Qu'est-ce que le CLOUD Act ?

Le CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adopté en 2018 aux États-Unis, oblige toute entreprise américaine à fournir aux autorités US toute donnée qu'elle détient, y compris celles hébergées en Europe. Cette loi s'applique à Microsoft, Google, Amazon, Salesforce, DocuSign, Adobe, PandaDoc.

Qu'est-ce que l'arrêt Schrems II ?

Décision de la CJUE du 16 juillet 2020 qui a invalidé le Privacy Shield, l'accord qui encadrait les transferts de données personnelles UE→US. Depuis, tout transfert vers un prestataire soumis au CLOUD Act nécessite des garanties supplémentaires (SCC + analyse d'impact) très difficiles à mettre en œuvre en pratique.

DocuSign est-il soumis au CLOUD Act ?

Oui. DocuSign Inc. est une société américaine (siège San Francisco), donc soumise au CLOUD Act. Même si vous utilisez leur datacenter européen, la maison-mère US peut être contrainte par la justice américaine de fournir vos documents signés.

Puis-je utiliser DocuSign en étant RGPD-compliant ?

En théorie oui, avec des Standard Contractual Clauses (SCC) et une analyse d'impact (TIA) prouvant que le risque CLOUD Act est mitigé. En pratique, la CNIL et l'EDPS considèrent que c'est très difficile à démontrer pour des données sensibles (contrats, PII). Le risque juridique reste élevé.

Comment Infrasign résout ce problème ?

Infrasign est une SARL française (INFRANAT), avec des serveurs 100% en France (OVHcloud, Scaleway), aucun sous-traitant hors UE, et n'est PAS soumise au CLOUD Act. Vos données sont hors de portée des autorités US. Conformité RGPD native, sans SCC ni TIA à gérer.

Analyse juridique

CLOUD Act vs RGPD : le conflit

Pourquoi DocuSign, PandaDoc, Adobe Sign et Dropbox Sign posent un risque juridique concret pour vos contrats — et comment y échapper.

Le CLOUD Act en 3 phrases

Adopté en mars 2018 par le Congrès US, le Clarifying Lawful Overseas Use of Data Act oblige toute entreprise américaine à fournir aux autorités US les données qu'elle détient, peu importe où ces données sont physiquement stockées. Un juge fédéral américain peut donc exiger de Microsoft, Google, Amazon, Salesforce, DocuSign ou Adobe qu'ils transmettent vos contrats hébergés dans un datacenter européen. Et il est interdit à l'entreprise de vous en informer (gag order).

Le conflit direct avec le RGPD

Le RGPD (article 48) interdit les transferts de données personnelles vers un pays tiers sans base juridique conforme. Un ordre CLOUD Act n'est PAS une base juridique valable au sens du RGPD. Résultat : quand DocuSign transmet vos contrats aux autorités US, votre entreprise viole potentiellement le RGPD, même si vous n'y êtes pour rien.

Schrems II a enterré le compromis

Le 16 juillet 2020, la CJUE a invalidé le Privacy Shield qui encadrait les transferts UE→US. Depuis, la seule voie de conformité est de mettre en place des Standard Contractual Clauses (SCC) + une analyse d'impact (Transfer Impact Assessment) qui doit démontrer que le prestataire US peut résister à un ordre CLOUD Act — ce qui est, dans les faits, impossible à garantir sérieusement.

Position officielle CNIL (2022) — Recommandation d'éviter les prestataires soumis au CLOUD Act pour les données sensibles. La CNIL a déjà sanctionné plusieurs entreprises françaises pour usage de Google Analytics (même logique) : jusqu'à 4% du CA mondial d'amende théorique.

Qui est soumis au CLOUD Act ?

Prestataire signature	Nationalité	CLOUD Act	Risque RGPD
Infrasign	🇫🇷 France	❌ Non	Aucun
Yousign / Youtrust	🇫🇷 France	❌ Non	Aucun
Universign	🇫🇷 France	❌ Non	Aucun
DocuSign	🇺🇸 USA	✅ OUI	Élevé
PandaDoc	🇺🇸 USA	✅ OUI	Élevé
Adobe Sign	🇺🇸 USA	✅ OUI	Élevé
Dropbox Sign (HelloSign)	🇺🇸 USA	✅ OUI	Élevé

Ce qu'un DPO doit retenir

Choisir un prestataire de signature électronique hors CLOUD Act vous simplifie massivement la conformité RGPD :

✅ Pas besoin de SCC à négocier et maintenir
✅ Pas d'analyse d'impact (TIA) à produire
✅ Aucun risque de sanction CNIL (Google Analytics-style)
✅ Registre des traitements simplifié
✅ DPA article 28 direct, sans clauses d'exception

Sortez du risque CLOUD Act

Signature électronique française, hébergée en France, hors juridiction US.

Essai gratuit Voir nos engagements