Le CLOUD Act est une loi américaine de 2018. Elle oblige les fournisseurs américains de services en ligne à remettre aux autorités des États-Unis les données qu'ils contrôlent, où que ces données soient stockées. Un serveur à Genève ne change rien à cette obligation si l'entreprise qui l'exploite relève du droit américain. Tout le reste de cette page découle de cette phrase.
Ce que dit la loi, exactement
Le CLOUD Act forme la division V d'une loi budgétaire, la Public Law 115-141, promulguée le 23 mars 2018. Son article central est codifié au titre 18 du Code des États-Unis, section 2713. Il tient en une phrase, dont voici le cœur :
« [...] within such provider's possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States. »
En traduction libre : le fournisseur doit produire ce qui se trouve en sa possession, sous sa garde ou sous son contrôle, que ces données se trouvent aux États-Unis ou hors des États-Unis. Le critère n'est donc pas le lieu du serveur. C'est le lien entre le fournisseur et la donnée.
La loi est née d'un litige. En 2013, Microsoft refusait de livrer des courriels stockés en Irlande, et l'affaire était montée jusqu'à la Cour suprême. Le CLOUD Act a tranché la question avant l'arrêt, et la Cour a déclaré l'affaire sans objet le 17 avril 2018.
Pourquoi un serveur en Suisse ne suffit pas
C'est l'idée reçue la plus répandue, et la Confédération l'a démentie par écrit. Dans son rapport du 24 octobre 2023, l'Office fédéral de la justice note : « Des injonctions de production en vertu du CLOUD Act peuvent notamment être adressées à un établissement suisse d'un fournisseur de services aux États-Unis. »
Le Préposé fédéral à la protection des données pose la même question dans son guide sur la communication de données à l'étranger. Il demande si les données seront traitées par des entreprises soumises à un ordre juridique étranger, et cite en exemple « des fournisseurs de cloud américains disposant de serveurs en Suisse ».
La bonne question n'est donc pas « où sont mes données ? », mais « qui peut être contraint de les livrer ? »
Ce qu'en dit la Confédération
L'Office fédéral de la justice a consacré au sujet un rapport complet, daté du 17 septembre 2021. Sa conclusion sur la protection des données est nette : une transmission exigée par une injonction fondée sur le CLOUD Act n'est compatible avec les droits suisse et européen de la protection des données « que dans des cas exceptionnels et spécifiques ».
Le Conseil fédéral y revient dans son rapport du 26 novembre 2025 sur la souveraineté numérique. À propos des logiciels de bureau en ligne, il relève que le prestataire doit pouvoir déchiffrer les données pour offrir certaines fonctions, et qu'il en résulte « une possibilité de fuite des données de l'administration fédérale et de transmission de celles-ci à un autre État (en application du US CLOUD Act, par exemple) par le biais du prestataire ».
Ce qui vaut pour l'administration fédérale vaut, à plus forte raison, pour une PME qui n'a ni ses juristes ni ses centres de calcul.
Pas d'accord entre la Suisse et les États-Unis
Le CLOUD Act prévoit des accords bilatéraux. Ils donnent au fournisseur une voie de contestation particulière lorsqu'une demande américaine le mettrait en conflit avec le droit d'un pays signataire. Deux accords sont en vigueur : avec le Royaume-Uni depuis le 3 octobre 2022, et avec l'Australie depuis le 30 janvier 2024.
La Suisse n'en a aucun. La page du Département de la justice américain consacrée au CLOUD Act, mise à jour le 24 octobre 2023, mentionne des négociations avec le Canada et l'Union européenne, pas avec la Suisse. Nous n'avons trouvé aucune source officielle annonçant un tel accord à la date de cette page. Le fournisseur garde la possibilité de contester une demande devant le juge américain au nom de la courtoisie internationale, mais au cas par cas, et sans garantie.
Le Data Privacy Framework ne répond pas à la question
On les confond souvent. Le Swiss-U.S. Data Privacy Framework est entré en vigueur le 15 septembre 2024. Le Conseil fédéral y reconnaît un niveau de protection adéquat aux entreprises américaines certifiées, ce qui permet de leur transférer des données personnelles sans garanties supplémentaires.
