Pourquoi l'hébergement cloud européen est encore plus important après le CLOUD Act

La loi qui a tout changé

En mars 2018, les États-Unis ont discrètement adopté le Clarifying Lawful Overseas Use of Data Act — plus connu sous le nom de CLOUD Act. Il a été promulgué dans le cadre d’une loi de finances omnibus, sans pratiquement aucun débat public malgré sa portée extraordinaire.

Le CLOUD Act fait quelque chose de sans précédent : il donne aux forces de l’ordre et aux agences de renseignement américaines l’autorité légale de contraindre les entreprises américaines à livrer des données indépendamment de l’endroit où ces données sont physiquement stockées. Si les données de votre entreprise se trouvent sur un serveur à Francfort, opéré par une entreprise américaine, le gouvernement américain peut légalement en exiger l’accès sans vous en informer ni informer les autorités allemandes.

Pour les entreprises européennes, cette seule loi sape fondamentalement l’idée que stocker des données en Europe les protège sous le droit européen.

Comment le CLOUD Act fonctionne concrètement

Le mécanisme

En vertu du CLOUD Act, un tribunal américain peut émettre un mandat exigeant de toute entreprise basée aux États-Unis — ou de toute entreprise ayant des liens suffisants avec les États-Unis — qu’elle produise des données en sa « possession, garde ou contrôle », indépendamment de l’endroit où ces données sont stockées.

Les éléments critiques :

Portée extraterritoriale : La localisation physique des données est sans importance. Un serveur à Amsterdam, un centre de données à Paris, une installation de sauvegarde à Dublin — si l’entreprise qui les contrôle est américaine, les données sont accessibles
Pas de notification au gouvernement étranger : Le gouvernement américain n’est pas tenu d’informer le pays où les données sont stockées, ni de passer par les traités d’entraide judiciaire (MLAT)
Ordonnances de non-divulgation possibles : Les entreprises peuvent se voir interdire d’informer leurs clients qu’une demande d’accès à leurs données a été formulée
Portée large : S’applique à toute « communication électronique ou par fil » et à tout « dossier ou autre information »

Le conflit avec le RGPD

Cela crée un conflit juridique direct. Le RGPD interdit le transfert de données personnelles européennes vers des pays tiers (y compris les États-Unis) sans garanties adéquates. Le CLOUD Act exige des entreprises américaines qu’elles transfèrent des données aux autorités américaines sur demande. Une entreprise américaine ayant des clients européens fait face à un choix impossible : violer le RGPD ou violer la loi américaine.

Certaines entreprises ont tenté de résoudre cela par des mesures contractuelles — Clauses Contractuelles Types (CCT), mesures techniques complémentaires ou Cadre de protection des données UE-États-Unis adopté en 2023. Mais les défenseurs de la vie privée et les juristes soutiennent qu’aucun mécanisme contractuel ne peut neutraliser une obligation légale américaine assortie de sanctions pénales.

Schrems II : la Cour confirme

Le conflit du CLOUD Act avec la protection des données européennes était déjà préfiguré par l’arrêt Schrems II. En juillet 2020, la Cour de justice de l’Union européenne a invalidé le cadre du Privacy Shield UE-États-Unis, estimant que les lois de surveillance américaines — en particulier la Section 702 du FISA et l’Executive Order 12333 — n’offraient pas de protections équivalentes au droit de l’UE.

Le raisonnement de la Cour s’applique avec la même force au CLOUD Act :

Pas de contrôle indépendant : Les mandats du CLOUD Act sont émis par des tribunaux américains sans participation des autorités judiciaires européennes
Pas de recours pour les citoyens de l’UE : Les Européens dont les données sont consultées n’ont aucune voie de recours effective dans le système américain
Contexte de surveillance de masse : Le CLOUD Act opère aux côtés d’autorités de surveillance américaines plus larges que la CJUE a déjà jugées incompatibles avec les droits fondamentaux de l’UE

Le Cadre de protection des données UE-États-Unis adopté en 2023 tente de répondre à certaines de ces préoccupations, mais il fait l’objet de contestations juridiques et de nombreux experts en protection des données le considèrent comme une solution temporaire de plus plutôt qu’une solution structurelle. Le problème fondamental demeure : la loi américaine donne au gouvernement américain accès à des données que le droit européen considère comme protégées.

