CLOUD Act
CLOUD Act (Clarifying Lawful Overseas Use of Data Act) : loi américaine du 23 mars 2018, codifiée notamment à 18 U.S.C. § 2713. Un fournisseur de services de communications électroniques ou de services d'hébergement et de calcul proposés au public doit communiquer, sur un acte de procédure pénale (mandat, ordonnance), les données en sa « possession, garde ou contrôle », que ces données soient situées aux États-Unis ou ailleurs.
Le texte prévoit une contestation par le fournisseur (18 U.S.C. § 2703(h)) quand la personne visée n'est pas américaine et que la communication l'exposerait à violer le droit d'un pays ayant conclu un accord exécutif avec les États-Unis (Royaume-Uni, Australie). Ni la France ni l'Union européenne n'en ont conclu à ce jour. Côté européen, l'article 48 du RGPD refuse de reconnaître une telle demande hors accord international, ce qui place le fournisseur dans un conflit de lois. Le CLOUD Act relève de la justice pénale ; il ne faut pas le confondre avec la section 702 du FISA, qui relève du renseignement.
Dans les cours
- Cloud souverain : choisir et justifier, leçon 1 : Ce que « souverain » veut dire
- Cloud souverain : choisir et justifier, leçon 2 : Les lois extraterritoriales et les transferts de données