Le CLOUD Act expliqué

Pourquoi un centre de données dans l’UE ne met pas vos données hors de portée des États-Unis.

Le CLOUD Act est une loi américaine de 2018. Elle permet aux autorités américaines de contraindre un fournisseur relevant de la juridiction américaine à livrer les données qu’il possède, conserve ou contrôle, où qu’elles se trouvent dans le monde. Un centre de données européen d’une entreprise américaine n’est donc pas hors de portée.

Pour les organisations en Europe, un choix technique, quelle plateforme vidéo ou quel cloud, devient ainsi un choix juridique.

Rejoignez gratuitement la bêta privée

Gratuit pendant la bêta. Pour les organisations. Rien à payer.

À qui s’applique le CLOUD Act ?

Aux fournisseurs relevant de la juridiction américaine : les entreprises américaines, et en pratique aussi leurs filiales et les entreprises ayant des liens suffisants avec les États-Unis. Ce qui compte, c’est qui contrôle les données, pas où se trouve le serveur.

Pourquoi les centres de données dans l’UE ne suffisent pas

Beaucoup de fournisseurs américains proposent une « région UE ». Les données sont alors en Europe, mais l’entreprise qui les contrôle reste américaine, donc une injonction américaine peut toujours y accéder. Une filiale européenne n’y change rien si la maison mère peut être contrainte.

Et la section 702 du FISA ?

La section 702 du FISA permet aux services de renseignement américains de collecter les communications de non-Américains auprès de fournisseurs américains de services de communications électroniques. C’est l’une des raisons pour lesquelles la Cour de justice de l’UE a invalidé le Privacy Shield en 2020. Son successeur, le Data Privacy Framework UE-États-Unis, est lui aussi contesté en justice.

Ce que cela signifie pour votre plateforme vidéo

Les vidéos contiennent souvent des données personnelles : visages, voix, noms, parfois des données de santé ou d’étudiants. Les statistiques de visionnage en contiennent encore plus. Si votre plateforme vidéo est américaine, ou tourne sur un cloud américain, ces données sont à portée du droit américain. Une plateforme dont la propriété, le droit et l’infrastructure sont européens ne l’est pas. Lisez ce qui rend un hébergement vidéo souverain.

Questions fréquentes

Le CLOUD Act s’applique-t-il aux entreprises européennes ?

Pas à celles qui n’ont pas de lien avec les États-Unis. Il s’applique aux fournisseurs relevant de la juridiction américaine, c’est-à-dire les entreprises américaines et, en pratique, celles contrôlées depuis les États-Unis.

Mes données sont-elles à l’abri dans une région UE d’un cloud américain ?

Elles sont en Europe, mais l’entreprise qui les contrôle reste soumise au droit américain, donc le CLOUD Act peut toujours y accéder.

Sources

US Congress : Clarifying Lawful Overseas Use of Data (CLOUD) Act, 2018
Cour de justice de l’UE : affaire C-311/18 (Schrems II), 16 juillet 2020

Essayez la plateforme vidéo de l’Europe.

StreamZilla est la plateforme vidéo tout-en-un de l’équipe qui a mis en ligne le premier live stream du web, avec 32 ans d’expérience. Elle est en bêta privée et la participation est gratuite : vous obtenez un accès anticipé, une ligne directe avec ceux qui la construisent et votre mot à dire sur la suite.