Synthèse

Le recours croissant aux services cloud a profondément transformé la gestion des données des organisations. Si l’externalisation offre des gains indéniables en matière d’agilité et de performance, elle introduit également des risques juridiques majeurs — souvent sous-estimés — liés à l’application de réglementations à portée extraterritoriale.

En conclusion, choisir un prestataire cloud, c’est aussi choisir un cadre juridique. La gouvernance des données externalisées doit être intégrée au plus haut niveau de décision. Ce guide fournit aux organisations les clés de compréhension et d’action nécessaires pour faire des choix éclairés.

Éditos

Introduction

Les usages numériques sont devenus omniprésents dans nos environnements professionnels et personnels, transformant nos organisations et nos modes de production. En même temps que cette augmentation des usages, le recours à des services externalisés s’est fortement intensifié. Ce phénomène s’incarne par le recours aux services cloud, qui permettent d’accéder à des ressources informatiques à distance, sans en détenir localement ni les logiciels ni les infrastructures.

Cette externalisation modifie le régime de responsabilité sur les données et s’accompagne d’un transfert d’une partie des leviers de contrôle opérationnels aux prestataires et à leurs sous-traitants. Les logiciels et les données ne sont donc plus gérés dans un périmètre unifié et propre à l’utilisateur, ce qui en complexifie la gouvernance.

L’externalisation dans le cloud permet une abstraction des contraintes physiques de localisation. Les prestataires et leurs sous-traitants peuvent opérer et intervenir depuis plusieurs juridictions, parfois sans visibilité exhaustive pour le client. Cela soulève des enjeux de loi applicable et d’injonctions d’accès : les données peuvent être soumises à des réglementations différentes, voire contradictoires, selon les pays où elles sont stockées ou traitées. Ces contraintes extraterritoriales imposent une vigilance accrue et une adaptation des pratiques opérationnelles et contractuelles.

Ce guide a pour objectif d’éclairer le lecteur sur ce changement de paradigme juridique. Il propose des clés de compréhension et des pratiques adaptées pour tirer pleinement parti des avantages de l’externalisation tout en maîtrisant ses risques. Il se veut un outil pédagogique pour mieux appréhender les enjeux de l’externalisation des services numériques dans le cloud, en particulier dans un contexte internationalisé et soumis à des tensions économiques et géopolitiques croissantes.

1.Cloud Computing : comprendre l’externalisation

Le cloud computing, ou service d’informatique en nuage, fait référence à un service numérique fourni à un client qui permet un accès par réseau, en tout lieu et à la demande, à un ensemble partagé de ressources informatiques configurables, modulables et variables — de nature centralisée, distribuée ou fortement distribuée — pouvant être rapidement mobilisées et libérées avec un minimum d’efforts de gestion ou d’interaction avec le fournisseur de services. Cette pratique présente des intérêts techniques et économiques multiples (mutualisation des ressources hardware, des équipements et des compétences). En une seule décennie, le cloud s’est imposé comme un pilier du numérique et l’une des architectures dominantes des systèmes d’information.

À l’horizon 2026, le volume de données créées et utilisées dans le monde devrait atteindre 200 zettabytes, soit trois fois plus qu’en 2020. On estime qu’environ 100 zettabytes seront stockées dans le cloud, soit 50 % des données mondiales.

Le corollaire de cette pratique, qu’il s’agisse de cloud public ou privé, est que les données, les traitements et les moyens techniques qui les supportent ne sont plus sous le contrôle exclusif de leur propriétaire. Ce changement d’usage doit dès lors être parfaitement compris pour appréhender l’ensemble des conséquences techniques et juridiques qu’il impose.

Distribution géographique des traitements : la fin des frontières

Confier ses données à un prestataire de cloud ne signifie pas qu’une seule machine ou un seul site en assure la gestion. Au contraire, pour atteindre les performances attendues, le prestataire peut utiliser des infrastructures complexes, réparties sur plusieurs sites (zones de disponibilité), parfois situées dans plusieurs pays, y compris pour un seul et même client — en particulier dans le cas du cloud public. Ce découpage autorise, pour des raisons d’efficacité technique, la réplication, le déplacement ou le basculement des données, traitements et sauvegardes au sein des régions et zones opérées par le prestataire et, le cas échéant, par ses sous-traitants, sous réserve des clauses contractuelles et contraintes réglementaires applicables. On parle ainsi de distribution géographique, ou de « déterritorialisation », des données : elles ne sont plus attachées à un serveur ou à un lieu unique.

