CLOUD Act : ce que la loi américaine change pour vos données d'entreprise

Le grand sujet de la souveraineté et protection des données est l'un des sujets qui est à la fois l'un des plus abordés mais également l'un des plus incompris lorsqu'il est évoqué en rendez-vous de présentation d'Infinicy. Lorsqu'on stocke des coordonnées et que l'on souhaite mettre en place des automatisations, avec ou sans IA, qui peuvent donc être concernées par le RGPD, la question est rapidement posée : "Où sont hébergées les données ? À Francfort ? Pas de souci du coup, c'est conforme !"...

C'est bien là qu'est le piège : si le stockage des données est bien sur le territoire européen, c'est la juridiction dont dépend la société d'hébergement qui détermine si l'on est ou non en conformité avec le RGPD.

En clair : la situation géographique seule du serveur ne protège pas vos données. C'est la juridiction dont dépend la société qui possède vos serveurs qui va permettre à vos données d'être en sécurité d'un point de vue RGPD.

Le CLOUD Act, c'est quoi exactement ?

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté par les États-Unis en mars 2018, permet aux autorités américaines, munies d'un mandat, d'exiger d'un fournisseur soumis à leur juridiction qu'il leur remette les données en sa possession, où qu'elles soient stockées dans le monde.

Pour mieux comprendre le sujet, il faut commencer par démonter le faux ami qu'est le "CLOUD Act".

Ce serait assez tentant de se dire qu'on parle ici d'une loi qui concerne ce que l'on représente souvent comme le stockage de données dans de jolis nuages, permettant l'accès rapide à vos photos et données que l'on appelle communément le "Cloud". On sait aujourd'hui que ce sont au final de gros datacenters qui chauffent et qui consomment beaucoup d'énergie. Mais le CLOUD Act (notez que l'on écrit CLOUD en majuscules car il s'agit d'un acronyme) est bien différent, puisqu'on parle d'une "loi clarifiant l'utilisation légale des données à l'étranger" (Clarifying Lawful Overseas Use of Data Act), bien distincte donc de notre petit nuage. La nuance est subtile, puisqu'on parle donc d'utilisation légale de données à l'étranger... du point de vue des États-Unis d'Amérique.

C'est en effet à partir de mars 2018, suite à l'affaire Microsoft Irlande où Microsoft avait refusé de livrer des mails stockés à Dublin, que le Congrès américain a adopté le CLOUD Act, légalisant ainsi l'accès extraterritorial aux données et entrant en tension directe avec le RGPD en vigueur en Europe... Autant dire qu'on est loin de la croyance populaire qui veut que "mes données sont stockées en Europe, elles sont donc protégées par le RGPD", c'est en effet un poil plus compliqué que ça.

CLOUD Act et RGPD : ce que ça change pour une entreprise française

Dans les faits, comment ça se passe lorsqu'on a un Règlement Général sur la Protection des Données (RGPD) et un CLOUD Act qui s'opposent naturellement, l'un ayant pour objectif de protéger la vie privée sur le territoire européen là où l'autre assure aux États-Unis le droit d'accéder aux données dont disposent les entreprises qui sont soumises à la juridiction américaine ? Eh bien... c'est bien là le souci.

Est-ce que vous êtes concerné ? C'est une certitude : je ne risque pas grand-chose à affirmer que vous utilisez au quotidien les produits et services d'une grande société américaine, qu'il s'agisse de la suite Microsoft 365 avec Word, Outlook ou OneDrive, des solutions équivalentes de Google ou encore de Dropbox voire même Amazon via AWS. L'avantage, c'est que les données de vos cartes de visite connectées Infinicy sont hébergées en Suisse, chez un hébergeur indépendant, hors de portée du CLOUD Act : c'est donc une bonne nouvelle ! Pour le reste en revanche, la question de la sécurité de vos données se pose.

Petite pause pour vous demander de garder à l'esprit que je ne suis pas juriste, je me contenterai donc d'éviter d'aller sur le terrain miné de la législation, je ne me base que sur ce qui ressort lorsqu'on fait des recherches sur le sujet.

