Cloud Act : vos données hébergées sont-elles concernées ?

Vos données sont hébergées en France : sont-elles pour autant hors de portée du Cloud Act ? Pas nécessairement. Ce texte américain vise les prestataires, pas les serveurs. Cet article présente les principes généralement admis et les mesures de bon sens. Il ne constitue pas un avis juridique : pour une situation précise, consultez un juriste ou votre délégué à la protection des données.

Que prévoit le Cloud Act ?

Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale des États-Unis. Ses principes connus sont les suivants.

• Les autorités américaines peuvent, dans le cadre d'une procédure pénale et avec une décision de justice, demander à un fournisseur de services de communication ou de stockage soumis au droit américain de produire des données.
• Cette obligation porte sur les données que le prestataire a en sa possession, sous sa garde ou sous son contrôle, quel que soit le pays où elles sont stockées.
• Le texte prévoit des possibilités de contestation par le prestataire, dans des conditions limitées.
• Il permet aussi aux États-Unis de conclure des accords avec d'autres États pour organiser ces demandes.

D'autres lois américaines, relatives au renseignement, sont souvent citées dans le même débat. Elles obéissent à des règles différentes, mais soulèvent la même question : qui peut accéder à vos données, et selon quelle procédure ?

Qui est concerné ?

Le point de départ est la juridiction du prestataire, c'est-à-dire le droit auquel il est soumis. Une entreprise américaine qui exploite un centre de données en Europe reste concernée. La situation des filiales européennes de groupes américains fait l'objet d'analyses juridiques au cas par cas, car tout dépend du contrôle que la maison mère exerce sur les données.

Que dit le droit européen ?

Le RGPD, règlement européen sur la protection des données, encadre la communication de données personnelles à des autorités de pays tiers. Son article 48 prévoit qu'une décision d'une autorité d'un pays tiers exigeant un transfert de données ne peut être reconnue ou exécutée que si elle repose sur un accord international, comme un traité d'entraide judiciaire, sans préjudice des autres fondements de transfert prévus par le règlement.

Un prestataire soumis aux deux droits peut donc se trouver face à des obligations contradictoires. C'est ce conflit de lois qui pousse de nombreuses organisations à privilégier un hébergement souverain pour leurs données sensibles.

Comment réduire l'exposition de vos données ?

1. Cartographier : listez vos données, les services qui les stockent et la société qui contrôle chaque prestataire. Le registre des traitements est un bon point de départ.
2. Classer par sensibilité : données de santé, secrets d'affaires, données financières ou de ressources humaines ne présentent pas le même enjeu qu'une page publique.
3. Choisir le prestataire selon l'enjeu : pour les données sensibles, préférez un hébergeur qui relève exclusivement du droit européen.
4. Chiffrer avec vos propres clés : le chiffrement rend les données illisibles sans la clé. Si c'est vous, et non le prestataire, qui détenez cette clé, les données communiquées restent inexploitables.
5. Négocier le contrat : demandez un engagement d'information en cas de demande d'une autorité et de contestation lorsque c'est possible.
6. Documenter : conservez la trace de votre analyse, elle vous sera utile face à un client ou à la CNIL.

Faut-il quitter tous les services américains ?

Pas nécessairement. L'exposition dépend de la nature des données. Un site vitrine public présente peu d'enjeu, alors qu'une application qui traite des dossiers clients ou des données de santé mérite une analyse approfondie. La bonne démarche consiste à décider service par service, en commençant par les données les plus sensibles.

En résumé

• Le Cloud Act vise les prestataires soumis au droit américain, où que soient stockées les données.
• Un serveur situé en France ne suffit donc pas à écarter le sujet.
• Le RGPD encadre la communication de données à des autorités étrangères, ce qui crée un conflit de lois possible.
• Cartographiez, classez, chiffrez et choisissez vos prestataires selon la sensibilité des données.

Pour héberger vos sites et applications chez un prestataire relevant du droit français, voyez l'hébergement web NexSecure.