Le mot « souverain » n’est ni un label, ni une certification, ni la garantie que les données échappent à une juridiction étrangère.

À force d’être répété, « souverain » est devenu le mot fétiche du cloud européen. Il rassure avant même que l’architecture, les accès et les contrats aient été examinés.

Une entreprise française, détenue à 100 % par des Européens et hébergeant ses données en Europe, n’est pas pour autant protégée contre toute exposition au droit américain.

Le Cloud Act ne place pas non plus automatiquement toutes les entreprises technologiques européennes sous juridiction américaine.

La localisation du serveur ne suffit donc pas. L’analyse doit suivre la donnée jusqu’au dernier prestataire capable d’y accéder.

Il faut identifier :
— l’entité contractante et les sociétés du groupe impliquées
— les fournisseurs d’infrastructure et de plateforme
— les sauvegardes et environnements de reprise
— les services d’identité, de supervision et de cybersécurité
— le support, le ticketing, la télémétrie et les données de diagnostic
— les sous-traitants disposant d’un accès technique ou administratif

Le contrôle juridique doit ensuite être traduit dans l’architecture.

Vérifiez qui détient les clés de chiffrement et qui peut les obtenir.

Supprimez les accès administrateur permanents qui ne sont pas indispensables.

Localisez séparément les données de production, les journaux, les sauvegardes et les données de support.

Documentez les accès distants, les procédures d’urgence et les possibilités réelles d’extraction par le fournisseur.

Pour les données personnelles, les articles 28, 32 et 44 à 48 du RGPD restent applicables.

Pour les données non personnelles, l’article 32 du Data Act impose également des mesures techniques, organisationnelles et juridiques contre certains accès gouvernementaux incompatibles avec le droit de l’Union ou le droit national.

Une qualification doit enfin être vérifiée service par service.

Un logo « SecNumCloud » sur un produit ne démontre pas que l’ensemble des offres du fournisseur est qualifié.

Il faut contrôler le nom exact du service, son périmètre, sa version et la durée de validité de la qualification.

L’exposition est directe lorsque le fournisseur contractuel est lui-même soumis à la juridiction américaine et conserve un contrôle sur les données.

Elle est indirecte lorsqu’un sous-traitant, un fournisseur d’infrastructure ou une équipe de support soumis à cette juridiction peut y accéder.

Externaliser ne transfère pas la responsabilité.

N’achetez pas un adjectif. Exigez une architecture, des engagements opposables et des preuves vérifiables.