Que prévoit le texte américain ?
La disposition codifiée à 18 USC 2713 traite de l’obligation de conservation ou de divulgation des données détenues par un fournisseur dans les conditions prévues par le droit américain. Elle précise que la localisation à l’intérieur ou à l’extérieur des États-Unis n’écarte pas cette obligation.
Le ministère américain de la Justice explique que le dispositif concerne les fournisseurs soumis à la juridiction américaine et ne crée pas à lui seul une juridiction universelle sur toutes les sociétés étrangères. Les conditions de demande et les voies de contestation doivent être distinguées d’un accès libre aux données.
Pourquoi l’adresse du centre de données ne suffit-elle pas ?
La localisation indique où se trouvent les données, tandis que la juridiction et le contrôle indiquent quelles parties peuvent être concernées par une demande. L’organisation juridique, les contrats et les sous-traitants peuvent compter dans l’analyse.
Pour un projet, demandez l’identité des parties, leurs rôles et les chemins d’accès. Le pays du bucket reste utile, mais il ne décrit pas tous les opérateurs qui interviennent. Évitez les affirmations selon lesquelles des données européennes seraient impossibles à atteindre par toute autorité étrangère.
Comment articuler cette question avec le RGPD ?
Le RGPD comporte des règles sur les transferts et sur les décisions d’autorités de pays tiers, notamment à l’article 48. Une demande étrangère ne constitue pas automatiquement une base suffisante pour divulguer des données personnelles. Le CEPD publie des lignes directrices sur cette analyse.
Le dossier doit décrire la procédure de traitement des demandes, les obligations de notification possibles et les recours. L’analyse dépend des faits et des parties. Elle ne peut pas être résumée par « hébergé en Europe, donc sans risque juridique ».
Quelles questions poser à un fournisseur ?
Demandez qui contracte, qui exploite, qui peut accéder aux données et comment les demandes d’autorités sont traitées. Vérifiez aussi les clés et le chiffrement : leur contrôle fait partie de l’architecture, sans constituer une immunité juridique générale.
Impossible Cloud présente son organisation et ses régions dans sa documentation. Ces déclarations doivent rester attribuées au fournisseur. Pour WiFeel, le dossier de projet doit couvrir le stockage et les services associés, puis être examiné par les personnes chargées du volet juridique.
Questions fréquentes
Le CLOUD Act s’applique-t-il à toute entreprise européenne ?
Le texte ne crée pas une compétence universelle sur toutes les entreprises européennes. La question dépend notamment de la juridiction applicable et du contrôle exercé sur les données. Le pays d’hébergement ne suffit pas à conclure.
Une région France supprime-t-elle tout risque d’accès étranger ?
Non. Il faut aussi examiner les parties, les sous-traitants, les accès et les règles de traitement des demandes. La résidence française est un élément du dossier, pas une protection juridique absolue.
Sources et périmètre
Les caractéristiques de la plateforme sont attribuées à Impossible Cloud. Les tarifs et le périmètre d’accompagnement WiFeel sont précisés dans une proposition adaptée au projet.