Patriot Act et CLOUD Act

Le Patriot Act est une loi américaine adoptée en 2001, après les attentats du 11 septembre, qui a renforcé les pouvoirs des autorités américaines en matière de surveillance et d’accès à des informations, y compris numériques, au nom de la lutte contre le terrorisme.

Depuis, c’est surtout le CLOUD Act (2018) qui concentre l’attention en matière de données hébergées dans le cloud : cette loi permet aux autorités américaines de demander l’accès à des données détenues par une entreprise soumise au droit américain, même si ces données sont physiquement stockées en Europe, dès lors que l’entreprise (ou sa maison mère) est américaine.

Ce point est important pour beaucoup d’entreprises et de collectivités françaises : héberger ses données « en Europe » ne suffit pas toujours à les mettre à l’abri d’un accès américain, si l’hébergeur reste soumis au droit des États-Unis.

C’est ce risque qui alimente les débats autour de la souveraineté numérique (voir ce terme) et pousse certaines organisations, notamment les collectivités et le secteur public, à privilégier des solutions hébergées par des acteurs européens et non soumis au droit américain.

À noter : ce sujet est complexe et évolue régulièrement (positions de la CNIL, recours juridiques européens). Cette page donne les repères essentiels pour comprendre l’enjeu, pas un avis juridique définitif.