CLOUD Act
Le Clarifying Lawful Overseas Use of Data Act ou CLOUD Act (H.R. 4943) est une loi fédérale des États-Unis adoptée en 2018 sur l'accès aux données de communication (données personnelles), notamment opérées dans le Cloud. Elle modifie principalement le  (SCA) de 1986 en permettant aux instances de justice (fédérales ou locales, y compris municipales ) de contraindre les fournisseurs de services établis sur le territoire des États-Unis, par mandat ou assignation, à fournir les données relatives aux communications électroniques des "US Persons" c'est-à-dire des citoyens US ou des résidents US, stockées sur des serveurs, qu'ils soient situés aux États-Unis ou dans des pays étrangers.

Critiquée par certaines associations de défense de la vie privée, cette loi permet notamment aux instances de justice américaines de solliciter auprès des fournisseurs de services opérant aux États-Unis, les communications personnelles d'un individu, citoyen ou résident US, sans que celui-ci en soit informé, ni que son pays de résidence ne le soit, ni que le pays où sont stockées ces données ne le soit .

Histoire 
Le CLOUD Act a été adopté en mars 2018, cette loi extraterritoriale américaine  permet aux administrations des États-Unis, disposant d’un mandat et de l'autorisation d’un juge, d'accéder aux données hébergées dans les serveurs informatiques situés dans d’autres pays, au nom de la protection de la sécurité publique aux États-Unis et de la lutte contre les infractions les plus graves dont les crimes et le terrorisme

Il a été établi pour obtenir, sans demande internationale, les informations recherchées, plus facilement que ne le permettait le  de 1986. Celui ci exige, en effet, une demande d'entraide judiciaire internationale, fondée sur des traités bilatéraux (MLAT) pour obtenir des documents détenus à l'étranger par une entreprise américaine. C'est la Convention de Budapest de 2001, sur la cybercriminalité, qui avait suggéré d'utiliser ces traités bilatéraux pour l'échange de données personnelles dans un cadre judiciaire ou de sécurité nationale.

À la fin des années 2010, le Federal Bureau of Investigations (FBI) s'est plaint de difficultés pour obtenir des données à distance par l'intermédiaire de fournisseurs de services; ces derniers avaient réussi à faire valoir devant les tribunaux que la portée légale des mandats délivrés en vertu de la SCA ne s'appliquait qu'aux données détenues sur des serveurs hébergés aux États-Unis, même s'ils avaient le plein contrôle des données elles-mêmes à distance. Au moment où le projet de loi CLOUD Act a été présenté par l'administration Trump, une bataille juridique opposant depuis 2013 Microsoft  dans son refus de fournir des informations d'un compte Outlook lié à un trafic de drogue et stockées en Irlande est en instance devant la Cour suprême, le gouvernement américain soutenant que de telles restrictions entravent ses enquêtes.

Le deuxième point important de la loi concerne la possibilité de conclure des accords bilatéraux entre États, offrant un accès analogue à des autorités étrangères sur des données stockées aux États-Unis, et en dehors des règles concernant le droit américain des données personnelles. Suivant ces accords qui seraient mis en œuvre, en plus des États-Unis des gouvernements étrangers pourraient également avoir accès aux données stockées par les entreprises américaines hors des USA. 

Le CLOUD Act est le résultat de plusieurs tentatives du Congrès de modifier le SCA pour permettre aux autorités d'obliger les fournisseurs de services à transmettre des données stockées sur des serveurs étrangers sous leur contrôle : les projets de « Loi sur l'accès aux données stockées à l'étranger » (LEADS Act) de 2015 et de loi sur la protection des communications internationales (ICPA) en 2017, toutes deux  fortement soutenues par le sénateur républicain Orrin Hatch, visaient tous deux à modifier la SCA, mais n'ont pas été adoptés.

Le CLOUD Act a reçu l'appui du ministère américain de la justice et de grandes entreprises technologiques comme Microsoft, Apple et Google, qui y voient là une source de sécurité juridique. Brad Smith (en) (Microsoft) a notamment déclaré : « Aujourd'hui est un jour important pour le droit à la vie privée dans le monde entier[...] Le CLOUD Act crée un cadre juridique moderne permettant aux  agences d'exécution de la loi d'accéder aux données au-delà des frontières ».

