Le CLOUD Act (2018) autorise les autorités américaines à requérir des données détenues par toute société soumise à la juridiction US — y compris ses filiales à l’étranger et ses serveurs situés en Europe. Conséquence contre-intuitive : un datacenter « en France » d’un groupe américain ne protège pas de cette portée extraterritoriale.
La souveraineté se juge donc sur trois plans : la localisation des données (RGPD, latence), la juridiction de l’exploitant (siège et contrôle capitalistique européens), et la chaîne des sous-traitants. Pour les besoins les plus sensibles, la qualification SecNumCloud de l’ANSSI intègre explicitement cette immunité juridique.
Notre comparateur propose un filtre « souverain (hors CLOUD Act US) » basé sur l’exploitant réel du site — déclaratif contrôlé, pas un simple argument marketing.