La CLOUD Act expliquée : Ce qu'elle signifie pour vos photos et votre vie privée

Vos photos sont dans le « nuage ». Mais dans quel nuage ? Et quelles lois s’y appliquent ?

Si vous stockez vos photos sur Google Photos, iCloud, OneDrive ou Dropbox, vous supposez probablement que vos données sont protégées par les lois de confidentialité du pays où se trouvent ces serveurs. Si vos photos sont stockées en Europe, vous pensez peut-être que les règles de confidentialité européennes - comme le RGPD - vous protègent. Mais il existe une loi américaine dont vous n’avez probablement jamais entendu parler et qui peut annuler tout cela. Elle s’appelle la CLOUD Act, et elle est plus importante que vous ne le pensez.

Qu’est-ce que la CLOUD Act ?

La CLOUD Act est une loi américaine courte et complexe de 2018. Le nom signifie “Clarifying Lawful Overseas Use of Data” - ce qui, honnêtement, semble plus confus que la loi elle-même. Vous pouvez lire le texte réel ici, mais nous le traduisons en français simple.

Voici l’idée centrale : Si une entreprise américaine stocke vos données - même si ces serveurs sont physiquement situés en Europe - les autorités chargées de l’application de la loi américaine peuvent exiger que cette entreprise vous remette vos données directement, sans d’abord demander la permission aux autorités européennes.

Imaginez-le comme ceci : Vous louez un appartement à Paris. Le propriétaire est américain. Selon les règles normales, si la police veut fouiller votre appartement, elle doit passer par les tribunaux français et obtenir l’approbation française. Mais s’il existe une règle qui dit que les propriétaires américains doivent ouvrir leurs portes à la police américaine chaque fois qu’elle le demande ? C’est essentiellement ce que fait la CLOUD Act - elle permet aux autorités chargées de l’application de la loi américaine de contourner les processus juridiques européens et de s’adresser directement à l’entreprise qui stocke vos données.

La CLOUD Act permet aux autorités américaines de demander des données aux entreprises technologiques américaines, même lorsque ces données sont stockées sur des serveurs européens et appartiennent à des citoyens européens - ce qui peut annuler les protections de la vie privée européennes.

Pourquoi cela vous concerne (même si vos données sont en Europe)

Vous pourriez penser : « Mes photos sont stockées dans un centre de données allemand, protégé par la loi allemande. » Cela semble sûr. Mais ce n’est pas la loi qui protège le bâtiment qui compte - c’est la loi qui protège l’entreprise qui dirige le bâtiment.

Quand vous téléchargez des photos sur Google Photos, Google (une entreprise américaine) en est responsable. Le siège social de Google est en Californie. Google doit se conformer aux lois américaines. Si les autorités chargées de l’application de la loi américaine se présentent avec une demande légale, Google doit se conformer à la loi américaine - même si vos photos se trouvent sur des serveurs à Francfort, Amsterdam ou Dublin.

La CLOUD Act a en fait été conçue pour résoudre un problème différent : elle était destinée à aider les entreprises technologiques américaines à éviter les exigences juridiques contradictoires de plusieurs pays. Mais l’effet secondaire a été de créer un chemin juridique permettant aux autorités américaines d’accéder à des données stockées n’importe où dans le monde, tant qu’une entreprise américaine les détient.

Le RGPD ne vous protège pas contre la CLOUD Act

C’est ici que c’est important : Le RGPD (Règlement général sur la protection des données de l’UE) est fantastique. Il vous donne des droits, il limite ce que les entreprises peuvent faire avec vos données, et il force la transparence. Mais le RGPD concerne ce que les entreprises peuvent faire avec vos données d’elles-mêmes. Ce n’est pas un bouclier contre les demandes gouvernementales.

La CLOUD Act concerne l’accès gouvernemental. Le RGPD ne peut pas empêcher les autorités chargées de l’application de la loi américaine de faire une demande légale selon les règles de la CLOUD Act. Ce sont deux choses différentes :

• RGPD contrôle ce que les entreprises font avec vos données dans les activités commerciales normales, quotidiennes
• CLOUD Act contrôle ce que les gouvernements peuvent exiger de ces entreprises

Même une entreprise qui respecte parfaitement le RGPD doit toujours se conformer à une demande de CLOUD Act de la part des autorités américaines. C’est comme avoir les règles de location les plus strictes du monde - mais la police peut toujours entrer si elle a un mandat.

Qui est réellement affecté ?

