Cloud de confiance : RGPD, Cloud Act, SecNumCloud et loi SREN

Un cloud de confiance est un service cloud dont on maîtrise à la fois l'emplacement des données et le droit qui s'y applique, au point de pouvoir y confier des données sensibles ; en France, la référence est la qualification SecNumCloud délivrée par l'ANSSI. Choisir un fournisseur, c'est donc répondre à deux questions distinctes : où sont stockées les données, et quelle loi peut obliger le fournisseur à les livrer. Ce chapitre explique ce que le RGPD impose quand on confie des données à un fournisseur cloud, le problème posé par le Cloud Act américain, ce que garantit SecNumCloud, ce que la loi SREN et le Data Act européen ont changé pour les clients, et comment choisir un hébergement selon la sensibilité des données.

Localisation des données et droit applicable

Chez Azure, tu choisis la région de chaque ressource. Sorbier crée les siennes en France Central, à Paris : les données y sont stockées, et si elle choisit un stockage géo-redondant, la copie part dans la région appairée France South, à Marseille (chapitre 13). Les données restent donc en France. Microsoft a aussi achevé en février 2025 sa « frontière des données de l'UE » (EU Data Boundary), un engagement de stocker et traiter dans l'Union européenne et l'AELE les données de ses clients européens pour ses principaux services cloud.

Cela ne règle qu'une partie du problème. Le fournisseur reste une entreprise de droit américain : c'est sa nationalité, et non l'emplacement du serveur, qui détermine à quelles lois étrangères il doit obéir.

Le RGPD : le fournisseur cloud est ton sous-traitant

Dès que Sorbier confie à Azure des données personnelles (noms et adresses de livraison de ses clients, comptes de ses salariés), Sorbier est responsable de traitement et Microsoft est son sous-traitant au sens du RGPD (cours Droit et RGPD). Trois conséquences :

1. Sorbier reste responsable. Elle doit choisir un sous-traitant qui présente des garanties suffisantes, et elle répond de ses choix devant la CNIL.
2. Un contrat est obligatoire (article 28 du RGPD). Chez les grands fournisseurs, c'est un avenant standard sur la protection des données (Data Protection Addendum, DPA), accepté avec les conditions du service. Il doit prévoir que le fournisseur n'agit que sur instruction, garantit la confidentialité et la sécurité, n'emploie d'autres sous-traitants qu'avec l'autorisation du client, l'aide à respecter les droits des personnes, supprime ou restitue les données en fin de contrat, et se laisse auditer.
3. Les transferts hors de l'Union sont encadrés (chapitre V du RGPD, articles 44 à 49). Un technicien du support qui consulte des données depuis les États-Unis, c'est déjà un transfert. Ce transfert exige un fondement : une décision d'adéquation de la Commission, ou des clauses contractuelles types. Pour les États-Unis, la décision d'adéquation en vigueur est le cadre de protection des données UE–États-Unis (Data Privacy Framework), adopté le 10 juillet 2023 pour les entreprises américaines qui y adhèrent ; un recours en annulation a été rejeté par le Tribunal de l'Union européenne en septembre 2025.

Le Cloud Act : quand une loi étrangère s'invite

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018. Elle permet aux autorités américaines, dans le cadre d'une enquête et avec un mandat, d'exiger d'un fournisseur soumis au droit américain les données qu'il détient ou contrôle, même si elles sont stockées hors des États-Unis. Un centre de données à Paris ne protège donc pas les données d'un client d'Azure, d'AWS ou de Google Cloud contre une telle demande.

Le RGPD, lui, dit le contraire : son article 48 prévoit qu'une décision d'une juridiction ou d'une autorité d'un pays tiers qui exige le transfert de données personnelles n'est reconnue en Europe que si elle s'appuie sur un accord international, comme un traité d'entraide judiciaire. Le fournisseur peut donc se trouver pris entre deux lois. En juin 2025, entendu par une commission d'enquête du Sénat, un dirigeant de Microsoft France a reconnu qu'il ne pouvait pas garantir que des données hébergées en France ne seraient jamais transmises aux autorités américaines.

