Le CLOUD Act expliqué à une PME genevoise : ce qui change vraiment

Dix minutes de lecture. Ce que la loi permet, ce qu'elle ne permet pas, et ce que vous pouvez décider dès cette semaine. Guide publié le 13 septembre 2026.

En une phrase

Le CLOUD Act est une loi américaine de mars 2018 qui autorise les autorités des États-Unis à exiger d'une entreprise américaine les données qu'elle détient, où que ces données soient stockées. Un serveur à Zurich loué à un fournisseur américain reste soumis à cette loi.

Ce que la loi permet

• Une autorité américaine (police fédérale, justice) peut, avec un mandat ou une injonction, obliger un fournisseur soumis au droit américain à livrer des données, y compris celles hébergées hors des États-Unis.
• Le fournisseur peut contester devant un juge américain si la demande viole le droit du pays où sont les données. Il peut ; il n'y est pas obligé.
• La Suisse n'a pas signé d'accord bilatéral (executive agreement) au titre du CLOUD Act. Le Royaume-Uni et l'Australie, oui.

Ce que la loi ne permet pas

• Elle ne donne pas un accès libre et permanent aux données de tout le monde : il faut une procédure, un dossier, un mandat.
• Elle ne vise pas spécifiquement les entreprises suisses : elle vise le fournisseur américain, et vos données parce qu'elles sont chez lui.
• Elle ne rend pas illégal le fait d'utiliser Microsoft 365 ou Google Workspace en Suisse. La question n'est pas la légalité de l'outil, c'est la promesse que vous pouvez faire à vos clients.

Pourquoi cela concerne une fiduciaire, un cabinet ou une ONG de Genève

Trois textes suisses entrent en jeu, et ils ne se remplacent pas :

1. Le secret professionnel (art. 321 du Code pénal pour les avocats, médecins, notaires ; art. 321 ss pour d'autres professions) : vous êtes personnellement responsable de ce qui sort. Un fournisseur qui remet un dossier à une autorité étrangère ne vous délie de rien.
2. La loi sur la protection des données (nLPD, 2023) : un transfert de données personnelles à l'étranger n'est admis que vers un pays à protection adéquate ou avec des garanties. Depuis le 15 septembre 2024, les États-Unis sont reconnus adéquats pour les entreprises certifiées Swiss-U.S. Data Privacy Framework. Cette reconnaissance couvre le transfert commercial ; elle ne neutralise pas l'accès par une autorité américaine.
3. L'article 271 du Code pénal interdit d'accomplir sur territoire suisse des actes pour un État étranger sans autorisation. C'est la raison pour laquelle un fournisseur sérieux contestera une demande américaine visant des données en Suisse. Mais c'est lui qui décide de contester, pas vous.

Ce que cela donne en pratique : en juin 2025, devant une commission du Sénat français, un dirigeant de Microsoft France a reconnu sous serment ne pas pouvoir garantir que des données hébergées en Europe ne seraient jamais transmises aux autorités américaines. La réponse est honnête, et elle vaut pour la Suisse.

Le risque réel, sans dramatiser

La probabilité qu'une autorité américaine demande le grand livre d'une fiduciaire de Carouge est faible. Le sujet n'est pas la probabilité, c'est la réponse que vous pouvez donner quand un client, un auditeur, un bailleur de fonds ou un ordre professionnel vous demande : « où sont nos données, et qui peut y accéder ? ». Avec un fournisseur américain, la réponse honnête est : « en Suisse ou en Europe, mais une autorité américaine peut y accéder par voie judiciaire ». Avec un fournisseur suisse sans maison mère américaine, la réponse est : « en Suisse, sous droit suisse, et une autorité étrangère doit passer par l'entraide judiciaire ».

« Nos serveurs sont à Zurich » : pourquoi cela ne suffit pas

Microsoft, Google et Amazon proposent des régions suisses. C'est utile pour la latence et pour certaines exigences contractuelles ; cela ne change pas le droit applicable au fournisseur. Le CLOUD Act s'attache à la nationalité de l'entreprise qui contrôle les données, pas à l'adresse du bâtiment. Même chose pour une filiale suisse d'un groupe américain.

Trois décisions qu'une PME peut prendre en une semaine

1. Faire l'inventaire : pour chaque service (messagerie, fichiers, agendas, visio, logiciel métier, sauvegardes, site web), noter le fournisseur, son pays, le lieu d'hébergement et le droit applicable. La plupart des dirigeants découvrent à cette étape deux ou trois services qu'ils ne connaissaient pas.
2. Trier par sensibilité : ce qui relève du secret professionnel ou de données de santé, de bénéficiaires, de salaires, en premier ; le reste ensuite. Personne ne migre tout d'un coup.
3. Choisir pour chaque bloc : rester avec de meilleurs réglages (résidence des données, chiffrement, contrat), ou passer chez un fournisseur suisse ou européen non soumis au CLOUD Act. Pour la messagerie et les fichiers, Infomaniak (Genève) et Proton (Genève) sont les candidats les plus courants ; Nextcloud auto-hébergé quand l'autonomie prime. La migration d'une structure de 10 à 30 postes prend en général trois semaines, par vagues, sans perdre un message.

Ce que nous ne dirons pas

Nous ne dirons pas qu'un fournisseur suisse vous rend « conforme » : la conformité dépend de vos contrats, de vos accès et de vos pratiques, pas d'un logo. Nous ne dirons pas non plus qu'il faut tout quitter : il nous arrive de recommander de rester, avec de meilleurs réglages. L'inventaire décide, pas l'idéologie. Et pour toute question de droit, votre avocat reste la référence ; ce guide n'est pas un avis juridique.

Questions fréquentes