La loi a été jointe au projet de loi sur le budget fédéral (le ). C'est un cavalier législatif, glissé dans le texte du budget par l'Administration et elle a été adoptée, sans examen spécifique (c'est-à-dire qu'elle a été votée ipso facto par le vote sur la loi de finances), par les deux chambres, avant d'être promulguée le . Peu après son adoption, le ministère de la Justice a demandé à la Cour suprême de renvoyer l'affaire  aux tribunaux inférieurs: en raison du CLOUD Act, celle-ci perd en effet beaucoup de son importance juridique (puisqu'elle ne concerne plus le droit actuel - voir ).

Critiques 
Le projet de loi (et la loi elle-même) a été critiqué par plusieurs groupes de défense des droits civiques, dont l'Electronic Frontier Foundation, l'American Civil Liberties Union, Amnesty International et Human Rights Watch. Ces groupes soutiennent que la loi enfreint le quatrième amendement contre les perquisitions et saisies déraisonnables, puisque le gouvernement peut obtenir des données stockées à l'étranger sans passer par les tribunaux (américains ou étrangers), et sans en informer les utilisateurs touchés . 
Certains de ces groupes défendant les droits civiques craignent que le gouvernement américain n’examine pas de façon suffisamment détaillée les demandes des pays étrangers concernant les données de leurs citoyens, stockées sur des serveurs aux États-Unis. Cela pourrait permettre que ces données soient utilisées dans ces pays pour des usages illégaux vis-à-vis des lois américaines.  

David Ruiz, de l’organisation Electronic Frontier Foundation indique à ce sujet que « Les polices américaine et étrangères auront accès à de nouveaux moyens pour saisir des données dans le monde entier ».

Le CLOUD Act entre en conflit avec un règlement de la législation Européenne  entré en vigueur le 25 mai 2018. Le RGPD traite de la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Son territoire d'application recouvre les États membres de l'Union Européenne (UE) pour toutes les entreprises européennes ou non européennes qui ciblent les résidents de l'UE par le profilage ou proposent des biens et services à des résidents européens.

Selon Nathalie Devillier, professeure en droit du numérique à l'école du management de Grenoble
.

Selon Emmanuelle Mignon, actuelle avocate associée chez August Debouzy spécialisée en droit public, « ce n’est pas le Cloud Act qui est dangereux pour les entreprises européennes. C’est la manière dont l’Union européenne va réagir et les risques induits par les lenteurs de son processus de décision, quand ce n’est pas sa paralysie. »

Le CLOUD Act pourrait permettre l’espionnage industriel, voire le vol de la propriété intellectuelle.  Cette législation américaine s'impose aux GAFAM comme aux entreprises étrangères ( Orange,  Altice) ayant une activité aux États-Unis. Cela crée un risque de souveraineté sur des données sensibles. A titre exemple, les données de santé françaises sont hébergées par Microsoft  et le gouvernement français envisage de les rapatrier vers un opérateur de services français ou européen.

En 2020, un nouveau problème se pose en France avec l’hébergement, sur les serveurs d’Amazon, des attestations des prêts garantis par l'État (PGE) aux entreprises pendant la pandémie Covid-19, questionnant ainsi la notion de souveraineté numérique de la France et suscitant l'inquiétude quant à l'accès de ces informations. Selon Nathalie Goulet, sénatrice de l'Orne, ce marché a été attribué à Amazon sans appel d'offres par Bpifrance. Une affirmation réfutée par Bpifrance, qui a assuré à la presse que de nombreux appels d'offres avaient été menés pour déterminer l'hébergeur.
 
Les autorités françaises travaillent à mettre au point un dispositif qui permettrait aux entreprises françaises d'être prévenues si la justice américaine cherche à accéder à certaines de leurs données stratégiques stockées dans les serveurs d'opérateurs américains.

Selon l'autrichien Maximillian Schrems qui est parvenu à faire annuler, en juillet 2020, l’accord « Privacy Shield » relatif aux règles de transfert des données personnelles hors d’Europe, .

