Sommaire
Utiliser un SaaS américain reste légal : depuis 2023, une décision d’adéquation couvre les entreprises certifiées au Data Privacy Framework. Mais ce cadre est contesté devant la Cour de justice de l’UE et le CLOUD Act s’applique même aux données stockées en Europe : pour vos données sensibles, préférez un hébergeur européen.
Votre CRM, votre outil RH ou votre plateforme de support sont peut-être édités par une société américaine. Est-ce un problème pour vos données sensibles ? La réponse honnête est « ça dépend des données » et le cadre juridique a bougé plusieurs fois en dix ans. Voici ce qu’il dit aujourd’hui, les risques concrets et comment décider outil par outil. Cette page est factuelle et renvoie aux textes officiels (relevés en octobre 2026) : elle ne remplace pas l’avis d’un juriste ou de votre DPO.
Le cadre juridique en octobre 2026
Le RGPD interdit en principe de transférer des données personnelles hors de l’Union européenne, sauf si le pays de destination offre un niveau de protection jugé adéquat ou si des garanties appropriées sont en place (chapitre V du règlement (UE) 2016/679).
Pour les États-Unis, l’histoire est mouvementée. Le Privacy Shield a été invalidé par la Cour de justice de l’UE en 2020 (arrêt dit Schrems II). La Commission européenne a ensuite adopté, le 10 juillet 2023, une nouvelle décision d’adéquation : la décision d’exécution (UE) 2023/1795, dite Data Privacy Framework.
Ce que la CNIL en retient dans ses questions-réponses sur l’adéquation des États-Unis :
- la décision ne couvre que les entreprises américaines certifiées et inscrites sur la liste officielle ;
- pour les autres, il faut des garanties appropriées (par exemple les clauses contractuelles types) et une analyse au cas par cas du niveau de protection.
Le cadre est contesté. Le Tribunal de l’Union européenne a rejeté le recours en annulation du député Philippe Latombe le 3 septembre 2025 (affaire T-553/23). Un pourvoi a été formé devant la Cour de justice fin octobre 2025 ; à ma connaissance, il n’était pas jugé à la date de ce relevé. Une invalidation, comme en 2020, obligerait à revoir les contrats du jour au lendemain.
| Situation de l’éditeur | Base juridique du transfert | Ce que vous devez faire |
|---|---|---|
| Américain, certifié Data Privacy Framework | Décision d’adéquation 2023/1795 | Vérifier la certification, la mentionner dans votre registre |
| Américain, non certifié | Clauses contractuelles types ou autre garantie de l’article 46 | Signer les clauses, évaluer le niveau de protection |
| Européen, hébergement dans l’UE, sans maison mère hors UE | Pas de transfert hors UE | Contrat de sous-traitance RGPD classique |
| Offre qualifiée SecNumCloud | Pas de transfert, protection contre les lois extra-européennes | Réservé aux besoins les plus sensibles |
Le point que l’on oublie : le CLOUD Act
Beaucoup d’éditeurs américains proposent un hébergement « en Europe ». C’est utile, mais cela ne règle pas tout. Le CLOUD Act, voté en 2018, a modifié la loi américaine pour obliger les fournisseurs à communiquer les données en leur possession, sous leur garde ou sous leur contrôle, que ces données soient situées aux États-Unis ou à l’extérieur, comme l’explique le livre blanc du ministère de la Justice américain.
Ces demandes passent par une procédure judiciaire et visent des enquêtes précises : il ne s’agit pas d’un accès libre. Mais pour des secrets industriels, des données de santé ou un dossier sensible, la simple possibilité peut être inacceptable pour vous ou pour vos clients.
C’est la raison d’être de la qualification SecNumCloud de l’ANSSI : sa foire aux questions indique que le prestataire doit être soumis exclusivement au droit de l’Union, avec un siège dans l’UE, des actionnaires non européens minoritaires et des données localisées dans l’UE.
Évaluer le risque, donnée par donnée
Le bon réflexe n’est pas de tout quitter, mais de classer :
- Données courantes (agenda, échanges commerciaux ordinaires) : un SaaS américain certifié est généralement acceptable, avec une documentation propre.
