Pe scurt: un SaaS „găzduit în Europa”, dar editat în Statele Unite, rămâne expus sub incidența CLOUD Act. Decizia Schrems II a invalidat Privacy Shield și a complicat transferurile de date. Pentru un cabinet francez, conformitatea RGPD nu se rezumă doar la localizarea serverelor — aceasta depinde și de jurisdicția editorului. Iată analiza practică.
„Datele dumneavoastră rămân în Europa.” Acesta este argumentul pe care toate soluțiile SaaS americane îl servesc clienților lor europeni începând cu anul 2021. Și este adevărat din punct de vedere tehnic: infrastructura lor rulează pe AWS Frankfurt, Azure Dublin sau Google Belgium. Minciuna nu constă în această frază, ci în ceea ce sugerează ea. Deoarece localizarea serverelor reprezintă doar o parte a ecuației. Cealaltă parte este jurisdicția editorului — și aici argumentul se prăbușește.
CLOUD Act, pe scurt
Legea Clarifying Lawful Overseas Use of Data Act a fost votată de Congresul american în martie 2018, în urma unei bătălii juridice dintre Microsoft și guvernul american cu privire la un e-mail stocat la Dublin. Ce prevede textul: orice companie care intră sub jurisdicția americană — deci orice companie încorporată în Statele Unite, dar și orice filială și, în sens mai larg, orice entitate care are un punct de contact substanțial cu teritoriul SUA — trebuie să furnizeze autorităților americane, în urma unei cereri legale, datele pe care le deține, indiferent unde sunt acestea stocate.
Concret: dacă utilizați TaxDome, care este o societate americană, iar autoritățile americane solicită datele dumneavoastră în cadrul unei anchete, TaxDome este obligat să se conformeze. Faptul că serverele dumneavoastră sunt la Frankfurt nu schimbă nimic. Faptul că clienții dumneavoastră sunt companii franceze nu schimbă nimic. Faptul că dumneavoastră sunteți francez nu schimbă nimic.
Schrems II, decizia care a schimbat totul
În iulie 2020, Curtea de Justiție a Uniunii Europene, sesizată de activistul austriac Max Schrems, a invalidat Privacy Shield, acordul-cadru care reglementa până atunci transferurile de date cu caracter personal între Uniunea Europeană și Statele Unite. Motivul invocat: legislația americană, în special legea FISA secțiunea 702 și ordinul executiv 12333, autorizează o supraveghere guvernamentală incompatibilă cu standardele europene de protecție a datelor.
« Cerințele legislației interne a Statelor Unite, și în special anumite programe care permit accesul autorităților publice ale acestui stat la datele cu caracter personal transferate din Uniune către acest stat în scopuri de securitate națională, comportă limitări ale protecției datelor cu caracter personal care nu sunt reglementate în așa fel încât să răspundă unor cerințe substanțial echivalente cu cele prevăzute de legislația Uniunii. »
CJUE, hotărârea Schrems II, 16 iulie 2020, cauza C-311/18
Schrems II nu a interzis transferurile către Statele Unite. Curtea a menținut validitatea Standard Contractual Clauses (Clauses Contractuelles Types), dar a impus operatorului european de date obligația de a efectua o evaluare de la caz la caz a nivelului efectiv de protecție. Mai clar: dacă transferați date către un subcontractant american, trebuie să documentați o analiză de impact, să implementați măsuri tehnice suplimentare dacă este necesar și să puteți justifica acest lucru în caz de control.
Trans-Atlantic Data Privacy Framework din 2023: nu este sfârșitul poveștii
În iulie 2023, Comisia Europeană a adoptat o nouă decizie privind caracterul adecvat pentru Statele Unite, bazată pe Trans-Atlantic Data Privacy Framework. Acest acord introduce noi garanții din partea americană și permite, în teorie, transferuri mai simple către organizațiile certificate. Este o ușurare operațională pentru multe companii europene.
Însă cadrul rămâne fragil. Max Schrems a anunțat deja că va contesta acest nou acord, așa cum a făcut pentru Safe Harbor în 2015 și pentru Privacy Shield în 2020. Probabilitatea ca o nouă decizie Schrems III să apară în următorii ani este semnificativă. Să îți construiești astăzi conformitatea pe ipoteza că TDPF va rezista zece ani înseamnă să te expui unui risc structural.
Ce se schimbă pentru un cabinet francez în 2026
Concret, apar mai multe întrebări pentru orice cabinet care utilizează un SaaS al cărui editor este american. Prima este dacă datele prelucrate sunt date cu caracter personal în sensul RGPD: pentru un cabinet de avocați, de experți contabili, de brokeri, răspunsul este aproape întotdeauna da. A doua este dacă editorul a documentat o analiză de impact post-Schrems II: ar fi trebuit să o facă, în DPA-ul său actualizat. A treia este dacă dumneavoastră, în calitate de operator de date, ați realizat propria analiză de impact: acest lucru se întâmplă rar.
