Souveraineté et juridiction

Les intérêts américains peuvent atteindre vos données dans un centre de données européen

L'endroit où vos données sont stockées n'est pas la même question que celle de savoir à quelle loi votre fournisseur doit répondre. Pour un fournisseur cloud américain, le droit américain peut atteindre des données détenues dans un centre de données européen, et cela change la valeur réelle d'une promesse d'hébergement européen.

La juridiction suit le fournisseur, pas l'infrastructure

La loi FISA Amendments Act (article 702, codifié au 50 U.S.C. 1881a) permet au procureur général et au directeur du renseignement national d'autoriser conjointement l'acquisition d'informations de renseignement étranger concernant des personnes non américaines raisonnablement présumées se trouver hors des États-Unis, pour une durée maximale d'un an à la fois, sans mandat individuel par cible. Les fournisseurs sont contraints de coopérer, et une directive adressée à un fournisseur comporte généralement une obligation de non-divulgation.

La loi CLOUD Act (18 U.S.C. 2523) permet à une ordonnance américaine de contraindre un fournisseur à divulguer des données en sa possession, sous sa garde ou sous son contrôle, quel que soit l'endroit où ces données sont stockées. Elle a été adoptée en mars 2018 précisément pour trancher le litige dans United States v. Microsoft, où le gouvernement avait obtenu un mandat pour un compte dont le courrier électronique était stocké dans le centre de données de Microsoft à Dublin. Microsoft l'a contesté ; l'affaire est allée jusqu'à la Cour suprême ; et le 17 avril 2018, la Cour a rejeté l'appel comme sans objet parce que la loi CLOUD Act avait entre-temps rendu les données produisibles.

L'obligation juridique pèse donc sur le fournisseur américain en tant que dépositaire, quel que soit l'emplacement physique des serveurs. Les Forces armées suédoises sont parvenues à la même conclusion dans leur stratégie cloud, notant que l'emplacement du siège d'un fournisseur est déterminant pour savoir quelle législation s'applique. SVT, 30 mai 2026

Le « renseignement étranger » est plus large que la chasse aux terroristes

L'article 702 vise les « informations de renseignement étranger ». La définition légale (50 U.S.C. 1801(e)) inclut les informations dont les États-Unis ont besoin pour se protéger contre les attaques, le sabotage, le terrorisme international, la prolifération d'armes et l'activité de renseignement clandestine. Mais elle inclut aussi, à l'égard d'une puissance ou d'un territoire étranger, les informations relatives à « la défense nationale ou la sécurité des États-Unis » ou « la conduite des affaires étrangères des États-Unis ».

Le point n'est pas que l'article 702 équivaudrait à « attraper des terroristes ». Un appel d'offres commercial, une décision stratégique de politique énergétique, ou la posture d'un entrepreneur de la défense peuvent tous toucher à la conduite des affaires étrangères américaines. Cela expose des informations sensibles d'un point de vue commercial à l'acquisition lorsque les conditions légales sont réunies.

Ce qu'ils disent, et ce qui est documenté

Réassurance publique

La directrice de Microsoft en Suède, Sophia Wikander, a déclaré en mai 2026 que Microsoft contesterait une telle ordonnance à chaque fois. SVT, 30 mai 2026
Microsoft Suède a publié des engagements à contester toute demande de divulgation de données clients suédoises commerciales ou du secteur public qui entre en conflit avec le RGPD ou une autre loi suédoise. Communiqué de presse de Microsoft Suède, 11 février 2021

Ce qui est documenté

Le directeur juridique de Microsoft France, Anton Carniaux, a déclaré au Sénat français (10 juin 2025) qu'il ne peut pas garantir que les données stockées dans des centres de données européens ne seront pas remises aux autorités américaines dans le cadre d'une demande valide au titre de la loi CLOUD Act ; l'entreprise serait légalement tenue de les produire. Commentaire de la protection des données de Hambourg, 1er août 2025
Les divulgations de Snowden (2013) ont identifié des fournisseurs américains, dont Microsoft, comme participants au programme PRISM au titre de l'article 702. PRISM (Wikipédia)
Les propres rapports de Microsoft sur les demandes gouvernementales et d'application de la loi publient des volumes agrégés de données produites dans le cadre d'ordonnances FISA et de demandes de sécurité nationale. Rapport de transparence de Microsoft

Quels intérêts prévalent lorsque les obligations entrent en conflit ?

Nous ne prétendons pas savoir, demande par demande, ce qu'un fournisseur choisirait de faire, et nous n'affirmons pas qu'un fichier spécifique a été exigé ou lu. Mais les incitations sont difficiles à ignorer.

Un fournisseur qui reçoit une directive au titre de l'article 702 est tenu de maintenir le secret de l'acquisition. Le client est tenu à l'écart de ce processus : le fournisseur ne peut pas offrir la transparence nécessaire pour vérifier ce qui est arrivé aux données du client. Une promesse publique de contester une ordonnance n'établit pas qu'une contestation sera faite. Sans preuve d'action, elle reste une assurance de marketing.

Lorsque le choix est entre violer visiblement le droit américain et violer invisiblement le droit européen, une lecture raisonnable des incitations est que les fournisseurs ne choisiraient pas d'être les premiers à violer publiquement le droit américain. Notamment, aucun fournisseur américain n'a jamais publiquement défié une directive au titre de l'article 702 ou une demande finale au titre de la loi CLOUD Act. Ce n'est pas une preuve de ce que contient une demande individuelle — c'est une déclaration sur ce que les incitations rendent prévisible. Microsoft publie des chiffres montrant la conformité à des demandes de sécurité nationale touchant des milliers de comptes. C'est une pratique observable, pas un risque hypothétique. La promesse d'un PDG de contester une ordonnance est une assurance de marketing — pas une preuve que l'entreprise retiendra vos données. En l'absence d'un cas documenté de refus, la question pratique est : comment mes données se comporteraient-elles dans cette situation, et comment le saurais-je jamais ?

Lectures complémentaires

Discuter de vos besoins