Quand une entreprise européenne souscrit un service d’e-mail, elle demande rarement à quelle loi ce service est soumis. Elle s’informe du prix, de l’espace de stockage et de la compatibilité avec Outlook. Et pourtant, c’est cette question qui détermine tout le reste, parce que les données ne vivent pas seulement dans un lieu : elles vivent sous une juridiction. Au cours de la dernière décennie, il est devenu clair que les deux ne coïncident pas forcément.
Deux grammaires différentes
La tradition juridique européenne pense la souveraineté en termes de territoire. La loi s’applique à ce qui se passe à l’intérieur des frontières, et le RGPD a étendu cette logique : les données des Européens voyagent protégées, et ne peuvent quitter l’Union que vers des pays offrant des garanties équivalentes.
La tradition américaine part d’un autre principe. Le critère de rattachement n’est pas le sol, c’est la personne : la nationalité et, surtout, le contrôle. Une société constituée aux États-Unis, ou contrôlée par une société américaine, reste soumise au droit américain où qu’elle opère et où qu’elle stocke ce qu’elle stocke. Ce n’est ni une anomalie ni une manœuvre. C’est ainsi que ce système conçoit sa propre autorité.
Tant que les deux mondes ne se touchaient pas, la différence relevait des manuels. Une fois que toute l’économie s’est mise à vivre sur des serveurs, elle est devenue le problème central de la souveraineté numérique européenne.
Comment le modèle américain a acquis une portée mondiale
Le tournant a eu lieu en octobre 2001. Après le 11 septembre, le Patriot Act a considérablement élargi les pouvoirs de collecte du renseignement, avec un principe implicite qui allait façonner les deux décennies suivantes : en matière de sécurité nationale, l’accès à l’information prime sur les objections de forme.
Ce qui a suivi a été plus décisif que le Patriot Act lui-même. En 2008, la section 702 du FISA a autorisé la collecte des communications de personnes non américaines situées hors des États-Unis, auprès des fournisseurs américains de services électroniques, à des fins de renseignement extérieur. Sans que les cibles en soient informées, et sans qu’elles disposent du moindre moyen de défense comparable à ceux qui existent en Europe.
Notez la construction. La loi ne protège pas moins les étrangers par négligence. Elle les protège moins à dessein, parce que le quatrième amendement est un droit des Américains.
2013 : l’année où le débat a cessé d’être technique
En juin 2013, les révélations d’Edward Snowden ont montré l’ampleur réelle des programmes de collecte. Mais c’est en octobre que la question est passée du débat d’experts à la crise diplomatique : des documents indiquaient que la NSA avait surveillé le téléphone portable d’Angela Merkel. La réaction de la chancelière est entrée dans le vocabulaire européen, « espionner ses amis, cela ne se fait pas », et le malaise entre Berlin et Washington a duré des années.
L’honnêteté sur le détail compte. L’enquête pénale allemande a finalement été close en 2015, parce que les documents disponibles ne permettaient pas de prouver où et comment l’interception avait eu lieu. Ce qui a été prouvé, ce n’est pas le crime. C’est l’asymétrie. Un gouvernement européen a découvert qu’il ne contrôlait pas la confidentialité de ses propres communications, et qu’il n’avait aucun instrument pour s’y opposer.
L’affaire qui a tranché la question pour de bon
La preuve décisive est venue du droit ordinaire, sans scandale. En décembre 2013, un mandat américain a exigé de Microsoft qu’elle remette le contenu d’un compte e-mail. L’entreprise a constaté que les messages se trouvaient dans un centre de données à Dublin et a refusé de les remettre, avec un argument simple : un mandat des États-Unis n’atteint pas un serveur en Irlande. En 2016, la cour d’appel lui a donné raison.
Cela a duré deux ans. En mars 2018, le Congrès a adopté le CLOUD Act, qui oblige les fournisseurs américains à remettre les données en leur possession, sous leur garde ou sous leur contrôle, que ces données se trouvent sur le territoire national ou en dehors. Un nouveau mandat a été émis en vertu de la nouvelle loi, Microsoft s’y est conformée, et la Cour suprême a déclaré l’affaire sans objet.
La leçon est claire et toujours d’actualité : construire un centre de données en Europe ne change pas la juridiction de celui qui l’exploite. L’emplacement physique des serveurs est une réponse à la mauvaise question.
La réponse européenne, trois fois insuffisante
Côté européen, la solution tentée a toujours été la même : un accord politique déclarant les États-Unis destination sûre pour les données.
Le Safe Harbor est tombé en 2015, avec l’arrêt Schrems I. Le Privacy Shield qui l’a remplacé est tombé en 2020, avec Schrems II, la Cour de justice concluant que la législation américaine sur la surveillance n’offrait aux citoyens européens ni garanties équivalentes ni recours effectifs. Le troisième accord, le Data Privacy Framework de 2023, reposait sur un élément essentiel : l’existence d’autorités administratives indépendantes de l’exécutif américain.
En juin 2026, cet élément a été retiré. La décision de la Cour suprême des États-Unis dans l’affaire Trump v. Slaughter a mis fin à l’indépendance de la Federal Trade Commission, et la contestation de l’accord, que beaucoup appellent déjà le futur « Schrems III », est de nouveau en cours.
Trois accords, trois faiblesses de même nature. Non par mauvaise foi de ceux qui les ont négociés, mais parce qu’aucun accord politique ne peut concilier deux définitions incompatibles de la souveraineté.
Ce que cela signifie pour les décideurs
Pour une entreprise ou un organisme public européen, la conclusion pratique est moins dramatique qu’il n’y paraît, et plus concrète.
La question à poser à un prestataire n’est pas où se trouvent les serveurs. C’est à quelle loi l’entité qui les exploite est soumise, et qui la contrôle. Si la réponse implique une société américaine ou une société contrôlée par elle, la conformité de l’organisation dépend alors de la validité d’un accord international qui est déjà tombé deux fois et qui est contesté pour la troisième.
Si la réponse est une société européenne, à capitaux européens et soumise uniquement au droit européen, la question disparaît. Non parce que quelqu’un promet davantage, mais parce qu’il n’existe pas de seconde loi qui revendique un accès.
Pour les professions tenues au secret, le raisonnement est encore plus direct. Un avocat, un médecin ou un administrateur public ne répond pas seulement de ce qu’il divulgue. Il répond de l’architecture qu’il a choisie pour conserver ce qui ne peut pas être divulgué.
La souveraineté numérique n’est pas un drapeau. C’est savoir, précisément, de qui dépend l’infrastructure qui détient les informations de votre organisation.