În caz de control CNIL, această a treia analiză va fi solicitată. DPA-ul furnizorului SaaS nu este suficient — acesta documentează conformitatea subcontractantului, nu pe a dumneavoastră. Trebuie să puteți demonstra că ați evaluat riscul transferului, că ați identificat măsurile tehnice necesare și că ați consemnat o decizie motivată.
Clauzele Contractuale Standard nu mai sunt suficiente
Clauzele Contractuale Standard (SCC), actualizate în 2021 de Comisia Europeană, reprezintă principalul instrument contractual pentru reglementarea transferurilor în afara Uniunii Europene. Acestea acoperă obligațiile operatorului și ale persoanei împuternicite. Multe companii consideră că simpla lor semnare asigură conformitatea. Aceasta este o interpretare eronată.
Hotărârea Schrems II a stabilit în mod explicit că SCC-urile nu sunt suficiente prin ele însele: este necesar, în plus, să se evalueze dacă țara destinatară oferă o protecție echivalentă și, în caz contrar, să se implementeze măsuri suplimentare. Pentru Statele Unite, Comitetul European pentru Protecția Datelor a publicat recomandări care listează aceste măsuri: criptare end-to-end controlată de expeditor, pseudonimizare, fragmentarea transferurilor etc. Implementarea acestor măsuri tehnice pe o soluție SaaS americană „la cheie” este posibilă din punct de vedere tehnic, dar complicată din punct de vedere operațional.
Verificarea caracterului european al unui furnizor
Nu este întotdeauna ușor de verificat. Iată câteva reguli de bun simț. În primul rând, verificați mențiunile legale: societatea care furnizează serviciul este înregistrată la registrul comerțului dintr-o țară europeană? În al doilea rând, analizați structura de control: acționarul final este european? O societate franceză deținută integral de un fond american poate, din punct de vedere juridic, să rămână sub influență americană. În al treilea rând, analizați conturile: dacă furnizorul își realizează cea mai mare parte a cifrei de afaceri în Statele Unite și are acolo conducerea efectivă, autoritățile americane ar putea avea un punct de contact substanțial.
Pennylane, Yousign, Doctrine sau Tiime sunt editori francezi în sensul deplin al cuvântului: companie franceză, acționari majoritar europeni, conducere franceză. Clio este canadian — aproape de Uniunea Europeană, dar nu european și supus unui regim juridic diferit de al nostru. TaxDome, SmartVault sau HoneyBook sunt americane. A cunoaște aceste diferențe înseamnă a înceta să ne mai liniștim cu „găzduit în Europa”.
Cum răspunde Client Vault acestui risc structural
Client Vault este editat de o companie franceză, sub conducere franceză, cu acționariat european. Codul este instalat pe serverul ales de dumneavoastră — deci, în practică, la un furnizor de găzduire francez: OVH, Scaleway, Infomaniak, o2switch sau propria dumneavoastră infrastructură. În niciun moment datele dumneavoastră nu părăsesc un perimetru pe care îl controlați. Autoritățile americane nu au niciun punct de contact pentru a exercita presiuni: nici asupra editorului, nici asupra furnizorului de găzduire, nici asupra infrastructurii.
Această arhitectură face ca o mare parte din analiza de impact post-Schrems II să devină desuetă: nu există niciun transfer în afara Uniunii Europene de analizat. Este o simplificare administrativă care are o valoare economică reală în cazul unui control CNIL: dosarul dumneavoastră RGPD este mai scurt, mai solid și mai ușor de apărat.
Pentru agențiile WordPress: este, de asemenea, un argument comercial direct. Mulți dintre clienții dumneavoastră profesioniști nu știu că utilizarea unui SaaS american le impune obligații RGPD suplimentare. Să le explicați riscul și să propuneți o soluție suverană care elimină acest risc reprezintă un serviciu cu valoare adăugată pe care îl puteți poziționa clar.
Limite oneste
Acest raționament nu se aplică tuturor instrumentelor. Pentru instrumentele care nu sunt critice — un Slack pentru comunicare internă, un Notion pentru notițele echipei, un Trello pentru managementul proiectelor ușoare —, calculul este diferit. Riscul de transfer există, dar sensibilitatea datelor este mai mică. Interzicerea oricărui SaaS american pentru toate utilizările este un răspuns excesiv care nu este sustenabil din punct de vedere operațional.
Pentru datele profesionale critice, în schimb — documente de dosar, bilanțuri ale pacienților, contracte cu clienții, date financiare —, riscul merită o analiză serioasă. În acest perimetru, calea suverană capătă întreaga sa semnificație.
