Le CLOUD Act américain et la souveraineté numérique : les choix cloud des universités européennes (2026)

De nombreuses universités européennes hébergent leur messagerie, leurs documents et leurs données de recherche sur des plateformes cloud américaines, et leurs personnels demandent de plus en plus si les autorités américaines peuvent y accéder. Ce guide distingue les faits juridiques du débat politique : ce que disent le CLOUD Act et la section 702 du FISA, comment le droit de l’UE y répond, ce que les frontières de données européennes et les clouds souverains changent ou ne changent pas, ce que font les universités et les réseaux de recherche de plusieurs pays, et comment choisir l’hébergement selon le type de données avec un plan de réversibilité réaliste.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

Ce sujet est politique autant que juridique. Dans ce guide, les énoncés de droit et les faits documentés sont sourcés. Notre propre lecture de leurs conséquences pour les universités est signalée comme Analyse de Validemic. Les positions des universités, des collectifs de personnels et des autorités sont présentées comme leurs positions, et non comme du droit établi.

1. Que dit réellement le CLOUD Act ?

Le CLOUD Act est une loi américaine de 2018 qui oblige les fournisseurs de communications et de cloud soumis à la réglementation américaine à communiquer les données qu’ils contrôlent lorsqu’un acte de procédure américain valable leur est signifié, même si ces données sont stockées à l’étranger. C’est un outil de répression pénale, qui a aussi créé une voie pour des accords bilatéraux avec des gouvernements étrangers.

La règle centrale figure au 18 U.S.C. § 2713, ajouté le 23 mars 2018. Un fournisseur de service de communications électroniques ou de service informatique à distance doit respecter les obligations du Stored Communications Act de conserver, sauvegarder ou communiquer les communications et les données clients qui sont en sa « possession, custody, or control » (possession, garde ou contrôle), « regardless of whether such communication, record, or other information is located within or outside of the United States » (que ces communications, données ou autres informations se trouvent aux États-Unis ou en dehors) [1].

Trois points se perdent souvent dans le débat :

• Ce n’est pas un nouveau pouvoir de surveillance. Il étend aux données stockées à l’étranger des outils répressifs existants du Stored Communications Act. La décision relative au Data Privacy Framework relève que l’accès aux contenus stockés exige en général un mandat judiciaire fondé sur des motifs raisonnables (probable cause) (considérant 96) [9].
• Il existe une voie de contestation limitée. En vertu du 18 U.S.C. § 2703(h), un fournisseur peut demander l’annulation ou la modification d’une injonction lorsque le client n’est pas une personne américaine, ne réside pas aux États-Unis et que la communication créerait un risque sérieux de violer le droit d’un « qualifying foreign government » (gouvernement étranger éligible). Cette notion ne vise que les pays ayant conclu un accord exécutif au titre de la loi et offrant des droits comparables aux fournisseurs [2].
• Des accords existent avec certains pays, pas avec l’UE. Le ministère américain de la Justice recense des accords avec le Royaume-Uni (signé le 3 octobre 2019) et l’Australie (15 décembre 2021). Pour l’UE, il mentionne une déclaration commune de 2019 sur des négociations et une annonce de 2023 sur leur reprise [3]. Nous n’avons trouvé aucun accord UE-États-Unis conclu au 9 octobre 2026.

Analyse de Validemic Le critère qui compte pour une université est le contrôle, et non la localisation. Si un fournisseur soumis à la juridiction américaine peut accéder aux données sous une forme exploitable, une injonction américaine adressée à ce fournisseur est juridiquement possible, quel que soit l’emplacement des serveurs. La fréquence à laquelle cela se produit en pratique pour des données universitaires est une autre question, à laquelle les sources publiques ne permettent pas de répondre entièrement.

2. FISA 702, EO 12333 et Schrems II

La principale préoccupation à l’origine de l’arrêt Schrems II était la surveillance par le renseignement américain, et non le CLOUD Act. La section 702 du Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) permet de cibler des personnes non américaines situées à l’étranger avec le concours obligatoire des fournisseurs américains. L’Executive Order 12333 encadre d’autres activités de renseignement, y compris la collecte hors des États-Unis [5].

Dans l’arrêt Schrems II (C-311/18, 16 juillet 2020), la Cour de justice a jugé que « neither Section 702 of the FISA, nor E.O. 12333 » (ni la section 702 du FISA ni l’E.O. 12333) n’offraient les garanties minimales exigées par le principe de proportionnalité (point 184). Elle a également estimé que le médiateur du Privacy Shield n’offrait pas aux personnes une voie de recours équivalente à celle de l’article 47 de la Charte (point 197), et a déclaré invalide la décision relative au Privacy Shield [5].

La réponse américaine a été l’Executive Order 14086 du 7 octobre 2022, qui a renforcé les garanties applicables au renseignement d’origine électromagnétique et, avec un règlement de l’Attorney General, mis en place un mécanisme de recours comprenant la Data Protection Review Court (DPRC). La Commission s’est appuyée sur ce dispositif pour adopter la décision d’adéquation relative au Data Privacy Framework le 10 juillet 2023 [8] [9].