Si la spatialisation devient floue, le risque juridique se précise. Ce n’est plus la géographie des octets (data residency) qui fait foi, mais l’origine des opérateurs et de leurs sous-traitants (data governance). En pratique, la bonne question n’est donc plus « où sont mes données ? » ni « où sont mes serveurs ? », mais « qui peut les contrôler, en disposer, sur requête de quel juge, et sous quelles clauses contractuelles ? ».

Modèles de services : IaaS, PaaS, SaaS

Il n’existe pas qu’un seul type de cloud : on distingue généralement trois niveaux de services, IaaS, PaaS et SaaS.

• Infrastructure as a Service (IaaS) : service offrant des ressources informatiques matérielles (stockage, réseau, baies de serveurs) au sein d’un environnement virtualisé, via Internet ou une autre connexion. Exemples : Amazon Web Services (AWS), Microsoft Azure, OUTSCALE Dassault Systèmes, OVHcloud, NumSpot.
• Platform as a Service (PaaS) : service fournissant aux clients (souvent des développeurs ou entreprises de développement logiciel) une plateforme permettant le développement, l’exécution et la gestion d’applications, sans avoir à gérer l’infrastructure matérielle sous-jacente. Exemples : Google App Engine, SAP Cloud, Red Hat OpenShift, Kubernetes, Clever Cloud, OVHcloud, NumSpot.
• Software as a Service (SaaS) : service dans lequel le fournisseur offre une solution logicielle accessible depuis Internet. Le client n’a pas à gérer l’infrastructure sous-jacente, ni à installer ou mettre à jour l’application. Exemples : Salesforce, Google, Microsoft, Dassault Systèmes, Docaposte.

La donnée comme actif stratégique

Les données incarnent l’activité des organisations, qu’elles soient publiques ou privées. Elles constituent leur patrimoine immatériel et, pour les entités ne produisant pas de biens matériels, l’intégralité de leur activité. Elles relèvent de la propriété des entités qui les produisent : même en recourant à des services cloud, cette propriété demeure inchangée. Il ne s’agit pas d’un transfert de propriété, mais uniquement d’un transfert de responsabilité en matière de stockage et/ou de traitement. À ce titre, tout accès ou transmission d’une donnée sans base légale valable ou sans accord préalable et explicite du titulaire constitue un accès illicite ou une violation des obligations contractuelles.

Au-delà de l’accès non autorisé ou non informé, la protection des données s’impose pour des raisons de confidentialité. Certaines données sont confidentielles par leur caractère personnel — informations relatives aux salariés, données de santé. D’autres revêtent une valeur stratégique liée au secret des affaires : savoir-faire de fabrication, portefeuille clients, stratégies d’innovation. Leur divulgation représente un risque manifeste pour leur propriétaire. C’est pourquoi la classification des données est essentielle pour identifier celles qui ne doivent en aucun cas être accessibles à des tiers sans autorisation explicite.

Il existe à cet effet des référentiels de classification des données sensibles :

• Le guide de l’ANSSI sur les données et traitements sensibles.
• Le guide de l’Afep et du MEDEF d’identification des données sensibles visées par la loi dite de blocage (décret n° 2022-207 du 18 février 2022).
• Les dispositions du RGPD (article 9) concernant les « catégories particulières de données ».
• Le guide de l’Afep, du MEDEF et du SISSE à usage des entreprises pour l’identification des données sensibles.

2.L’externalisation et le risque juridique

L’externalisation des données dans le cloud entraîne leur gestion dans un environnement désormais multi-juridictionnel. Cette déterritorialisation implique une recomposition des lois applicables et des juridictions compétentes. Bien que le régime juridique principal reste celui du pays du propriétaire des données, d’autres législations peuvent s’y ajouter : le cadre juridique du pays du prestataire, ou des pays par lesquels les données transitent ou sont temporairement stockées, notamment quand les lois du pays d’origine du prestataire ont une portée extraterritoriale — c’est-à-dire qu’elles s’appliquent là où le ressortissant exerce son activité.

