Adopté aux États-Unis en 2018, le Cloud Act (Clarifying Lawful Overseas Use of Data Act) oblige les fournisseurs de services en ligne soumis à la juridiction américaine à remettre aux autorités américaines les données qu’ils possèdent, contrôlent ou surveillent, même lorsque ces données sont stockées hors des États-Unis — par exemple dans un centre de données suisse. Cette portée extraterritoriale est au cœur des tensions avec la LPD et le RGPD.
Une portée extraterritoriale qui contourne l’entraide judiciaire
Le Cloud Act remplace le critère du lieu de stockage par celui du contrôle : ce qui compte n’est pas où la donnée se trouve, mais qui la contrôle. Un fournisseur américain (Microsoft, Google, Amazon…) peut donc être contraint de divulguer des données hébergées en Suisse sans passer par la voie ordinaire de l’entraide judiciaire internationale. Les garanties contractuelles négociées avec le fournisseur ne lient pas les autorités américaines.
Point d’attention
Le Cloud Act ne s’arrête pas au fournisseur avec lequel vous signez. Il s’applique aux données « possédées, contrôlées ou surveillées » par toute entreprise soumise à la juridiction américaine — y compris un sous-traitant, un exploitant de centre de données, un éditeur de logiciel ou une filiale américaine de votre prestataire. Un fournisseur dont le siège est en Suisse ou en Europe peut donc être indirectement concerné dès lors qu’il utilise des infrastructures ou des services d’entreprises américaines (Microsoft, AWS, Google, etc.). Avant de choisir un prestataire, il faut examiner non seulement son siège, mais l’ensemble de la chaîne de sous-traitance et des dépendances techniques. La nationalité du logiciel ne suffit toutefois pas à trancher : un logiciel américain installé sur votre propre infrastructure, dont les journaux restent locaux et auquel l’éditeur n’a aucun accès technique, n’expose guère les données au Cloud Act. Ce qui compte est la capacité du fournisseur à accéder aux données — support distant, télémétrie, hébergement ou fonctions hybrides.
LPD et RGPD : des règles de transfert mises à l’épreuve
La LPD (art. 16 s.) et le RGPD (chapitre V) n’autorisent un transfert de données à l’étranger que si l’État destinataire offre un niveau de protection adéquat ou si des garanties appropriées sont en place. Or, depuis l’arrêt Schrems II de la CJUE, on sait que les clauses contractuelles types ne suffisent pas face à des lois de surveillance qui autorisent des accès sans contrôle effectif. Le Cloud Act crée exactement ce type de conflit : un accès prévu par la loi américaine, indépendant des engagements contractuels du fournisseur.
Le cas des administrations suisses et des outils Microsoft
De nombreux cantons et communes utilisent Microsoft 365, Teams ou Outlook pour le courrier, le stockage et la collaboration. La Conférence suisse des préposés à la protection des données (Privatim) a adopté le 18 novembre 2025 une résolution publiée le 24 novembre 2025 : les solutions SaaS de fournisseurs internationaux — Microsoft 365 est cité nommément — ne sont en principe pas adaptées au traitement de données personnelles particulièrement sensibles ou soumises à une obligation légale de secret.
Les raisons invoquées : absence de véritable chiffrement de bout en bout, transparence insuffisante sur les sous-traitants et les mises à jour, modification unilatérale des conditions, perte de contrôle, et assujettissement des fournisseurs américains au Cloud Act. Pour Privatim, une utilisation n’est envisageable que si l’autorité chiffre elle-même les données et que le fournisseur n’a pas accès aux clés.
La résolution n’est pas juridiquement contraignante pour la Confédération, et le canton de Glaris s’en est explicitement distancié. Elle fixe néanmoins une ligne claire pour les autorités et alimente la pratique des préposés cantonaux.
Professions soumises au secret : la même logique
Les avocats, médecins, notaires et autres professionnels astreints au secret (art. 321 CP) ou aux obligations LPD/RGPD doivent appliquer le même raisonnement. Stocker des dossiers confidentiels dans une messagerie ou un espace cloud d’un fournisseur américain expose à un accès fondé sur le Cloud Act, incompatible avec le secret professionnel. Les clauses contractuelles, les certifications ou les promesses du fournisseur ne suffisent pas : seule une architecture où le professionnel garde la maîtrise des clés réduit réellement le risque.
Recommandations pratiques
1. Classifier les données : distinguer ce qui est public, professionnel courant, sensible ou couvert par le secret. 2. Héberger en Suisse ou en Europe, chez des fournisseurs non soumis au Cloud Act, pour les données sensibles. 3. Chiffrer de bout en bout avec des clés détenues localement lorsque le recours à un fournisseur international est inévitable. 4. Documenter l’analyse de risque (AIPD) et vérifier la chaîne de sous-traitance. 5. Suivre l’évolution des positions officielles (Privatim, PFPDT, EDPB) et des jurisprudences.
Sources
Texte du Cloud Act (H.R. 4943, Congrès des États-Unis)
Loi fédérale sur la protection des données (LPD, RS 235.1)
Règlement général sur la protection des données (RGPD, UE 2016/679)
Privatim — Résolution sur l’externalisation des traitements de données dans le cloud
CJUE, arrêt Schrems II (C-311/18)
Swissinfo — Data protection officer warns Swiss authorities over US cloud risks
Heise — Switzerland: Data Protection Officers Impose Broad Cloud Ban for Authorities