Pour la plupart des données d'une PME (comptes clients, tickets, factures), ce risque est faible et se traite par l'analyse de risques. Pour des données stratégiques, on dispose de trois parades :

• Chiffrer avec des clés que le fournisseur ne détient pas. Si les données sont chiffrées par le client, avec des clés gardées hors du fournisseur, une injonction ne livre que des données illisibles. Un chiffrement avec des clés gérées par le fournisseur, même « à la demande du client », ne suffit pas (cours Cryptographie).
• Choisir un fournisseur qui échappe aux lois extra-européennes : c'est l'objet de SecNumCloud.
• Ne pas mettre dans le cloud ce qui n'a pas à y être, ou le pseudonymiser avant.

SecNumCloud : la qualification de l'ANSSI

SecNumCloud est une qualification délivrée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) à un service cloud précis, IaaS, CaaS, PaaS ou SaaS, après un audit par un prestataire agréé. Le référentiel en vigueur est la version 3.2 du 8 mars 2022. Il exige notamment :

• un haut niveau de sécurité technique et organisationnelle, au-delà de la norme ISO/IEC 27001 (cloisonnement, chiffrement, journalisation, gestion des accès, tests d'intrusion, contrôle du personnel) ;
• le stockage et le traitement des données dans l'Union européenne ;
• une protection contre le droit extra-européen : le prestataire a son siège dans l'Union, son capital ne peut pas être contrôlé par des acteurs extérieurs à l'Union, et aucune loi étrangère ne doit pouvoir l'obliger à livrer les données.

Une qualification porte sur une offre, pas sur une entreprise entière : un même fournisseur vend des services qualifiés et d'autres qui ne le sont pas. La liste officielle est publiée par l'ANSSI sur cyber.gouv.fr. En novembre 2026, on y trouve par exemple :

S3NS et Bleu illustrent le modèle « hybride » qui fait débat : la technologie d'un géant américain, exploitée par une société européenne qui n'est pas soumise au Cloud Act.

Souverain, de confiance, SecNumCloud : trois mots, trois sens.

Pour l'État et les données de santé. Depuis la doctrine « cloud au centre » de 2021, les administrations de l'État doivent héberger leurs données d'une sensibilité particulière sur une offre qualifiée SecNumCloud ou sur leurs propres clouds internes. La loi SREN (ci-dessous) a donné force de loi à cette exigence. Les données de santé, elles, ne peuvent être hébergées pour le compte d'un tiers que par un hébergeur certifié HDS (hébergeur de données de santé, article L1111-8 du Code de la santé publique).

Loi SREN et Data Act : changer de fournisseur plus facilement

La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (loi SREN) consacre son titre III au cloud. Ses principales mesures :

Les articles 27 à 30 ne s'appliquent que jusqu'au 12 janvier 2027 (article 64) : le relais est pris par le règlement européen sur les données (Data Act, règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025. Pour les clients du cloud, il impose notamment :

• un délai de préavis de deux mois au plus pour lancer un changement de fournisseur, et une période de transition obligatoire de trente jours au plus, pendant laquelle l'ancien fournisseur aide au transfert (article 25) ;
• la suppression des frais de changement de fournisseur à partir du 12 janvier 2027 ; d'ici là, ils sont limités aux coûts directement liés au changement (article 29) ;
• pour l'utilisation simultanée de plusieurs fournisseurs (multicloud), des frais de transfert restent permis, mais limités aux coûts que le fournisseur supporte réellement (article 34).

Le chapitre 14 montre comment s'en servir pour préparer une sortie.

Choisir un hébergement selon la sensibilité des données

Pour le suivi des livraisons, Sorbier traite des données personnelles courantes, sans données sensibles au sens de l'article 9 du RGPD. Azure en France Central, avec le DPA de Microsoft, le chiffrement par défaut des données au repos, des accès limités et une mise à jour du registre des traitements, est un choix défendable. Le risque lié au Cloud Act est noté dans l'analyse de risques et jugé acceptable pour ces données.

