Cloud Act : ce que risque vraiment une entreprise française
Le Cloud Act revient dans toutes les discussions sur la souveraineté, et il y revient souvent mal : tantôt agité comme une menace d’espionnage industriel, tantôt balayé d’un « nos données sont en Europe, donc c’est réglé ». Les deux sont faux, et pour une entreprise française qui sous-traite dans l’industrie ou pour le secteur public, l’imprécision se paie.
Le sujet mérite donc d’être posé exactement — parce que la question vous sera posée, et qu’elle appelle une réponse écrite.
Ce que dit le Cloud Act, et ce qu’il ne dit pas
Le Clarifying Lawful Overseas Use of Data Act, adopté aux États-Unis en mars 2018, règle une question de procédure : jusqu’où porte une réquisition judiciaire américaine adressée à un fournisseur de services.
Sa réponse tient en une phrase : un fournisseur soumis à la juridiction américaine doit communiquer les données qu’il détient ou contrôle, que ces données soient stockées aux États-Unis ou ailleurs.
Deux précisions s’imposent, parce qu’elles sont systématiquement escamotées.
Ce n’est pas un droit d’accès permanent. Le Cloud Act encadre des réquisitions, dans un cadre judiciaire, pour des motifs déterminés. Il n’ouvre pas un robinet dans lequel une administration puiserait en continu.
Ce n’est pas non plus une clause de style. L’obligation pèse sur le fournisseur, elle est contraignante, et elle s’exerce sans que le client soit nécessairement informé. C’est cette dernière caractéristique qui pose problème dans un dossier de conformité : vous ne pouvez pas garantir ce que vous ne pouvez pas constater.
Pourquoi « hébergé en Europe » ne suffit pas à répondre
C’est le contresens le plus répandu, et il coûte cher en appel d’offres.
Le critère retenu par le Cloud Act n’est pas le lieu où reposent les octets. C’est la juridiction à laquelle est soumis le fournisseur. Une société de droit américain, ou une filiale européenne contrôlée par un groupe américain, entre dans le champ — que ses serveurs soient à Francfort, à Dublin ou à Roubaix.
D’où une conséquence contre-intuitive : deux hébergements physiquement identiques, dans le même pays, peuvent relever de régimes juridiques différents selon l’actionnariat du prestataire.
La bonne question n’est donc jamais « où sont mes données ? ». Elle est : « qui les détient, et de quel droit ce détenteur relève-t-il ? »
La règle que l’État français en a tirée
L’administration française a tranché ce point pour son propre compte, et sa doctrine est publique — ce qui en fait une référence commode dans une discussion commerciale.
La circulaire n° 6282-SG du 5 juillet 2021 a posé la doctrine dite « cloud au centre ». Elle a été actualisée par la circulaire n° 6404/SG du 31 mai 2023, notamment sur la notion de données sensibles.
Ce que ce texte impose : pour tout produit numérique traitant des données particulièrement sensibles, l’offre commerciale retenue doit être qualifiée SecNumCloud — ou bénéficier d’une qualification européenne équivalente en matière de cybersécurité — et être protégée contre tout accès non autorisé par des autorités d’États tiers.
La seconde partie de cette phrase est celle qui compte ici. L’État ne se contente pas d’exiger un niveau de sécurité technique : il exige explicitement une protection contre l’extraterritorialité. C’est la traduction réglementaire directe du problème posé par le Cloud Act.
Sources : circulaires n° 6282-SG du 5 juillet 2021 et n° 6404/SG du 31 mai 2023, publiées sur Légifrance ; documentation SecNumCloud de l’ANSSI (cyber.gouv.fr). Consultées le 9 septembre 2026.
Une nuance essentielle accompagne toute mention de SecNumCloud, et l’ANSSI la formule elle-même : la qualification porte sur l’offre d’hébergement, jamais sur les applications qui y sont déployées. Elle « ne préjuge pas du niveau de sécurité d’un service numérique d’un client hébergé sur l’offre cloud qualifiée ». Un hébergeur qualifié peut parfaitement héberger des logiciels qui ne le sont pas — c’est même le cas général.
Le risque réel pour une entreprise française : la clause, pas l’espionnage
Si vous êtes une PME industrielle de rang 2 ou 3, la probabilité qu’une réquisition américaine vise spécifiquement vos plannings de charge est faible. Ce n’est pas là que le risque se matérialise.
Il se matérialise à la ligne 47 d’un cahier des charges.
Un donneur d’ordre vous demande de garantir qu’aucune donnée relative à son programme ne peut être communiquée à une autorité étrangère. Vous transmettez la question à vos éditeurs. L’un d’eux est une société américaine, ou une filiale européenne d’un groupe américain. Vous ne pouvez pas signer l’engagement demandé.