Extraterritorialité : une portée juridique au-delà des frontières

On parle d’extraterritorialité pour désigner la faculté, pour un État, d’appliquer ses lois en dehors de ses frontières nationales. Ce mécanisme, bien que complexe, est de plus en plus mobilisé dans un monde globalisé où les interactions économiques, numériques et humaines dépassent les limites territoriales. Souvent invoquée dans une logique défensive, l’extraterritorialité permet aux États de répondre à des enjeux transnationaux majeurs :

• la lutte contre la criminalité internationale (corruption, blanchiment, financement du terrorisme, sanctions économiques), qui ne connaît pas de frontières ;
• la protection des droits fondamentaux (droits humains, préservation de l’environnement), qui concernent l’ensemble de la communauté internationale.

Pour qu’un État puisse appliquer sa loi hors de son territoire, il doit établir un fondement de compétence suffisant avec les faits, les personnes ou les biens en cause. Dans le droit américain, on parle de US nexus. Par extension, un nexus désigne le lien juridique suffisant entre l’État et la situation concernée, permettant de justifier l’exercice de sa juridiction ou l’application de sa législation.

Lois extraterritoriales et cloud

Dans de nombreux États, les données sont d’abord perçues comme un enjeu de sécurité nationale : elles permettent de détecter des menaces, de documenter des enquêtes judiciaires ou de soutenir des opérations de renseignement. En arrière-plan, elles peuvent aussi être exploitées pour de l’intelligence économique : compréhension des marchés, repérage d’acteurs stratégiques, analyse de dépendances ou de vulnérabilités. Cette centralité est renforcée par leur hébergement massif dans des services cloud, souvent opérés par une poignée de grands fournisseurs extra-européens. Dans des circonstances qualifiées d’exceptionnelles, les fournisseurs de services cloud peuvent être contraints par les autorités de transmettre les données de leurs clients, parfois sans en informer le propriétaire.

Ces transferts, motivés par l’application extraterritoriale de législations, s’inscrivent néanmoins dans un cadre juridique international fondé sur la protection de la vie privée et des données personnelles, issu du droit international des droits de l’homme :

• ONU — Pacte international relatif aux droits civils et politiques (PIDCP) : l’article 17 garantit à toute personne une protection contre les ingérences arbitraires dans sa vie privée, incluant la sauvegarde des données personnelles.
• Conseil de l’Europe — Convention 108 : impose que tout transfert vers un État tiers assure un « niveau de protection adéquat », établissant les fondements d’un encadrement global des flux transfrontaliers.
• Union européenne — RGPD : l’article 47 encadre les transferts de données (règles d’entreprise contraignantes) vis-à-vis du propriétaire.

Pour limiter les contradictions entre ces cadres, les États cherchent à encadrer les transferts. Toutefois, pour les données des entités privées comme publiques, il n’existe pas d’accord général multilatéral. Il existe en revanche des Mutual Legal Assistance Treaties (MLAT), traités d’entraide judiciaire, c’est-à-dire des accords bilatéraux facilitant la coopération policière et judiciaire, notamment pour l’échange de renseignements et de données dans le cadre d’enquêtes. Lorsqu’un fournisseur reçoit une demande d’accès émanant d’un État étranger, il peut exiger qu’elle soit traitée dans le cadre d’un MLAT : la requête passe alors par les autorités judiciaires de l’État du fournisseur, qui en contrôlent la légalité, la proportionnalité et la conformité aux garanties procédurales avant d’autoriser ou non la transmission. Certaines législations, comme le CLOUD Act, permettent toutefois de solliciter directement des données sans recourir à ces mécanismes d’entraide, contournant de facto les garanties procédurales attachées aux MLAT.

Il est ainsi essentiel, pour un utilisateur, d’identifier clairement les législations à portée extraterritoriale auxquelles il peut être soumis, de comprendre l’étendue des pouvoirs qu’elles confèrent, et de connaître les cadres susceptibles d’assurer la protection de ses données.

