Table des matières
- Ce que signifie vraiment la souveraineté des données
- Souveraineté, résidence et localisation des données : les trois concepts
- Le paysage juridique : CLOUD Act, FISA 702 et RGPD
- Pourquoi la juridiction prime sur la localisation des serveurs
- Comment atteindre la souveraineté des données
- Souveraineté des données pour les particuliers
- Souveraineté des données pour les organisations
Ce que signifie vraiment la souveraineté des données
La souveraineté des données est simple à énoncer et difficile à atteindre. Le principe fondamental : les données sont soumises aux lois et aux cadres de gouvernance du pays où réside l'entité qui les contrôle. Pas là où se trouvent les serveurs. Pas là où les données ont été créées. Là où l'organisation qui les contrôle est incorporée et opère.
Cette distinction a des conséquences pratiques considérables. Une entreprise américaine qui stocke des données sur des serveurs à Amsterdam reste une entreprise américaine. Le gouvernement américain peut la contraindre à produire ces données en vertu du droit américain — notamment le CLOUD Act, une loi de 2018 qui a explicitement étendu la portée juridique américaine aux données détenues à l'étranger par des fournisseurs basés aux États-Unis.
La souveraineté des données réelle requiert l'alignement de trois éléments :
1. Juridiction légale. L'organisation qui détient vos données est incorporée dans un pays doté de lois nationales solides sur la protection des données et sans accords d'accès extraterritoriaux aux données avec la juridiction que vous souhaitez éviter.
2. Contrôle physique. Les serveurs sont opérés par cette organisation, non sous-traités à un fournisseur cloud américain ou chinois (AWS, Azure, Google Cloud, Alibaba Cloud) qui peut être indépendamment contraint par une injonction légale.
3. Architecture cryptographique. L'organisation ne peut pas lire vos données même si elle en reçoit l'ordre, car le chiffrement de bout en bout signifie qu'elle ne détient que du texte chiffré, pas les clés.
La plupart des solutions cloud « souveraines » satisfont un ou deux de ces critères, rarement les trois simultanément.
Souveraineté, résidence et localisation des données
Ces trois termes sont fréquemment confondus, y compris dans les contextes d'achat entreprise. Ils sont distincts :
La résidence des données désigne la localisation physique du stockage. Une organisation ayant une politique de résidence des données conserve les données des clients européens sur des serveurs basés en Europe. C'est avant tout une posture de conformité — elle satisfait les exigences du RGPD concernant les transferts de données personnelles européennes hors de l'UE. Elle ne modifie pas l'entité juridique qui contrôle ces données ni le système juridique qui les gouverne.
La localisation des données est la version réglementaire imposée. Des pays comme la Russie (loi fédérale 242-FZ), la Chine (PIPL, loi sur la sécurité des données) et l'Inde (DPDP Act 2023) exigent que certaines catégories de données sur leurs citoyens soient stockées et traitées à l'intérieur de leurs frontières nationales.
La souveraineté des données est la couche de gouvernance au-dessus des deux. Elle pose la question : qui contrôle finalement ces données sur le plan juridique ? Quel système judiciaire peut en exiger l'accès ? La résidence des données est nécessaire mais insuffisante pour la souveraineté des données.
Le paysage juridique
CLOUD Act (États-Unis, 2018). Permet aux forces de l'ordre américaines d'émettre des mandats pour des données détenues à l'étranger par des fournisseurs américains, sans passer par les procédures d'entraide judiciaire (MLAT). Tout fournisseur cloud américain — AWS, Microsoft Azure, Google Cloud, Salesforce, Dropbox — peut être contraint de produire des données hébergées sur des serveurs européens sans notification à l'État membre concerné.
FISA Section 702 (États-Unis). Autorise la NSA à collecter les communications de personnes non américaines auprès de fournisseurs basés aux États-Unis, sans mandats individuels. Tout service utilisant des infrastructures américaines pour des utilisateurs non américains entre dans ce cadre.
RGPD (UE, 2018). Restreint les transferts de données personnelles européennes vers des pays sans niveau de protection « adéquat ». Cependant, le RGPD ne prévient pas les ordonnances gouvernementales d'accès aux données. Le Cadre de protection des données UE-États-Unis de 2023 tente de résoudre la décision Schrems II, mais sa durabilité reste incertaine.
nLPD suisse (2023). La loi fédérale révisée sur la protection des données fournit des protections procédurales contre les demandes étrangères de données — les tribunaux suisses peuvent et procèdent à l'examen des demandes avant toute production.
Pourquoi la juridiction prime sur la localisation des serveurs
La contrainte légale suit la structure d'entreprise, pas la géographie des datacenters.