Pourquoi la « région UE » d’un cloud américain ne suffit pas

Les fournisseurs cloud comme AWS, Microsoft Azure et Google Cloud proposent des régions de centres de données européens et s’engagent sur la résidence des données. C’est réellement utile pour la performance et certaines exigences de conformité, mais cela ne résout pas le problème du CLOUD Act.

Voici pourquoi :

Le contrôle juridique compte plus que la localisation physique : Même si vos données ne quittent jamais un centre de données européen, l’entreprise américaine qui l’exploite peut être contrainte d’accéder à ces données et de les produire
Clés de chiffrement sous contrôle américain : Si le fournisseur cloud gère vos clés de chiffrement — ce qui est le cas par défaut pour la plupart des services — il peut déchiffrer vos données en réponse à un mandat du CLOUD Act
Les métadonnées sont des données : Même avec des données chiffrées, le fournisseur américain a accès aux métadonnées — qui stocke quoi, quand les données sont consultées, depuis où — qui peuvent être exigées en vertu du CLOUD Act
Les structures de filiales ne protègent pas : AWS Europe, Microsoft Ireland, Google Netherlands — ces filiales européennes sont en définitive contrôlées par des sociétés mères américaines soumises au droit américain

Cela ne signifie pas que les fournisseurs cloud américains sont malveillants. Beaucoup contestent activement les demandes gouvernementales excessives. Microsoft a notamment combattu un mandat pour des données stockées en Irlande dans l’affaire qui a précédé le CLOUD Act (et a techniquement gagné, avant que le CLOUD Act ne rende le jugement sans objet). Mais le cadre juridique impose la conformité, et les entreprises qui refusent s’exposent à des poursuites pour outrage et des sanctions.

L’alternative européenne : une véritable souveraineté des données

Le seul moyen d’échapper totalement à la portée du CLOUD Act est de stocker les données chez un fournisseur qui n’est pas soumis à la juridiction américaine. Cela signifie une entreprise qui est :

Basée dans l’UE ou dans un pays ayant une décision d’adéquation RGPD (comme la Suisse)
Pas une filiale d’une entreprise américaine
Pas opérationnellement dépendante d’une infrastructure américaine d’une manière qui crée une compétence juridique
Traitant et stockant les données exclusivement sur le territoire UE/EEE

Hetzner (Allemagne)

Hetzner est une entreprise allemande privée exploitant des centres de données à Nuremberg, Falkenstein et Helsinki. Ils proposent des serveurs dédiés, de l’hébergement cloud et des services gérés à des prix systématiquement inférieurs à ceux des hyperscalers américains. Sans société mère américaine, sans investisseurs américains et sans opérations aux États-Unis, Hetzner est totalement en dehors de la juridiction du CLOUD Act. Leur transparence tarifaire — pas de frais de sortie cachés, pas de facturation complexe à paliers — leur a valu une communauté fidèle parmi les développeurs et les PME.

OVHcloud (France)

OVHcloud est le plus grand fournisseur de cloud européen, exploitant plus de 40 centres de données dans le monde. Basé à Roubaix et coté à la Bourse de Paris, OVHcloud est entièrement européen en termes de propriété et de gouvernance. Ils proposent une pile cloud complète — bare metal, cloud public, cloud privé et hébergement web — avec un fort accent sur la souveraineté des données. Leurs offres qualifiées « SecNumCloud » répondent au plus haut standard français de sécurité des services cloud.

Scaleway (France)

Scaleway, filiale du Groupe Iliad, opère depuis des centres de données à Paris et Amsterdam. Ils se sont forgé une réputation de services cloud orientés développeurs avec des tarifs innovants et de forts engagements environnementaux (leurs centres de données utilisent le refroidissement adiabatique). Scaleway se positionne explicitement comme une alternative cloud européenne souveraine, avec tout le traitement des données au sein de l’UE.

Infomaniak (Suisse)

Basé en Suisse, Infomaniak opère exclusivement depuis la Suisse, bénéficiant des lois strictes du pays en matière de protection des données et de la décision d’adéquation RGPD. Ils proposent hébergement cloud, e-mail, vidéoconférence et outils de productivité — le tout depuis des centres de données suisses alimentés par des énergies renouvelables. Le cadre juridique suisse offre une couche de protection supplémentaire contre les demandes d’accès étrangères aux données.