C'est une règle de transfert. Elle dit quand une entreprise suisse peut envoyer des données personnelles à une entreprise américaine. Le CLOUD Act, lui, dit quand un fournisseur américain doit les remettre à son propre gouvernement. Le premier texte ne modifie pas le second : c'est notre lecture des deux textes, et aucun document officiel ne prétend le contraire.
Les chiffres, pour garder la mesure
Les grands fournisseurs publient leurs demandes. Au second semestre 2025, Microsoft a reçu 5 587 demandes des forces de l'ordre américaines portant sur des comptes de particuliers, dont 115 mandats visant des contenus stockés hors des États-Unis. Côté entreprises, il a livré des contenus concernant trois clients non américains dont les données étaient stockées hors des États-Unis, dont un situé dans l'Union européenne ou l'AELE. Amazon Web Services répond « None » à la même question pour le premier semestre 2025.
Le risque n'est donc pas statistique, il est juridique. Les demandes sont rares, mais la possibilité existe, et c'est elle qu'un dirigeant doit pouvoir expliquer à ses clients, à son assureur ou à un auditeur.
Ce que vous pouvez faire
Quatre questions à poser à chacun de vos fournisseurs, par écrit.
Qui contrôle la société qui exploite le service ? Une filiale suisse d'un groupe américain reste exposée, comme le rappelle l'Office fédéral de la justice.
Qui détient les clés de chiffrement ? Le guide du Préposé envisage un chiffrement dont vous gardez la clé et la maîtrise, mais pour un simple service de stockage. Dès que le service doit lire vos données pour fonctionner, le chiffrement ne suffit plus.
Le service peut-il fonctionner sans que le fournisseur déchiffre vos données ? C'est précisément le point que soulève le Conseil fédéral pour les suites bureautiques en ligne.
Comment récupérez-vous tout, le jour où vous partez ? Un fournisseur qu'on ne peut pas quitter est un risque à lui seul, CLOUD Act ou non. Nous avons décrit la marche à suivre dans rapatrier ses données sans rien perdre.
Ce que nous faisons
Nous construisons et hébergeons des systèmes chez des prestataires suisses qui ne dépendent d'aucun groupe américain, et nous vous remettons les clés, au sens propre. Vous gardez l'export complet de vos données, à tout moment, sans nous demander la permission.
Avant tout projet, nous dressons avec vous la carte de vos fournisseurs actuels : lesquels relèvent du droit américain, quelles données ils détiennent, et ce qui peut rester où il est.
Savoir qui peut livrer vos données ?
Carte de vos fournisseurs et de leur exposition, offerte, sous 48 heures
Demander la carteCette page informe, elle ne remplace pas l'avis d'un avocat sur votre situation particulière.
Questions fréquentes
Les sources
Toutes les citations de cette page proviennent des documents officiels suivants, consultés le 20 octobre 2026.
- 18 U.S.C. § 2713, texte officiel, govinfo.gov
- Public Law 115-141, division V, congress.gov
- Office fédéral de la justice, Rapport sur le US CLOUD Act, 17 septembre 2021
- Office fédéral de la justice, Rapport sur le projet e-evidence de l'UE, 24 octobre 2023
- Conseil fédéral, Souveraineté numérique de la Suisse, rapport du 26 novembre 2025 (postulat 22.4411)
- PFPDT, Guide pour l'examen de la licéité de la communication de données personnelles à l'étranger
- Conseil fédéral, communiqué du 14 août 2024 sur le Swiss-U.S. Data Privacy Framework
- Département de la justice des États-Unis, accord avec le Royaume-Uni, 3 octobre 2022
- Département de la justice des États-Unis, accord avec l'Australie, 30 janvier 2024
- Microsoft, rapport sur les demandes des forces de l'ordre, second semestre 2025
- Amazon Web Services, Information Request Report, premier semestre 2025