. Un « gouvernement étranger qualifié » est un pays qui a signé un accord exécutif avec les États-Unis. Sans accord entre l'UE et les États-Unis, un fournisseur ne peut pas invoquer cette procédure pour protéger un client français. Il lui reste l'analyse classique de « courtoisie internationale » devant le juge, sans garantie de résultat.

Que ne permet pas le Cloud Act ?

Le Cloud Act ne crée ni surveillance de masse, ni nouveau type de mandat, ni obligation de déchiffrer. Le ministère américain de la Justice écrit que la collecte « indiscriminée ou massive » n'est pas permise par ce texte. Il ajoute que la loi est « neutre » vis-à-vis du chiffrement. Il ne s'applique pas non plus à toute entreprise européenne.

Un point revient souvent dans les discussions : le Cloud Act ne s'appliquerait pas aux « demandes civiles ou commerciales ». C'est exact pour les accords exécutifs, que la question 10 de la foire aux questions réserve à la criminalité grave. Le volet de la section 2713, lui, s'applique aux demandes des autorités publiques américaines prévues par la loi de 1986.

Cloud Act, FISA et Data Privacy Framework : quelle différence ?

Le Cloud Act concerne les enquêtes pénales. La section 702 du FISA concerne le renseignement sur les étrangers situés hors des États-Unis. Le Data Privacy Framework, adopté par la Commission européenne le 10 juillet 2023, encadre les transferts de données personnelles vers les entreprises américaines. Trois textes, trois logiques.

La section 702 est la plus large des trois. Selon NPR, elle sert chaque année à collecter les communications de centaines de milliers d'étrangers. Le Congrès l'a laissée expirer le 12 juin 2026, mais la collecte continue sous les autorisations annuelles déjà délivrées par le tribunal spécial. Selon le Brennan Center, celles de mars 2026 restent valables jusqu'au 17 mars 2027. Son renouvellement reste débattu au Congrès.

Le Data Privacy Framework est le troisième cadre de transfert, après Safe Harbor et Privacy Shield. La Cour de justice a annulé les deux premiers, le second par l'arrêt Schrems II en 2020. Le Tribunal de l'UE l'a validé le 3 septembre 2025 (affaire Latombe, T-553/23). Un pourvoi devant la Cour de justice est en cours.

Ce cadre ne neutralise pas le Cloud Act. Il rend légal un transfert choisi par une entreprise, par exemple vers son prestataire américain. Il ne dit rien d'un mandat pénal adressé à ce prestataire.

Que dit le droit européen ?

Selon l'article 48 du RGPD, la décision d'un tribunal ou d'une autorité d'un pays tiers n'est reconnue ou exécutée que si un accord international la fonde. Un traité d'entraide judiciaire en est l'exemple type. En juillet 2019, les autorités européennes de protection des données en ont tiré une position restrictive.

Le Comité européen de la protection des données (CEPD) et le Contrôleur européen ont rendu une analyse commune le 10 juillet 2019, à la demande du Parlement européen. Selon le résumé du cabinet Cleary Gottlieb, ils estiment qu'un fournisseur soumis au RGPD ne peut en principe pas transférer de données sur simple mandat américain. Aucune base légale du RGPD ne s'y prête, ni aucune dérogation de l'article 49.

Un canal officiel existe pourtant : l'accord d'entraide judiciaire entre l'UE et les États-Unis, en vigueur depuis le 1er février 2010. Mais un mandat du Cloud Act s'adresse directement au fournisseur, sans passer par lui. Les deux autorités demandent donc un accord spécifique aux preuves électroniques, avec de vraies garanties. Le ministère américain de la Justice ne mentionne que la reprise de ces négociations, en mars 2023.

Le résultat est un conflit de lois. Un fournisseur américain qui reçoit un mandat pour des données européennes risque une sanction américaine s'il refuse, et une sanction européenne s'il obéit. Le RGPD ne bloque donc pas la demande : il fait peser le risque sur le fournisseur. Pour vous, client, le RGPD est un argument dans une négociation, pas un bouclier.

L'Europe a d'ailleurs son propre mécanisme. Depuis le 18 août 2026, le règlement (UE) 2023/1543 permet à un juge ou à un procureur d'un État membre d'adresser une injonction de production à un fournisseur. Il suffit que ce fournisseur propose ses services dans l'Union, même s'il est établi ailleurs. Les fournisseurs américains qui servent le marché européen y sont soumis. Aucun fournisseur, européen ou non, n'échappe à toute réquisition.

Héberger ses données en Europe suffit-il ?

Non. L'emplacement du serveur ne compte pas pour le Cloud Act. La section 2713 vise les données sous le contrôle du fournisseur, « regardless of whether » elles sont stockées aux États-Unis. Ce qui compte est le droit auquel est soumise l'entreprise qui contrôle les données, et celle de chacun de ses sous-traitants.