Cadres extra-européens réclamant un accès aux données

À ce jour, certaines réglementations permettent spécifiquement l’accès aux données de citoyens, entreprises ou administrations via les prestataires de services. Ces réglementations sont en constante évolution et leur portée peut être élargie à tout moment. Les plus connues sont issues des États-Unis et de la Chine, pionniers du cloud et disposant d’une capacité particulièrement importante à les déployer à grande échelle.

L’application de ces lois est documentée par les rapports de transparence des fournisseurs, avec une tendance haussière sur la longue période. Ainsi, depuis 2009, Google déclare le nombre de demandes du gouvernement américain (demandes FISA portant ou non sur le contenu, lettres de sécurité nationale). À titre d’exemple, en vertu de la loi FISA, Google a reçu en 2023 des demandes concernant plus de 230 000 comptes utilisateurs. Microsoft indique avoir reçu, entre juillet et décembre 2024, 28 120 demandes d’accès concernant 52 335 comptes, dont 64,51 % ont donné lieu à une divulgation d’informations. Ces demandes ne font pas toujours l’objet d’une information auprès des détenteurs de comptes concernés, et l’entreprise ne peut pas s’y soustraire — contrairement aux demandes issues d’autres pays. Ces rapports démontrent que ces accès sont non seulement possibles, mais massifs et en constante augmentation.

Cadres extra-européens visant à protéger les données

Au-delà des frontières de l’Europe, de nombreux textes visent également à protéger les données des citoyens, des entreprises et des organisations publiques.

Cadres européens et français visant à protéger les données

Compatibilité entre le droit local et les législations extraterritoriales

Les législations à portée extraterritoriale viennent se superposer au droit local, et l’analyse des textes montre qu’un risque d’incompatibilité existe. D’un côté, certaines réglementations interdisent tout accès à des données, notamment personnelles, sans consentement éclairé (à l’instar du RGPD). De l’autre, des textes imposent aux entreprises d’un pays donné d’accéder aux données qu’elles détiennent pour le compte de leurs clients, alors même que ceux-ci n’y ont pas consenti explicitement. Par exemple, le CLOUD Act ne prévoit aucune obligation d’information des personnes concernées, ni des autorités des pays tiers lorsque les données concernent des ressortissants ou entités situés hors des États-Unis.

Ces lois créent en outre une problématique contractuelle : même si une entreprise européenne utilise des clauses contractuelles types (CCT) pour encadrer le transfert vers des fournisseurs non-européens, ces garanties peuvent être remises en cause par une autorité européenne de protection des données. En conséquence, dans l’Union européenne, une entité privée ou publique devrait s’assurer que l’externalisation de ses données auprès d’un prestataire de cloud ne l’expose pas à une incompatibilité juridique.

3.Adaptation des pratiques juridiques aux enjeux d’externalisation

Méthode d’évaluation de l’exposition aux réglementations extraterritoriales

La maîtrise du risque lié aux réglementations à portée extraterritoriale suppose une démarche structurée, progressive et documentée. L’évaluation de l’exposition d’une organisation ne peut se limiter à une analyse ponctuelle ou déclarative : elle doit s’inscrire dans un processus global et itératif intégrant la nature des données, les obligations réglementaires applicables au détenteur, ainsi que les caractéristiques juridiques et opérationnelles des prestataires envisagés. La méthode ci-après propose un cadre opérationnel pour identifier, analyser et maîtriser ces risques, de l’identification des exigences propres à l’entité et aux données jusqu’à la mise en place de garanties contractuelles et le recours à des dispositifs de confiance reconnus.

Auto-évaluation initiale

Avant tout projet d’externalisation, une organisation doit définir le régime auquel elle est soumise, en particulier dans les cas suivants : être une administration, un opérateur de l’État ou un groupement d’intérêt public ; détenir des documents ou renseignements d’ordre économique, commercial, industriel, financier ou technique dont la communication est de nature à porter atteinte à la souveraineté, à la sécurité ou aux intérêts économiques essentiels de la France ou à l’ordre public ; détenir des données personnelles ; détenir des données de santé.

De manière générale, une analyse de la sensibilité et de la criticité des données doit être menée afin d’évaluer les conséquences d’un accès par un tiers.

