Cloud et souveraineté, entre mythes et réalités …

Votre système d’information et vos données sont-ils réellement protégés ?  

Si les éditeurs de services cloud n’hésitent plus à brandir l’argument de la souveraineté, l’écart ventre les promesses marketing et la réalité juridique, reste souvent considérable. Dès lors, face à la multiplication des offres : « clouds souverains », « clouds de confiance », » clouds hybrides », comment démêler le mythe de la réalité ?  

Nous décryptons pour vous les véritables enjeux juridiques du cloud. Parce qu’en fin de compte, la seule souveraineté qui importe, c’est la vôtre !  

La souveraineté numérique : de quoi parle-t-on exactement ?  

La souveraineté est la capacité d’une organisation de pouvoir décider de ses choix, sans subir de contraintes extérieures.  

Appliquée au numérique, cette notion désigne la capacité d’une entreprise à maîtriser son système d’information et ses données, sans être exposée aux lois extraterritoriales de pays tiers.  

Concrètement, la localisation géographique des données dans l’espace européen ne suffit pas . 

Héberger ses données en France chez un prestataire américain ne protège pas des lois extra-territoriales. Ce n’est pas parce que votre serveur est hébergé à Paris ou Bruxelles que vos données sont protégées contre une saisie par un Etat tiers ou l’arrêt des services. La question déterminante est celle de la nationalité juridique de votre fournisseur, de son marché et des lois auxquelles il est soumis. 

Les lois extraterritoriales américaines, un risque structurel et sous-estimé 

L’impact de ces lois sur les entreprises européennes s’est considérablement accru avec la généralisation du cloud et les tensions géopolitiques. Ce risque est passé du stade théorique à une réalité aux conséquences concrètes. 

Plusieurs catégories de ces lois extra-territoriales doivent être distinguées : lois fiscales (FACTA), anticorruption (FCPA), ou encore les lois sur le contrôle des exportations et lois d’embargo qui permettent de couper un service unilatéralement. .   

Le Cloud Act (Clarifying Lawful verseas Use of Data Act, 2018) est le plus emblématique. Il oblige les entreprises américaines (mais pas que !) à fournir aux autorités américaines les données qu’elles contrôlent, quel que soit le pays où elles sont physiquement stockées. 

La section 702 du FISA et l’Executive Order 12333 viennent compléter ce dispositif en autorisant les agences de renseignement américaines à collecter les communications de ressortissants non américains situés à l’étranger. 

Cette combinaison crée une tension directe avec le RGPD : une entreprise européenne peut se retrouver exposée à des transferts de données imposés par une autorité étrangère, sans consentement de ses utilisateurs, en violation de ses propres obligations réglementaires.  

Une problématique similaire existe avec des lois extra-territoriales prises par d’autres pays, comme la Chine. 

Que dit vraiment le Cloud Act et est-il possible de le contourner ?  

Le champ d’application du Cloud Act  est plus large que nous ne pourrions le penser : il s’étend aux filiales de groupes américains, voire aux entreprises non-américaines ayant des activités ciblant le marché américain. 

L’article 103(a)(1) prévoit en effet que :  

• « Tout fournisseur de services de communication électronique ou de services informatiques à distance (« providers of electronic communications services or remote computing services ») doit se conformer aux obligations prévues par le présent chapitre en matière de conservation, de sauvegarde ou de divulgation du contenu d’une communication filaire ou électronique, ainsi que de tout enregistrement ou autre information concernant un client ou un abonné, dès lors que ces données sont en sa possession, sous sa garde ou sous son contrôle (« in the custody, control, or possession »), et ce indépendamment du fait que ces communications, enregistrements ou informations soient situés sur le territoire des États-Unis ou à l’étranger. »  

Le rapport du député Raphael Gauvain déposé à l’Assemblée nationale le 26 juin 2019 intitulé “ Rétablir la souveraineté de la France et de l’Europe et protéger nos entreprises contre les lois et mesures à portée extraterritoriale ” analyse ce texte et établit que :  

•  «… En général, ces sociétés (les GAFAM et les autres sociétés américaines du secteur) devront donc normalement relever de la juridiction des États-Unis pour recevoir des demandes au titre du « Cloud Act”.   

• Ces dispositions ne font pas nécessairement obstacle à ce que des sociétés non américaines soient considérées comme soumises aux dispositions du « Cloud Act » par les juridictions fédérales.  

• En effet, en faisant référence aux prestataires « subject to the jurisdiction of the United States », le « Cloud Act » n’exclut pas que soient concernées les sociétés non américaines ayant une filiale aux États-Unis, voire même celles qui ont des activités ciblant le marché américain :   

• s’agissant des premières, le fait pour une société non américaine d’avoir une filiale aux États-Unis peut conduire à une analyse de la Cour considérant que la filiale aux États-Unis a le contrôle sur les données et est donc soumise aux dispositions du « Cloud Act »   
• s’agissant des secondes, selon certains juristes rencontrés par la mission, le fait qu’une entreprise non américaine offre depuis l’étranger des services électroniques ciblés vers le marché américain (par exemple en ayant recours à de la publicité sur des sites américains) pourrait avoir pour conséquence que les autorités américaines la considèrent comme étant « within the United States ».  

