Deux promesses distinctes vendues sous un seul terme
L'expression cloud souverain sert à décrire au moins deux garanties sans rapport entre elles, et cette ambiguïté fait une bonne partie du travail commercial à la place du fournisseur : l'endroit où vos données se trouvent physiquement, et le pays dont les tribunaux peuvent contraindre un fournisseur à les livrer. Ce ne sont pas les mêmes questions, et un produit peut très bien répondre à la première tout en laissant la seconde grande ouverte.
La résidence des données est un fait géographique. La juridiction légale porte sur la question de savoir quel gouvernement, par ses tribunaux et ses agences, a autorité sur la société qui exploite les serveurs, quel que soit l'endroit où se trouvent ces serveurs. Une région cloud physiquement située à Francfort ou à Paris ne répond en rien, à elle seule, à la question de la juridiction.
Ce que dit vraiment le CLOUD Act
Le CLOUD Act américain de 2018 a tranché la question de la juridiction pour tout fournisseur dont le siège se trouve aux États-Unis ou qui y exerce une activité suffisante. Son texte, codifié au 18 U.S.C. 2713, impose à un fournisseur couvert de se conformer à une injonction légale de conserver, sauvegarder ou divulguer des données, 'que cette communication, cet enregistrement ou toute autre information se trouve à l'intérieur ou à l'extérieur des États-Unis.'
La description que fait Microsoft de ses engagements EU Data Boundary détaille en profondeur la résidence des données et le lieu de traitement, mais n'aborde nulle part l'exposition au CLOUD Act. La faille est apparue directement sous serment : en juin 2025, le directeur juridique de Microsoft France, Anton Carniaux, a déclaré devant une commission du Sénat français examinant la souveraineté des marchés publics qu'il ne pouvait pas garantir que des données clients hébergées dans l'UE n'atteindraient jamais les autorités américaines, ajoutant seulement que cela ne s'était pas encore produit.
Seuls certains schémas de souveraineté touchent à la véritable question de juridiction
Trois noms de certifications européennes sont utilisés presque de façon interchangeable, et un seul d'entre eux restreint réellement qui peut être légalement contraint de livrer vos données.
Le SecNumCloud français, géré par l'agence de cybersécurité ANSSI, exige que les actionnaires non européens restent minoritaires dans la société d'exploitation et affiche un objectif explicite : protéger l'opérateur de toute injonction émise par un Etat hors UE, de sorte que la société ne réponde qu'au droit européen. Le catalogue C5 allemand, géré par le BSI, est un type de schéma entièrement différent : une attestation de contrôles de sécurité, le BSI précisant lui-même qu'il ne vérifie même pas les auditeurs qui délivrent les rapports C5, sans aucune exigence de propriété ou de juridiction dans ses critères. Le schéma paneuropéen censé se situer au-dessus des deux, l'EUCS, reste formellement non adopté en août 2026. Les autorités nationales de certification, dont la NCCA néerlandaise, confirment qu'aucun certificat n'est délivré à ce titre.
| Schéma | Garantie de juridiction | Statut, août 2026 |
|---|---|---|
| SecNumCloud (France, ANSSI) | Oui, actionnaires non européens plafonnés, injonctions légales non européennes bloquées | Actif, délivre des qualifications |
| C5 (Allemagne, BSI) | Non, attestation de contrôles de sécurité uniquement | Actif, délivre des rapports |
| EUCS (échelle UE) | Contesté, dépendrait du niveau d'assurance final | Pas encore adopté |
Ce que cela signifie pour vous
Une réponse de conformité qui se contente de dire 'nous utilisons un cloud souverain' n'est pas une réponse complète tant que vous ne savez pas laquelle des deux garanties elle vous procure réellement.
Demandez directement au fournisseur si la société d'exploitation est légalement immunisée contre toute juridiction non européenne, le modèle SecNumCloud, ou si elle est simplement auditée sur ses contrôles de sécurité avec des données stockées dans la région, le modèle C5 auquel ressemblent la plupart des offres 'région UE' des grands fournisseurs mondiaux. Si votre véritable exigence est de garder les données hors de portée d'un gouvernement étranger plutôt que de cocher une case de résidence des données, seule une structure immunisée contre la juridiction y répond.
N'acceptez pas la seule mention 'EU data boundary' comme preuve d'immunité de juridiction. Posez au conseil juridique du fournisseur la même question que le Sénat français a posée à celui de Microsoft, et attendez-vous à la même réponse honnête si la structure n'a pas changé.
À lire ensuite: L'Europe a construit le cloud sans les USA | La France sort sa base de données de santé d'Azure
