Souveraineté des données : l’aveu de Microsoft devant le Sénat

Lors de son audition devant la Commission d’enquête du Sénat le 10 juin 2025, le Directeur des Affaires Juridiques de Microsoft France a dû répondre sans équivoque à la question de l’applicabilité du droit américain.

Le constat est net, consigné sous serment

M. Dany Wattebled, rapporteur : « Pouvez-vous garantir devant notre commission, sous serment, que les données des citoyens français confiées à Microsoft… ne seront jamais transmises à la suite d’une injonction du gouvernement américain, sans l’accord explicite des autorités françaises ? »

M. Anton Carniaux : « Non, je ne peux pas le garantir. »

(Extrait du compte rendu de la Commission d’enquête du Sénat, disponible ici : https://lnkd.in/eGT3sCtY)

Ce que cette déclaration implique pour vos données

Cette déclaration valide l’incompatibilité juridique entre le Cloud Act américain et les exigences de souveraineté européenne.

1. La localisation est secondaire : même hébergées dans un datacenter en France, vos données restent sous la juridiction américaine du fait que l’entreprise est américaine.
2. Le droit américain prime : en cas d’injonction légale aux États-Unis, Microsoft est légalement tenu de s’y conformer, potentiellement sans que vous ou les autorités françaises ne puissiez l’empêcher.
3. Risque pour les secteurs réglementés : ce risque est particulièrement critique pour les entreprises (cabinets d’avocats, institutions financières, organismes de santé, etc.) qui traitent des données soumises au secret professionnel ou à de fortes réglementations nationales.

Au-delà du droit : la question du contrôle technique

Ce constat juridique soulève une question technique fondamentale pour toutes les sociétés utilisant le cloud de Microsoft.

La capacité d’accès : pour pouvoir se conformer à une injonction (comme le Cloud Act), Microsoft doit nécessairement avoir la capacité technique et les clés d’accès pour lire et extraire les données de ses serveurs, quelle que soit leur localisation (même en France).

Dans le contexte géopolitique et économique actuel, est-il raisonnable de confier la lecture et l’extraction potentielle des données critiques à une entité soumise à une législation non européenne ?