En bref : un SaaS « hébergé en Europe » mais édité aux États-Unis reste exposé au CLOUD Act. Schrems II a invalidé le Privacy Shield et complexifié les transferts. Pour un cabinet français, la conformité RGPD ne se résume plus à la localisation des serveurs — elle dépend aussi de la juridiction de l’éditeur. Voici l’analyse pratique.
« Vos données restent en Europe. » C’est l’argument que tous les SaaS américains servent à leurs prospects européens depuis 2021. Et c’est techniquement vrai : leur infrastructure tourne sur AWS Frankfurt, Azure Dublin ou Google Belgium. Le mensonge n’est pas dans la phrase, il est dans ce qu’elle laisse penser. Parce que la localisation des serveurs n’est qu’une partie de l’équation. L’autre, c’est la juridiction de l’éditeur — et là, l’argument tombe.
Le CLOUD Act, simplement
Le Clarifying Lawful Overseas Use of Data Act a été voté par le Congrès américain en mars 2018, dans le sillage d’une bataille juridique opposant Microsoft au gouvernement américain à propos d’un mail stocké à Dublin. Ce que dit le texte : toute entreprise relevant de la juridiction américaine — donc toute entreprise incorporée aux États-Unis, mais aussi toute filiale, et plus largement toute entité qui a un point de contact substantiel avec le territoire — doit fournir aux autorités américaines, sur réquisition légale, les données qu’elle détient, peu importe où elles sont stockées.
Concrètement : si vous utilisez TaxDome, qui est une société américaine, et que les autorités américaines réquisitionnent vos données dans le cadre d’une enquête, TaxDome doit s’exécuter. Le fait que vos serveurs soient à Francfort ne change rien. Le fait que vos clients soient des entreprises françaises ne change rien. Le fait que vous-même soyez français ne change rien.
Schrems II, la décision qui a tout changé
En juillet 2020, la Cour de Justice de l’Union Européenne, saisie par l’activiste autrichien Max Schrems, a invalidé le Privacy Shield, l’accord-cadre qui encadrait jusque-là les transferts de données personnelles entre l’Union européenne et les États-Unis. La raison invoquée : le droit américain, notamment la loi FISA section 702 et le décret présidentiel 12333, autorise une surveillance gouvernementale incompatible avec les standards européens de protection des données.
« Les exigences du droit interne des États-Unis, et notamment certains programmes permettant l’accès, par les autorités publiques de cet État, aux données à caractère personnel transférées depuis l’Union vers cet État à des fins de sécurité nationale, comportent des limitations à la protection des données à caractère personnel qui ne sont pas encadrées de manière à répondre à des exigences substantiellement équivalentes à celles requises, en droit de l’Union. »
CJUE, arrêt Schrems II, 16 juillet 2020, affaire C-311/18
Schrems II n’a pas interdit les transferts vers les États-Unis. La Cour a maintenu la validité des Standard Contractual Clauses, mais en imposant que le responsable de traitement européen procède à une évaluation au cas par cas du niveau de protection effectif. En clair : si vous transférez des données vers un sous-traitant américain, vous devez documenter une analyse d’impact, mettre en place des mesures techniques supplémentaires si nécessaire, et pouvoir le justifier en cas de contrôle.
Le Trans-Atlantic Data Privacy Framework de 2023 : pas la fin de l’histoire
En juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation pour les États-Unis, basée sur le Trans-Atlantic Data Privacy Framework. Cet accord introduit de nouvelles garanties côté américain et permet, en théorie, des transferts plus simples vers les organisations certifiées. C’est un soulagement opérationnel pour beaucoup d’entreprises européennes.
Mais le cadre reste fragile. Max Schrems a déjà annoncé qu’il contestera ce nouvel accord, comme il l’a fait pour le Safe Harbor en 2015 et pour le Privacy Shield en 2020. La probabilité qu’une nouvelle décision Schrems III intervienne dans les prochaines années est non négligeable. Bâtir aujourd’hui sa conformité sur l’hypothèse que le TDPF tiendra dix ans, c’est jouer avec un risque structurel.
Ce que ça change pour un cabinet français en 2026
Concrètement, plusieurs questions se posent à tout cabinet qui utilise un SaaS dont l’éditeur est américain. La première est de savoir si les données traitées sont des données à caractère personnel au sens RGPD : pour un cabinet d’avocats, d’experts-comptables, de courtiers, la réponse est presque toujours oui. La deuxième est de savoir si l’éditeur a documenté une analyse d’impact post-Schrems II : il devrait l’avoir fait, dans son DPA actualisé. La troisième est de savoir si vous, comme responsable de traitement, avez fait votre propre analyse d’impact : c’est rarement le cas.
En cas de contrôle CNIL, c’est cette troisième analyse qui sera demandée. Le DPA du SaaS ne suffit pas — il documente la conformité du sous-traitant, pas la vôtre. Vous devez pouvoir montrer que vous avez évalué le risque de transfert, identifié les mesures techniques nécessaires, et tracé une décision motivée.
Les Standard Contractual Clauses ne suffisent plus
Les Standard Contractual Clauses, mises à jour en 2021 par la Commission européenne, sont l’outil contractuel principal pour encadrer les transferts hors Union européenne. Elles couvrent les obligations du responsable de traitement et du sous-traitant. Beaucoup d’entreprises pensent qu’il suffit de les signer pour être en conformité. C’est une lecture erronée.
