« Nos données sont hébergées dans un datacenter en Europe, donc on est tranquilles. »
C’est la phrase que j’entends le plus souvent quand j’audite la messagerie d’une entreprise. Et c’est une erreur de raisonnement. La localisation physique du serveur ne détermine pas quelle loi s’applique aux données qu’il contient. Ce qui compte, c’est la nationalité du fournisseur — et pour Gmail comme pour Microsoft 365, ce fournisseur est américain.
Deux textes de loi, précis et bien réels, encadrent l’accès des autorités américaines à vos emails : le Cloud Act et la Section 702 du FISA. Ni l’un ni l’autre n’est un fantasme de militant de la souveraineté. Ce sont des lois votées, appliquées, documentées. Voici ce qu’elles permettent concrètement.
Le Cloud Act : la loi qui suit le fournisseur, pas le serveur
Le Clarifying Lawful Overseas Use of Data Act a été adopté en 2018. Son principe est d’une simplicité redoutable :
Un fournisseur soumis à la juridiction américaine doit remettre aux autorités américaines les données qu’il contrôle, quel que soit le lieu où elles sont physiquement stockées.
Autrement dit : que vos emails soient sur un serveur à Dublin, à Francfort ou en Virginie ne change rien. Si le fournisseur est Google LLC ou Microsoft Corporation — des sociétés de droit américain —, une réquisition américaine valide s’applique à vos données.
Le Cloud Act est né précisément pour contourner l’argument de la localisation. Avant lui, Microsoft avait gagné un procès en refusant de livrer des emails stockés en Irlande à la justice américaine (United States v. Microsoft, l’affaire dite « Microsoft Ireland »). Le Cloud Act a été voté pour rendre ce refus impossible à l’avenir. La localisation européenne était la faille ; la loi l’a bouchée.
« Mais il y a l’accord Data Privacy Framework »
Le Data Privacy Framework (DPF), successeur du Privacy Shield lui-même invalidé en 2020 (arrêt Schrems II), encadre le transfert de données UE → US pour les besoins commerciaux. Il ne neutralise pas le Cloud Act. Ce sont deux régimes distincts : l’un concerne la circulation commerciale des données, l’autre l’accès des autorités à des fins de renseignement ou d’enquête. Le second n’est pas couvert par le premier.
La CNIL et le Comité européen de la protection des données (CEPD) l’ont rappelé à plusieurs reprises : la fragilité juridique des transferts vers des fournisseurs américains persiste, DPF ou pas.
La Section 702 du FISA : la surveillance sans vous prévenir
Le Cloud Act encadre les réquisitions ciblées, dans le cadre d’enquêtes. La Section 702 du FISA (Foreign Intelligence Surveillance Act) est d’une autre nature, et c’est celle qui devrait le plus vous préoccuper.
Elle autorise les agences de renseignement américaines (NSA en tête) à collecter les communications de personnes non-américaines situées hors des États-Unis, à des fins de renseignement extérieur — c’est-à-dire, très exactement, vous et vos correspondants européens.
Trois caractéristiques la rendent particulièrement problématique pour une entreprise européenne :
- Elle vise par nature les étrangers. Si vous êtes une PME française, vous êtes dans la cible désignée, pas dans l’exception.
- Elle ne requiert pas de mandat individuel au sens où nous l’entendons en droit européen. La collecte s’opère sur la base de « certifications » approuvées annuellement, visant des catégories de renseignement.
- Vous n’en êtes jamais informé. Contrairement à une réquisition classique, il n’y a ni notification, ni voie de recours pratique pour un ressortissant étranger.
Les fournisseurs américains de communications électroniques — dont les opérateurs de messagerie — figurent parmi les entités qui peuvent être contraintes de coopérer sous ce régime.
Ce que cela signifie concrètement pour vos emails
Traduisons ces deux lois en langage d’entreprise. Si votre messagerie professionnelle est chez Google ou Microsoft, voici ce qui est juridiquement possible — indépendamment de la probabilité que cela vous arrive :
| Type de contenu | Exposition |
|---|---|
| Contrats et négociations commerciales | Accessibles via réquisition ou collecte 702 |
| Échanges avocat-client (secret professionnel) | Aucune protection opposable au droit US |
| Données RH, dossiers du personnel | Accessibles |
| Propriété intellectuelle en pièce jointe | Accessible |
| Stratégie, fusions-acquisitions, appels d’offres | Accessible, sans notification |
Le point crucial n’est pas « la NSA lit mes emails tous les matins ». Ce n’est probablement pas le cas. Le point crucial est que vous avez signé un contrat qui rend cet accès légalement possible, et que vous ne pouvez pas vous y opposer. Pour un cabinet d’avocats tenu au secret professionnel, pour une entreprise avec de la PI sensible, pour une structure qui répond à des appels d’offres publics exigeant des garanties de souveraineté, ce n’est pas un risque théorique — c’est une non-conformité de fait.
« On n’a rien à cacher »
Cet argument est le plus mauvais de tous, pour une raison simple : la souveraineté des communications n’est pas une question de culpabilité, c’est une question de contrôle juridique.
Vous n’avez rien à cacher, sans doute. Mais vos clients, eux, vous ont confié des informations. Votre avocat vous doit le secret professionnel. Votre partenaire commercial vous a transmis des documents sous NDA. Ce ne sont pas vos secrets que vous exposez — ce sont ceux des autres, qui vous ont fait confiance. La question n’est pas « ai-je quelque chose à cacher », mais « ai-je le droit d’exposer ce qu’on m’a confié à une juridiction étrangère sans le dire ».
La seule parade réelle : sortir de la juridiction américaine
Le chiffrement en transit (TLS) ne protège pas contre le Cloud Act : le fournisseur détient les clés et le contenu en clair sur ses serveurs. Le chiffrement au repos géré par le fournisseur non plus, pour la même raison — c’est lui qui détient les clés. Tant que l’opérateur de votre messagerie est une société de droit américain, la loi américaine s’applique à vos données. Point.
La seule parade structurelle est de choisir un fournisseur qui n’est soumis à aucune juridiction extra-européenne. Pas une filiale européenne d’un groupe américain — une société européenne de bout en bout, avec une chaîne technique et contractuelle sans maillon américain.
C’est exactement la raison d’être de Missivio :
- Hébergement 100 % en France, chez des hébergeurs français, sans filiale américaine dans la chaîne.
- Aucun fournisseur soumis au Cloud Act dans notre infrastructure, y compris pour le paiement (SEPA, chaîne européenne — pas de Stripe).
- Clause anti-Cloud Act écrite dans nos CGV : si une autorité étrangère demande vos données, la réponse est non, et c’est un engagement contractuel opposable, pas une promesse marketing.
Nous ne prétendons pas être un rempart infaillible contre toute forme de surveillance — personne ne peut sérieusement le promettre. Ce que nous garantissons, c’est que le droit américain ne s’applique pas à vos emails, parce qu’aucun maillon de la chaîne n’y est soumis. C’est la différence entre « probablement personne ne regarde » et « personne n’en a le droit ».
Si vos communications professionnelles méritent mieux qu’une exposition juridique que vous ne maîtrisez pas, parlons-en 20 minutes. On regarde ensemble où transitent réellement vos emails aujourd’hui — et ce qu’il faudrait pour que ça reste sous votre contrôle.
Alexis DELAPORTE, fondateur de Missivio