Si vous avez décidé de recourir à une solution d’hébergement impliquant une société américaine, vous avez peut-être été pleinement rassuré par le fait que les données seraient physiquement situées en France. La réalité est plus complexe, notamment depuis l’adoption par les Etats-Unis en 2018 du Cloud Act.

Le Cloud Act est une série de lois américaines sur le traitement des données, qui peut notamment permettre aux États-Unis d’accéder à des données personnelles de personnes étrangères.

Un point important est que le Cloud Act peut permettre aux autorités américaines d’accéder à des données situées physiquement en dehors du sol américain (y compris en France…), dès lors qu’une entreprise américaine est techniquement impliquée dans le stockage de ces données.

L’objet de ce billet n’est pas de faire l’état des situations où le Cloud Act pourrait ou ne pourrait pas être mis en œuvre. L’idée ici est de vous proposer trois bons réflexes pour anticiper les conséquences d’une telle situation.

La première action à mettre en œuvre est de prévenir vos propres clients, au minimum dans vos CGU ou CGV, et éventuellement par une communication directe à vos principaux clients. Privilégiez un langage clair : la lisibilité de vos contrats fait partie de votre image de marque.

L’autre bon réflexe consiste à analyser les CGV de votre contrat d’hébergement pour vérifier ce qu’il dit sur ces questions.

Enfin, prenez quelques instants pour vérifier si votre hébergeur est américain ou une filiale d’une société américaine. Il y a des cas évidents (Microsoft Azur, Amazon…), mais il existe aussi des filiales moins connues, voire des outils européens qui ont pu être racheté par une société américaine.

La question du cryptage de vos données peut également être une option dans certains cas.

Pour aller plus loin, nous pouvons vous aider à analyser votre solution d’hébergement ou à réviser vos CGU/CGV.