Souveraineté numérique

Pas nécessairement. Le CLOUD Act s'applique aux fournisseurs soumis au droit américain, quel que soit l'endroit où les données sont stockées. Ce qui compte est la juridiction dont relève l'opérateur et sa maison mère, pas seulement la localisation des serveurs.

C'est une qualification délivrée par l'ANSSI aux services de cloud qui respectent son référentiel d'exigences. Au-delà de la sécurité technique, elle impose un siège dans l'Union européenne, des limites à la détention du capital par des entités extra-européennes et un traitement des données dans l'Union. Elle est valable trois ans, avec des audits annuels.

Non. Le RGPD protège les données personnelles, quel que soit le pays de l'entreprise qui les traite. La souveraineté numérique est plus large : elle concerne aussi les données non personnelles, le droit applicable aux fournisseurs et la maîtrise des technologies.

Il rend légaux, au regard du RGPD, les transferts de données personnelles vers les entreprises américaines qui y adhèrent, et le Tribunal de l'Union l'a validé en septembre 2025. Il ne change rien aux pouvoirs que le droit américain donne aux autorités sur les entreprises qui y sont soumises, ni à la dépendance technologique.