La section 702 en 2026

La section 702 a été réautorisée pour la dernière fois en avril 2024, avec une échéance en avril 2026. Après des prolongations de courte durée, une nouvelle prolongation a échoué à la Chambre des représentants et le texte a expiré le 12 juin 2026. L’Associated Press a rapporté qu’un avis de mars 2026 de la Foreign Intelligence Surveillance Court « certified the program’s renewal for another 12 months » (a certifié le renouvellement du programme pour 12 mois supplémentaires), de sorte que la collecte ne devait pas s’arrêter immédiatement [6]. Le Brennan Center, un institut américain d’analyse des politiques publiques, indique que la surveillance au titre de la section 702 se poursuivra jusqu’en mars 2027 même si le texte expire [7].

En attente : au 9 octobre 2026, nous n’avons trouvé aucune nouvelle réautorisation de la section 702 en vigueur. Le renouvellement éventuel par le Congrès, et ses modalités, intéressent le suivi du Data Privacy Framework par la Commission. Revérifiez avant de vous appuyer sur ce paragraphe.

3. Comment le droit de l’UE répond-il aux accès étrangers ?

Le droit de l’UE n’accepte pas une décision de justice ou d’une autorité étrangère, à elle seule, comme fondement licite d’une communication de données personnelles. L’article 48 du RGPD prévoit que de telles décisions ne peuvent être reconnues ou rendues exécutoires que si elles sont fondées sur un accord international, comme un traité d’entraide judiciaire, sans préjudice des autres motifs de transfert du chapitre V [10].

Dans leur réponse commune du 10 juillet 2019 à la commission LIBE du Parlement européen, le CEPD et le Contrôleur européen de la protection des données ont cité l’analyse de la Commission selon laquelle « Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR » (l’article 48 indique clairement qu’une décision de justice étrangère ne rend pas, en tant que telle, un transfert licite au regard du RGPD). Ils en concluaient qu’en l’absence d’accord international ou d’un autre fondement juridique, « service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests » (les fournisseurs de services soumis au droit de l’UE ne peuvent pas légalement fonder la communication et le transfert de données personnelles vers les États-Unis sur de telles demandes) [11]. Ils ont aussi jugé la plupart des fondements des articles 6 et 49 inadaptés aux demandes courantes au titre du CLOUD Act.

D’autres règles européennes vont dans le même sens :

• Art. 28, paragraphe 3, point a, du RGPD. Un sous-traitant ne peut traiter les données que sur instruction documentée du responsable du traitement, y compris pour les transferts, sauf s’il y est tenu par le droit de l’Union ou d’un État membre. Une injonction américaine n’est pas du droit de l’Union ou d’un État membre [4].
• Clauses contractuelles types, clause 15. Lorsque les CCT s’appliquent, l’importateur doit informer rapidement l’exportateur de toute demande juridiquement contraignante d’une autorité publique, s’efforcer d’obtenir une levée de l’interdiction s’il lui est interdit d’informer, et conserver une trace des demandes (clause 15.1) [12].
• Art. 32 du règlement sur les données. Pour les données à caractère non personnel, comme des résultats de recherche non publiés ou des données institutionnelles, les fournisseurs cloud doivent prendre « toutes les mesures techniques, organisationnelles et juridiques adéquates, y compris des contrats », pour empêcher l’accès des autorités publiques de pays tiers lorsqu’il serait contraire au droit de l’Union ou au droit national. Les décisions étrangères ne sont reconnues que sur la base d’un accord international ou, à défaut, uniquement dans les conditions fixées à l’art. 32, paragraphe 3 [13].

Analyse de Validemic Ces règles créent un conflit de lois, pas un bouclier. Elles rendent la communication illicite du point de vue de l’UE et donnent au client le droit d’être informé, mais elles ne peuvent pas empêcher un fournisseur de se conformer au droit de son pays. C’est pourquoi certaines autorités mettent l’accent sur le contrôle technique, comme la détention des clés de chiffrement, plutôt que sur les seules clauses contractuelles.

4. Où en est le Data Privacy Framework au 9 octobre 2026

La décision d’adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework, DPF), la décision d’exécution (UE) 2023/1795, est en vigueur et couvre les transferts vers les organisations américaines inscrites sur la liste du DPF. Elle traite de l’accès par le renseignement à travers l’EO 14086 et la DPRC, et décrit l’accès des autorités répressives au titre du Stored Communications Act, la loi modifiée par le CLOUD Act [9].

• Tribunal, 3 septembre 2025. Dans l’affaire Latombe contre Commission (T-553/23), le Tribunal a rejeté le recours. Il a jugé la DPRC suffisamment indépendante et estimé que Schrems II exige au minimum un contrôle juridictionnel a posteriori de la collecte en masse, que le droit américain assure par la DPRC. Il a aussi relevé que la Commission doit suivre en permanence le cadre juridique américain et peut suspendre, modifier ou abroger la décision [14].
• Pourvoi, C-703/25 P. M. Latombe a formé un pourvoi le 31 octobre 2025 [15]. Le pourvoi est pendant. Notre guide du Data Privacy Framework suit la procédure, y compris l’admission de Microsoft comme partie intervenante en juin 2026.
• CEPD. Le 31 juillet 2026, le CEPD a écrit à la Commission au sujet de l’arrêt de la Cour suprême des États-Unis Trump v. Slaughter, qui concerne l’indépendance d’agences américaines comme la FTC [16].

