Hébergement « Made in US » : ce que le CLOUD Act change pour vos données
Héberger aux États-Unis, ou chez un fournisseur américain, place vos données sous droit américain, où qu'elles soient physiquement. Voici ce que cela implique, et quand cela reste un choix pertinent.
Estimer mon coût →Le cadre légal #
Les États-Unis n'ont pas de loi fédérale unique sur la vie privée, mais un ensemble sectoriel (santé, finance) et des lois d'État, dont la californienne CCPA/CPRA. Le point qui compte pour la souveraineté est ailleurs : le pouvoir d'accès des autorités.
Le CLOUD Act, le vrai sujet #
Le CLOUD Act (2018) autorise les autorités américaines à exiger d'un fournisseur soumis au droit américain qu'il remette des données, y compris stockées hors des États-Unis. Autrement dit, un fournisseur américain reste exposé même si ses serveurs sont en Europe. La localisation seule ne suffit pas.
Les transferts depuis l'Europe #
Pour transférer des données personnelles de l'UE vers les États-Unis, on s'appuie sur le Data Privacy Framework (DPF) ou des clauses contractuelles types. Ces mécanismes encadrent le transfert, mais ne neutralisent pas le risque d'accès des autorités américaines.
Pour qui, et pour qui pas #
Le « Made in US » convient aux services dont les utilisateurs et les obligations sont américains, ou qui recherchent la proximité du marché américain. Pour des données sensibles européennes ou une exigence de souveraineté, c'est le profil le plus exposé : mieux vaut un fournisseur et un droit européens.
Questions fréquentes #
Non. Le CLOUD Act suit le fournisseur, pas seulement le serveur. Un fournisseur soumis au droit américain peut être contraint de livrer des données hébergées en Europe.
Si elles concernent des personnes de l'UE, le RGPD suit la donnée et impose d'encadrer le transfert (DPF, clauses types). Mais il ne prime pas sur les pouvoirs d'accès américains exercés sur place.
Passer à la pratique : les datacenters à comparer
Estimer mon coût → Comparer les datacenters