« Souveraineté numérique » est devenu un mot-clé que beaucoup d'acteurs cloud utilisent sans le définir précisément. Voici ce que dit réellement la loi américaine à l'origine de ce débat, et ce qui distingue une infrastructure structurellement hors de son champ.
Publié le 15 septembre 2026 — Lecture environ 6 min
Adopté en 2018, le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) autorise les autorités américaines à exiger, par mandat ou assignation, la communication de données détenues ou contrôlées par une entreprise soumise à la juridiction américaine — que cette entreprise soit américaine ou qu'elle en soit une filiale contrôlée — et cela indépendamment du lieu où ces données sont physiquement stockées. Concrètement : des données hébergées en France, dans un data center français, restent potentiellement accessibles à une demande légale américaine si l'opérateur qui les héberge est une entreprise américaine ou une filiale d'un groupe américain. La localisation physique du serveur ne suffit pas, à elle seule, à s'affranchir de cette exposition.
Le RGPD encadre strictement les transferts de données personnelles hors de l'Union européenne : ils doivent s'appuyer sur une base légale reconnue et des garanties adéquates. Une réquisition américaine fondée sur le Cloud Act, exécutée sans passer par les canaux d'entraide judiciaire prévus entre États, se heurte directement à ce cadre — une tension que les régulateurs européens eux-mêmes reconnaissent, sans qu'une solution définitive n'ait encore été trouvée.
Les mécanismes censés sécuriser les transferts de données entre l'UE et les États-Unis ont déjà été invalidés deux fois par la Cour de justice de l'Union européenne : le Safe Harbor en 2015 (arrêt Schrems I), puis le Privacy Shield en 2020 (arrêt Schrems II). Le mécanisme actuel, le EU-U.S. Data Privacy Framework (DPF), reste formellement en vigueur — mais sa solidité est de nouveau questionnée. En juin 2026, la Cour suprême américaine (arrêt Trump v. Slaughter) a fragilisé l'indépendance de la FTC, l'autorité américaine de contrôle centrale dans l'architecture du DPF. L'association européenne noyb, à l'origine des deux précédentes invalidations, prépare déjà un nouveau recours devant la CJUE — ce que les observateurs juridiques désignent par anticipation comme un possible « Schrems III ». Le cadre n'est pas annulé à ce stade, mais son instabilité récurrente illustre une réalité structurelle : un transfert de données vers une juridiction américaine reste, par nature, plus exposé aux aléas politiques et juridiques qu'une donnée qui n'a jamais besoin d'en sortir.
Ce qu'il faut retenir
Le Cloud Act s'applique en fonction de la nationalité et du contrôle de l'entreprise hébergeuse, pas seulement du lieu où se trouve le serveur. Héberger en France chez un opérateur américain ne suffit donc pas à sortir de son champ.
Face à ce constat, l'ANSSI a construit sa qualification SecNumCloud — le référentiel français du « cloud de confiance » — autour de trois critères structurels destinés précisément à neutraliser l'exposition aux lois extraterritoriales comme le Cloud Act ou le FISA américain : un capital majoritairement européen, une gouvernance effectivement contrôlée par des entités européennes, et une infrastructure hébergeant les données exclusivement sur le territoire de l'Union. Ces critères excluent aujourd'hui, dans leur forme standard, les offres des grands hyperscalers américains — y compris lorsqu'ils opèrent des data centers physiquement situés en Europe.
Citadellys est une SASU de droit français, à capital et gouvernance entièrement français, sans société mère ni actionnaire américain dans sa chaîne de contrôle, et dont les sites sont situés exclusivement en France. Nous n'avons pas obtenu — et ne revendiquons pas — la qualification SecNumCloud elle-même, qui répond à un référentiel technique et procédural exigeant que nous n'avons pas engagé à ce jour. Mais la structure même de l'entreprise correspond, par construction et non par certification, aux critères de fond que ce référentiel cherche à garantir : pas de contrôle américain, pas d'infrastructure hors de France. Pour un acteur public ou une entreprise soumise à des contraintes de localisation, c'est une différence structurelle, pas un slogan — et elle compte d'autant plus dans un contexte où le cadre de transfert transatlantique reste, comme on l'a vu, loin d'être stabilisé.
Sources : CLOUD Act (2018) ; arrêts CJUE Schrems I (2015) et Schrems II (2020) ; arrêt de la Cour suprême des États-Unis Trump v. Slaughter (29 juin 2026) ; référentiel SecNumCloud de l'ANSSI.
Acteurs publics, entreprises régulées : parlons de vos exigences spécifiques en matière de souveraineté des données.
Nous contacter