Ce qu’est le CLOUD Act
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) est devenu loi aux États-Unis le 23 mars 2018, dans le cadre du Consolidated Appropriations Act, 2018. Il modifie le Stored Communications Act.
Sa règle centrale (18 U.S.C. § 2713) : les fournisseurs de services de communication électronique et d’informatique à distance doivent communiquer, sur mandat ou ordonnance américaine valable, les données en leur possession, sous leur garde ou leur contrôle – que ces données se trouvent aux États-Unis ou à l’étranger.
La loi permet aussi au gouvernement américain de conclure des accords avec d’autres États afin que leurs autorités puissent demander des données directement aux prestataires américains, et offre aux prestataires une voie limitée pour contester des ordonnances contraires au droit d’un tel État partenaire.
Pourquoi c’est important dans l’UE
Le CLOUD Act se rattache au prestataire, pas à l’emplacement des serveurs. Des données stockées dans un centre de données de l’UE peuvent donc être concernées si un prestataire soumis à la juridiction américaine les contrôle – par exemple via une société mère américaine.
Le RGPD traite ce point à l’article 48 : une décision d’une juridiction ou d’une autorité d’un pays tiers exigeant le transfert de données personnelles n’est reconnue ou exécutoire que si elle se fonde sur un accord international, comme un traité d’entraide judiciaire. Ce conflit de lois explique pourquoi la question « quel droit s’applique à mon prestataire ? » fait partie de la souveraineté numérique.
Ce que vous pouvez vérifier
- Où le prestataire est-il établi, et où se trouve sa société mère ?
- Quels sous-traitants sont soumis à la juridiction américaine, et quelles données voient-ils ?
- Les contenus sont-ils chiffrés de façon illisible pour le prestataire (de bout en bout), ou seulement au repos ?
- Comment le prestataire traite-t-il les demandes des autorités ?
Coviqo est exploité depuis le Luxembourg et stocke les contenus sur des serveurs en Allemagne. Les entreprises américaines impliquées – protection réseau et paiements – sont nommées avec ce qu’elles traitent sur Pourquoi une plateforme européenne.
Cette page est une information générale, pas un conseil juridique.
Questions fréquentes
Le CLOUD Act s’applique-t-il aux entreprises européennes ?
Il s’applique aux prestataires soumis à la juridiction américaine. Qu’une entreprise européenne en relève dépend de ses liens avec les États-Unis, par exemple une société mère ou une succursale américaine – cela s’apprécie au cas par cas.
Stocker les données dans l’UE protège-t-il du CLOUD Act ?
Pas à lui seul. Ce qui compte, c’est qu’un prestataire soumis à la juridiction américaine ait la possession, la garde ou le contrôle des données.