Deux notions se confondent souvent. La résidence désigne le pays où les données sont stockées. La souveraineté désigne le droit qui s'applique à celui qui les contrôle. Un éditeur américain peut offrir la première sans la seconde. Airtable, par exemple, propose une résidence européenne sur son seul plan Enterprise Scale, et l'éditeur reste une société californienne.

Microsoft France l'a reconnu devant le Sénat. Le 10 juin 2025, son directeur des affaires publiques et juridiques a été interrogé sous serment par la commission d'enquête sur la commande publique. Pouvait-il garantir que les données des citoyens français ne seraient jamais transmises sur injonction américaine sans l'accord des autorités françaises ? Sa réponse, selon le compte rendu officiel : « Non, je ne peux pas le garantir, mais, encore une fois, cela ne s'est encore jamais produit. »

La réponse est honnête, et elle vaut pour tout éditeur américain. Elle ne dit pas que les demandes sont fréquentes. Elle dit qu'aucun contrat, aucune région de stockage et aucun engagement commercial ne peut écarter une obligation légale américaine.

Pour les données les plus sensibles, l'État français a créé une qualification. Le label SecNumCloud de l'ANSSI exige notamment que le prestataire soit européen par son siège et son capital. Son directeur général le résume ainsi, selon la Banque des Territoires : le label atteste « que seul un prestataire européen dispose du contrôle des données ». Il rappelle aussi qu'il s'agit d'une qualification de cybersécurité, pas d'une mesure complète de la souveraineté.

Ce que le Cloud Act change pour vos données : 6 vérifications

Pour une PME, le Cloud Act ne change pas le quotidien, mais il change la façon de choisir ses outils. Une demande américaine visant une petite entreprise européenne reste rare. Le risque se gère donc comme les autres : savoir où sont les données, qui les contrôle, et ce que dit le contrat.

Voici les six vérifications que nous faisons nous-mêmes avant d'adopter un outil :

1. La nationalité de l'éditeur et de sa maison mère. Lisez les mentions légales et les conditions d'utilisation : quelle société signe le contrat, et qui la contrôle ? Une filiale française d'un groupe américain reste exposée.
2. La liste des sous-traitants. L'hébergement, les sauvegardes, l'envoi d'e-mails, le support et l'IA comptent tous. Notre comparatif des logiciels de stock gratuits indique par exemple où chaque éditeur héberge ses données. Un éditeur européen qui stocke chez un hébergeur américain expose vos données chez cet hébergeur.
3. Le pays d'où vient l'accès. Un support technique situé hors de l'Union peut accéder aux données. Demandez qui peut y accéder, depuis où, et dans quelles conditions.
4. Le chiffrement et les clés. Le Cloud Act n'oblige pas à déchiffrer. Si vous seul détenez les clés, un fournisseur ne peut remettre que des données illisibles. C'est rare dans les outils collaboratifs, qui doivent lire les données pour les afficher.
5. Les engagements du contrat. L'accord de sous-traitance (DPA, prévu par l'article 28 du RGPD) peut engager l'éditeur à vous prévenir quand la loi le permet. Il peut aussi l'engager à contester toute demande infondée. Ces clauses ne bloquent pas une loi, mais elles montrent la politique de l'éditeur.
6. La sensibilité réelle de vos données. Une liste de stock n'appelle pas les mêmes précautions qu'un dossier médical. Pour les données de santé ou les données publiques sensibles, regardez les offres qualifiées SecNumCloud.

Ces questions valent pour une base de données, un CRM, un outil de projet ou une messagerie. Elles servent aussi à lire un comparatif : dans notre comparatif des alternatives européennes à Airtable, la colonne « pays de l'éditeur » compte autant que le prix.

Et Rangee ?

Rangee est édité par une société de droit français. Le contenu de vos bases est hébergé dans un centre de données de l'Union européenne, chez Hostinger International Limited, société chypriote selon ses conditions d'utilisation. Le modèle d'IA de l'import intelligent tourne dans l'Union.

Une chaîne honnête a aussi ses limites, et nous les donnons. Le paiement passe par Stripe, un groupe américain : il traite vos données de facturation (nom, adresse, moyen de paiement), pas le contenu de vos bases. Et comme toute entreprise, nous restons soumis aux réquisitions françaises et européennes.

Nous ne promettons donc pas d'échapper à toute loi : personne ne le peut. Nous promettons ce qui est vérifiable : un éditeur de droit français, des bases hébergées dans l'Union, et des sous-traitants nommés, que vous pouvez contrôler vous-même. Pour le coût, notre relevé des prix des bases no-code compare Rangee aux autres outils, résidence européenne comprise.

Si vous voulez voir ce que donne un tableur dans un outil hébergé en Europe, essayez Rangee gratuitement : le plan Free n'expire pas, et les lecteurs ne paient jamais.