Essentiellement : quiconque utilise des services majeurs de stockage en nuage ou de photos. Cela comprend :

• Google Photos et Google Drive
• Apple iCloud
• Microsoft OneDrive et Outlook
• Dropbox
• Photos Amazon
• Facebook et Instagram (qui hébergent également vos photos)
• Toute autre entreprise de cloud américaine

Si une entreprise américaine stocke vos données, la CLOUD Act pourrait s’appliquer. Ce n’est pas théorique - les autorités chargées de l’application de la loi américaine ont déjà utilisé des pouvoirs de CLOUD Act pour demander des données aux entreprises technologiques, et les entreprises se conforment généralement.

Conséquences réelles

Rendons cela concret. Imaginez :

• Un journaliste en Pologne utilise Google Drive pour stocker des recherches et des documents. Les autorités américaines enquêtant sur les sources du journaliste pourraient exiger que Google remette tout - même si les données sont stockées en Europe et que le journaliste est européen.

• Un photographe en Allemagne utilise Dropbox pour sauvegarder les photos des clients et les contrats. S’il est enquêté pour une raison quelconque, les autorités américaines pourraient accéder à ces fichiers sans passer par les tribunaux allemands.

• Un activiste en Hongrie utilise Gmail et Google Photos. Les autorités américaines pourraient accéder à ses e-mails et photos s’ils avaient une base légale pour le faire.

Ce ne sont pas des scénarios paranoïaques. C’est ainsi que la loi fonctionne réellement.

Comment la CLOUD Act diffère des autres règles

Vous pourriez entendre parler de lois comme le RGPD, SCHREMS II ou les décisions d’adéquation. Elles sont importantes, mais elles fonctionnent différemment :

• RGPD dit aux entreprises comment gérer vos données. Cela n’arrête pas les gouvernements.
• Les décisions d’adéquation (comme entre l’UE et les États-Unis) tentent de créer de la confiance entre les régions. Mais elles ne dépassent pas la CLOUD Act.
• SCHREMS II a rendu plus difficile le déplacement des données entre continents. Mais cela n’empêche pas les demandes de CLOUD Act une fois que les données sont chez une entreprise américaine.

La CLOUD Act se situe au-dessus de la plupart de cela - c’est un chemin juridique direct pour les autorités américaines d’accéder aux données.

Que pouvez-vous réellement faire ?

Vous ne pouvez pas vous retirer de la CLOUD Act. Mais vous avez des choix :

1. Utilisez des alternatives européennes. Des services comme Nextcloud, Proton (basé en Suisse) ou de petits fournisseurs européens ne sont pas soumis à la CLOUD Act car ce ne sont pas des entreprises américaines. Cela vous donne une réelle protection selon la loi européenne.

2. Chiffrez avant de télécharger. Si vos données sont chiffrées de bout en bout (vous gardez les clés, pas l’entreprise), les entreprises ne peuvent pas remettre les données lisibles même si les autorités l’exigent. Recherchez des services avec une architecture à connaissance zéro.

3. Comprenez le risque. Pour les photos de famille occasionnelles ? Peut-être que le risque est acceptable. Pour les documents sensibles, les dossiers médicaux ou quoi que ce soit que vous devez garder privé ? Cela vaut la peine de considérer les alternatives.

4. Soutenez la législation sur la protection des données. Plaidez pour des lois plus fortes sur la protection des données en Europe et des règlements qui limitent la manière dont les autorités américaines peuvent accéder aux données des citoyens de l’UE.

Pourquoi PixelUnion existe

Nous avons créé PixelUnion précisément à cause de préoccupations comme celles-ci. PixelUnion est un service européen de stockage géré de photos et de vidéos, axé sur la protection de la vie privée. Vos données restent en Europe, sous la protection juridique européenne. Nous ne vendons pas vos données, nous ne créons pas de profils sur vous, et nous ne sommes pas soumis à la CLOUD Act car nous ne sommes pas une entreprise américaine.

Nous croyons que vous devriez pouvoir stocker vos photos et vos souvenirs sans vous demander si un gouvernement étranger peut y accéder sans votre connaissance ou consentement.

La CLOUD Act n’est pas un complot secret. C’est une vraie loi avec de vraies conséquences. Vous n’avez pas besoin de paniquer, mais vous devez la comprendre - surtout si vous tenez à votre vie privée. Vos photos racontent votre histoire. Vous méritez de savoir quelles lois protègent cette histoire.

Découvrez le stockage de photos axé sur la protection de la vie privée sans les préoccupations liées à la CLOUD Act. En savoir plus sur PixelUnion.