À ce stade, le problème n’est plus juridique, il est commercial. Vous avez perdu des semaines, parfois le marché — et souvent, la découverte a lieu bien après le choix de l’outil, quand en changer coûte le plus cher.
Un mot d’honnêteté, ici. Presque aucun éditeur de logiciel n’est aujourd’hui totalement dépourvu de dépendance non européenne : les notifications sur téléphone mobile, par exemple, transitent nécessairement par les systèmes des deux éditeurs de systèmes d’exploitation. Prétendre le contraire est un mauvais signal. Ce qui distingue un fournisseur sérieux, ce n’est pas l’absence de toute dépendance : c’est de les avoir recensées et de vous les annoncer avant que vous ne les découvriez.
Les trois questions à poser à un éditeur
Elles tiennent en trois lignes, et elles suffisent à trier.
- De quel droit relève la société qui détient mes données ? Pas où sont les serveurs : quelle est la nationalité de l’entité, et son actionnariat de contrôle.
- Quels tiers interviennent, pour quoi, et depuis quelle juridiction ? Un éditeur qui ne peut pas produire cette liste ne l’a jamais établie.
- Sous quelle forme et dans quel délai puis-je récupérer mes données ? La réversibilité est ce qui vous permet de partir si la réponse aux deux premières questions change.
Chez Lemmpo, la réponse à la première est simple : éditeur français, données hébergées en France chez OVHcloud, hébergeur français. Pour l’offre Entreprise, un hébergement sur une infrastructure OVHcloud qualifiée SecNumCloud est disponible sur demande, après étude et devis — étant entendu, là encore, que cette qualification porte sur l’infrastructure d’hébergement et non sur le service applicatif Lemmpo, qui n’est pas qualifié.
Nos engagements sur le chiffrement, le cloisonnement des accès et la réversibilité sont décrits sur la page sécurité ; le détail, y compris le recensement complet des services tiers, figure dans notre questionnaire de sécurité, transmis sur demande.
En résumé
Le Cloud Act ne menace pas directement le planning d’atelier d’une PME de trente personnes. Il rend en revanche impossible, pour beaucoup d’entreprises, la signature d’un engagement contractuel que leurs clients leur demandent de plus en plus souvent.
La parade n’est pas de chercher un fournisseur qui promettrait une souveraineté absolue — cela n’existe pas. Elle est de savoir, pour chacun de ses outils, de quel droit relève celui qui détient les données, et de pouvoir le mettre par écrit.
C’est une question de cartographie, pas de technologie. Et elle se pose bien avant le jour où on vous la posera.
Pour aller plus loin
Pour approfondir le sujet :
- Logiciel souverain : le guide complet — le guide de référence sur SecNumCloud, le RGPD et l’extraterritorialité.
- NIS2 : ce qui attend vraiment les sous-traitants industriels — l’autre exigence qui arrive par vos donneurs d’ordre.
- SecNumCloud est-il obligatoire pour un sous-traitant défense ? — ce que dit vraiment la réglementation sur l’hébergement.
- Souveraineté — notre position, et ce que la qualification couvre ou non.
- Défense et industrie sensible — les contraintes propres à cette chaîne de sous-traitance.
FAQ
Qu’est-ce que le Cloud Act ?
Une loi américaine adoptée en mars 2018 qui permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur juridiction la communication de données qu’il détient, y compris lorsque ces données sont stockées en dehors du territoire américain.
Héberger ses données en Europe suffit-il à échapper au Cloud Act ?
Non. Le critère retenu n’est pas le lieu de stockage mais la juridiction à laquelle le fournisseur est soumis. Une filiale européenne d’un groupe américain reste dans le champ, même si ses serveurs sont situés en France.
Que prévoit la doctrine de l’État français sur ce point ?
La circulaire du 31 mai 2023, qui actualise la doctrine « cloud au centre », impose pour les produits numériques traitant des données particulièrement sensibles une offre qualifiée SecNumCloud ou équivalente européenne, et protégée contre tout accès non autorisé par des autorités d’États tiers.
Une infrastructure qualifiée SecNumCloud rend-elle mon logiciel conforme ?
Non. La qualification porte sur l’offre d’hébergement, pas sur les applications qui y sont déployées. L’ANSSI précise que la qualification ne préjuge pas du niveau de sécurité d’un service client hébergé sur une offre qualifiée.
Quel est le risque concret pour une PME industrielle ?
Rarement une réquisition directe. Bien plus souvent, l’impossibilité de répondre à une clause contractuelle ou à un questionnaire de sécurité qui exige de garantir l’absence d’accès par une autorité étrangère — et la perte du marché qui va avec.