Le moyen le plus simple pour une entreprise française de ne pas se retrouver prise entre deux feux dans un conflit juridique entre RGPD et CLOUD Act, c'est de choisir un hébergeur cloud de droit européen ou suisse n'ayant pas de lien capitalistique avec des entreprises américaines. Cela devrait déjà régler une immense partie du problème, car les Américains ne sont pas les seuls à avoir envie d'en savoir plus sur vous, que vous soyez d'accord ou non (je vous laisse faire vos propres recherches concernant la législation chinoise sur la cybersécurité et les données).

La géographie ne protège pas, la juridiction si

On récapitule : la phrase "mes données sont en Europe, je suis protégé" n'est que partiellement vraie, ce qu'il va falloir prendre en compte en plus pour que ça soit réel, c'est de s'assurer que la juridiction dont dépend l'hébergeur n'est pas américaine, mais bien européenne ou suisse.

Bien entendu, les questions juridiques trouvent rarement une réponse en une courte phrase compréhensible par le néophyte que nous sommes vous et moi, c'est infiniment plus compliqué que ça vu que les droits et juridictions de différents États entrent en contradiction les uns avec les autres, le bon sens nous dit qu'il est toujours plus simple de limiter le nombre d'interlocuteurs pour éviter de complexifier davantage un sujet déjà pas simple à la base.

Faisons donc simple : un beau tableau permet souvent de bien mieux expliquer que des phrases à rallonge :

Choisir un fournisseur hors de portée : les critères

J'ai déjà eu à travailler avec pas mal d'hébergeurs web depuis 2013, chacun a ses forces et faiblesses, que ce soit techniquement ou niveau tarifaire. Mais je me souviens de la première fois où je me suis posé la question de la souveraineté des données dont j'avais la gestion : c'était le jour où l'Angleterre a annoncé sa sortie de l'Union européenne (le fameux Brexit).

Je gérais des serveurs Rackspace localisés dans les centres de données britanniques pour certains de mes clients. Le CLOUD Act n'existait pas encore, mais le fait de savoir que des données stockées sur des serveurs en Union européenne allaient bientôt être en dehors de l'UE m'a fait me poser la question "si je laisse tourner ces serveurs, il se passe quoi d'un point de vue légal ?". Rien n'allait changer d'un point de vue technique, les clients ne seraient pas impactés de ce côté-là. Mais du jour au lendemain, ils allaient perdre en sécurité des données, au moins d'un point de vue juridiction. Je ne pouvais pas le savoir à l'époque, mais Rackspace étant une société américaine, ces mêmes serveurs britanniques seraient de toute façon passés sous le CLOUD Act deux ans plus tard, Brexit ou pas.

Il fallait donc changer d'hébergeur web pour que le service technique attendu reste au moins équivalent, mais aussi pour assurer la pérennité et la sécurité des données stockées. Et ça commence par choisir un prestataire d'hébergement web qui soit au plus proche de nous géographiquement et juridiquement (pour rester hors de la juridiction des USA) mais aussi et surtout reconnu conforme RGPD par la Commission européenne, comme c'est le cas pour un hébergeur suisse tel qu'Infomaniak.

Tant qu'à changer d'hébergeur, autant s'assurer qu'en plus de gagner techniquement, on puisse gagner d'autres garanties, telles que des certifications comme l'ISO 27001, la transparence du DPA (Data Processing Agreement que l'on pourrait traduire par "Contrat de sous-traitance des données") ou encore s'assurer de la localisation contractuelle des données (notamment en cas de sauvegardes/redondances à plusieurs emplacements géographiques). Ça tombe bien, Infomaniak fait bien tout ça !

Ce qu'on a choisi chez Infinicy, et pourquoi

Infinicy a déjà passé les audits de sécurité de clients de la banque et de l'assurance : on gère les coordonnées de milliers de personnes, il est donc normal que l'on doive rassurer nos clients (et prospects) sur ce que l'on fait de leurs données et qui peut y avoir accès. Le choix de travailler avec Infomaniak, une société suisse indépendante, a été mûrement réfléchi lors du choix de l'hébergeur web avec lequel on pourrait réunir tous nos critères de qualité, de sécurité et de responsabilité écologique.