De nombreuses offres sur le marché prétendent “contourner” le Cloud Act. Est-ce possible ?   

La réponse est : non. 

Il s’agit d’une loi étrangère souveraine. Ni la France, ni l’Europe ne peuvent légiférer à la place des Etat-Unis pour changer ou limiter le champ d’application de cette loi.  

Cette loi extra-territoriale s’applique quoique vous décidiez. Dès lors, comment agir ?  

Les enjeux et risques concrets pour les entreprises:  

Les risques sont multiples : 

• Juridiques : violation de règlementations du RGPD et sanctions et d’accords contractuels (secret des affaires), violation de droits de propriété intellectuelle… 

• Economique et technologique : dépendance technologique, exposition aux hausses de prix unilatérales et aux choix des éditeurs (fin de maintenance sur une version antérieure, obligation d’upgrader..), couts de migration élevés… 

• Stratégique : accès potentiel d’autorités étrangères aux secrets industriels, projets R&D, données financières.. 

• Les risques liés à la dépendance aux fournisseurs non souverains sur le plan IT sont multiples et souvent sous-estimés dans leur articulation.   

La souveraineté technologique ne se décrète pas, elle se construit, pas à pas.  

Nous recommandons une démarche par les risques :  

• Évaluer son exposition aux lois étrangères : identifiez si vos fournisseurs sont soumis au Cloud Act, au FISA ou à d’autres lois extra-territoriales et vérifiez si l’une ou plusieurs de vos filiale(s) œuvre(nt) dans un pays sous embargo. Comme rappelé précédemment, cette exposition ne dépend pas de la localisation du datacenter et ne se limite pas à la nationalité juridique de l’entreprise qui opère les services.  

• Classifiez la sensibilité des données : la question que vous devez vous poser : si ce risque de fuite de données se concrétise, est-il préjudiciable à votre organisation ? aux personnes concernées par les données personnelles ? À vos partenaires ? Cette analyse de risque vous permet de faire un choix libre et éclairé : accepter le risque et ses conséquences ou choisir une alternative souveraine ou hybride.  

La technique et le contrat : des remparts utiles ?  

Les mesures techniques et organisationnelles (chiffrement, anonymisation hybridation,…) et des audits réguliers sécurisent les données mais n’annulent pas l’obligation légale de transmission du prestataire soumis à une loi extraterritoriale, ni le risque d’arrêt des services. La question est de savoir jusqu’à quel point ces mesures techniques et organisationnelles résisteront aux exigences légales. Notons que le chiffrement ne protège en rien contre les lois extra territoriales qui exigeraient des sociétés qui entrent dans leur champ d’application qu’elles stoppent leurs services.  

Le contrat demeure un outil clé pour sécuriser vos données. Il est impératif d’anticiper les vulnérabilités en intégrant des clauses adaptées (accès par des tiers, réversibilité, interopérabilité, portabilité des données, gouvernance spécifique, résilience et souveraineté…).  

Pour autant, la sécurité juridique ne se décrète pas. Aussi, croire qu’interdire contractuellement à un éditeur soumis à une loi extraterritoriale de transmettre vos données est une erreur : face à une injonction souveraine d’un État tiers, une telle disposition s a toutes les chances d’être réputée non écrite.  

En somme, l’encadrement contractuel est votre meilleur bouclier, à la stricte condition de s’appuyer sur des mécanismes juridiquement robustes, plutôt que sur de simples déclarations d’intention.  

Vers une souveraineté cloud européenne, entre ambition et pragmatisme 

Dans un monde où les données sont devenues un actif stratégique, la souveraineté numérique n’est plus une option mais une nécessité . La question n’est d’ailleurs plus de savoir si vos données sont menacées, mais quand et comment vous allez les défendre. »  Or, cette protection, ne se résume pas à une simple question technique ou juridique : elle incarne une volonté stratégique de rééquilibrer les rapports de force dans l’économie numérique mondiale. Si des cadres comme le Cloud Sovereignty Framework ou des initiatives comme Gaia-X, l’UE tente de poser les bases de cette autonomie, , cette ambition se heurte encore à des réalités complexes, en particulier celle de la dépendance historique aux acteurs non-européens.  

L’enjeu de demain sera de rendre la souveraineté concrète et accessible, en alliant performance, simplicité et confiance. Elle ne sera pas atteinte du jour au lendemain, mais par une construction progressive, où chaque acteur — États, fournisseurs et entreprises utilisatrices — a un rôle à jouer, en alignant choix stratégiques, technologiques et conformité juridique.

–

Claudia Weber, Avocat associé fondateur ITLAW Avocats.