Exercices

Exercice 1 sur 3 Vrai ou faux Réussi À revoir

1. Des données stockées dans la région France Central d'Azure échappent au Cloud Act.
2. Sorbier n'est plus responsable des données de ses clients une fois qu'elles sont chez Microsoft.
3. Une qualification SecNumCloud porte sur une offre précise, pas sur un fournisseur entier.
4. Un chiffrement dont les clés sont gérées par le fournisseur protège contre une injonction faite à ce fournisseur.
5. Depuis le Data Act, un fournisseur cloud pourra encore facturer des frais de changement de fournisseur en 2028.

Voir la réponseMasquer la réponse de l'exercice 1

1. Faux. Le Cloud Act s'applique au fournisseur soumis au droit américain, quel que soit l'emplacement des données.
2. Faux. Sorbier reste responsable de traitement ; Microsoft est son sous-traitant (article 28 du RGPD).
3. Vrai. Un même fournisseur vend des offres qualifiées et d'autres qui ne le sont pas.
4. Faux. Le fournisseur qui détient les clés peut déchiffrer et livrer des données lisibles. Seules des clés gardées par le client hors du fournisseur protègent.
5. Faux. Le Data Act interdit les frais de changement de fournisseur à partir du 12 janvier 2027.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Recommander un hébergement Réussi À revoir

Pour chaque projet, recommande un type d'hébergement et justifie en une ou deux phrases.

1. Une clinique veut mettre en ligne le dossier de suivi de ses patients.
2. Une mairie veut héberger son site d'information municipale.
3. Une direction d'un ministère veut déplacer dans le cloud une application qui traite des données d'une sensibilité particulière.
4. Sorbier veut stocker les bons de livraison signés, qui portent le nom et la signature du destinataire.

Voir la réponseMasquer la réponse de l'exercice 2

1. Un hébergeur certifié HDS : la loi l'impose pour héberger des données de santé pour le compte d'un tiers (article L1111-8 du Code de la santé publique). La clinique signe aussi un contrat de sous-traitance conforme à l'article 28 du RGPD.
2. N'importe quel fournisseur sérieux, de préférence avec une région en France ou dans l'Union : les informations sont publiques. Le formulaire de contact, lui, collecte des données personnelles : contrat de sous-traitance et mentions d'information.
3. Une offre qualifiée SecNumCloud (ou un cloud interne de l'État) : c'est la doctrine « cloud au centre », que l'article 31 de la loi SREN a inscrite dans la loi pour ces données.
4. Un stockage objet dans une région de l'Union, par exemple Azure Blob Storage en France Central : ce sont des données personnelles courantes. Le contrat de sous-traitance de Microsoft, le chiffrement, des droits d'accès limités, une durée de conservation fixée (10 ans pour les pièces justificatives) et l'inscription au registre suffisent.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Le contrat du logiciel de tickets Réussi À revoir

Le contrat que Sorbier vient de recevoir d'un éditeur de logiciel de tickets en SaaS contient une seule phrase sur les données : « Le prestataire met en œuvre les meilleures pratiques de sécurité. » Liste cinq points que le contrat doit préciser au titre de l'article 28 du RGPD, et un point utile pour la réversibilité.

Voir la réponseMasquer la réponse de l'exercice 3

Au titre de l'article 28 du RGPD, le contrat doit notamment prévoir que le prestataire :

1. ne traite les données que sur instruction documentée de Sorbier ;
2. garantit la confidentialité (engagement de son personnel) et la sécurité des données (mesures de l'article 32) ;
3. ne fait appel à un autre sous-traitant qu'avec l'autorisation de Sorbier, et lui impose les mêmes obligations ;
4. aide Sorbier à répondre aux demandes des personnes et à gérer une violation de données ;
5. supprime ou restitue toutes les données en fin de contrat, au choix de Sorbier ;
6. met à disposition les informations nécessaires et accepte les audits.

On ajoute le lieu d'hébergement et l'encadrement des éventuels transferts hors de l'Union. Pour la réversibilité : le format d'export des tickets (CSV, JSON, avec les pièces jointes), le délai et le prix de la restitution (chapitre 14).

Tu avais trouvé ?

Oui, j'avais bonPas encore