Souveraineté des données : l’aveu officiel de Microsoft devant le Sénat français

Lors de son audition devant la Commission d’enquête du Sénat le 10 juin 2025, le Directeur des Affaires Juridiques de Microsoft France, a dû répondre sans équivoque à la question de l’applicabilité du droit américain.

𝐋𝐞 𝐜𝐨𝐧𝐬𝐭𝐚𝐭 𝐞𝐬𝐭 𝐧𝐞𝐭, 𝐜𝐨𝐧𝐬𝐢𝐠𝐧é 𝐬𝐨𝐮𝐬 𝐬𝐞𝐫𝐦𝐞𝐧𝐭 :

𝐌. 𝐃𝐚𝐧𝐲 𝐖𝐚𝐭𝐭𝐞𝐛𝐥𝐞𝐝, 𝐫𝐚𝐩𝐩𝐨𝐫𝐭𝐞𝐮𝐫 :  « Pouvez-vous garantir devant notre commission, sous serment, que les données des citoyens français confiées à Microsoft… ne seront jamais transmises à la suite d’une injonction du gouvernement américain, sans l’accord explicite des autorités françaises ? »

𝐌. 𝐀𝐧𝐭𝐨𝐧 𝐂𝐚𝐫𝐧𝐢𝐚𝐮𝐱 : « Non, je ne peux pas le garantir. »

(Extrait du compte rendu de la Commission d’enquête du Sénat disponible
https://lnkd.in/eGT3sCtY

Cette déclaration valide l’incompatibilité juridique entre le Cloud Act américain et les exigences de souveraineté européenne.

1. La Localisation est secondaire : Même hébergées dans un datacenter en France, vos données restent sous la juridiction américaine du fait que l’entreprise est américaine.

2. Le Droit américain prime : En cas d’injonction légale aux États-Unis, Microsoft est légalement tenu de s’y conformer, potentiellement sans que vous ou les autorités françaises ne puissiez l’empêcher.

3. Risque pour les secteurs réglementés : Ce risque est particulièrement critique pour les entreprises (Cabinets d’Avocats, institutions financières, organismes de santé, etc.) qui traitent des données soumises au secret professionnel ou à de fortes réglementations nationales.

𝐀𝐮-𝐝𝐞𝐥à 𝐝𝐮 𝐝𝐫𝐨𝐢𝐭 : 𝐋𝐚 𝐪𝐮𝐞𝐬𝐭𝐢𝐨𝐧 𝐝𝐮 𝐜𝐨𝐧𝐭𝐫ô𝐥𝐞 𝐭𝐞𝐜𝐡𝐧𝐢𝐪𝐮𝐞.

Ce constat juridique soulève une question technique fondamentale pour toutes les sociétés utilisant le cloud de Microsoft :

𝐋𝐚 𝐜𝐚𝐩𝐚𝐜𝐢𝐭é 𝐝’𝐚𝐜𝐜è𝐬 :  Pour pouvoir se conformer à une injonction (comme le Cloud Act), Microsoft doit nécessairement avoir la capacité technique et les clés d’accès pour lire et extraire les données de ses serveurs, quelle que soit leur localisation (même en France).

Dans le contexte géopolitique et économique actuel, est-il raisonnable de confier la lecture et l’extraction potentielle des données critiques à une entité soumise à une législation non-européenne ?