Analyse de Validemic Le DPF répond à la question du transfert pour les organisations américaines inscrites sur la liste. Il ne répond pas à la question de la souveraineté, qui porte sur la dépendance, la continuité et le contrôle. Une université peut disposer d’un fondement licite de transfert et décider malgré tout que certaines données ne doivent pas dépendre d’un seul fournisseur non européen. Pour le volet transfert, voir notre modèle d’analyse d’impact des transferts et l’outil sur les mécanismes de transfert.

5. Localisation des données n’est pas souveraineté

La localisation des données signifie que les données sont stockées et traitées dans une région choisie, comme l’UE. La souveraineté des données porte sur les systèmes juridiques et les organisations qui peuvent contrôler les données et le service, y accéder ou les couper. Un service peut satisfaire aux exigences de localisation alors que son exploitant reste soumis à un droit non européen. Les deux appellent des questions distinctes dans l’évaluation d’un fournisseur.

Les recommandations 01/2020 du CEPD décrivent clairement la limite des mesures techniques. Pour les services cloud qui doivent accéder aux données en clair (cas d’usage 6), le CEPD s’est déclaré « incapable of envisioning an effective technical measure » (dans l’incapacité d’envisager une mesure technique efficace) pour empêcher un accès disproportionné des autorités publiques, compte tenu de l’état de l’art [17]. C’est pourquoi la plupart des suites bureautiques, qui doivent lire les contenus pour les indexer, effectuer des recherches et faire fonctionner les fonctionnalités d’IA, sont difficiles à protéger par le seul chiffrement.

6. Ce que proposent les grands fournisseurs

Les descriptions ci-dessous proviennent des pages de chaque fournisseur. Nous n’évaluons pas leur conformité à une norme juridique ; lisez les conditions contractuelles de votre offre.

Microsoft : EU Data Boundary et offres souveraines

Microsoft présente l’EU Data Boundary comme une frontière à l’intérieur de laquelle il s’engage à stocker et traiter les données clients et les données personnelles de ses services en ligne pour entreprises, dont Azure, Dynamics 365, Power Platform et Microsoft 365. La page précise que ces engagements sont « subject to limited circumstances » (soumis à des circonstances limitées) dans lesquelles des données continuent d’être transférées hors de la frontière, et documente ces transferts séparément. La frontière couvre les pays de l’UE et de l’AELE. Pour Microsoft 365, les locataires dont le pays d’inscription est situé dans l’UE ou l’AELE sont concernés, mais pas ceux qui utilisent les fonctionnalités Multi-Geo [18].

En avril 2025, Microsoft a publié cinq « European digital commitments » (engagements numériques européens), dont l’engagement de contester toute décision gouvernementale de suspendre ses activités cloud européennes et la supervision des centres de données européens par un conseil composé de ressortissants européens [19]. En juin 2025, il a annoncé un Sovereign Public Cloud et un Sovereign Private Cloud (tous deux alors en préversion), Microsoft 365 Local, « Data Guardian » (accès à distance limité à des personnels résidant en Europe), la gestion externe des clés et des clouds nationaux partenaires comme Bleu en France et Delos Cloud en Allemagne [20].

Un exemple universitaire montre pourquoi les paramètres de localisation doivent être surveillés. La mise à jour de mai 2026 de l’AIPD de SURF sur Microsoft 365 Copilot relève que Microsoft a introduit en mars 2026 le « flex routing », qui permet des transferts de données hors de l’EU Data Boundary pour les nouveaux locataires. SURF a vérifié que les locataires existants de l’enseignement néerlandais n’étaient pas modifiés, et a ajouté ce point comme nouveau risque faible [21]. Voir aussi nos fiches sur Microsoft 365 et Microsoft Copilot.

AWS European Sovereign Cloud

AWS a annoncé la disponibilité générale de l’AWS European Sovereign Cloud le 15 janvier 2026, avec une première région dans le Brandebourg, en Allemagne. Selon AWS, ce cloud est physiquement et logiquement séparé des autres régions AWS, exploité par des résidents de l’UE via une nouvelle société mère et des filiales allemandes dirigées par des citoyens de l’UE, avec « zero operational control outside of EU borders » (aucun contrôle opérationnel hors des frontières de l’UE). AWS prévoit des Local Zones souveraines en Belgique, aux Pays-Bas et au Portugal [22].

Offres souveraines de Google Cloud

Google présente trois options principales. Google Cloud Data Boundary offre des contrôles de localisation et d’accès dans le cloud public, y compris des clés gérées par le client et stockées à l’extérieur. Google Cloud Dedicated fonctionne sur une infrastructure isolée exploitée par un partenaire local ; en France, il est exploité par S3NS, entité française autonome créée avec Thales, que Google présente comme conçue pour satisfaire aux exigences de SecNumCloud. Google Distributed Cloud fonctionne sur site, en mode connecté ou totalement isolé [23]. Voir notre fiche sur Google Workspace.

