Cloud Act : comprendre le risque et choisir SecNumCloud
Le Cloud Act permet aux autorités américaines d’exiger certaines données contrôlées par des fournisseurs soumis au droit américain. Ces demandes interviennent dans un cadre légal. La localisation hors des États-Unis ne suffit pas à soustraire les données au texte. Pour une PME française, l’enjeu est d’évaluer ensemble le risque juridique, le risque technique et la sensibilité des échanges.
📌 Ce qu’il faut retenir
- Risque juridique réel – le Cloud Act vise les données sous le contrôle d’un fournisseur concerné. Leur lieu de stockage n’est pas décisif. Une localisation en France ne suffit donc pas, à elle seule, à écarter le risque.
- SecNumCloud 3.2 répond précisément à ce risque – cette version renforce les garanties contre les lois extra-européennes. Elle impose aussi des exigences de localisation européenne. La qualification vise une offre précise, jamais un fournisseur entier.
- Le risque n’est pas automatiquement rédhibitoire – le Conseil d’État l’a rappelé le 20 mars 2026 pour le Health Data Hub. Il a jugé suffisantes les garanties du dossier examiné, sans nier la possibilité d’une demande américaine.
- Action PME – classez les données, identifiez les juridictions applicables et réservez les offres les plus protectrices aux échanges sensibles. Le bon choix dépend du niveau de risque, pas du seul nom de l’éditeur.
Résumé généré par IA
Le Cloud Act, en clair : ce que dit vraiment la loi de 2018
Le Cloud Act a été adopté aux États-Unis en mars 2018. Il a notamment ajouté l’article 18 U.S.C. § 2713 au Stored Communications Act. Le texte couvre certaines données sous la possession, la garde ou le contrôle du fournisseur. Leur stockage hors des États-Unis n’écarte pas cette obligation.
La nuance est essentielle. Le Cloud Act n’autorise pas une administration américaine à ouvrir librement n’importe quel serveur européen. Il organise des demandes légales adressées à des fournisseurs soumis à la juridiction américaine. Le critère décisif est donc le contrôle sur la donnée, pas seulement l’adresse du centre de données.
Le texte officiel américain est consultable dans le Code des États-Unis. Pour un DSI, cela change la question à poser : qui peut techniquement et juridiquement accéder aux données de l’entreprise ?
Pourquoi les lois extraterritoriales concernent une PME française
Une PME peut considérer que ses conversations internes ne présentent aucun intérêt stratégique. Pourtant, une messagerie concentre devis, contrats, données RH et informations clients. Elle peut aussi contenir des incidents de sécurité ou des décisions de direction.
L’enjeu n’est pas d’affirmer qu’une réquisition américaine surviendra. Il faut mesurer une exposition. Une entreprise utilisant une juridiction étrangère doit intégrer ce scénario dans son analyse de risques. Elle le compare aux risques de compromission ou d’erreur de partage.
La première étape consiste à classer les informations. Les échanges ordinaires n’exigent pas toujours le niveau prévu pour les données de direction. Les dossiers de sécurité ou documents réglementés peuvent justifier davantage de protection. Notre guide sur la sécurité informatique des PME et notre dossier pour maîtriser vos données en TPE-PME détaillent cette logique.
Le contre-exemple Health Data Hub : ce que le Conseil d’État a tranché
Le dossier Health Data Hub montre pourquoi le sujet doit rester factuel. Dès octobre 2020, le Conseil d’État a reconnu qu’un accès par les autorités américaines ne pouvait pas être totalement exclu. Il n’a pourtant pas suspendu la plateforme. Il a demandé des garanties supplémentaires.
Ce que la décision de 2026 dit vraiment
Le 20 mars 2026, le Conseil d’État a statué au fond sur des traitements DARWIN EU hébergés via Microsoft. L’autorisation de la CNIL ne permettait pas le transfert des données de santé vers les États-Unis. Le juge a aussi relevé la pseudonymisation et une conservation limitée.
Le juge n’a donc pas déclaré le Cloud Act inoffensif. Il a considéré que, dans ce dossier précis, les garanties étaient suffisantes pour que l’autorisation demeure conforme au RGPD.
La synthèse officielle est publiée par le Conseil d’État. Un cas d’entreprise doit néanmoins être apprécié selon ses données, ses obligations et ses contrats.
Comment SecNumCloud répond au risque du Cloud Act
SecNumCloud n’a pas été créé en réaction au Cloud Act : l’ANSSI l’a élaboré en 2016. En revanche, la version 3.2 explicite des critères contre les lois extra-européennes. Elle fixe aussi des conditions de siège, capitalisation, autonomie et dépendances envers des sociétés hors Union européenne.
Les données de stockage et de traitement doivent rester dans l’Union européenne. Plusieurs données techniques et opérations d’administration sont aussi concernées.
