Le CLOUD Act américain pour les études suisses
Pourquoi « hébergé en Suisse » ne règle pas la question lorsque le prestataire est américain, et comment SecretSafe la note.
À titre informatif uniquement, ne constitue pas un avis juridique. Les résultats reflètent les déclarations publiques des fournisseurs à la date de vérification et nos règles de notation. Vérifiez vous-même les contrats avant d’utiliser un outil avec des données clients.
Ce que prévoit le CLOUD Act
Le Clarifying Lawful Overseas Use of Data (CLOUD) Act a été adopté en mars 2018. Selon le 18 U.S.C. § 2713, un fournisseur de services de communication électronique ou de calcul à distance doit se conformer à une procédure américaine de conservation ou de remise des données en sa possession, sous sa garde ou sous son contrôle, que ces données se trouvent aux États-Unis ou à l’étranger.
La loi permet aussi des accords bilatéraux d’accès aux données. Le Département de la justice américain mentionne des accords avec le Royaume-Uni et l’Australie, ainsi que des négociations avec le Canada et l’UE. Consultez la page du DOJ pour la liste à jour.
Pourquoi c’est important pour le secret suisse
Un centre de données suisse exploité par une société américaine, ou un fournisseur suisse dont l’IA tourne sur un cloud à société mère américaine, peut être à la portée d’une procédure américaine. Qu’une demande puisse effectivement atteindre vos données dépend de la structure du groupe, des contrats et des faits. Un conseil spécialisé est nécessaire pour tout cas concret.
Notre notation
Chaque note Cloud Act sur SecretSafe est une appréciation éditoriale, signalée par ⚖︎ et motivée en une ligne. Nous examinons le domicile du fournisseur et des prestataires d’infrastructure et de modèles qu’il nomme publiquement :
- 3 : fournisseur, infrastructure et modèles non américains (selon le fournisseur).
- 2 : stockage suisse, mais calcul chez un groupe américain, ou exposition par une option uniquement.
- 1 : fournisseur non américain recourant à des clouds ou modèles de groupes américains.
- 0 : fournisseur domicilié aux États-Unis ou traitement uniquement aux États-Unis.
Une note basse ne signifie pas que des données ont été ou seront remises. Elle signale une question à poser au fournisseur.