Analyse de Validemic Les frontières de données modifient surtout la localisation et l’accès du support. Les clouds exploités séparément cherchent à changer qui contrôle l’exploitant. Les clés détenues par le client et les déploiements sur site changent qui peut lire les données. Lorsqu’un fournisseur parle de « souverain », demandez-lui de quoi il s’agit, pour quels services et dans quelle offre.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

7. Certification : EUCS et SecNumCloud

Il n’existe pas, au 9 octobre 2026, de certification adoptée à l’échelle de l’UE pour les services cloud « souverains ». Le schéma européen de certification de cybersécurité des services cloud (EUCS) n’est encore qu’un schéma candidat. La qualification française SecNumCloud est le label national le plus établi qui couvre explicitement la protection contre les lois non européennes.

• EUCS. La page de la Commission sur le cadre de certification de cybersécurité, mise à jour le 9 septembre 2026, cite le « European cybersecurity certification scheme for cloud services » parmi les schémas candidats que l’ENISA a été chargée de préparer, et indique que le schéma fondé sur les critères communs (EUCC) est le premier adopté [24]. Des projets antérieurs qui auraient ajouté des exigences de souveraineté ont fait l’objet de longs débats entre États membres ; le schéma définitif pourrait être différent.
• SecNumCloud (France). L’ANSSI indique que les offres qualifiées SecNumCloud visent à protéger les données sensibles « face à la menace cybercriminelle et à l’application de lois extraterritoriales » et publie la liste des services qualifiés [25]. Les recommandations de la CNIL pour l’enseignement supérieur, datées du 24 août 2026, citent la qualification SecNumCloud comme exemple de moyen de s’assurer qu’un prestataire est soumis exclusivement au droit européen [26].

8. Ce que font les États et le secteur public

Dans plusieurs pays, les organismes publics réduisent leur dépendance à l’égard d’un petit nombre de fournisseurs non européens. La plupart de ces démarches sont progressives, et leurs motivations affichées incluent la continuité et le pouvoir de négociation autant que la protection des données.

• France. Dans une réponse parlementaire publiée le 15 novembre 2022, le ministère de l’Éducation nationale indiquait que la direction interministérielle du numérique avait constaté en 2021 qu’Office 365 n’était pas conforme à la doctrine « cloud au centre », que la CNIL avait recommandé aux établissements d’enseignement supérieur de recourir à des prestataires soumis exclusivement au droit européen, et qu’il avait été demandé aux recteurs de ne pas poursuivre les déploiements de Microsoft et de Google dans les écoles [27]. Cette réponse est antérieure au Data Privacy Framework de 2023.
• Allemagne. Un catalogue de cas publié en 2026 par l’Agence danoise pour le numérique public décrit la migration du Schleswig-Holstein, engagée en 2012, vers LibreOffice, Linux, Nextcloud et Open-Xchange, avec l’objectif de se passer de tous les produits Microsoft sauf quelques produits critiques d’ici 2029 ; 24 000 des 30 000 agents du Land utilisent désormais le nouvel environnement de travail [28]. ZenDiS, une société financée par l’État fédéral, développe openDesk, une suite bureautique libre pour l’administration publique [29].
• Danemark. L’Agence pour le numérique public indique que la loi de finances 2026 prévoit 80 millions de couronnes danoises pour 2026 à 2029 au titre d’un plan d’action sur la souveraineté numérique [30]. Son catalogue de cas décrit le remplacement par la commune d’Aarhus de Microsoft Azure par le fournisseur allemand Hetzner pour une soixantaine de solutions dans un service, et une analyse de la commune de Copenhague portant sur environ 150 systèmes critiques présentée au conseil municipal en décembre 2025 [28].
• Pays-Bas. En septembre 2026, le comité consultatif néerlandais sur les TIC de l’État (AcICT) a publié des recommandations sur l’usage du cloud par les organismes publics. Sa première recommandation est de peser soigneusement les dépendances stratégiques, y compris la dépendance à un fournisseur et les possibilités de sortie [31].
• Suisse. Les autorités cantonales de protection des données (privatim) ont adopté une résolution en novembre 2025. Elle considère comme inadmissible, dans la plupart des cas (comme M365), l’externalisation de données personnelles particulièrement sensibles ou soumises à un secret légal vers de grands services SaaS internationaux, sauf si l’organisme public chiffre lui-même les données et que le fournisseur n’a pas accès à la clé [32].
• Suède. L’eSam, organe de coopération des administrations publiques suédoises, écrivait en septembre 2025 que la décision d’adéquation UE-États-Unis s’applique jusqu’à son retrait ou son annulation, mais ne règle pas nécessairement les questions d’accès étranger fondé sur des lois extraterritoriales [33].

9. Ce que font les universités et les réseaux de recherche

Les universités européennes suivent trois grandes voies : évaluer en profondeur les grandes suites américaines, construire ou acheter des solutions européennes mutualisées par l’intermédiaire de leurs réseaux nationaux de recherche et d’enseignement (NREN) et, aux Pays-Bas, adopter un plan sectoriel pour l’autonomie numérique.

