RGPD on Arpokrat

Data Act vs CLOUD Act : qui contrôle vraiment vos données dans le cloud ?

Fri, 19 Jun 2026 00:00:00 +0000

Pendant des années, le monde a fonctionné sur une hypothèse simple : les données ont un lieu de résidence physique. Si elles se trouvaient sur un serveur à Dublin, elles relevaient du droit irlandais et européen. Cette hypothèse s’est effondrée en 2018, lorsque les États Unis ont adopté le CLOUD Act, une loi qui donne aux autorités américaines un accès aux données contrôlées par des entreprises américaines, peu importe où ces données sont physiquement stockées dans le monde. Plusieurs années plus tard, Bruxelles a répondu avec son propre dispositif de protection : le Data Act, désormais pleinement applicable, qui tente de limiter l’accès extraterritorial des autorités de pays tiers aux données détenues dans l’Union européenne.

Voici ce que prévoient réellement ces deux textes, où ils entrent en collision, et pourquoi la seule protection véritablement robuste face à ce conflit reste l’impossibilité technique d’accès.

Le CLOUD Act américain : un accès fondé sur le contrôle, pas sur la localisation

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté en mars 2018, a modifié le droit américain en y ajoutant l’article 18 U.S. Code § 2713. Ce texte impose à tout fournisseur de service de communication électronique ou de traitement informatique à distance de préserver, sauvegarder ou divulguer le contenu d’une communication ou tout enregistrement s’y rapportant, dès lors que ces données sont en sa possession, sous sa garde ou sous son contrôle, indépendamment du fait que ces données se trouvent à l’intérieur ou à l’extérieur des États Unis.

C’est précisément cette dernière clause qui change tout. Le critère retenu n’est plus la localisation physique du serveur, mais le contrôle exercé par la société mère sur ses filiales. Une entreprise américaine opérant des centres de données en Europe reste donc soumise aux réquisitions américaines, même pour des données stockées intégralement sur le sol européen.

Le Data Act européen : une barrière juridique à l’accès extraterritorial

Le Règlement (UE) 2023/2854, dit Data Act, est entré en vigueur le 11 janvier 2024 et s’applique pleinement depuis le 12 septembre 2025, certaines dispositions étant échelonnées jusqu’en 2026 et 2027. Son article 32 encadre directement la question de l’accès gouvernemental international aux données.

Le texte établit une règle claire : toute décision ou tout jugement d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un fournisseur de services de traitement de données qu’il transfère ou donne accès à des données non personnelles détenues dans l’Union européenne n’est reconnu et exécutoire que s’il repose sur un accord international, tel qu’un traité d’entraide judiciaire (MLA), en vigueur entre le pays demandeur et l’Union, ou entre ce pays et l’État membre concerné.

En l’absence d’un tel accord, l’article 32 prévoit une seconde voie, mais strictement encadrée : la décision étrangère ne peut être exécutée que si le système juridique du pays tiers exige que la demande soit motivée, proportionnée, et suffisamment spécifique, par exemple en établissant un lien clair avec des personnes ou des infractions précises, et si l’objection motivée du destinataire peut être soumise au contrôle d’une juridiction compétente de ce pays tiers.

Une collision juridique directe

Le problème est immédiat : le CLOUD Act exige une divulgation fondée sur le contrôle exercé par l’entreprise mère, sans condition de proportionnalité comparable à celle exigée par le droit européen. Le Data Act, à l’inverse, subordonne la reconnaissance d’une telle demande à l’existence d’un accord international ou à des garanties procédurales précises. Une entreprise américaine opérant en Europe, sommée par une autorité américaine de transmettre des données hébergées dans l’Union, se retrouve donc prise entre deux obligations légales contradictoires : se conformer au mandat américain en violant le droit de l’Union, ou respecter le Data Act en s’exposant aux conséquences d’un refus aux États Unis.

