Extraterritorialité : définition
L'extraterritorialité d'une loi est sa capacité à s'appliquer à des personnes, des entreprises ou des données situées hors du territoire de l'État qui l'a adoptée, grâce à un lien de rattachement : contrôle des données, monnaie utilisée, public visé. Le CLOUD Act américain et l'article 3 du RGPD en sont deux exemples.
En bref
- Une loi a une portée extraterritoriale quand elle saisit une situation hors du territoire de l'État qui l'a votée, parce qu'un lien la rattache à cet État.
- Ce lien varie : le contrôle des données pour le CLOUD Act, le passage par le dollar pour les sanctions économiques américaines, le public visé pour le RGPD.
- Héberger ses données en Europe ne suffit pas à y échapper : ce qui compte est le droit auquel est soumise l'entreprise qui les contrôle.
Pourquoi est-ce important ?
La question « où sont mes données ? » ne dit pas qui peut les exiger. Un fournisseur soumis à deux droits peut recevoir de l'un un ordre que l'autre lui interdit d'exécuter. Comprendre l'extraterritorialité, c'est comprendre pourquoi la localisation d'un serveur ne protège pas à elle seule.
Le phénomène n'est pas propre aux États-Unis. L'Union européenne applique, elle aussi, son droit au-delà de ses frontières, notamment en matière de données personnelles.
Comment ça fonctionne ?
Un lien de rattachement
Chaque texte extraterritorial s'appuie sur un critère qui relie la situation étrangère à son ordre juridique. Quatre exemples, lus dans les textes :
| Texte | Lien de rattachement | Effet hors du territoire |
|---|---|---|
| CLOUD Act (2018, 18 U.S.C. § 2713) | Le fournisseur est soumis à la juridiction américaine et a les données en sa possession, sous sa garde ou sous son contrôle | Il doit les remettre sur réquisition légale, qu'elles soient stockées aux États-Unis ou ailleurs |
| FISA, section 702 (50 U.S.C. § 1881a) | Le fournisseur de communications électroniques relève du droit américain | Le renseignement peut viser des personnes supposées se trouver hors des États-Unis, avec le concours obligatoire du fournisseur |
| Sanctions économiques américaines (IEEPA, TWEA) | La transaction passe par le système financier américain, par exemple une compensation en dollars | Une banque étrangère peut être poursuivie pour des opérations conclues hors des États-Unis |
| RGPD, article 3, paragraphe 2 | L'entreprise offre des biens ou des services à des personnes qui se trouvent dans l'Union, ou suit leur comportement dans l'Union | Le règlement s'applique même sans établissement dans l'Union, avec obligation de désigner un représentant (article 27) |
La section 702 avait une durée limitée, fixée par le Congrès au 12 juin 2026 : son régime actuel et la différence avec le CLOUD Act sont détaillés dans notre guide Qu'est-ce que le CLOUD Act ?
Les contre-feux
Le droit européen et le droit français ont leurs propres parades. L'article 48 du RGPD n'admet la décision d'une autorité d'un pays tiers exigeant des données personnelles que si elle repose sur un accord international, comme un traité d'entraide judiciaire. Le règlement (CE) n° 2271/96, dit « de blocage », interdit aux opérateurs européens de se conformer aux lois étrangères listées dans son annexe, aujourd'hui des mesures américaines visant Cuba et l'Iran, sauf autorisation de la Commission. En France, la loi n° 68-678 du 26 juillet 1968 interdit de communiquer à une autorité étrangère certains renseignements économiques ou techniques, sauf traité, sous peine de six mois d'emprisonnement et de 18 000 euros d'amende (source : Légifrance, loi n° 68-678, article 3).
Exemple concret
Le 30 juin 2014, la banque française BNP Paribas a accepté de plaider coupable devant la justice américaine et de payer 8,9736 milliards de dollars de pénalités (source : communiqué du ministère américain de la Justice, 30 juin 2014). Elle avait fait transiter, de 2004 à 2012, plus de 8,8 milliards de dollars par le système financier américain pour le compte d'entités soudanaises, iraniennes et cubaines visées par des sanctions (source : même communiqué).
Le siège de la banque était à Paris, ses clients n'étaient pas américains. Le lien de rattachement était le dollar, car les paiements passaient par des banques situées aux États-Unis pour leur compensation. L'OFAC, le service du Trésor américain chargé des sanctions, a infligé de son côté une amende de 963 millions de dollars, réglée par les sommes versées au ministère de la Justice (source : même communiqué).
