Cloud Act : toujours des incertitudes notamment vis-à-vis du RGPD

Le Clarifying Lawful Overseas Use of Data Act ou Cloud Act est une loi américaine promulguée par le Président des Etats-Unis le 23 mars 2018 venant modifier le Stored Communications Act ou SCA du 21 octobre 1986.

Le Cloud Act porte sur l’accès par les autorités américaines aux données stockées par des prestataires de services électroniques dans le cadre de procédures pénales, que ces données soient stockées sur le territoire américain ou à l’étranger.

Le problème posé par cette loi est qu’elle a potentiellement une portée extraterritoriale en raison du critère assez large retenu concernant son champ d’application , puisque cette dernière s’applique aux « communications service providers that are subject to jurisdiction of the United States(Cloud Act, Sec. 102(2)». 

Ainsi, il suffit qu’une société soit soumise au droit américain pour se voir appliquer la procédure de communication des données prévue par le SCA.

Cette nouvelle loi américaine interroge sur les conséquences éventuelles qu’elle pourrait avoir sur les transferts de données en provenance de l’Union européenne (I.) et le risque de contrariété de ce dispositif avec des mécanismes juridiques prévus en droit de l’Union européenne et en droit français (II.).

Par Philippe Debry et Dan Scemama