Comment savoir si vos outils sont soumis au droit américain ?

Regardez qui édite le logiciel, pas où dorment vos données. Un outil relève du droit américain quand la société qui l'édite, ou la maison mère qui la détient, est immatriculée aux États-Unis. Le pays du datacenter ne répond pas à cette question. L'audit tient dans un tableau à trois colonnes : l'outil, son éditeur, le pays où cet éditeur est immatriculé.

Le cadre juridique qui produit ce résultat est détaillé dans notre guide sur le cloud souverain et le droit américain.

Commencez par recenser votre pile logicielle. La CNIL décrit ce tableau : les outils concernés, les contrats et prestataires, les flux hors Union européenne, leur destination, leur encadrement juridique. Huit lignes couvrent la quasi-totalité d'une PME : messagerie et suite bureautique, comptabilité, paie, CRM, visioconférence, signature électronique, sauvegarde, hébergement du site.

Pour chaque ligne, trois questions. Quelle société édite l'outil. Qui détient cette société. Dans quel pays cette maison mère est immatriculée.

Le piège le plus courant est la filiale. Vous signez avec une société de droit français. Elle appartient à un groupe étranger.

Tout se trouve sans appeler personne : mentions légales, conditions générales, annexe de sous-traitance. Un outil dont la maison mère n'est pas identifiable en dix minutes est déjà une réponse.

Sur plus de 130 clients professionnels, la pile qui revient est presque toujours la même.

Deux expressions rassurent tout le monde dans les contrats : les clauses contractuelles types et le cadre de protection des données entre l'Union européenne et les États-Unis. Aucune ne répond à votre question.

Le chapitre V du RGPD, articles 44 à 50, encadre les transferts vers les pays tiers. L'article 44 pose le principe : un transfert n'a lieu que si les conditions du chapitre sont respectées, sans compromettre le niveau de protection garanti par le règlement. Trois portes permettent d'en sortir : l'article 45, la décision d'adéquation, l'article 46, les garanties appropriées, l'article 49, les dérogations, réservées à des situations particulières.

Les clauses contractuelles types relèvent de l'article 46 : un contrat type adopté par la Commission européenne, décision d'exécution 2021/914 du 4 juin 2021, en quatre modules selon les rôles des parties. La CNIL est claire sur leur portée : les deux parties doivent évaluer si la législation du pays tiers permet de respecter le niveau de protection requis, et à défaut ajouter des mesures supplémentaires. Sinon, le transfert doit être suspendu. Une clause engage un cocontractant. Elle n'engage pas l'État dont il dépend.

Le cadre de protection des données relève de l'article 45 : la décision d'adéquation du 10 juillet 2023. Il ne couvre pas toutes les sociétés américaines, seulement celles inscrites sur la liste tenue par le département du Commerce, avec un engagement renouvelé chaque année, à vérifier avant le transfert. Le recours en annulation a été rejeté par le Tribunal de l'Union européenne le 3 septembre 2025, et au 21 août 2026 les États-Unis figurent toujours sur la liste des décisions d'adéquation de la Commission.

Reste l'article 48. Une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant qu'un responsable de traitement ou un sous-traitant transfère ou divulgue des données ne peut être reconnue ou rendue exécutoire qu'à la condition d'être fondée sur un accord international, tel qu'un traité d'entraide judiciaire.

Le RGPD dit ce que vous, exportateur, avez le droit de faire. Il ne commande pas l'autorité étrangère. Votre transfert peut être parfaitement encadré et la question rester entière. Cette page est informative : faites valider votre situation par un professionnel du droit.

Quand un outil ne peut pas être remplacé, il reste un levier technique : le chiffrement dont la clé reste chez vous.

La CNIL a publié une analyse des pratiques de chiffrement dans le cloud public, rangée selon qui détient réellement la clé. Fournisseur qui génère et gère les clés : il possède les clés et a donc accès à la donnée en clair. Client qui apporte sa clé mais la dépose chez le fournisseur : même résultat. Client qui garde sa clé chez lui : un risque subsiste lors des opérations côté serveur.

La CNIL écrit que le chiffrement côté serveur ne permet pas d'éliminer les possibilités d'accès aux données par le fournisseur de cloud, notamment dans le cadre d'une demande d'une autorité étrangère. Seul le chiffrement côté client, avec des clés dont le client garde la titularité, le contrôle et la gestion, élimine cette possibilité.

Dit autrement : une donnée réquisitionnée mais illisible reste illisible.

Qui tient la clé tient le risque de la perdre. Clé perdue, données perdues. Prévoyez un séquestre écrit et un test de restitution.

Au bout de l'audit, chaque ligne tombe dans une pile. Ceux que vous remplacez, parce qu'un équivalent européen fait le travail. Ceux que vous gardez en chiffrant, parce que la donnée peut voyager illisible. Ceux que vous gardez en assumant, parce que le risque est faible au vu des données traitées. Aucune de ces trois piles n'est honteuse. La quatrième l'est : celle des outils que personne n'a regardés.

Un registre daté, avec la décision prise pour chaque outil et le nom de celui qui l'a prise, vaut mieux qu'une intuition. Le sujet rejoint votre conformité générale, traitée dans notre page sur l'accompagnement RGPD à Montpellier.

Nous construisons ce tableau avec vous, outil par outil, puis nous tranchons. Le chiffrement à clé client fait partie des briques décrites dans nos solutions. Sur les équipements que nous administrons, l'intervention est engagée sous 8 heures ouvrées, le dépannage sous 24 heures ouvrées maximum, déplacement et main d'œuvre illimités. Le premier point est gratuit et sans engagement, prenez rendez-vous.