L'Europe régule les géants du cloud : panorama des dispositifs en place
Une entreprise française souhaitant confier ses données à un fournisseur américain doit désormais vérifier si ce transfert respecte le règlement général sur la protection des données (RGPD). Un hôpital public allemand, lui, doit s'assurer que son hébergeur de données de santé est certifié selon les exigences de l'Union européenne. Ces situations concrètes illustrent un mouvement plus large : l'Europe construit un cadre réglementaire qui s'applique directement aux acteurs du cloud computing.
Le RGPD comme socle commun de protection des données
Le RGPD, entré en application en 2018, constitue la première brique de cette régulation. Il impose des obligations strictes à tout fournisseur de services cloud qui traite des données de résidents européens, quelle que soit sa localisation géographique. Les transferts de données hors de l'Union européenne sont encadrés par des mécanismes spécifiques, comme les clauses contractuelles types ou les décisions d'adéquation.
Ce texte a créé un précédent. Il a donné naissance à des sanctions financières significatives à l'encontre de grandes entreprises technologiques, ce qui a obligé les géants du cloud à revoir leurs conditions contractuelles et leurs garanties de confidentialité.
Le Data Act et le Data Governance Act : encadrer l'accès et le partage des données
Deux règlements plus récents complètent ce dispositif. Le Data Governance Act (DGA), applicable depuis septembre 2023, organise la réutilisation des données détenues par le secteur public et encourage le partage volontaire de données entre entreprises. Il crée également un statut spécifique pour les intermédiaires de données, censés faciliter les échanges sans favoriser un acteur dominant.
Le Data Act, entré en vigueur en 2024, va plus loin. Il clarifie les droits des utilisateurs de services cloud : ils peuvent récupérer leurs données facilement, changer de fournisseur sans frais excessifs, et bénéficier d'une interopérabilité minimale entre services. Ce texte vise directement à réduire l'effet de verrouillage que peuvent exercer les grands fournisseurs sur leurs clients.
Le Digital Markets Act : discipliner les plateformes essentielles
Le Digital Markets Act (DMA) s'attaque à un autre angle : la position de force des grandes plateformes. Les fournisseurs de cloud qui remplissent les critères de « contrôleur d'accès » – taille, influence sur le marché, nombre d'utilisateurs – se voient imposer des obligations spécifiques. Ils doivent notamment garantir un traitement équitable des entreprises clientes, ne pas utiliser les données de celles-ci à leur propre avantage, et permettre une concurrence loyale sur leurs services. Plus de détails sur Vivo Green.
Ce règlement cible principalement les entreprises qui combinent cloud, systèmes d'exploitation, magasins d'applications et services publicitaires. L'objectif est d'empêcher qu'un acteur dominant n'étende son pouvoir de marché d'un secteur à l'autre.
Les limites et les zones d'incertitude du cadre européen
Ce dispositif réglementaire présente toutefois des limites. Son application effective dépend des autorités nationales de concurrence et de protection des données, dont les moyens et les priorités varient selon les États membres. Les textes européens fixent des objectifs, mais leur interprétation concrète peut différer d'un pays à l'autre.
Par ailleurs, la question de la souveraineté technologique n'est pas entièrement résolue. Les réglementations européennes ne créent pas d'opérateur cloud européen ; elles encadrent les pratiques des acteurs existants, majoritairement américains. Les entreprises publiques et privées doivent toujours arbitrer entre la conformité réglementaire, les coûts de mise en œuvre et les performances techniques proposées par les différents fournisseurs. Le cadre juridique évolue rapidement, ce qui laisse une part d'incertitude pour les organisations qui planifient leurs investissements sur le long terme.