Pays-Bas : des lettres ouvertes à un plan sectoriel

• Lettres de personnels. En mars 2025, deux professeurs de l’université d’Utrecht ont écrit à leur conseil exécutif que « The fact that the data is stored on European servers offers no (legal) protection » (le fait que les données soient stockées sur des serveurs européens n’offre aucune protection (juridique)), en citant le CLOUD Act [34]. Des lettres similaires ont suivi à l’université Radboud (mars 2025) [35] et à l’université de Groningue (avril 2025) [36]. Dans une note de réflexion de décembre 2025, les auteurs d’Utrecht écrivaient que les grands fournisseurs « are subject to American jurisdiction (in particular the Cloud Act) » (sont soumis à la juridiction américaine, en particulier au Cloud Act) [37].
• Plan sectoriel. En mai 2026, Universiteiten van Nederland (UNL) a annoncé que les universités, l’État et SURF travailleront ensemble à renforcer l’autonomie numérique, en invoquant des risques pour la sécurité des connaissances, la vie privée, la continuité et les valeurs académiques. Un comité proposera des conditions d’achat communes, des solutions de remplacement et une coopération internationale, en commençant par une évaluation de référence des risques [38]. Le site d’information de la TU Eindhoven a rapporté que les universités et la secrétaire d’État ont signé une lettre d’intention en juin 2026 [39].
• SURF. La stratégie d’approvisionnement cloud de SURF (2024) fait de la souveraineté des données l’un de ses neuf thèmes et précise que le contrôle des données n’est jamais transféré au fournisseur [40]. En novembre 2025, SURF a annoncé qu’il proposerait Nextcloud à tous ses établissements membres à partir de janvier 2026, en notant que « our independence and public values are coming under increasing pressure » (notre indépendance et nos valeurs publiques sont soumises à une pression croissante) [41]. Ses AIPD sur Microsoft 365 Copilot montrent comment un organisme sectoriel peut évaluer un fournisseur pour le compte de nombreux établissements [21].
• Des calendriers réalistes. Selon le journal de l’université d’Utrecht, environ 75 chercheurs de cinq universités néerlandaises testaient Nextcloud depuis début 2025 [42]. Le directeur informatique de l’université de Twente a déclaré au journal de l’université qu’elle ne pouvait pas y parvenir seule et a présenté un projet de poste de travail souverain sous Linux et LibreOffice [43].

Pays nordiques

• Suède. Sunet Drive est un service de stockage et de partage de fichiers fondé sur Nextcloud et sur le stockage S3 privé de Sunet, hébergé sur des serveurs suédois. Sunet indique que l’organisation « har full kontroll över allt lagrat data » (a le contrôle total de toutes les données stockées) [44]. L’université de Stockholm le propose à ses chercheurs [45].
• Finlande. Le CSC, centre informatique finlandais pour la science, exploite des services pour données sensibles, dont ePouta, présenté comme « a secure cloud computing environment designed to process sensitive data » (un environnement de cloud sécurisé conçu pour traiter des données sensibles) [46].
• Norvège. NREC, exploité par les universités de Bergen et d’Oslo avec des partenaires nationaux, fournit de l’infrastructure à la demande (IaaS) depuis des centres de données situés à Bergen et à Oslo pour l’enseignement supérieur [47].

Allemagne, Suisse et France

• sciebo (Rhénanie-du-Nord-Westphalie). Lors de son lancement en 2015, l’université de Münster indiquait que les universités participantes exploitent elles-mêmes sciebo, les données étant traitées à Münster, Bonn et Duisbourg-Essen [48]. Son site actuel le présente comme « a non-commercial cloud storage by universities for universities » (un stockage cloud non commercial créé par des universités pour des universités) [49].
• bwSync&Share (Bade-Wurtemberg). Exploité par l’institut de technologie de Karlsruhe depuis le 1^er janvier 2014 sur Nextcloud, et ouvert aux universités du Land et, via DFN-Cloud, à d’autres membres du DFN [50].
• Suisse. Switch Drive est hébergé dans les centres de données de Switch en Suisse ; Switch indique que « All IT resources and usage data are located in Switch data centres » (toutes les ressources informatiques et les données d’utilisation se trouvent dans les centres de données de Switch) [51].
• France. RENATER présente ses services de collaboration comme une alternative aux services en ligne gratuits, avec l’engagement de « garantir le stockage de vos données en France » [52].

Achats paneuropéens : GÉANT OCRE

Le cadre Open Clouds for Research Environments (OCRE) de GÉANT permet aux NREN de proposer à leurs membres des services cloud commerciaux à des conditions prénégociées. Restena, le NREN luxembourgeois, indique que le cadre OCRE 2024 est entré en vigueur le 3 février 2025 pour l’IaaS, le PaaS et le SaaS, et qu’au Luxembourg sept plateformes restent disponibles, entre fournisseurs américains et européens [53]. Demandez à votre NREN quels fournisseurs sont disponibles dans votre pays.

Analyse de Validemic D’un pays à l’autre, les universités ne quittent pas les suites américaines du jour au lendemain. Elles classent leurs données, conservent les données de recherche les plus sensibles dans des services nationaux ou de leur NREN, construisent des solutions mutualisées pour le partage de fichiers et s’appuient sur les organismes sectoriels pour négocier et évaluer. Voir notre guide sur le stockage cloud des données de recherche et la fiche Nextcloud.

10. Comment évaluer le risque

Une évaluation CLOUD Act et souveraineté s’intègre au processus RGPD habituel. Combinez l’analyse des transferts pour toute donnée quittant l’EEE avec une évaluation plus large de la dépendance, couvrant l’accès juridique étranger, la continuité et la réversibilité. Faites-la service par service et type de données par type de données, et non une fois pour toutes pour « le cloud ».