Analyse du cadre juridique applicable aux fournisseurs

L’analyse du cadre juridique applicable au fournisseur est nécessaire pour déterminer ses obligations. Il s’agit avant tout de déterminer l’origine du fournisseur, qui détermine a priori le régime juridique auquel il doit obéir. Pour connaître la nationalité d’une entreprise, il conviendra d’examiner par exemple : la localisation du siège social de la maison mère ; le pays d’immatriculation ; la composition du capital social ; la nationalité des actionnaires ; la relation d’appartenance avec une société mère. En fonction de sa nationalité et/ou de sa gouvernance, l’entreprise est assujettie aux législations de ce pays et ne peut s’y soustraire.

Exiger des garanties contractuelles spécifiques

Même si les prestataires ne sauraient s’affranchir du droit qui s’applique à eux, il est nécessaire de construire un cadre contractuel adapté aux contraintes réglementaires et aux attentes du client, dans un souci de transparence. Il apparaît important de disposer des éléments suivants :

1. Le droit applicable et la juridiction.
2. La déclaration par le prestataire du cadre juridique auquel il est assujetti, énumérant toutes les normes et précisant, pour chacune, si un accès aux données est possible — et si oui : les modalités d’information et de demande d’autorisation au propriétaire ; les modalités de notification et, le cas échéant, d’autorisation auprès de l’autorité compétente en France, le délai de prévenance et les cas d’ordonnance de confidentialité ; les conditions techniques d’accès, y compris le recours à des tiers.
3. Les modalités de mise à jour périodique de la déclaration, tout changement législatif, réglementaire, de contrôle ou de sous-traitant critique devant faire l’objet d’une mise à jour sans délai.
4. La localisation des données : localisations autorisées des données, métadonnées, journaux, sauvegardes et environnements de secours.
5. Un engagement de confinement géographique et l’interdiction des transferts non autorisés.
6. Le déplacement et la réversibilité technique : conditions de déplacement des données et des traitements, y compris politiques de cycle de vie, réplications et basculements.
7. Les conditions de restitution des données : restitution intégrale dans un format ouvert ou documenté, avec assistance raisonnable ; en cas de modification de la déclaration, restitution, effacement complet et vérifiable chez le prestataire et ses sous-traitants, avec certificat d’effacement et logs.
8. La sous-traitance : liste nominative et à jour des sous-traitants, localisation et rôle ; droit d’audit en cascade ; clauses équivalentes imposées à tout sous-traitant ; notification préalable à tout changement.
9. Le changement de contrôle : notification préalable de tout projet de fusion, acquisition, cession d’actifs ou changement de contrôle ; modalité de résiliation si le changement accroît l’exposition juridique, modifie les localisations ou la loi applicable.

Une attention particulière doit être apportée à une révision régulière du contrat, le dynamisme du secteur numérique impliquant souvent des opérations de fusion, acquisition ou changement de contrôle susceptibles d’affecter le cadre juridique applicable et la chaîne de sous-traitance.

Outils facilitant l’évaluation des prestataires

Il existe des dispositifs de qualification et de certification prévoyant des exigences relatives à l’exposition aux réglementations extraterritoriales. Faisant l’objet d’un audit par un tiers indépendant et de contrôles sur place et sur pièce, ils facilitent l’analyse des prestataires et fournissent des éléments factuels et objectifs.

La qualification SecNumCloud

Le référentiel SecNumCloud, élaboré par l’ANSSI, définit un ensemble rigoureux de règles de sécurité sur les plans technique, opérationnel et juridique. À ces mesures s’ajoutent des dispositions relatives au risque d’exposition extraterritorial (chapitre 19.6 « Protection vis-à-vis du droit extra-européen »). Plusieurs exigences sont imposées aux fournisseurs :

• Leur siège statutaire, administration centrale et principal établissement doivent être établis au sein d’un État membre de l’Union européenne.
• Leur capital social et droits de vote doivent être majoritairement détenus par des entités possédant leur siège, administration centrale ou principal établissement au sein d’un État membre de l’UE.
• Les services fournis doivent respecter la législation en vigueur en matière de droits fondamentaux et les valeurs de l’Union (dignité humaine, liberté, égalité, démocratie, État de droit).

