Avez-vous évalué les risques liés au CLOUD Act américain sur vos données hébergées aux USA ?
En bref — ce que vous devez retenir
Le CLOUD Act américain (2018) permet aux autorités américaines d'accéder aux données hébergées par des entreprises américaines, même situées en dehors des USA. Si vos données sensibles sont chez AWS, Azure ou Google, elles peuvent être accessibles à des tiers sans votre accord.
Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine qui oblige les opérateurs de services cloud américains à fournir, sur demande des autorités US, toutes les données dont ils ont le contrôle — indépendamment de leur localisation physique.
En pratique : un datacenter AWS à Paris contient vos données. Amazon Inc. est une société américaine. Une autorité américaine peut demander à Amazon de lui transmettre vos données sans vous en informer. Ce risque est réel pour les entreprises ayant des activités aux USA, traitant des données sensibles, ou opérant dans des secteurs réglementés (santé, défense, finance).
Une demande CLOUD Act a contraint une filiale américaine d'un prestataire cloud à transmettre des données de transactions financières européennes aux autorités US dans le cadre d'une enquête sur des activités tierces. L'entreprise n'avait pas été informée.
"Depuis Schrems II et le CLOUD Act, j'héberge tous les dossiers de mes clients sur un NAS auto-hébergé en France avec Nextcloud. Mes données couvertes par le secret professionnel ne quittent jamais mon infrastructure. C'est non-négociable dans ma profession."
Obtenez votre score cybersécurité en 25 minutes et un plan d'action concret.