Notes et références

Voir aussi

Articles connexes

Liens externes 
Site de la Chambre des États-Unis

 Texte de loi du CLOUD Act sur congress.gov
H. R. 4943 - CLOUD Act sur congress.gov

Datacenter
Loi concernant l'informatique ou Internet
Loi fédérale des États-Unis concernant la sécurité et la défense nationale
2018 aux États-Unis
Le Clarifying Lawful Overseas Use of Data Act ou CLOUD Act ( H.R.est une loi fédérale de les États-Unis adoptée ensur l' accès à les données de communication ( données personnelles ) , notamment opérées dans le Cloud . Elle modifie principalement le ( SCA ) deen permettant à les instances de justice ( fédérales ou locales , y compris municipales ) de contraindre les fournisseurs de services établis sur le territoire de les États-Unis , par mandat ou assignation , à fournir les données relatives à les communications électroniques de les " US Persons " c'est-à-dire de les citoyens US ou de les résidents US , stockées sur de les serveurs , qu' ils soient situés à les États-Unis ou dans de les pays étrangers . Critiquée par certaines associations de défense de la vie privée , cette loi permet notamment à les instances de justice américaines de solliciter auprès de les fournisseurs de services opérant à les États-Unis , les communications personnelles d' un individu , citoyen ou résident US , sans que celui-ci en soit informé , ni que son pays de résidence ne le soit , ni que le pays où sont stockées ces données ne le soit \ . Histoire Le CLOUD Act a été adopté en mars 2018 , cette loi extraterritoriale américaine permet à les administrations de les États-Unis , disposant d’ un mandat et de l' autorisation d’ un juge , d' accéder à les données hébergées dans les serveurs informatiques situés dans d’ autres pays , à le nom de la protection de la sécurité publique à les États-Unis et de la lutte contre les infractions les plus graves dont les crimes et le terrorisme Il a été établi pour obtenir , sans demande internationale , les informations recherchées , plus facilement que ne le permettait le de Celui ci exige , en effet , une demande d' entraide judiciaire internationale , fondée sur de les traités bilatéraux ( MLAT ) pour obtenir de les documents détenus à l' étranger par une entreprise américaine . C' est la Convention de Budapest de sur la cybercriminalité , qui avait suggéré d' utiliser ces traités bilatéraux pour l' échange de données personnelles dans un cadre judiciaire ou de sécurité nationale . À la fin de les années le Federal Bureau of Investigations ( FBI ) s' est plaint de difficultés pour obtenir de les données à distance par l' intermédiaire de fournisseurs de services ; ces derniers avaient réussi à faire valoir devant les tribunaux que la portée légale de les mandats délivrés en vertu de la SCA ne s' appliquait qu' à les données détenues sur de les serveurs hébergés à les États-Unis , même s' ils avaient le plein contrôle de les données elles-mêmes à distance . À le moment où le projet de loi CLOUD Act a été présenté par l' administration Trump , une bataille juridique opposant depuisMicrosoft dans son refus de fournir de les informations d' un compte Outlook lié à un trafic de drogue et stockées en Irlande est en instance devant la Cour suprême , le gouvernement américain soutenant que de telles restrictions entravent ses enquêtes . Le deuxième point important de la loi concerne la possibilité de conclure de les accords bilatéraux entre États , offrant un accès analogue à de les autorités étrangères sur de les données stockées à les États-Unis , et en dehors de les règles concernant le droit américain de les données personnelles . Suivant ces accords qui seraient mis en œuvre , en plus de les États-Unis de les gouvernements étrangers pourraient également avoir accès à les données stockées par les entreprises américaines hors de les USA . Le CLOUD Act est le résultat de plusieurs tentatives de le Congrès de modifier le SCA pour permettre à les autorités d' obliger les fournisseurs de services à transmettre de les données stockées sur de les serveurs étrangers sous leur contrôle \ : les projets de « Loi sur l' accès à les données stockées à l' étranger » ( LEADS Act ) deet de loi sur la protection de les communications internationales ( ICPA ) en toutes deux fortement soutenues par le sénateur républicain Orrin Hatch , visaient tous deux à modifier la SCA , mais n' ont pas été adoptés . Le CLOUD Act a reçu l' appui de le ministère américain de la justice et de grandes entreprises technologiques comme Microsoft , Apple et Google , qui y voient là une source de sécurité juridique . Brad Smith ( en ) ( Microsoft ) a notamment déclaré \ : « Aujourd'hui est un jour important pour le droit à la vie privée dans le monde entier [ ... ] Le CLOUD Act crée un cadre juridique