Souveraineté des données
CLOUD Act et souveraineté : ce que ça change pour le choix de votre hébergeur
Le CLOUD Act permet aux autorités américaines d'exiger des données détenues par un fournisseur soumis au droit américain, même stockées en France. Pour un établissement public ou une équipe cybersécurité, la vraie question n'est pas « où sont mes données » mais « qui, en droit, peut y accéder ». Voici une lecture factuelle, et la posture de France Nuage : hébergé en France par une société française, avec des sous-traitants listés au contrat (art. 28 RGPD).
Mis à jour le 2 octobre 2026
La souveraineté d'un hébergement ne se décide pas à l'adresse du centre de données. Elle se décide au droit auquel sont soumis le fournisseur et ses sous-traitants. Le CLOUD Act américain illustre exactement ce décalage : une donnée peut être stockée en France et rester accessible, en droit, à une autorité étrangère. Cette page explique le texte, lève les confusions courantes, et détaille comment vérifier la souveraineté réelle d'un prestataire avant un achat, chaîne de sous-traitance à l'appui.
Qu'est-ce que le CLOUD Act ?
Le CLOUD Act, pour Clarifying Lawful Overseas Use of Data Act, est une loi fédérale américaine votée en 2018. Elle précise que les autorités des États-Unis peuvent, par mandat ou injonction judiciaire, exiger d'un fournisseur de services soumis au droit américain qu'il remette les données qu'il contrôle, quel que soit le pays où ces données sont physiquement stockées.
Le point décisif tient en un mot : le contrôle. Ce n'est pas la localisation des serveurs qui déclenche l'obligation, mais le rattachement juridique du fournisseur. Un prestataire américain qui héberge des données dans un centre de données parisien reste tenu de répondre à une demande émise sous le CLOUD Act.
Un hébergeur français est-il concerné par le CLOUD Act ?
Tout dépend de son rattachement au droit américain. La loi vise les fournisseurs qui présentent un lien avec les États-Unis : société américaine, filiale d'un groupe américain, ou entité contrôlée depuis les États-Unis. Une société française indépendante, sans maison mère ni filiale américaine, ne se trouve pas dans ce périmètre.
La nuance est déterminante pour un achat public. Un cloud « région France » opéré par la filiale européenne d'un groupe américain peut rester exposé, parce que le contrôle remonte à l'entité américaine. À l'inverse, un hébergeur de droit français dont tous les sous-traitants relèvent du droit européen ne présente pas ce lien de rattachement. La bonne question au fournisseur n'est donc pas « où » sont les données, mais « qui vous contrôle et qui sont vos sous-traitants ».
FISA 702, l'autre texte à connaître
À côté du CLOUD Act, la section 702 du Foreign Intelligence Surveillance Act (FISA) encadre la collecte de renseignement sur des personnes non américaines, auprès de fournisseurs de communications électroniques soumis au droit américain. C'est l'un des motifs qui ont conduit la Cour de justice de l'Union européenne à invalider le Privacy Shield en 2020 (arrêt Schrems II).
Le mécanisme d'exposition est le même que pour le CLOUD Act : il tient au rattachement juridique du fournisseur, pas à l'adresse du centre de données. Choisir un prestataire sans lien de rattachement aux États-Unis répond ainsi aux deux textes d'un même mouvement.
Localisation ne veut pas dire souveraineté
Beaucoup de fournisseurs mettent en avant un hébergement « en France » ou « en Europe ». C'est nécessaire pour le RGPD, mais insuffisant pour la souveraineté. La donnée peut être stockée à Paris et rester accessible, en droit, à une autorité étrangère si le fournisseur ou l'un de ses sous-traitants relève d'une juridiction extra-européenne. C'est précisément le cas des suites bureautiques américaines, même hébergées en Europe : nous le détaillons dans notre analyse CLOUD Act et Microsoft 365.
La souveraineté se joue sur trois plans : où la donnée est stockée, qui opère l'infrastructure, et à quel droit ce qui l'opère est soumis. Les trois doivent pointer vers l'Europe pour que la localisation ait un sens juridique réel.
La posture de France Nuage, sous-traitant par sous-traitant
France Nuage est une société française qui héberge ses services managés en France. Pour vérifier la souveraineté, le bon niveau d'analyse est la chaîne de sous-traitance, celle que le RGPD impose de lister au contrat (art. 28). Voici la nôtre, pour les services managés :
- Base de données : CloudNativePG (PostgreSQL) répliqué, sur le cluster France Nuage.
- Authentification : SSO OpenID Connect auto-hébergé avec FerrisKey ; le compte local ne sert que d'accès de secours.
- E-mail sortant : relais SMTP opéré par IONOS, société allemande, dans l'Union européenne.