1. Cartographier le service. Entité contractante, entités exploitantes, lieux de stockage et de traitement, sous-traitants ultérieurs et lieux du support. Utilisez la liste des sous-traitants ultérieurs, pas les pages commerciales.
2. Classer les données. Utilisez la classification de votre établissement et signalez les catégories particulières de données, les données couvertes par un secret légal, les recherches soumises au contrôle des exportations et les données couvertes par des clauses de confidentialité de partenaires.
3. Identifier les transferts et l’instrument de transfert. L’accès à distance depuis l’extérieur de l’EEE constitue un transfert [17]. Pour les destinataires américains, vérifiez l’inscription sur la liste du DPF ; sinon, utilisez les CCT avec une analyse d’impact des transferts. Notre outil sur les mécanismes de transfert et notre modèle d’analyse d’impact des transferts couvrent cette étape.
4. Évaluer séparément l’accès juridique étranger. L’exploitant est-il soumis à la juridiction américaine (ou à une autre juridiction non européenne), peut-il accéder aux contenus en clair, et que s’engage-t-il à faire lorsqu’il reçoit une demande : vous en informer, la contester, ne communiquer que le minimum et publier des données de transparence (comparer avec la clause 15 des CCT) [12] ?
5. Évaluer les contrôles techniques. Qui détient les clés ? Un chiffrement côté client ou de bout en bout est-il disponible pour les données qui le nécessitent ? Quelles fonctionnalités cessent de fonctionner lorsqu’on l’utilise ?
6. Évaluer la dépendance et la continuité. Que se passerait-il si le service devenait indisponible, beaucoup plus cher ou juridiquement inutilisable pour certaines données ? Combien de temps prendrait la migration ?
7. Décider et consigner. Consignez le risque résiduel, les conditions d’utilisation (par exemple « aucune catégorie particulière de données ») et qui l’a accepté. Mettez à jour l’AIPD si nécessaire ; voir notre modèle d’AIPD.
8. Surveiller. Suivez les changements d’hébergement, de sous-traitants ultérieurs, de paramètres par défaut et de droit américain (section 702, pourvoi C-703/25 P, réexamen du DPF par la Commission). L’exemple du « flex routing » relevé par SURF montre que les paramètres par défaut peuvent changer.

Lorsqu’un organisme sectoriel a déjà évalué le service (par exemple les AIPD de SURF), partez de cette évaluation et vérifiez que votre configuration correspond à ses hypothèses. Pour le processus d’ensemble, voir l’évaluation des fournisseurs pour les universités et notre guide NIS2.

11. Tableau de décision : l’hébergement par type de données

Le tableau ci-dessous relève de l’Analyse de Validemic et n’est pas une exigence légale. Il présente un schéma courant, cohérent avec les positions des sources citées plus haut. Votre droit national, vos contrats de recherche et la classification de votre établissement priment.

Les fonctionnalités d’IA demandent une attention particulière, car elles ajoutent souvent des lieux de traitement et des sous-traitants ultérieurs. Notre guide sur les services d’IA des universités nordiques montre comment certains établissements hébergent eux-mêmes l’IA pour cette raison.

12. Stratégies de réversibilité

Une stratégie de réversibilité est un plan documenté et testé pour transférer un service et ses données vers un autre fournisseur ou en interne, dans un délai et un budget définis. C’est la mesure de souveraineté la plus concrète, car elle limite les dégâts de toute évolution future du droit, des prix ou de la politique. Le règlement européen sur les données donne désormais aux clients cloud des droits opposables au changement de fournisseur.

Ce qu’exige le règlement sur les données

Le chapitre VI du règlement (UE) 2023/2854 s’applique depuis le 12 septembre 2025 [13]. Les fournisseurs de services de traitement de données doivent lever les obstacles au changement de fournisseur (art. 23), et le contrat doit notamment prévoir (art. 25, paragraphe 2) :

• un préavis maximal de deux mois pour engager le changement ;
• une période transitoire obligatoire de 30 jours calendaires au maximum, pendant laquelle le fournisseur doit apporter son aide, assurer la continuité et maintenir la sécurité des données ;
• l’obligation de soutenir la stratégie de sortie du client ;
• une liste exhaustive des données et actifs numériques pouvant être portés ;
• une période de récupération des données d’au moins 30 jours calendaires après la période transitoire ;
• l’effacement complet des données exportables à l’issue de la période de récupération.

S’agissant des frais, les fournisseurs ne pouvaient appliquer, à partir du 11 janvier 2024, que des frais de changement réduits, ne dépassant pas les coûts directs. À partir du 12 janvier 2027, ils ne peuvent plus appliquer aucuns frais de changement de fournisseur (art. 29). L’art. 31 exempte de certaines de ces règles certains services développés sur mesure et les versions d’essai. Voir notre page sur le règlement sur les données.