Cette tension n’est pas théorique. Elle a déjà été documentée par la Cour de justice de l’Union européenne (CJUE) dans deux décisions majeures, Schrems I (2015) et Schrems II (2020). Dans l’arrêt Schrems II, la CJUE a jugé que la surveillance américaine menée au titre de la Section 702 du FISA (Foreign Intelligence Surveillance Act) et de l’Executive Order 12333 ne respecte pas les garanties minimales exigées par le droit de l’Union au titre du principe de proportionnalité, et ne peut donc pas être considérée comme limitée à ce qui est strictement nécessaire. La Cour a également relevé l’absence de voie de recours juridictionnel effective pour les personnes concernées de l’Union, en violation de l’article 47 de la Charte des droits fondamentaux. Cette décision a invalidé le cadre du Privacy Shield, qui organisait jusque là les transferts de données entre l’UE et les États Unis.

Le risque structurel : Harvest Now, Decrypt Later

Au delà du conflit de juridictions, une menace plus insidieuse pèse sur les données hébergées dans des infrastructures soumises au droit américain : la stratégie dite Harvest Now, Decrypt Later (HNDL). Le principe consiste, pour un service de renseignement ou un acteur étatique hostile, à intercepter et stocker dès aujourd’hui des données chiffrées, dans l’attente de capacités de calcul quantique suffisantes pour les déchiffrer dans le futur.

Cette stratégie transforme toute dépendance prolongée envers une infrastructure cloud américaine en une dette de sécurité différée : ce qui est confidentiel aujourd’hui peut devenir lisible dans dix ou quinze ans, sans qu’aucune action supplémentaire ne soit nécessaire de la part de l’attaquant, seulement le temps et la patience.

Pourquoi seule l’impossibilité technique constitue une vraie garantie

L’analyse juridique converge vers un constat partagé par de nombreux experts en conformité : aussi solide soit le cadre légal du Data Act, il reste un texte que les rapports de force géopolitiques et les pressions diplomatiques peuvent contourner, retarder ou réinterpréter. La seule protection qui ne dépend d’aucune négociation future est l’impossibilité technique d’exécution.

Une architecture zero knowledge, où le prestataire ne détient ni la possession ni la garde des clés de déchiffrement, rend une réquisition matériellement inopérante. On ne peut pas être contraint de remettre ce que l’on ne possède jamais.

C’est la logique qui structure des écosystèmes comme Arpokrat :

Neutralisation juridictionnelle : l’infrastructure est hébergée en Suisse, sous le régime de la loi fédérale sur la protection des données (LPD/FADP), hors du champ d’application directe de l’extraterritorialité du CLOUD Act
Absence de garde : l’architecture zero knowledge prive le prestataire de toute capacité à remettre des clés ou des contenus qu’il ne détient jamais
Réduction de l’empreinte identitaire : en supprimant l’obligation d’inscription par numéro de téléphone ou adresse e-mail, des identifiants que la surveillance fondée sur la Section 702 du FISA peut suivre aisément, l’utilisateur cesse d’être un abonné identifiable pour devenir une clé cryptographique anonyme

La chaîne de garde ne s’arrête pas au chiffrement des messages

Un point souvent sous-estimé dans les analyses de conformité : il ne suffit pas de chiffrer le contenu d’une communication si le système d’exploitation sous jacent, qu’il s’agisse d’Android ou d’iOS, continue de capturer des métadonnées ou de la télémétrie au niveau du noyau, à destination de serveurs relevant de la juridiction américaine. La protection du secret exige une fermeture complète de la chaîne de garde, du contenu jusqu’à l’infrastructure matérielle elle même.

C’est pour cette raison que la souveraineté numérique implique aussi une réflexion sur le système d’exploitation utilisé, pas seulement sur les applications de messagerie. Des systèmes dégooglisés, où des modules comme le Bluetooth ou la géolocalisation GNSS peuvent être désactivés directement au niveau du noyau, éliminent des vecteurs d’attaque physiques qu’aucun chiffrement applicatif ne peut compenser.

La cryptographie post quantique, un horizon déjà engagé

Face à la menace que représente la stratégie HNDL, l’adoption de standards de cryptographie post quantique (PQC) devient une nécessité pour quiconque souhaite garantir la confidentialité de données sensibles sur le long terme, qu’il s’agisse de secrets d’affaires, de correspondances professionnelles ou de données de santé. Un chiffrement jugé robuste aujourd’hui selon les standards classiques ne garantit pas qu’il résistera aux capacités de calcul quantique attendues dans les quinze prochaines années.