Extraterritorialité face à la localisation des données
La localisation répond à « où ? », l'extraterritorialité à « sous quel droit ? ». Un serveur à Paris exploité par une filiale d'un groupe américain reste à la portée du CLOUD Act si la société mère contrôle les données. À l'inverse, une entreprise américaine sans aucun bureau en Europe doit respecter le RGPD dès qu'elle cible des personnes dans l'Union.
Le juge européen a lui-même fixé des limites à cette logique. Dans l'affaire Google contre CNIL (C-507/17), la Cour de justice a jugé le 24 septembre 2019 qu'un moteur de recherche n'est pas tenu d'appliquer un déréférencement sur toutes ses versions dans le monde, mais sur celles des États membres, avec des mesures qui découragent le contournement depuis l'Union.
Notre lecture : pour des données sensibles, la question utile n'est pas « mes serveurs sont-ils en France ? » mais « quelle entreprise contrôle ces données, et à quel droit est-elle soumise ? ». C'est exactement ce que vérifie le critère de protection vis-à-vis du droit extra-européen de la qualification SecNumCloud.
Qui contrôle des données exposées à une loi extraterritoriale ?
- Celui qui peut exiger : l'État dont la loi s'attache au fournisseur, à la monnaie ou au public visé, selon ses propres procédures. Pour le CLOUD Act, une réquisition judiciaire dans une enquête pénale ; pour la section 702, une autorisation du renseignement.
- Celui qui reçoit l'ordre : le fournisseur, pris entre deux droits quand l'un exige ce que l'autre interdit. C'est lui qui décide de contester, et le client n'est pas toujours prévenu.
- Celui qui peut réduire l'exposition : le client, par trois leviers. Choisir un prestataire que sa structure soustrait au droit étranger (voir notre guide Cloud souverain : définition). Chiffrer ses fichiers avec des clés qu'il est seul à détenir, pour que le fournisseur n'ait rien de lisible à remettre. Garder une solution de sortie si sa situation juridique change.
Pour un particulier, cela se traduit par un service européen pour le courriel et le stockage, ou un serveur chez soi. Nos alternatives européennes aux GAFAM en donnent les options, avec leurs limites.
Questions fréquentes
L'extraterritorialité est-elle contraire au droit international ?
Tout dépend du lien de rattachement et de l'usage qui en est fait. L'Union européenne affirme ne pas reconnaître l'application extraterritoriale des lois de pays tiers qu'elle juge contraire au droit international, d'où son règlement de blocage. Elle donne pourtant elle-même une portée extraterritoriale au RGPD, fondée sur le public visé.
Le RGPD s'applique-t-il à une entreprise américaine ?
Oui, si elle offre des biens ou des services à des personnes qui se trouvent dans l'Union, ou si elle suit leur comportement dans l'Union, même sans établissement européen. Le Comité européen de la protection des données a précisé ces critères dans ses lignes directrices 3/2018, adoptées le 12 novembre 2019.
Quelles sanctions risque une entreprise étrangère qui ignore le RGPD ?
Les plus graves manquements exposent à une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (source : RGPD, article 83, paragraphe 5). L'exécution hors de l'Union dépend ensuite de la présence d'actifs ou d'un représentant en Europe.
Sources
- 18 U.S. Code § 2713, Required preservation and disclosure of communications and records, Cornell Law School (ajouté par la loi publique 115-141 du 23 mars 2018).
- 50 U.S. Code § 1881a, Procedures for targeting certain persons outside the United States, Cornell Law School.
- BNP Paribas Agrees to Plead Guilty (communiqué n° 14-686), ministère américain de la Justice, 30 juin 2014.
- Règlement (UE) 2016/679 (RGPD), articles 3, 27, 48 et 83, EUR-Lex, 27 avril 2016.
- Lignes directrices 3/2018 relatives au champ d'application territorial du RGPD (article 3), Comité européen de la protection des données, 12 novembre 2019.
- Extraterritoriality (Blocking statute), Commission européenne.
- Loi n° 68-678 du 26 juillet 1968, version consolidée, Légifrance, consultée le 8 octobre 2026.
- Communiqué n° 112/19, affaire C-507/17, Google contre CNIL, Cour de justice de l'Union européenne, 24 septembre 2019.
Dernière vérification : 08/10/2026
Il écrit GadGeek, avec l'aide d'outils d'intelligence artificielle pour la recherche documentaire et la mise en forme. Aucun texte n'est publié sans sa relecture : sources recoupées, chiffres vérifiés, erreurs corrigées en clair.