Cloud Act et RGPD : de vives inquiétudes…

On rappellera que le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi fédérale américaine promulguée le 23 mars 2018. Elle modifie principalement le chapitre 121 du Titre 18 du United States Code (Stored Communications Act) en permettant aux forces de l'ordre ou aux agences de renseignement américaines d’obtenir des opérateurs télécoms et des fournisseurs de services de cloud computing des informations stockées sur leurs serveurs et ce, que ces données soient situées aux États-Unis ou à l’étranger.

Les prestataires de service doivent ainsi communiquer les « contenus de communications électroniques et tout enregistrement ou autre information relatifs à un client ou abonné, qui sont en leur possession ou dont ils ont la garde ou le contrôle, que ces communications, enregistrements ou autres informations soient localisés à l’intérieur ou à l’extérieur des Etats-Unis ». Les autorités américaines peuvent par là même obtenir des données, notamment personnelles ou de contenu, et ce sans que la personne « ciblée » ou que le pays où sont stockées ces données n’en soient informés.

On ne peut que relèver que le Cloud Act est en contradiction avec l’article 48 du Règlement européen sur la protection des données (RGPD) en vigueur depuis le 25 mai 2018. En effet, il dispose que « Toute décision d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un responsable du traitement ou d’un sous-traitant qu’il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu’à la condition qu’elle soit fondée sur un accord international […] ».

 Or, si le Cloud Act permet à un fournisseur de service recevant une réquisition de saisir l’autorité judiciaire américaine si son client visé n’est pas un citoyen, un résident permanent en situation régulière ou une entreprise installée aux Etats-Unis, et s’il estime que la divulgation d’informations serait contraire à la législation d’un Etat étranger, il n’est pas possible de préjuger de ce que serait la décision judiciaire dans un pays où de nombreux programmes de surveillance généralisée ont été mis en œuvre au nom de la lutte contre le terrorisme.

De fait, le Cloud Act renforce les pouvoirs des agences de surveillance américaines en facilitant leur accès aux données stockées dans des datacenters appartenant à des sociétés d’origine américaine. Il importe peu que ce soit en France, en Europe ou aux Etats-Unis. Dans ces conditions, il est recommandé aux entreprises françaises de faire héberger leurs données personnelles par des prestataires de droit français qui sont régis par les seule loi française et européenne et qui stockent les données exclusivement sur le territoire de l’Union européenne…