Attention au vocabulaire commercial. L’ANSSI précise que SecNumCloud qualifie une offre de cloud déterminée. Un logiciel hébergé sur une infrastructure qualifiée ne devient pas automatiquement qualifié. Elle dure trois ans, avec des audits annuels.
La FAQ officielle SecNumCloud de l’ANSSI détaille ces exigences.
Cloud souverain : comment choisir un outil collaboratif
Le bon réflexe n’est pas de remplacer une marque par une autre sans méthode. Pour une messagerie sécurisée ou une plateforme collaborative, comparez au moins les critères suivants.
| Critère | Question à poser |
|---|---|
| Juridiction | Quelles lois peuvent s’imposer au fournisseur et à ses sous-traitants ? |
| Périmètre | La qualification couvre-t-elle le SaaS utilisé ou seulement son infrastructure ? |
| Localisation | Où sont stockées, administrées, sauvegardées et journalisées les données ? |
| Accès | Qui détient les clés, privilèges et moyens d’administration ? |
| Réversibilité | Comment récupérer les données et changer de solution ? |
Cette grille évite deux erreurs. La première consiste à croire qu’un hébergement européen règle tout. La seconde consiste à imposer le niveau de protection maximal à chaque donnée. Pour approfondir, voir notre futur guide communication d’entreprise sécurisée et dépendance aux GAFAM.
Collaboration sécurisée : l’exemple Whaller DONJON
Whaller DONJON fournit un exemple concret de SaaS collaboratif qualifié SecNumCloud 3.2. La décision de qualification ANSSI concerne « Whaller Donjon SaaS ». La qualification court du 2 août 2024 au 2 août 2027.
Depuis le 2 septembre 2026, Whaller annonce une certification Numérique France Garanti après audit indépendant de Bureau Veritas. Elle porte sur l’origine française et l’ancrage de la solution. Elle ne remplace pas SecNumCloud et ne constitue pas un visa de sécurité ANSSI.
Le choix peut être progressif. Les flux courants restent sur l’outil existant, tandis que les échanges les plus sensibles basculent vers un environnement plus protecteur. Cette logique sera développée dans notre billet « Partage de données sécurisé : Teams suffit-il vraiment ? ».
Ce que ce dossier ne remplace pas
Le Cloud Act croise droit américain, RGPD, contrats cloud et règles sectorielles. Un article ne peut donc pas trancher la conformité d’une entreprise. Pour une décision engageante, faites confirmer l’analyse par un professionnel du droit compétent et par votre responsable sécurité.
En pratique, commencez par un diagnostic : inventaire des données, classification, fournisseurs, sous-traitants, juridictions et moyens de réversibilité, comme le détaille notre dossier sur les obligations RGPD d’une PME en cas de fuite de données. Vous pourrez ensuite choisir les protections proportionnées. C’est plus robuste qu’une décision fondée uniquement sur la nationalité d’un éditeur ou la localisation affichée d’un datacenter.
Règle numéro 1 : si je ping, j’ai du réseau.
Règle numéro 2 : voir règle numéro 1.
Eur’Net est référencée sur Cybermalveillance.gouv.fr, activatrice France Num et partenaire Gold Kaspersky. À titre personnel et bénévole, je suis également engagé comme aidant MonAideCyber au sein de l’association Assistic.
Mon credo : un sinistre cyber, ce n’est plus « si », mais « quand ». La vraie question est donc la suivante : regardez-vous le tsunami arriver depuis la plage, ou apprenez-vous à surfer en préparant vos plans A, B et C ?
Chez Eur’Net, le numérique reste artisanal. Nous utilisons de l’IA, de l’I-B - prononcez « eBay », de l’I-C - comme au lycée, et surtout beaucoup d’I-D… autrement dit, des idées.
Nos contenus sont imaginés, travaillés, relus et validés par des humains, parfois assistés par quelques outils 2.0 : claviers, écrans, ordinateurs, traitements de texte, intelligences artificielles et autres joyeusetés numériques.
Certaines illustrations présentes sur ce site peuvent également être créées ou retouchées à l’aide d’outils d’intelligence artificielle. Elles sont utilisées à des fins d’illustration de nos contenus.
Nous n’utilisons presque plus de papier, de stylo ni de crayon : ici, l’IA peut tenir le tournevis, mais l’humain garde toujours la main.
Plus d’informations sur notre utilisation de l’intelligence artificielle sont disponibles dans les mentions légales du site.
Entre deux diagnostics, j’élève aussi des IA bio au grand air.
- Cloud Act : comprendre le risque et choisir SecNumCloud - 9 septembre 2026
- Partage de données sécurisé : Teams suffit-il vraiment ? - 9 septembre 2026
- Outil collaboratif sécurisé : choisir sans Cloud Act - 9 septembre 2026