UpCloud (Finlande)

Le fournisseur cloud finlandais UpCloud propose des serveurs cloud haute performance depuis des centres de données répartis en Europe. En tant qu’entreprise finlandaise, ils opèrent entièrement sous la juridiction de l’UE et ne sont soumis qu’au droit européen et finlandais en matière de protection des données.

Comment auditer votre stack cloud

Passer à l’hébergement cloud européen n’est pas forcément un changement radical. Commencez par un audit systématique :

Étape 1 : Cartographier vos flux de données

Documentez chaque service qui stocke, traite ou transmet vos données. Incluez non seulement l’hébergement principal mais aussi :

Services de sauvegarde : Où vont vos sauvegardes ?
Fournisseurs CDN : Quel réseau de distribution de contenu met vos données en cache ?
E-mail et communication : Où vos e-mails sont-ils stockés ?
Analytics : Où transitent vos données utilisateur ?
Outils SaaS : Quels services tiers ont accès à vos données ?

Étape 2 : Identifier les services sous contrôle américain

Pour chaque service, déterminez si le fournisseur est une entreprise américaine ou une filiale contrôlée par les États-Unis. Vérifiez la propriété de la société mère, pas seulement le nom de l’entité sur votre contrat.

Étape 3 : Classer par sensibilité

Toutes les données ne présentent pas le même risque. Priorisez la migration en fonction de la sensibilité des données :

Priorité maximale : Données personnelles des citoyens de l’UE, données de santé, dossiers financiers, documents juridiques
Haute priorité : Données critiques pour l’entreprise, communications clients, documents internes
Priorité moyenne : Infrastructure de développement, outils internes, contenu non sensible
Priorité moindre : Hébergement de sites web statiques, contenu public, données non personnelles

Étape 4 : Planifier la migration par priorité

Commencez par les données les plus sensibles et progressez. Pour chaque migration :

Évaluez au moins deux fournisseurs européens
Testez les performances et la compatibilité avant de vous engager
Prévoyez une période de fonctionnement en parallèle pour détecter les problèmes
Mettez à jour vos registres de traitement et vos politiques de confidentialité

Étape 5 : Vérifier la conformité continue

La souveraineté n’est pas un acquis ponctuel. Réexaminez régulièrement votre stack pour :

Les nouveaux services ajoutés sans examen de souveraineté
Les changements de propriété des fournisseurs (entreprises européennes rachetées par des entités américaines)
Les évolutions du cadre juridique susceptibles d’affecter l’adéquation en matière de protection des données

La question du coût

Une objection courante à l’hébergement cloud européen est le coût. La réalité est plus nuancée que « les clouds américains sont moins chers » :

Hetzner est souvent moins cher que des configurations AWS ou Azure équivalentes, en particulier pour les charges de travail gourmandes en calcul
OVHcloud propose des tarifs compétitifs avec une facturation prévisible et sans frais de sortie
Scaleway offre une tarification transparente et orientée développeurs
Les avantages tarifaires apparents des hyperscalers américains reposent souvent sur des tarifs complexes d’instances réservées, des remises sur engagement et des offres d’essai gratuites qui masquent le véritable coût à long terme

Lorsque vous intégrez le coût des mesures de conformité RGPD nécessaires pour l’utilisation d’un cloud américain — analyses d’impact sur la protection des données, mesures techniques complémentaires, revues juridiques des CCT, amendes potentielles — l’hébergement européen atteint souvent la parité de coût voire fait mieux.

En résumé

Le CLOUD Act a créé une réalité juridique qu’aucune ingénierie contractuelle ne peut pleinement résoudre. Tant que vos données sont contrôlées par une entreprise américaine, elles sont accessibles au gouvernement américain, indépendamment de leur localisation physique. Les fournisseurs cloud européens offrent la seule solution structurelle : une véritable souveraineté des données sous le droit européen, opérée par des entreprises européennes, stockée sur le sol européen.

L’infrastructure existe. Les fournisseurs sont matures. Les tarifs sont compétitifs. La seule question restante est de savoir si vous êtes prêt à faire le changement avant qu’une demande d’accès aux données ne prenne la décision à votre place.