Le 19 juillet 2024, la CNIL a alerté sur un projet de certification européenne du cloud qui ne protégeait plus les données contre l’accès d’autorités étrangères. Ce débat éclaire ce qu’on appelle un cloud souverain : un hébergement que seules les lois européennes peuvent atteindre.
Un cloud n’est pas souverain parce que ses serveurs sont en France : il faut aussi que son exploitant échappe aux lois étrangères qui pourraient l’obliger à livrer des données. En France, la qualification SecNumCloud de l’ANSSI vérifie ce point. Pour un particulier, l’enjeu se joue surtout sur le choix du service et le chiffrement de ses fichiers les plus sensibles.
Ce que désigne l’expression « cloud souverain »
Le cloud souverain désigne un service d’hébergement de données, de stockage ou de logiciels en ligne dont l’exploitation reste soumise au seul droit européen. L’expression n’a pas de définition légale unique, et c’est sa principale faiblesse : un fournisseur peut l’employer dans sa communication sans qu’aucun contrôle ne l’ait vérifiée. Notre rubrique cloud et données rappelle les questions de base à se poser avant de confier ses fichiers à un service en ligne.
Trois niveaux se superposent souvent dans les offres. Le premier est la localisation : les serveurs se trouvent dans l’Union européenne. Le deuxième est l’exploitation : les équipes qui administrent le service sont établies en Europe. Le troisième, le plus exigeant, est l’immunité juridique : la société qui exploite le service ne dépend d’aucune maison mère soumise à une loi étrangère capable de lui imposer la communication de données. Seul ce troisième niveau justifie pleinement le mot « souverain ».
Pourquoi la localisation des serveurs ne suffit pas
Des serveurs installés en France peuvent appartenir à une entreprise dont le siège est hors d’Europe. Si la loi de ce pays permet à ses autorités d’exiger les données détenues par ses entreprises, où qu’elles soient stockées, l’emplacement physique ne protège rien. C’est le sens de l’expression « lois extraterritoriales » : des textes qui produisent leurs effets au-delà des frontières du pays qui les adopte.
La CNIL le formule ainsi dans sa publication de juillet 2024 : elle demande aux autorités publiques de s’assurer que les données « d’une sensibilité particulière » hébergées dans le cloud ne soient pas soumises à des lois extra-européennes pouvant impliquer des injonctions de communication. Ce risque ne disparaît pas avec un accord de transfert. Les États-Unis sont considérés comme un « pays adéquat » depuis la décision de la Commission européenne du 10 juillet 2023, dans le cadre du Data Privacy Framework, mais cet accord encadre les transferts de données personnelles sans soustraire les entreprises américaines à leur propre droit.
SecNumCloud, la qualification française
SecNumCloud est une qualification délivrée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) aux fournisseurs de services cloud qui répondent à son référentiel d’exigences. Elle couvre la sécurité technique, l’organisation du prestataire et un critère d’immunité aux lois extra-européennes. La CNIL le souligne : la certification SecNumCloud « comprend ce critère et permet ainsi une protection des données contre les accès par des autorités étrangères ».
La qualification porte sur un service précis, pas sur une entreprise entière. Un même fournisseur peut proposer une offre qualifiée et d’autres qui ne le sont pas. Le seul moyen de le savoir est de consulter les décisions de qualification publiées par l’ANSSI sur cyber.gouv.fr, plutôt que de se fier à un logo ou à une mention commerciale.
Le droit français s’appuie de plus en plus sur ce type de critères. La CNIL rappelle que la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, dite loi SREN, impose des critères de sécurité et de protection des données lorsqu’un prestataire privé recourt au cloud pour des systèmes traitant des données d’une sensibilité particulière pour l’État.
Le débat européen sur la certification EUCS
L’Union européenne prépare un schéma de certification de cybersécurité commun pour les services cloud, appelé EUCS. Selon la CNIL, dans sa version discutée en 2024, ce projet ne comportait plus de niveau incluant des critères d’« immunité » aux lois extra-européennes. Les fournisseurs certifiés n’auraient donc plus pu démontrer qu’ils protègent les données contre tout accès d’une puissance étrangère.
La CNIL a appelé à les réintroduire à titre optionnel, en s’inspirant de ceux de SecNumCloud, pour les traitements de données personnelles les plus sensibles. Elle y voit aussi un enjeu économique : sans niveau d’immunité, la certification ne stimule pas l’offre européenne de cloud, dont dépend le développement des systèmes d’intelligence artificielle. Le schéma n’était alors qu’un projet : son contenu final peut évoluer, et la qualification française reste la référence nationale en attendant.
Ce que cela change pour un particulier
Les offres qualifiées SecNumCloud s’adressent d’abord aux administrations et aux entreprises qui traitent des données sensibles. Pour un particulier, l’intérêt du débat est surtout de savoir lire les promesses d’un service de stockage. Les photos de vacances n’exigent pas le même niveau de protection que des copies de pièces d’identité, des bulletins de salaire ou un dossier médical.
| Question à poser | Où trouver la réponse | Ce qu’elle protège |
|---|---|---|
| Où sont stockées mes données ? | Conditions générales, politique de confidentialité | La localisation |
| Quelle société exploite le service, et qui la contrôle ? | Mentions légales, siège de la maison mère | L’exposition aux lois étrangères |
| Le service est-il qualifié par l’ANSSI ? | Qualifications publiées sur cyber.gouv.fr | Sécurité et immunité vérifiées |
| Mes fichiers sont-ils chiffrés avant l’envoi ? | Description technique du service | La lisibilité des données, même en cas d’accès |
Le chiffrement côté utilisateur, quand le fichier est chiffré sur votre appareil avec une clé que le fournisseur ne connaît pas, réduit fortement la portée d’une éventuelle demande d’accès : le prestataire ne détient que des données illisibles. Pour les documents les plus sensibles, une copie chiffrée sur un disque externe gardé chez soi complète utilement le cloud, comme le prévoit la règle 3-2-1 de sauvegarde.
Garder la main sur ses données, quel que soit l’hébergeur
Quel que soit le fournisseur choisi, le RGPD donne à chaque utilisateur des droits sur ses données personnelles : accès, rectification, effacement, portabilité. La CNIL les détaille sur sa page consacrée aux droits pour maîtriser vos données. La portabilité est la plus utile pour changer de service : elle permet de récupérer ses fichiers dans un format réutilisable.
Savoir ce qu’un service conserve sur vous est aussi un bon test de sa transparence. La démarche pour l’obtenir est expliquée dans notre article sur le droit d’accès aux données personnelles. Pour suivre le débat européen à sa source, la CNIL a publié son analyse complète sous le titre Cloud : les risques d’une certification européenne permettant l’accès des autorités étrangères aux données sensibles.