IT Glossary
Le CLOUD Act est une loi américaine qui permet d'exiger d'un fournisseur les données qu'il contrôle, même hébergées en UE. Portée et questions à poser.
November 2, 2026
Le CLOUD Act est une loi des États-Unis qui permet aux autorités américaines, sur mandat (warrant), d'exiger d'un fournisseur soumis à la juridiction américaine la communication des données en sa possession, sous sa garde ou sous son contrôle, quel que soit leur lieu de stockage. Le Clarifying Lawful Overseas Use of Data Act a été adopté en mars 2018. Pour un acheteur européen, il compte parce qu'il suit le fournisseur et ses propriétaires, pas l'adresse du datacenter.
Pas à elle seule. La résidence des données répond à la question du lieu de stockage ; le CLOUD Act pose celle du contrôle de l'entreprise qui les détient. Une région européenne exploitée par un fournisseur américain, ou un éditeur SaaS européen hébergé chez un cloud américain, peut conserver un lien avec la juridiction américaine que la localisation seule ne coupe pas.
La tension est inscrite dans le droit européen. L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité d'un pays tiers exigeant le transfert ou la communication de données personnelles n'est reconnue ou exécutoire que si elle est fondée sur un accord international, comme un traité d'entraide judiciaire. Le CLOUD Act lui-même, adopté en mars 2018, est documenté par le ministère américain de la Justice (US Department of Justice). Savoir quelle obligation l'emporte dans un cas précis relève d'un conseil juridique.
Une fintech française de 300 salariés utilise 120 applications SaaS. Un client bancaire demande à son DPO la liste des fournisseurs susceptibles de recevoir une injonction américaine. L'équipe IT connaît le CRM et la suite bureautique, mais pas les petits outils détenus par un groupe américain, les éditeurs européens hébergés sur un cloud américain ni les sous-traitants de chaque contrat. Les réponses servent aussi à documenter le choix des sous-traitants au titre du RGPD, ce qu'un contrôle de la CNIL peut amener à justifier.
Il faut quatre informations par fournisseur : contrôle, hébergement, sous-traitants et politique face aux demandes des autorités. Corma fournit le point de départ, un inventaire complet des applications SaaS utilisées avec leurs contrats et leurs renouvellements, shadow IT compris, pour que la revue couvre tous les fournisseurs et pas seulement les plus connus. Corma est elle-même hébergée en UE, certifiée ISO/IEC 27001:2022 et conforme au RGPD, et les acheteurs peuvent lui poser les mêmes quatre questions, à partir de sa page sécurité.
Oui, potentiellement. Le CLOUD Act vise les données en la possession, sous la garde ou sous le contrôle du fournisseur où qu'elles soient stockées : le critère décisif est la juridiction du fournisseur, pas l'emplacement du serveur.
Les deux peuvent entrer en conflit. L'article 48 du RGPD ne reconnaît une injonction d'un pays tiers de communiquer des données personnelles que si elle repose sur un accord international, ce qui peut placer le fournisseur face à des obligations contradictoires. La résolution de ce conflit dans un cas donné relève d'un conseil juridique.
Les États-Unis ont adopté le CLOUD Act en mars 2018. Le sigle signifie Clarifying Lawful Overseas Use of Data.
Demandez qui contrôle l'entreprise, qui héberge les données et où, quels sous-traitants interviennent et quelle est la politique de l'éditeur face aux demandes des autorités. Conservez les réponses avec le contrat pour les revoir au renouvellement.
