C'est la question la plus mal comprise, parce que la réponse ne dépend pas du lieu de stockage.
Le CLOUD Act américain prévoit qu'un fournisseur de service de communication électronique ou d'informatique à distance doit se conformer aux obligations de conservation, de sauvegarde et de communication des contenus et informations en sa possession, sa garde ou son contrôle, que ces éléments soient situés à l'intérieur ou à l'extérieur des États-Unis.
Le critère n'est donc pas le pays du datacenter. C'est le rattachement juridique de la société qui détient les données. Des fichiers hébergés physiquement en France, chez la filiale d'un groupe américain, restent dans le champ. Nous détaillons la méthode pour faire cet inventaire dans notre article sur les outils soumis au droit américain et dans celui sur le cloud souverain.
Pour les données les plus sensibles, l'ANSSI a défini le référentiel SecNumCloud. Sa version 3.2, du 8 mars 2022, impose notamment que le siège du prestataire soit établi dans un État membre de l'Union européenne, et qu'une société tierce hors Union européenne n'ait pas la possibilité technique d'obtenir les données opérées au travers du service.
Cette exigence pèse sur les administrations de l'État et certains de leurs opérateurs, en application de l'article 31 de la loi SREN et de son décret d'application du 14 avril 2026. Une PME n'y est pas soumise. Mais si vous travaillez pour le secteur public, la question vous sera posée.