Le conflit entre le Data Act et le CLOUD Act illustre une réalité plus large : la souveraineté numérique ne peut plus se construire uniquement sur des textes de loi, aussi solides soient ils. Elle exige une fermeture de la chaîne de garde à chaque niveau, du protocole de chiffrement jusqu’à la juridiction d’hébergement, en passant par le système d’exploitation lui même. C’est cette approche par couches, plutôt qu’une confiance reposant sur un seul cadre réglementaire, qui définit aujourd’hui une véritable souveraineté numérique par conception.

La fin de la confidentialité ? Backdoors, Online Safety Act et la réponse des écosystèmes souverains

Wed, 10 Jun 2026 00:00:00 +0000

Londres est devenue l’épicentre d’une bataille mondiale pour l’avenir de la vie privée numérique. Avec l’adoption de l’Online Safety Act 2023 (OSA) et les récentes propositions de révision de l’Investigatory Powers Act (IPA) — surnommé par ses détracteurs la « Charte des espions » —, le gouvernement britannique s’arroge le droit d’imposer des obligations de surveillance au cœur même des communications privées. Le point de rupture est le pouvoir conféré au régulateur OFCOM pour exiger que les plateformes déploient une « technologie accréditée » afin de détecter les contenus d’abus sexuels sur mineurs (CSEA) ou de terrorisme, y compris dans les communications chiffrées de bout en bout .

Pour les grandes plateformes numériques, le message de Westminster est sans ambiguïté : soit elles ménagent un accès étatique à leurs infrastructures, soit elles s’exposent à des amendes pouvant atteindre 10 % de leur chiffre d’affaires mondial. La réponse a été immédiate : des services comme Signal et WhatsApp ont publiquement menacé de se retirer du marché britannique, refusant de compromettre la sécurité de leurs utilisateurs pour satisfaire une seule juridiction. L’argument technique est difficilement contestable : il n’existe pas de clé maîtresse réservée aux seuls acteurs légitimes. Une porte ouverte pour les forces de l’ordre est, par construction, une porte ouverte pour les cybercriminels et les services de renseignement étrangers.

Le modèle économique des grandes plateformes : un obstacle structurel au Zero-Knowledge

La résistance des grandes plateformes à l’adoption du chiffrement de type Zero-Knowledge ne s’explique pas par une incapacité technique, mais par une incompatibilité économique fondamentale. Des entreprises comme Alphabet et Meta reposent sur des modèles de monétisation fondés sur la collecte systématique de données comportementales. Ce modèle est d’ailleurs implicitement reconnu par le Règlement sur les marchés numériques (DMA) de l’Union européenne, qui qualifie ces « contrôleurs d’accès » (gatekeepers) d’entités dont la position dominante est précisément alimentée par l’accumulation de données à une échelle sans équivalent. Pour ces acteurs, adopter une architecture Zero-Knowledge reviendrait à priver leurs systèmes publicitaires de l’identification continue des utilisateurs qui en constitue le carburant. Il ne s’agit donc pas d’un choix technique, mais d’un arbitrage entre la confidentialité des utilisateurs et la viabilité de leur modèle d’affaires.

Le risque stratégique : la menace « Harvest Now, Decrypt Later »

Au-delà du débat sur la vie privée, l’affaiblissement du chiffrement soulève une question de sécurité nationale d’une tout autre portée. La stratégie dite Harvest Now, Decrypt Later (HNDL) consiste, pour des adversaires étatiques, à intercepter et stocker aujourd’hui des volumes massifs de communications chiffrées, dans l’attente de capacités de déchiffrement quantique futures. En fragilisant les standards de chiffrement actuels, le cadre législatif britannique facilite objectivement ce type d’opérations contre des communications gouvernementales, diplomatiques ou industrielles.

C’est précisément dans ce contexte de déficit de confiance que des écosystèmes comme celui d’Arpokrat acquièrent une pertinence opérationnelle. En opérant sous le régime de la Loi fédérale sur la protection des données (LPD/FADP) suisse, avec une architecture ne collectant aucun identifiant civil, Arpokrat offre une rupture technique d’avec les infrastructures soumises à la juridiction britannique — garantissant que le système reste inaudible face aux injonctions prévues par l’OSA.