moderne permettant à les agences d' exécution de la loi d' accéder à les données au-delà de les frontières » . La loi a été jointe à le projet de loi sur le budget fédéral ( le ) . C' est un cavalier législatif , glissé dans le texte de le budget par l' Administration et elle a été adoptée , sans examen spécifique ( c'est-à-dire qu' elle a été votée ipso facto par le vote sur la loi de finances ) , par les deux chambres , avant d' être promulguée le \ . Peu après son adoption , le ministère de la Justice a demandé à la Cour suprême de renvoyer l' affaire à les tribunaux inférieurs : en raison de le CLOUD Act , celle-ci perd en effet beaucoup de son importance juridique ( puisqu' elle ne concerne plus le droit actuel - voir ) . Critiques Le projet de loi ( et la loi elle-même ) a été critiqué par plusieurs groupes de défense de les droits civiques , dont l' Electronic Frontier Foundation , l' American Civil Liberties Union , Amnesty International et Human Rights Watch . Ces groupes soutiennent que la loi enfreint le quatrième amendement contre les perquisitions et saisies déraisonnables , puisque le gouvernement peut obtenir de les données stockées à l' étranger sans passer par les tribunaux ( américains ou étrangers ) , et sans en informer les utilisateurs touchés \ . Certains de ces groupes défendant les droits civiques craignent que le gouvernement américain n’ examine pas de façon suffisamment détaillée les demandes de les pays étrangers concernant les données de leurs citoyens , stockées sur de les serveurs à les États-Unis . Cela pourrait permettre que ces données soient utilisées dans ces pays pour de les usages illégaux vis-à-vis de les lois américaines . David Ruiz , de l’ organisation Electronic Frontier Foundation indique à ce sujet que « Les polices américaine et étrangères auront accès à de nouveaux moyens pour saisir de les données dans le monde entier » . Le CLOUD Act entre en conflit avec un règlement de la législation Européenne entré en vigueur lemai Le RGPD traite de la protection de les personnes physiques à l' égard de le traitement de les données à caractère personnel et à la libre circulation de ces données . Son territoire d' application recouvre les États membres de l' Union Européenne ( UE ) pour toutes les entreprises européennes ou non européennes qui ciblent les résidents de l' UE par le profilage ou proposent de les biens et services à de les résidents européens . Selon Nathalie Devillier , professeure en droit de le numérique à l' école de le management de Grenoble . Selon Emmanuelle Mignon , actuelle avocate associée chez August Debouzy spécialisée en droit public , « ce n’ est pas le Cloud Act qui est dangereux pour les entreprises européennes . C’ est la manière dont l’ Union européenne va réagir et les risques induits par les lenteurs de son processus de décision , quand ce n’ est pas sa paralysie . » Le CLOUD Act pourrait permettre l’ espionnage industriel , voire le vol de la propriété intellectuelle . Cette législation américaine s' impose à les GAFAM comme à les entreprises étrangères ( Orange , Altice ) ayant une activité à les États-Unis . Cela crée un risque de souveraineté sur de les données sensibles . A titre exemple , les données de santé françaises sont hébergées par Microsoft et le gouvernement français envisage de les rapatrier vers un opérateur de services français ou européen . En un nouveau problème se pose en France avec l’ hébergement , sur les serveurs d’ Amazon , de les attestations de les prêts garantis par l' État ( PGE ) à les entreprises pendant la pandémie Covid-19 , questionnant ainsi la notion de souveraineté numérique de la France et suscitant l' inquiétude quant à l' accès de ces informations . Selon Nathalie Goulet , sénatrice de l' Orne , ce marché a été attribué à Amazon sans appel d' offres par Bpifrance . Une affirmation réfutée par Bpifrance , qui a assuré à la presse que de nombreux appels d' offres avaient été menés pour déterminer l' hébergeur . Les autorités françaises travaillent à mettre à le point un dispositif qui permettrait à les entreprises françaises d' être prévenues si la justice américaine cherche à accéder à certaines de leurs données stratégiques stockées dans les serveurs d' opérateurs américains . Selon l' autrichien Maximillian Schrems qui est parvenu à faire annuler , en juillet l’ accord « Privacy Shield » relatif à les règles de transfert de les données personnelles hors d’ Europe , \ . Notes et références Voir aussi Articles connexes Liens externes Site de la Chambre de les États-Unis Texte de loi de le CLOUD Act sur congress.gov H. R.- CLOUD Act sur congress.gov Datacenter Loi concernant l' informatique ou Internet Loi fédérale de les États-Unis concernant la sécurité et la défense nationale 2018 à les États-Unis