Exemple concret : Proton AG est incorporée à Genève, Suisse. Une agence américaine d'application de la loi ne peut pas signifier à Proton un mandat CLOUD Act car Proton n'est pas une entité américaine. Elle doit utiliser les canaux juridiques suisses — MLAT avec la Suisse, qui implique des tribunaux et des procureurs suisses. Les traités MLAT suisses exigent que la conduite visée constitue un crime en vertu du droit suisse (double incrimination), ce qui filtre de nombreuses demandes américaines.
Pour les individus, la décision équivalente concerne le choix du fournisseur d'e-mail et de stockage cloud. Vos fichiers Google Drive, quel que soit le datacenter où ils se trouvent, sont détenus par une entreprise américaine soumise au droit américain de surveillance et aux demandes CLOUD Act.
Comment atteindre la souveraineté des données
Atteindre une souveraineté des données significative requiert d'agir simultanément sur trois couches.
Couche 1 : Sélection de la juridiction légale. Choisir des prestataires incorporés dans des juridictions dotées de lois nationales solides sur la vie privée et sans partage obligatoire de renseignements avec les Five Eyes. La Suisse, l'Islande et la Norvège sont les options les plus robustes.
Couche 2 : Contrôles cryptographiques. La protection fondée sur la juridiction a des limites. Les processus juridiques évoluent, les gouvernements concluent des accords, les entreprises sont rachetées. La seule protection qui résiste à la contrainte légale est le chiffrement de bout en bout où le fournisseur ne détient jamais le texte en clair.
L'architecture zéro-connaissance signifie que l'opérateur du service ne peut fournir rien d'utile à quelque demande juridique que ce soit, hormis du texte chiffré. Proton Mail implémente cela pour les e-mails entre utilisateurs Proton. Proton Drive l'implémente pour tous les fichiers stockés.
Couche 3 : Indépendance d'infrastructure. Éviter de sous-traiter à des hyperscalers cloud américains pour les charges de travail sensibles. AWS, Azure et Google Cloud sont tous des entreprises américaines directement exposées aux ordonnances FISA 702 et CLOUD Act.
Pour les particuliers
Email. Quittez Gmail, Outlook et Yahoo — toutes des entreprises américaines soumises à la surveillance CLOUD Act et FISA 702. Proton Mail est l'alternative la plus crédible : juridiction suisse, chiffrement de bout en bout, clients open source.
Divulgation : le lien ci-dessous est un lien affilié. Si vous souscrivez via celui-ci, nous percevons une commission sans coût supplémentaire pour vous.
Passer à Proton Mail → Proton Mail (Offre gratuite — juridiction suisse, chiffrement de bout en bout)
Stockage cloud. Google Drive, Dropbox et OneDrive sont toutes des entreprises américaines. Proton Drive propose un stockage chiffré de bout en bout sous juridiction suisse.
Stocker vos fichiers sous droit suisse → Proton Drive (Stockage gratuit, chiffrement de bout en bout, juridiction suisse)
Recherche et productivité. Notre guide des alternatives à Google couvre la migration complète service par service, y compris la recherche, le calendrier et l'édition de documents. Pour la protection de la vie privée au niveau du navigateur, consultez notre guide VPN et confidentialité du navigateur.
Pour les organisations
Infrastructure cloud. Où est incorporé votre fournisseur cloud ? Le CLOUD Act s'applique à tout fournisseur ayant un lien avec les États-Unis, quelle que soit la structure d'entreprise. Évaluez OVHcloud (français), Hetzner (allemand) et Infomaniak (suisse) comme alternatives à AWS/Azure/GCP pour les charges de travail sensibles.
Accords de traitement des données (DPA). Assurez-vous que vos DPA précisent non seulement la résidence des données, mais aussi l'entité juridique qui contrôle le traitement et la juridiction qui gouverne l'accord. Un DPA avec une filiale européenne d'une entreprise américaine ne protège pas contre un mandat CLOUD Act signifié à la maison mère.
Réponse aux incidents. Si vous subissez une violation, les questions de souveraineté des données deviennent critiques. Un fournisseur sous juridiction américaine peut avoir des obligations de réponse aux incidents exigeant de notifier les autorités américaines avant vous ou les régulateurs européens, créant des conflits avec les délais de notification de violation du RGPD.
Pour la couche technique qui complète les choix juridictionnels, consultez notre guide de modélisation des menaces pour utilisateurs tech-aware — il détaille comment construire un modèle d'adversaire structuré qui associe vos risques réels aux contrôles adaptés.
