Le Cloud Act ne regarde pas où sont vos serveurs

Il y a une phrase rassurante qu’on lit sur beaucoup de sites : « vos données sont hébergées en Europe ». Elle répond à une vraie question, la résidence des données, mais pas à celle que pose le Cloud Act. Cette loi américaine de 2018 ne demande pas où sont les serveurs. Elle demande qui les exploite.

Ce que dit le texte

Le Clarifying Lawful Overseas Use of Data Act autorise les autorités américaines à exiger d’un fournisseur soumis à la juridiction des États-Unis la remise de données qu’il détient ou contrôle, où qu’elles soient stockées. Le critère est la juridiction sur l’entreprise, pas la géographie du datacenter. Une région parisienne opérée par une société américaine entre dans le périmètre.

La filiale européenne ne protège rien par elle-même

Créer une entité de droit européen ne suffit pas si la maison mère américaine garde le contrôle effectif des données : c’est ce contrôle que la loi vise. Les montages « cloud de confiance » sérieux l’ont compris, en isolant l’exploitation, les accès et la gouvernance, pas seulement la raison sociale.

Ce qu’il faut regarder à la place

Trois questions valent mieux qu’une carte des datacenters. De quel droit relève l’entreprise qui exploite le service ? Qui a un accès effectif aux données, y compris chez les sous-traitants ? Et que se passe-t-il contractuellement si une demande d’accès arrive ? Si la réponse à la première question est « du droit américain », les deux suivantes ne rattrapent rien.

Où se place Fransys

Fransys déploie votre infrastructure chez des fournisseurs de droit européen, Outscale, Scaleway, OVHcloud ou Hetzner, dans des datacenters européens. L’entreprise qui exploite vos machines et celle qui les pilote relèvent du même droit que vous. Ce n’est pas un argument marketing, c’est une réponse courte à la question que le Cloud Act oblige à poser.

Pour aller plus loin, notre page cloud souverain détaille les niveaux de souveraineté fournisseur par fournisseur, et l’estimation gratuite chiffre ce que coûterait la bascule de votre infrastructure actuelle.