Să facem cunoștință
Dacă sunteți responsabil de prelucrarea datelor sau DPO și sunteți preocupat de conformitatea post-Schrems II, haideți să discutăm prin apel video. Douăzeci până la treizeci de minute pentru a cartografia expunerea dumneavoastră la CLOUD Act și pentru a vedea cum o cale suverană vă poate simplifica analiza de impact.
Întrebări frecvente
Ce este CLOUD Act și cine este vizat?
Lege americană din 2018 care permite autorităților americane să solicite date deținute de o companie aflată sub jurisdicția lor, indiferent de locația serverelor. Orice companie care utilizează un SaaS american intră în acest perimetru.
Un SaaS găzduit în Europa este neapărat conform cu RGPD?
Nu. Locația serverelor este doar un criteriu printre altele. Jurisdicția furnizorului, DPA, evaluarea impactului post-Schrems II și măsurile tehnice suplimentare contează la fel de mult.
Ce a schimbat Schrems II în practică?
Hotărârea CJUE din 2020 a invalidat Privacy Shield și a impus o analiză de impact de la caz la caz pentru orice transfer în afara UE. SCC-urile nu mai sunt suficiente de la sine: este necesară documentarea unei decizii motivate și, după caz, adăugarea de măsuri tehnice.
Cabinetul meu este expus riscului Cloud Act?
Da, din momentul în care utilizează un SaaS al cărui furnizor intră sub jurisdicția americană și care prelucrează date cu caracter personal ale clienților. Riscul este proporțional cu sensibilitatea datelor prelucrate.
Sunt suficiente Standard Contractual Clauses?
Schrems II a precizat explicit că nu, luate izolat. Este necesară o evaluare a nivelului efectiv de protecție și, dacă este cazul, măsuri suplimentare. Comitetul European pentru Protecția Datelor a publicat recomandări detaliate.
Ce trebuie să fac dacă SaaS-ul meu primește o somație americană?
Furnizorul este obligat să se conformeze conform legislației americane. Veți fi notificat în general dacă procedura permite acest lucru, dar nu întotdeauna. Cea mai bună protecție rămâne evitarea structurală: nu încredințați date critice unui furnizor expus.
Cum pot verifica dacă un furnizor este cu adevărat european?
Examinați mențiunile legale (locul încorporării), lanțul de control (acționariatul ultim) și conducerea efectivă. O companie franceză deținută de un fond american poate rămâne sub influență americană în sensul CLOUD Act.
{„@context”:”https://schema.org”,”@type”:”Article”,”headline”:”CLOUD Act vs RGPD : où sont vraiment vos données client”,”author”:{„@type”:”Person”,”name”:”Dragan Stamenkovic”},”datePublished”:”2026-05-10″,”dateModified”:”2026-05-10″,”publisher”:{„@type”:”Organization”,”name”:”Client Vault”},”mainEntityOfPage”:”https://clientvault.pro/blog/rgpd-cloud-act-donnees-client”}{„@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[ {„@type”:”Question”,”name”:”Qu’est-ce que le CLOUD Act et qui est concerné ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Loi américaine de 2018 permettant aux autorités américaines de réquisitionner les données détenues par toute entreprise relevant de leur juridiction.”}}, {„@type”:”Question”,”name”:”Un SaaS hébergé en Europe est-il forcément RGPD-compliant ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Non. La juridiction de l’éditeur, le DPA et l’analyse d’impact post-Schrems II comptent autant que la localisation.”}}, {„@type”:”Question”,”name”:”Qu’a changé Schrems II en pratique ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Invalidation du Privacy Shield, analyse d’impact obligatoire au cas par cas pour tout transfert hors UE.”}}, {„@type”:”Question”,”name”:”Mon cabinet est-il à risque CLOUD Act ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Oui dès lors qu’il utilise un SaaS américain pour traiter des données personnelles. Risque proportionnel à la sensibilité.”}}, {„@type”:”Question”,”name”:”Les Standard Contractual Clauses suffisent-elles ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Non en elles-mêmes selon Schrems II. Il faut évaluation du niveau de protection effectif et mesures supplémentaires.”}}, {„@type”:”Question”,”name”:”Que faire si mon SaaS reçoit une injonction américaine ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”L’éditeur s’exécute selon le droit US. Notification pas garantie. Meilleure protection : éviter de confier les données critiques à un éditeur exposé.”}}, {„@type”:”Question”,”name”:”Comment vérifier si un éditeur est vraiment européen ?”,”acceptedAnswer”:{„@type”:”Answer”,”text”:”Examiner mentions légales, chaîne de contrôle actionnarial et direction effective.”}} ]}
