Le Cloud Act et votre hébergement

Ce que dit le texte, exactement

Le CLOUD Act n’est pas une loi autonome : c’est une modification du Stored Communications Act, adoptée le 23 mars 2018. Elle tient en un paragraphe, codifié à l’article 2713 du titre 18 du U.S. Code. Le voici en entier, dans sa langue :

A provider of electronic communication service or remote computing
service shall comply with the obligations of this chapter to preserve,
backup, or disclose the contents of a wire or electronic communication
and any record or other information pertaining to a customer or
subscriber within such provider's possession, custody, or control,
regardless of whether such communication, record, or other information
is located within or outside of the United States.

Tout est dans les cinq derniers mots : que la donnée soit située aux États-Unis ou en dehors. Ce qui déclenche l’obligation n’est pas l’endroit où vit le fichier, c’est l’identité de celui qui en a la garde. Un fournisseur soumis à la juridiction américaine doit répondre, y compris pour des données stockées à Zurich.

C’est pour cette raison que « nos serveurs sont en Europe » ne répond pas à la question. La région d’un centre de données est une information d’ingénierie ; le Cloud Act pose une question de droit des sociétés.

Et pourtant, ce n’est pas illégal

Voici la partie que les articles alarmistes omettent. Depuis le 1^er septembre 2023, la loi suisse révisée sur la protection des données encadre les transferts à l’étranger à son article 16 : ils sont permis lorsque le Conseil fédéral a constaté que l’État concerné offre un niveau de protection adéquat.

Or les États-Unis figurent sur cette liste. L’annexe 1 de l’ordonnance sur la protection des données les mentionne au rang 44 — avec une condition, écrite noir sur blanc :

Un niveau de protection adéquat est réputé garanti pour les données
personnelles traitées par les organisations certifiées conformément
aux principes du cadre de protection des données entre la Suisse et
les États-Unis, en vertu des garanties octroyées par le décret
exécutif 14086 du 7 octobre 2022 […]

Autrement dit : héberger des données personnelles chez un fournisseur américain certifié au cadre Suisse–États-Unis est parfaitement conforme au droit suisse. Quiconque vous dit le contraire n’a pas lu l’annexe. Et un fournisseur qui n’est pas certifié vous oblige à passer par un autre mécanisme de l’article 16 — clauses types, garanties spécifiques — ce qui est faisable, mais n’est plus automatique.

La question qui décide, et ce n’est pas la légalité

Le transfert est donc légal. Ce que la légalité ne vous donne pas, c’est l’immunité. Le cadre Suisse–États-Unis et le décret exécutif 14086 encadrent la surveillance de renseignement et créent une voie de recours ; ils ne suppriment pas l’obligation de l’article 2713, qui relève d’une autre procédure — la réquisition judiciaire adressée au fournisseur.

La bonne question n’est donc pas « ai-je le droit ? » mais « qui peut être contraint, et par quelle autorité ? » Elle se pose en trois temps : qui détient techniquement la donnée, de quel droit relève cette société, et par quel chemin une autorité étrangère peut l’obtenir.

Le pendant suisse : l’article 271

C’est le point que presque personne ne mentionne, et c’est le plus intéressant. Un prestataire suisse ne peut pas simplement obéir à une réquisition américaine : le Code pénal le lui interdit.

Quiconque, sans y être autorisé, procède sur le territoire suisse
pour un État étranger à des actes qui relèvent des pouvoirs publics,
quiconque procède à de tels actes pour un parti étranger ou une autre
organisation de l'étranger, quiconque favorise de tels actes, est puni
d'une peine privative de liberté de trois ans au plus ou d'une peine
pécuniaire et, dans les cas graves, d'une peine privative de liberté
d'un an au moins.

Remettre des données à une autorité étrangère sur sol suisse, hors entraide judiciaire, est un acte relevant des pouvoirs publics. Un hébergeur suisse qui s’exécuterait directement s’exposerait à cet article. Il doit renvoyer la demande vers la voie de l’entraide, où elle sera examinée par une autorité suisse.

Ce n’est pas une garantie que la donnée ne sera jamais transmise. C’est autre chose, et c’est ce qui compte : elle passe par un juge, et vous êtes dans un pays où vous pouvez être partie à la procédure.

Décider pour votre cas

Le bon niveau de prudence dépend de ce que vous traitez. La plupart des projets ne sont pas concernés, et c’est très bien.

Ce qu’il faut retenir

• Le Cloud Act suit la société, pas le centre de données. « Région Europe » ne répond pas à la question.
• Le transfert vers un fournisseur américain certifié est légal en droit suisse. L’annexe 1 de l’OPDo le dit.
• Légal ne veut pas dire hors d’atteinte. Ce qui change avec un hébergeur soumis au seul droit suisse, c’est que l’accès passe par l’entraide judiciaire et par un juge suisse.
• Pour un site vitrine, tout ceci est théorique. Pour des données de tiers dont vous répondez, c’est la première décision à prendre.

Et si vous ne deviez retenir qu’une chose : la question n’est pas « où sont mes données », mais « qui peut être forcé de les donner, et devant quel tribunal ».