Construire le plan

1. Inventaire. Services, volumes de données, intégrations (authentification unique, plateforme pédagogique, systèmes de recherche) et utilisateurs dépendants.
2. Formats. Privilégier les formats ouverts et vérifier que les exports comprennent les métadonnées, les droits d’accès et l’historique des versions.
3. Identité. Garder la gestion des identités sous contrôle de l’établissement ou de la fédération d’identités, pour qu’un changement de fournisseur n’implique pas de changer chaque compte utilisateur.
4. Solutions de remplacement. Identifier au moins une solution réaliste pour chaque service critique, souvent par l’intermédiaire de votre NREN ou d’un service national mutualisé.
5. Test. Réaliser chaque année un export et un import partiels pour un département témoin. Un plan de réversibilité non testé est un espoir, pas un plan.
6. Budget et délais. Consigner le coût et la durée prévus de la migration. Le catalogue de cas danois montre que même une migration limitée (une soixantaine de solutions dans un service de la commune d’Aarhus) a pris environ six mois [28].

13. Clauses à demander lors des achats

Les clauses contractuelles ne peuvent pas modifier le droit applicable à un fournisseur, mais elles peuvent donner à l’université des informations, du temps et des options. Utilisez les clauses ci-dessous dans vos marchés et vos renouvellements, en les adaptant à vos règles nationales de commande publique. Notre générateur de questionnaire fournisseur permet de les transformer en questions.

Lorsque votre organisme sectoriel négocie de manière centralisée (SURF, Sikt, Sunet, CSC, Jisc, DFN ou GÉANT via OCRE), vérifiez quelles clauses figurent déjà dans l’accord-cadre avant de négocier seul. Pour les clauses de l’article 28 elles-mêmes, notre outil de vérification des contrats de sous-traitance confronte un projet de contrat point par point, et les alertes sur les sous-traitants ultérieurs vous aident à repérer les changements après la signature.