C'est parfois la question qui nous est posée lors de la présentation d'Infinicy : pourquoi privilégier Infomaniak, un prestataire suisse par rapport à des français comme OVH par exemple ?

En plus des critères que j'ai cités dans la partie précédente, à prestation et coût équivalents, deux aspects ont clairement fait pencher la balance pour Infomaniak : la réactivité du SAV et l'énergie renouvelable. Là où j'ai pu avoir de très mauvaises expériences avec d'autres hébergeurs pour parvenir à avoir un humain auquel parler, puis que celui-ci soit en mesure de me venir en aide sans me demander d'avoir à ouvrir un ticket, je n'ai jamais mis plus de 15 minutes à avoir quelqu'un au téléphone chez Infomaniak. Quand on rencontre un souci qui nécessite une intervention rapide pour rétablir le service, ça n'a pas de prix !

En ce qui concerne l'aspect écologique, l'éco-conception logicielle a toujours fait partie de ma manière de travailler : qu'il s'agisse d'un site internet, d'une automatisation ou d'un SaaS comme l'est Infinicy - avec comme support physique sa carte de visite connectée réattribuable - j'ai toujours tendance à regarder comment consommer le moins d'énergie possible, dans la conception comme dans l'hébergement des données. Inévitablement, tout ce qui est numérique consomme de l'électricité. Et comme le seul moyen de ne pas utiliser d'énergie est de ne pas communiquer du tout, autant choisir l'infrastructure qui consomme le moins et le mieux.

Ça m'a notamment permis de découvrir le PUE (Power Usage Effectiveness ou Efficacité d'Utilisation de l'Énergie), un indicateur qui mesure la performance énergétique d'un datacenter où plus la note s'approche de 1, plus il est efficient. Selon son rapport d'impact, le PUE moyen des data centers d'Infomaniak était de 1,085 en 2024, bien inférieur à la moyenne mondiale de 1,56 relevée par l'Uptime Institute en 2022.

Infomaniak n'a pas de maison mère américaine, on peut donc légitimement souffler de ce côté. Une question à se poser cependant concerne les IA qui sont utilisées/hébergées sur ces données et ce qu'on leur donne à traiter. Vous pouvez être en parfaite conformité côté hébergeur tout en donnant à une IA américaine ou chinoise des fichiers de données personnelles à traiter, ça serait dommage, vous en conviendrez.

Dans le cas d'Infinicy, on fait le choix de travailler intelligemment, avec des automatisations qui tournent sur nos propres serveurs, hébergés chez Infomaniak, de travailler par défaut avec une IA française dont les données sont hébergées en Europe et d'utiliser les autres modèles comme ceux d'Anthropic ou d'OpenAI pour des cas spécifiques, après anonymisation, ce qui permet de bénéficier de leur puissance sans qu'aucune donnée nominative ne leur soit transmise. C'est d'ailleurs la même logique que vous retrouverez dans nos statistiques d'utilisation, volontairement limitées aux scans et aux échanges.

Par où commencer, concrètement

J'ai abordé pas mal de sujets, mais si l'on doit synthétiser et choisir par quoi commencer lorsqu'on veut s'attaquer au sujet de la souveraineté de ses données, je dirais qu'il faut commencer par se poser la question de savoir où sont stockées vos données sensibles (que l'on parle de vos clients, vos prospects, vos informations RH, etc.).

Une fois que vous avez une vue d'ensemble, demandez-vous si les solutions que vous employez pour les conserver vous garantissent que leurs datacenters sont non seulement sur le territoire européen mais aussi et surtout que leur maison mère n'est pas soumise au droit américain.

Enfin, une fois que les deux premiers critères sont remplis, assurez-vous de garder la même vigilance sur les prochaines solutions que vous seriez amené à adopter pour votre entreprise... Comme par exemple vos futures cartes de visite connectées ! Chez Infinicy, pas de souci à vous faire de ce côté-là... et si vous avez d'autres inquiétudes ou questions avant de sauter le pas, le plus simple est souvent d'en parler directement en face-à-face ou en visio.

Alors, vous avez vérifié dans quel pays se trouve la maison mère de chacun des outils que vous utilisez au quotidien ?