La transparence est au cœur du dispositif : le prestataire doit documenter les risques résiduels liés à l’existence de lois extra-européennes ayant pour objectif la collecte de données ou métadonnées des commanditaires sans leur consentement préalable.

La certification HDS

Le Code de la santé publique (art. L1111-8) impose des conditions de sécurité particulières à tous les détenteurs de données de santé, pour eux-mêmes ou au bénéfice d’un tiers ; le respect de ces exigences peut être démontré par une certification HDS. La certification Hébergeur de Données de Santé vise à renforcer la protection des données de santé à caractère personnel et à construire un environnement de confiance autour de l’e-santé. Elle impose un référentiel exigeant en matière de sécurité, de confidentialité et de traçabilité, couvrant l’hébergement d’infrastructure physique comme l’hébergement applicatif ou l’administration des systèmes, avec des exigences inspirées notamment des normes ISO 27001 et ISO 20000.

Le référentiel HDS, actualisé en 2024, encadre les risques liés aux législations extraterritoriales : tout transfert de données de santé hors de l’UE ne peut se faire qu’avec l’accord explicite du client et dans le respect des mécanismes autorisés par le RGPD. Concrètement :

• Exigence 29 : un accès à distance depuis un pays hors EEE doit reposer sur une décision d’adéquation (art. 45 RGPD) ou, à défaut, une garantie appropriée (art. 46) ; sans décision d’adéquation, l’hébergeur doit informer son client des garanties mises en place.
• Exigence 30 : lorsque l’hébergeur ou l’un de ses sous-traitants est soumis à une loi d’un pays tiers n’assurant pas un niveau de protection adéquat, il doit en faire état dans le contrat, lister les réglementations extra-européennes concernées, décrire les mesures prises et préciser les risques résiduels.
• Exigence 31 : l’hébergeur doit publier et tenir à jour une cartographie des transferts de données de santé vers des pays hors EEE, intégrant la description des risques d’accès non autorisés identifiés à l’exigence 30.

En combinant ces obligations, la certification HDS impose une forme de transparence sur l’hébergement des données de santé et leurs transferts extra-européens. Elle n’offre toutefois aucune immunité vis-à-vis de législations à portée extraterritoriale.

Conclusion

L’externalisation des données dans le cloud, bien qu’elle soit devenue une pratique courante et souvent incontournable dans les stratégies numériques des organisations publiques comme privées, doit faire l’objet d’une analyse stratégique. Elle engage des responsabilités profondes, tant sur le plan juridique que sur celui de la maîtrise et de la gouvernance de l’information.

Ce guide a démontré que les environnements cloud, par leur nature souvent distribuée et multi-juridictionnelle, exposent les données à des risques d’accès non autorisés et de pertes de maîtrise. Les exemples analysés sont sans équivoque : les législations à portée extraterritoriale permettent à des États tiers d’imposer aux organisations, y compris européennes, des obligations d’accès aux données, y compris lorsque celles-ci sont hébergées hors de leur territoire. Ces mécanismes, souvent opaques, contournent les principes fondamentaux du droit européen ou français.

Dans ce contexte, les organisations françaises et européennes doivent impérativement adopter une posture proactive et éclairée, afin de s’assurer que les fournisseurs auxquels elles ont recours ne sont pas soumis à ce type de législations. L’enjeu est d’autant plus crucial pour celles qui disposent de données stratégiques, voire sensibles.

La sécurité numérique ne peut être garantie que par une gouvernance rigoureuse des données, fondée sur la transparence, la traçabilité et la maîtrise des dépendances. Cela suppose une connaissance fine des cadres juridiques applicables, une capacité à évaluer les risques d’exposition et une exigence contractuelle renforcée vis-à-vis des fournisseurs de cloud. Cette démarche doit s’inscrire dans une logique de responsabilisation, mais aussi de soutien à la construction d’un écosystème numérique européen fondé sur la confiance, la sécurité et la souveraineté.

En effet, la création et le développement d’un écosystème européen de prestataires respectueux des cadres, des standards et des valeurs de l’Union doivent être activement soutenus, encouragés et stimulés, pour renforcer des alternatives européennes performantes, sécurisées et compétitives.

Le futur du cloud ne se subit pas : il se façonne.