Schrems II a explicitement dit que les SCC ne suffisent pas en elles-mêmes : il faut, en plus, évaluer si le pays destinataire offre une protection effectivement équivalente, et si non, mettre en place des mesures supplémentaires. Pour les États-Unis, le Comité européen de la protection des données a publié des recommandations qui listent ces mesures : chiffrement de bout en bout maîtrisé par l’expéditeur, pseudonymisation, division des transferts, etc. Mettre en place ces mesures techniques sur un SaaS clé en main américain, c’est techniquement possible mais opérationnellement compliqué.
Vérifier si un éditeur est vraiment européen
Pas toujours évident à vérifier. Quelques règles de bon sens. Premièrement, regardez les mentions légales : la société qui édite le service est-elle inscrite au registre du commerce d’un pays européen ? Deuxièmement, regardez la chaîne de contrôle : l’actionnaire ultime est-il européen ? Une société française intégralement détenue par un fonds américain peut, juridiquement, rester sous influence américaine. Troisièmement, regardez les comptes : si l’éditeur fait l’essentiel de son chiffre aux États-Unis et y a sa direction effective, les autorités américaines pourraient avoir un point de contact substantiel.
Un Pennylane, un Yousign, un Doctrine, un Tiime sont des éditeurs français au sens fort : société française, actionnaires majoritairement européens, direction française. Un Clio est canadien — proche de l’Union européenne mais pas européen, et soumis à un régime juridique différent du nôtre. Un TaxDome, un SmartVault, un HoneyBook sont américains. Connaître ces différences, c’est arrêter de se rassurer avec « hébergé en Europe ».
Comment Client Vault répond à ce risque structurel
Client Vault est édité par une société française, sous direction française, avec un actionnariat européen. Le code est installé sur le serveur de votre choix — donc, en pratique, chez un hébergeur français : OVH, Scaleway, Infomaniak, o2switch, ou votre propre infrastructure. À aucun moment vos données ne quittent un périmètre que vous contrôlez. Les autorités américaines n’ont aucun point de contact pour exercer une pression : ni sur l’éditeur, ni sur l’hébergeur, ni sur l’infrastructure.
Cette architecture rend obsolète une grande partie de l’analyse d’impact post-Schrems II : il n’y a pas de transfert hors Union européenne à analyser. C’est une simplification administrative qui a une vraie valeur économique en cas de contrôle CNIL : votre dossier RGPD est plus court, plus solide, plus défendable.
Pour les agences WordPress : c’est aussi un argument commercial direct. Beaucoup de vos clients pros ne savent pas qu’utiliser un SaaS américain leur impose des obligations RGPD supplémentaires. Leur expliquer le risque, et proposer une voie souveraine qui évacue ce risque, est un service à valeur ajoutée que vous pouvez positionner clairement.
Limites honnêtes
Ce raisonnement ne s’applique pas à tous les outils. Pour les outils non critiques — un Slack pour la communication interne, un Notion pour les notes d’équipe, un Trello pour le projet management léger —, le calcul est différent. Le risque de transfert existe mais la sensibilité des données est moindre. Bannir tout SaaS américain de tous les usages est une réponse excessive qui ne tient pas opérationnellement.
Pour les données métier critiques en revanche — pièces de dossier, bilans patient, contrats clients, données financières —, le risque mérite une vraie analyse. C’est sur ce périmètre que la voie souveraine prend tout son sens.
Faisons connaissance
Si vous êtes responsable de traitement ou DPO et que la conformité post-Schrems II vous occupe, échangeons en visio. Vingt à trente minutes pour cartographier votre exposition CLOUD Act et voir comment une voie souveraine peut simplifier votre analyse d’impact.
Questions fréquentes
Qu’est-ce que le CLOUD Act et qui est concerné ?
Loi américaine de 2018 qui permet aux autorités américaines de réquisitionner les données détenues par une entreprise relevant de leur juridiction, indépendamment de la localisation des serveurs. Toute entreprise utilisant un SaaS américain entre dans ce périmètre.
Un SaaS hébergé en Europe est-il forcément RGPD-compliant ?
Non. La localisation des serveurs n’est qu’un critère parmi d’autres. La juridiction de l’éditeur, le DPA, l’analyse d’impact post-Schrems II et les mesures techniques supplémentaires comptent autant.
Qu’a changé Schrems II en pratique ?
L’arrêt CJUE de 2020 a invalidé le Privacy Shield et imposé une analyse d’impact au cas par cas pour tout transfert hors UE. Les SCC ne suffisent plus à elles seules : il faut documenter une décision motivée et, le cas échéant, ajouter des mesures techniques.
Mon cabinet est-il à risque CLOUD Act ?
Oui dès lors qu’il utilise un SaaS dont l’éditeur relève de la juridiction américaine, et que ce SaaS traite des données personnelles de clients. Le risque est proportionnel à la sensibilité des données traitées.
Les Standard Contractual Clauses suffisent-elles ?
Schrems II a explicitement dit que non, en elles-mêmes. Il faut une évaluation du niveau de protection effectif et, le cas échéant, des mesures supplémentaires. Le Comité européen de la protection des données a publié des recommandations détaillées.
Que faire si mon SaaS reçoit une injonction américaine ?
L’éditeur est tenu de s’exécuter selon le droit américain. Vous serez généralement notifié si la procédure le permet, mais pas toujours. La meilleure protection reste l’évitement structurel : ne pas confier les données critiques à un éditeur exposé.
Comment vérifier si un éditeur est vraiment européen ?
Examinez les mentions légales (lieu d’incorporation), la chaîne de contrôle (actionnariat ultime), et la direction effective. Une société française détenue par un fonds américain peut rester sous influence américaine au sens du CLOUD Act.
