RGPD : pourquoi vos données doivent rester en France

Une PME qui utilise Microsoft 365, Google Workspace ou tout autre outil cloud américain peut être en infraction RGPD sans le savoir — même si le fournisseur affiche un serveur « hébergé en Europe ». En cause : le Cloud Act, une loi fédérale américaine de 2018 qui autorise le FBI, la NSA ou le ministère de la Justice à exiger d’une entreprise de droit américain qu’elle transmette des données, où qu’elles soient stockées dans le monde. La localisation du serveur ne protège rien si l’éditeur reste américain.

Le mécanisme du Cloud Act, en clair

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), promulgué le 23 mars 2018 aux États-Unis au sein de la loi fédérale Public Law 115-141, est né d’un litige entre Microsoft et la justice américaine : le gouvernement réclamait des e-mails stockés sur un serveur Microsoft en Irlande, et Microsoft refusait au motif que ces données étaient hors du territoire américain. Le Congrès a tranché en faveur de l’accès extraterritorial : depuis 2018, une réquisition américaine s’applique à toute donnée sous le contrôle juridique d’une entreprise américaine, quel que soit le pays où le serveur physique se trouve.

Concrètement, la question qui compte n’est pas « où est mon serveur ? » mais « qui est mon fournisseur, juridiquement ? ». Un serveur d’un géant américain situé à Paris ou Francfort reste soumis au droit américain. Un hébergeur dont le siège, l’actionnariat et l’exploitation technique sont entièrement français n’entre pas dans le champ du Cloud Act.

Ce que dit le RGPD — et ce que la justice européenne a déjà tranché

Le RGPD encadre strictement les transferts de données personnelles hors Union européenne. L’article 44, qui pose le principe général applicable aux transferts, impose que le niveau de protection garanti par le règlement ne soit pas compromis par un transfert vers un pays tiers. L’article 48 précise qu’un jugement ou une décision d’une autorité administrative d’un pays tiers exigeant la communication de données « ne peut être reconnu ou rendu exécutoire de quelque manière que ce soit qu’à la condition qu’il soit fondé sur un accord international, tel qu’un traité d’entraide judiciaire ». L’article 49 encadre enfin les dérogations pour situations particulières.

Le 16 juillet 2020, la Cour de justice de l’Union européenne a rendu l’arrêt Schrems II (affaire C-311/18), qui invalide le Privacy Shield — l’accord qui encadrait jusque-là les transferts de données UE–États-Unis. La Cour a jugé que les programmes de surveillance américains ne garantissaient pas un niveau de protection équivalent à celui exigé par le droit européen, notamment parce que les personnes concernées n’y disposaient pas de recours juridictionnel effectif. Précision utile, car elle est souvent escamotée : cet arrêt ne portait pas sur le Cloud Act lui-même. Il établit en revanche le raisonnement qui vaut aussi pour lui — un accès des autorités américaines aux données, sans recours effectif pour les personnes concernées, est incompatible avec le niveau de protection exigé par le RGPD.

La CNIL a documenté ce risque de son côté, à propos du schéma de certification européen pour les services de cloud (EUCS). Elle constate que ce schéma, dans sa version dépourvue de critères d’immunité, « ne permet plus aux fournisseurs de démontrer qu’ils protègent les données stockées contre tout accès par une puissance étrangère, contrairement à la qualification SecNumCloud en France », et appelle à y réintroduire de telles garanties. Autrement dit : c’est bien le statut juridique du fournisseur, et non l’adresse du datacenter, qui détermine l’exposition réelle — et à ce jour la qualification SecNumCloud de l’ANSSI est la référence française qui exige explicitement cette immunité.

Le point aveugle des PME : la conformité de façade

La majorité des PME qui utilisent des outils cloud américains ne l’ont jamais formalisé comme un choix à risque. Le raisonnement s’arrête souvent à « le fournisseur a un datacenter en Europe, donc c’est conforme ». C’est insuffisant au regard du RGPD : le responsable de traitement — vous, en tant que dirigeant — reste juridiquement responsable du choix de ses sous-traitants, y compris de leur exposition à une législation extraterritoriale. Un contrôle CNIL ou une plainte d’un client ne s’arrête pas à la localisation du serveur ; il remonte au statut juridique du fournisseur.

Le risque financier n’est pas théorique. Dans son bilan publié le 9 février 2026, la CNIL fait état de 83 sanctions prononcées en 2025 pour un montant cumulé d’amendes de 486 839 500 euros, contre 55 212 400 euros en 2024 — une multiplication par 8,8 en un an, portée notamment par deux amendes de 325 et 150 millions d’euros infligées à deux acteurs majeurs. Ce montant couvre l’ensemble des manquements sanctionnés en 2025, pas des dossiers Cloud Act, mais il mesure un durcissement réel. À noter pour une PME : sur ces 83 sanctions, 67 ont été prononcées via la procédure simplifiée mise en place en 2022, c’est-à-dire par le président de la formation restreinte ou l’un de ses membres seul — une voie plus rapide que la procédure ordinaire.

Comment vérifier votre propre exposition

Trois questions suffisent à évaluer le risque, sans expertise juridique :

1. Qui est l’éditeur, juridiquement ? Pas « où est le serveur », mais quel est le siège social et le droit applicable à la société qui exploite le service (messagerie, CRM, stockage, sauvegarde).
2. Vos données personnelles sensibles transitent-elles par cet outil ? Fichiers clients, RH ou données de santé méritent une vigilance renforcée. Utile à savoir : la sécurité des données figure, avec les cookies et la surveillance des salariés, parmi les principaux sujets des sanctions prononcées par la CNIL en 2025.
3. Avez-vous documenté ce choix ? Un registre de traitement qui ne mentionne pas l’exposition Cloud Act d’un sous-traitant est une faille identifiable lors d’un contrôle.

Sans ces réponses, une entreprise ne peut pas savoir si elle est réellement conforme — elle suppose qu’elle l’est.

À retenir

Le Cloud Act rend juridiquement possible l’accès des autorités américaines à des données d’entreprises françaises hébergées « en Europe », dès lors que le fournisseur est de droit américain. C’est un conflit structurel avec le RGPD, dont l’article 48 subordonne toute communication à une autorité d’un pays tiers à l’existence d’un accord international. La CJUE a posé dès 2020, avec Schrems II, le critère qui vaut ici — pas de protection équivalente sans recours effectif pour les personnes concernées — et la CNIL documente aujourd’hui le même risque à propos de la certification européenne EUCS. La seule protection réellement opposable reste un hébergeur dont le statut juridique — pas seulement l’adresse du datacenter — est entièrement français ou européen. C’est le principe que Cryptonyte applique systématiquement à ses clients ; le détail est expliqué dans la section souveraineté des données de notre page « Pourquoi Cryptonyte ».

Sources : CNIL, « Invalidation du Privacy shield : les suites de l’arrêt de la CJUE » (arrêt CJUE du 16 juillet 2020, dit « Schrems II », affaire C-311/18) ; CNIL, « Cloud : les risques d’une certification européenne permettant l’accès des autorités étrangères aux données sensibles » ; CNIL, « Sanctions et mesures correctrices : la CNIL présente le bilan 2025 », 9 février 2026 et bilan 2024 ; RGPD, chapitre V — articles 44, 48 et 49 ; CLOUD Act, Public Law 115-141, promulguée le 23 mars 2018.