14. Liste de contrôle

Sources

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (en anglais, consulté le 9 octobre 2026).
2. 18 U.S.C. § 2703, paragraphe (h), analyse de courtoisie internationale (comity), Legal Information Institute (en anglais, consulté le 9 octobre 2026).
3. Ministère de la Justice des États-Unis : CLOUD Act Resources (en anglais, consulté le 9 octobre 2026).
4. Règlement (UE) 2016/679 (RGPD), articles 28, 32, 44 et 48 (consulté le 9 octobre 2026).
5. Cour de justice, arrêt du 16 juillet 2020, Facebook Ireland et Schrems, C-311/18, points 184, 197 et 201, lu via l’Office des publications de l’UE (consulté le 9 octobre 2026).
6. Associated Press : A key U.S. government surveillance program is set to expire. A look at what that means, 12 juin 2026 (en anglais, consulté le 9 octobre 2026).
7. Brennan Center for Justice : Section 702 of FISA, 2026 resource page, mis à jour le 17 septembre 2026 (en anglais, consulté le 9 octobre 2026).
8. Cour de justice de l’Union européenne, communiqué de presse n° 106/25 relatif à l’affaire T-553/23, décrivant l’EO 14086 du 7 octobre 2022 et la DPRC (en anglais, consulté le 9 octobre 2026).
9. Décision d’exécution (UE) 2023/1795 de la Commission (cadre de protection des données UE-États-Unis), considérants 96 et 97, lue via l’Office des publications de l’UE (consulté le 9 octobre 2026).
10. Article 48 du RGPD, transferts ou divulgations non autorisés par le droit de l’Union (consulté le 9 octobre 2026).
11. Réponse commune du CEPD et du Contrôleur européen de la protection des données à la commission LIBE sur l’impact du Cloud Act américain, annexe du 10 juillet 2019 (en anglais, consulté le 9 octobre 2026).
12. Décision d’exécution (UE) 2021/914 de la Commission (clauses contractuelles types), clause 15 (consulté le 9 octobre 2026).
13. Règlement (UE) 2023/2854 (règlement sur les données), articles 23, 25, 29, 31, 32 et 50, lu via l’Office des publications de l’UE (consulté le 9 octobre 2026).
14. Tribunal, Latombe contre Commission, T-553/23, communiqué de presse du 3 septembre 2025 (en anglais, consulté le 9 octobre 2026).
15. Pourvoi formé le 31 octobre 2025 par Philippe Latombe, affaire C-703/25 P, JO C/2025/6610 (consulté le 9 octobre 2026).
16. Lettre du CEPD à la Commission européenne sur l’arrêt de la Cour suprême des États-Unis Trump v. Slaughter, 31 juillet 2026 (en anglais, consulté le 9 octobre 2026).
17. Recommandations 01/2020 du CEPD sur les mesures supplémentaires, version 2.0, point 13 et cas d’usage 6 (consulté le 9 octobre 2026).
18. Microsoft Learn : What is the EU Data Boundary? (en anglais, consulté le 9 octobre 2026).
19. Microsoft : Microsoft announces new European digital commitments, Brad Smith, 30 avril 2025 (en anglais, consulté le 9 octobre 2026).
20. Microsoft : Announcing comprehensive sovereign solutions empowering European organizations, 16 juin 2025 (en anglais, consulté le 9 octobre 2026).
21. SURF : Privacy risks Microsoft 365 Copilot remain ‘orange’ despite improvements, 27 mai 2026 (en anglais, consulté le 9 octobre 2026).
22. AWS : AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15 janvier 2026 (en anglais, consulté le 9 octobre 2026).
23. Google Cloud : Sovereign Cloud (en anglais, consulté le 9 octobre 2026).
24. Commission européenne : EU Cybersecurity Certification Framework, mis à jour le 9 septembre 2026 (en anglais, consulté le 9 octobre 2026).
25. ANSSI : SecNumCloud pour les fournisseurs de services cloud (consulté le 9 octobre 2026).
26. CNIL : Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24 août 2026 (consulté le 9 octobre 2026).
27. Assemblée nationale, question écrite n° 971 et réponse ministérielle, réponse publiée le 15 novembre 2022 (consulté le 9 octobre 2026).
28. Digitaliseringsstyrelsen : Digital suverænitet, casekatalog (réalisé par PA Consulting), janvier 2026, cas 3, 11 et 13 (en danois, consulté le 9 octobre 2026).
29. openDesk (ZenDiS) (consulté le 9 octobre 2026).
30. Digitaliseringsstyrelsen : Digital suverænitet (en danois, consulté le 9 octobre 2026).
31. Digitale Overheid : Cloud, y compris les recommandations de l’AcICT sur l’usage du cloud, 8 septembre 2026 (en néerlandais, consulté le 9 octobre 2026).
32. privatim : résolution sur les solutions cloud internationales et communiqué de presse, 24 novembre 2025 (en allemand, consulté le 9 octobre 2026).
33. eSam : Uppdatering kring adekvansbeslutet i en turbulent tid, 26 septembre 2025 (en suédois, consulté le 9 octobre 2026).
34. Université d’Utrecht : Open letter to the Executive Board calling for a transformation to digital autonomy, 25 mars 2025 (en anglais, consulté le 9 octobre 2026).
35. Personnels de l’université Radboud : Open letter on dependence on Big Tech, 10 mars 2025 (en anglais, consulté le 9 octobre 2026).
36. Université de Groningue : Open letter to the Executive Board to end dependence on Big Tech, 10 avril 2025 (en anglais, consulté le 9 octobre 2026).
37. Université d’Utrecht, IOS Think Paper 7 : Towards a collective digital autonomy for Dutch universities, décembre 2025 (en anglais, consulté le 9 octobre 2026).
38. Universiteiten van Nederland : Universiteiten lanceren plan om digitaal autonomer te worden, 6 mai 2026 (en néerlandais, consulté le 9 octobre 2026).
39. Cursor (TU Eindhoven) : Universities and government join forces on digital autonomy, 26 juin 2026 (en anglais, consulté le 9 octobre 2026).
40. SURF : Cloud sourcing strategie, 2024 (en néerlandais, consulté le 9 octobre 2026).
41. SURF : Education and research move forward with Nextcloud, 24 novembre 2025 (en anglais, consulté le 9 octobre 2026).
42. DUB (université d’Utrecht) : Can Dutch universities do without Microsoft?, 24 novembre 2025 (en anglais, consulté le 9 octobre 2026).
43. U-Today (université de Twente) : Breaking free from big tech? UT can’t do it alone, 9 décembre 2025 (en anglais, consulté le 9 octobre 2026).
44. Sunet : Sunet Drive (en suédois, consulté le 9 octobre 2026).
45. Université de Stockholm : Sunet Drive (Nextcloud), mis à jour le 24 novembre 2025 (en anglais, consulté le 9 octobre 2026).
46. CSC : Sensitive data services (en anglais, consulté le 9 octobre 2026).
47. NREC : Norwegian Research and Education Cloud (consulté le 9 octobre 2026).
48. Université de Münster : communiqué de presse sur le lancement de sciebo, 28 janvier 2015 (en allemand, consulté le 9 octobre 2026).
49. hochschulcloud.nrw : sciebo (en anglais, consulté le 9 octobre 2026).
50. Institut de technologie de Karlsruhe : bwSync&Share (consulté le 9 octobre 2026).
51. Switch : Switch Drive (en anglais, consulté le 9 octobre 2026).
52. RENATER : Services (consulté le 9 octobre 2026).
53. Restena : Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14 février 2025 (en anglais, consulté le 9 octobre 2026).

À propos de cette page

Sources vérifiées le 9 octobre 2026. Nous avons lu les textes juridiques (le Code des États-Unis via le Legal Information Institute ; les actes de l’UE dans leur version au Journal officiel publiée par l’Office des publications de l’UE), les documents juridictionnels, les pages du CEPD, de la Commission et des autorités nationales, les pages des fournisseurs et celles des universités et réseaux de recherche citées ci-dessus. Les citations en anglais, en suédois ou dans d’autres langues sont reprises dans leur langue d’origine, avec notre traduction entre parenthèses ; les citations des textes européens reprennent la version française officielle. Les descriptions des fournisseurs sont les leurs ; nous n’avons pas testé les services. Lorsque nous donnons notre propre interprétation, elle est signalée comme une analyse de Validemic. Cette page fournit une information générale et ne constitue pas un conseil juridique. Le droit américain de la surveillance, le pourvoi relatif au Data Privacy Framework et le schéma européen de certification du cloud sont susceptibles d’évoluer, et nous mettrons cette page à jour le cas échéant. Si vous repérez une erreur ou un point dépassé, contactez-nous et nous la corrigerons.