- Données personnelles sensibles (santé, RH détaillées, données d’opinion) : à examiner de près. L’hébergement de données de santé à caractère personnel relève par exemple d’un régime spécifique, avec un hébergeur certifié, prévu par l’article L1111-8 du code de la santé publique.
- Secrets d’affaires (formules, tarifs négociés, plans) : le risque n’est pas seulement juridique, il est stratégique.
- Exigence d’un client : de plus en plus de grands comptes et d’acheteurs publics demandent où sont les données et sous quel droit.
Ce que permet le sur-mesure et ce que ça coûte
Une application sur-mesure vous laisse choisir l’hébergeur : un acteur européen, une région précise, voire une offre qualifiée si le besoin l’exige. Le code et les données vous appartiennent, ce qui facilite un changement d’hébergeur plus tard. Ma stack habituelle (Supabase, PostgreSQL) peut s’héberger dans l’UE ; le choix exact de l’hébergeur et de son actionnariat se fait au cadrage, selon votre niveau d’exigence.
| Besoin | Repère de prix | Délai |
|---|---|---|
| Faire le point sur un outil existant et ses flux de données | Audit express 589€HT, audit complet 1 990€HT | Quelques jours à 7 jours |
| Application métier ciblée qui remplace un SaaS pour les données sensibles | 6 000 à 20 000€HT | 1 à 3 mois |
| Reprise des données depuis l’outil actuel | Brique reprise de données : 800€HT dans l’estimateur | Incluse dans le planning |
L’hébergement reste à votre charge, de quelques dizaines à quelques centaines d’euros par an selon l’offre. L’estimateur donne une fourchette pour votre cas et la page sur l’hébergement en France ou dans l’UE détaille les options.
Quand garder votre SaaS américain
Je le dis franchement : pour la plupart des outils de bureautique, de visioconférence ou de marketing, un éditeur américain certifié reste un choix raisonnable et le remplacer coûterait plus que le risque. Gardez-le si les données sont courantes, si l’éditeur est certifié, si vos contrats sont à jour et si aucun client ne vous impose autre chose. Le sur-mesure se justifie pour un périmètre précis : le module RH, le dossier client sensible, l’outil qui manipule vos secrets d’affaires. Il peut d’ailleurs compléter un logiciel existant sans le remplacer.
Par où commencer
- Listez vos outils et, pour chacun, le pays de l’éditeur, le lieu d’hébergement et le type de données.
- Vérifiez la certification des éditeurs américains sur la liste officielle et vos clauses contractuelles.
- Isolez les données vraiment sensibles : ce sont elles qui justifient éventuellement un outil dédié.
- Faites valider l’analyse par votre DPO ou un juriste, puis chiffrez l’option sur-mesure pour ce seul périmètre.
Questions fréquentes
Un SaaS américain hébergé dans un centre de données en France est-il protégé du droit américain ?
Pas entièrement. Selon le ministère de la Justice américain, le CLOUD Act impose aux fournisseurs soumis au droit américain de communiquer les données qu’ils détiennent ou contrôlent, quel que soit le lieu de stockage. La localisation en France réduit d’autres risques, mais pas celui-là.
Comment vérifier qu’un éditeur américain est couvert par le Data Privacy Framework ?
La CNIL indique de consulter la liste officielle du département du Commerce américain sur dataprivacyframework.gov et de vérifier la fiche de l’entreprise : entités couvertes, filiales comprises et catégories de données (commerciales, ressources humaines). Si l’éditeur n’y figure pas, il faut d’autres garanties, comme les clauses contractuelles types.
Faut-il quitter tous ses outils américains ?
Non. Pour une messagerie, un outil de visioconférence ou un CRM sans données sensibles, le risque est souvent acceptable et documentable. La question se pose surtout pour les données de santé, les données RH détaillées, les secrets industriels, ou quand un client ou un marché public l’exige.
Qu’est-ce que la qualification SecNumCloud ?
C’est une qualification délivrée par l’ANSSI aux offres de cloud qui respectent un référentiel exigeant, avec des critères pour protéger les données des lois extra-européennes : siège dans l’UE, capital majoritairement européen, données localisées dans l’UE. Elle est surtout exigée dans la sphère publique et pour des données très sensibles.