Le conflit de normes : OSA et IPA contre le droit européen

L’analyse juridique des nouvelles prérogatives étatiques britanniques révèle une collision directe avec les fondements du droit européen à la protection des données et à la confidentialité des communications.

OSA contre l’interdiction de surveillance généralisée

L’article 121 de l’OSA introduit la possibilité pour OFCOM d’émettre des injonctions contraignant les plateformes à mettre en œuvre un balayage côté client (client-side scanning). Cette mesure contrevient frontalement au principe, issu du droit européen et repris dans la jurisprudence de la CJUE, interdisant les obligations générales de surveillance. En imposant une « vulnérabilité par conception », elle place également les entreprises dans une situation de double contrainte : en affaiblissant leur sécurité pour se conformer à un mandat étatique, elles manquent à leur obligation de garantir un niveau de sécurité approprié au traitement, consacrée par l’article 32 du RGPD.

La Directive ePrivacy et la confidentialité des communications

Le balayage des messages privés entre en contradiction directe avec l’article 5, paragraphe 1, de la Directive 2002/58/CE (ePrivacy), qui oblige les États membres à garantir la confidentialité des communications électroniques et interdit toute forme d’interception ou de surveillance sans le consentement explicite des utilisateurs concernés.

Les Technical Capability Notices et le blocage des mises à jour de sécurité

Sous le régime de l’IPA 2016, le gouvernement britannique entend désormais utiliser les Technical Capability Notices (TCN) pour s’opposer à des mises à jour de sécurité avant leur déploiement. Ce mécanisme crée un conflit insoluble avec l’obligation, posée par l’article 32 du RGPD, d’assurer en continu la sécurité des systèmes de traitement — une obligation qui exige précisément la capacité d’appliquer des correctifs sans délai ni interférence extérieure.

Risques de conformité pour les entreprises opérant en Europe

Les révisions de l’IPA visent à contraindre les entreprises à notifier le gouvernement britannique de toute modification technique affectant la sécurité, avant sa mise en œuvre, lui conférant ainsi un droit de veto sur l’évolution des produits. Cette ingérence crée une insécurité juridique considérable pour les fournisseurs opérant sur le marché européen : l’adéquation britannique au droit européen — déjà fragile — pourrait être remise en cause si le Royaume-Uni ne garantit plus une protection substantiellement équivalente à celle du RGPD. Les transferts de données vers le Royaume-Uni dans ce nouveau cadre seraient dès lors susceptibles d’exposer les entreprises à des sanctions au titre du RGPD.

La défense par l’impossibilité technique : le principe Zero-Knowledge comme bouclier juridique

La jurisprudence internationale, consolidée par les arrêts Schrems I et Schrems II de la CJUE, a établi un principe déterminant : la seule sauvegarde robuste contre une surveillance disproportionnée est l’impossibilité technique d’y accéder. Des architectures Zero-Knowledge déclinent ce principe en trois couches de protection :

Absence de garde : la plateforme ne détenant pas les clés de déchiffrement, toute injonction de balayage des messages est techniquement inopérante ;
Souveraineté du système d’exploitation : le contrôle d’ArpokratOS supprime la télémétrie qui alimente la collecte de renseignements au niveau du terminal ;
Ancrage juridictionnel suisse : en hébergeant son infrastructure en Suisse, Arpokrat opère sous un régime légal exigeant des demandes d’entraide judiciaire individualisées et motivées, neutralisant l’exécution automatisée des balayages de masse prévus par l’OSA.

Conclusion

Les dispositions de l’OSA et les révisions de l’IPA ne constituent pas seulement une menace pour la vie privée des individus : elles représentent une rupture de la sécurité juridique pour l’ensemble des données européennes transitant par des infrastructures soumises à la juridiction britannique. En légitimant la fragilisation du chiffrement au nom de la sécurité publique, Londres expose paradoxalement ses alliés et partenaires commerciaux à des risques d’espionnage industriel et étatique que les architectures Zero-Knowledge sont précisément conçues pour prévenir.

L’intégrité des communications professionnelles et institutionnelles exige désormais une réponse structurelle : la migration vers des écosystèmes décentralisés garantissant la souveraineté numérique, du niveau du code jusqu’à l’ancrage juridictionnel.