- Sauvegardes : stockage objet MinIO (S3) interne à France Nuage.
Aucun de ces sous-traitants ne relève d'une juridiction américaine. La formule que nous assumons est simple et vérifiable : hébergé en France par une société française, sous-traitants listés au contrat (art. 28 RGPD). Le détail de cette chaîne est public sur notre page sous-traitants.
Comment vérifier un hébergeur avant d'acheter
Pour une due diligence sécurité, cinq questions suffisent à écarter l'essentiel du risque d'extraterritorialité :
- Quelle est la nationalité juridique de la société, et a-t-elle une maison mère hors Union européenne ?
- La liste des sous-traitants est-elle publiée, et chacun relève-t-il du droit européen ?
- Où sont stockées les données, les sauvegardes et les journaux ?
- L'authentification et le relais e-mail passent-ils par un service soumis à un droit extra-européen ?
- Peut-on récupérer ses données et redéployer ailleurs sans réécriture ?
France Nuage répond à ces cinq points par écrit. Pour aller plus loin, notre trust center détaille la posture de sécurité, et nos alternatives souveraines remplacent les SaaS américains service par service.
Questions fréquentes
Qu'est-ce que le CLOUD Act ?
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) est une loi fédérale américaine qui autorise les autorités des États-Unis à exiger d'un fournisseur soumis au droit américain la communication des données qu'il contrôle, où qu'elles soient stockées, y compris sur des serveurs situés en Europe. C'est le rattachement juridique du fournisseur qui déclenche l'obligation, pas la localisation des serveurs.
Le CLOUD Act s'applique-t-il à un hébergeur français ?
Cela dépend de son rattachement au droit américain. La loi vise les sociétés américaines, les filiales d'un groupe américain et les entités contrôlées depuis les États-Unis. Une société française indépendante, sans maison mère ni filiale américaine et dont les sous-traitants relèvent tous du droit européen, ne présente pas ce lien de rattachement. Un cloud « région France » opéré par la filiale d'un groupe américain, lui, peut rester exposé.
Héberger ses données en France suffit-il à se protéger du CLOUD Act ?
Non. La localisation des données en France est nécessaire pour le RGPD, mais elle ne suffit pas. Si le fournisseur ou l'un de ses sous-traitants relève du droit américain, la donnée stockée en France peut rester accessible, en droit, à une autorité étrangère. La souveraineté se vérifie sur la nationalité juridique du fournisseur et de toute sa chaîne de sous-traitance, pas seulement sur l'adresse du centre de données.
Quelle différence entre le CLOUD Act et le RGPD ?
Les deux textes vont en sens opposés. Le RGPD, européen, protège les données personnelles et encadre strictement leur transfert hors de l'Union. Le CLOUD Act, américain, organise au contraire la communication de données aux autorités des États-Unis. Un fournisseur soumis aux deux peut se retrouver face à une injonction américaine qui entre en tension avec ses obligations RGPD. Choisir un prestataire sans rattachement au droit américain supprime ce conflit.
Qu'est-ce que la loi FISA 702 ?
La section 702 du Foreign Intelligence Surveillance Act encadre la collecte de renseignement américain sur des personnes non américaines, auprès de fournisseurs de communications électroniques soumis au droit américain. Avec le CLOUD Act, c'est l'un des motifs de l'invalidation du Privacy Shield par la Cour de justice de l'Union européenne en 2020 (arrêt Schrems II). Là encore, l'exposition tient au rattachement juridique du fournisseur, pas au lieu de stockage.
France Nuage a-t-il des sous-traitants américains ?
Non. Pour les services managés, la base de données est CloudNativePG (PostgreSQL) sur le cluster France Nuage, l'authentification passe par FerrisKey auto-hébergé, le relais e-mail est opéré par IONOS (société allemande, dans l'Union européenne) et les sauvegardes sont stockées sur MinIO interne. Aucun de ces sous-traitants ne relève d'une juridiction américaine. La chaîne est publiée sur notre page sous-traitants.
Comment prouver la souveraineté d'un hébergeur pour un marché public ?
Demandez trois éléments vérifiables : la nationalité juridique de la société et de sa maison mère éventuelle, la liste des sous-traitants listés au contrat (art. 28 RGPD) avec le droit dont chacun relève, et l'emplacement des données, sauvegardes et journaux. Ajoutez la réversibilité, c'est-à-dire la capacité à récupérer vos données et à redéployer ailleurs sans réécriture. Ces éléments, écrits noir sur blanc, valent mieux qu'une mention marketing de souveraineté.
Pour aller plus loin
Une souveraineté qui se vérifie, pas qui se promet
Hébergé en France par une société française, sous-traitants listés au contrat (art. 28 RGPD). Parlons de votre dossier et de vos contraintes de conformité.