Quand l'amende RGPD arrive, l'infrastructure américaine ne partage pas la facture

# Quand l'amende RGPD arrive, l'infrastructure américaine ne partage pas la facture

Le compteur mondial des sanctions RGPD a franchi le cap des 5 milliards de dollars. Le chiffre fait les manchettes. Mais derrière lui se cache une réalité que les DSI européens n'ont pas toujours intégrée : la responsabilité, elle, reste 100 % européenne — même quand les données dorment dans un datacenter américain.

Le terrain avant la théorie

Une ETI industrielle de 800 salariés, implantée dans trois pays de l'Union européenne, secteur de la fabrication de composants techniques. Clientèle B2B, données sensibles — à la fois sur ses clients grands comptes et sur ses propres salariés. Depuis plusieurs années, l'essentiel de son infrastructure bureautique et collaborative repose sur une suite américaine en mode cloud. Messagerie, stockage documentaire, visioconférence, outils de productivité : tout passe par des serveurs dont la localisation exacte est, au mieux, une clause contractuelle à chercher dans un PDF de quatre-vingts pages.

En 2025, un contrôle de la CNIL française — dans le cadre d'une coordination européenne plus large — pointe plusieurs manquements. Rien de spectaculaire au premier regard : des cookies mal configurés, des durées de conservation insuffisamment documentées, et surtout un flux de données vers des sous-traitants dont la chaîne de responsabilité n'est pas clairement établie. La DSI découvre alors ce que beaucoup pressentaient sans l'avoir formalisé : son fournisseur américain principal transfère effectivement certaines données hors UE, dans le cadre de ses propres obligations légales domestiques — notamment au titre de lois américaines qui permettent à des agences fédérales d'accéder à ces données sans notification préalable.

Le fournisseur n'a rien caché. C'est écrit, quelque part. Mais personne n'avait lu, et surtout personne n'avait mesuré ce que cela impliquait au regard du RGPD.

Le verrou contractuel qu'on ne voit pas venir

Première question qui dérange : qui est réellement responsable de traitement dans cette configuration ?

La réponse juridique est sans ambiguïté : l'ETI. Elle est le responsable de traitement. Son fournisseur américain est un sous-traitant au sens de l'article 28 du RGPD. Mais dans la pratique, les contrats proposés par les acteurs dominants américains sont des contrats d'adhésion. On ne les négocie pas. On les accepte ou on part. Et quand une clause autorise des transferts de données vers des tiers dans le cadre du droit américain, l'entreprise européenne qui a signé reste seule en face de son autorité de contrôle.

Le fournisseur, lui, ne risque rien sur le sol européen. Il n'est pas l'objet de la sanction. Il est, tout au plus, un levier de pression dans la négociation d'un règlement — et encore, uniquement si l'ETI a la surface financière et juridique pour l'y contraindre. Ce que font rarement les PME et ETI.

Deuxième question qui dérange : pourquoi personne ne pose cette question avant la signature du contrat de renouvellement ?

Parce que la suite américaine est celle que tout le monde connaît. Elle est celle qu'utilisent les collaborateurs depuis leur précédent employeur. Elle est celle que le cabinet de conseil recommande parce que c'est la « référence du marché ». Elle est celle dont les commerciaux connaissent les décideurs par leur prénom. Le biais de familiarité est un risque opérationnel. Il ne figure dans aucune cartographie de risques.

Ce que l'ETI a fait — et ce que ça révèle

Face au contrôle, l'ETI a engagé une revue complète de ses flux de données. Exercice douloureux, long, coûteux en ressources internes — et révélateur. Elle a découvert que plusieurs catégories de données personnelles transitaient par des services cloud dont elle n'avait pas conscience qu'ils étaient hébergés hors UE. Des intégrations « pratiques » activées par des équipes métier sans validation de la DSI. Des connecteurs entre outils qui créaient des flux invisibles dans l'architecture officielle.

C'est là que le verrouillage technique révèle sa profondeur. Dans un écosystème américain intégré, les données ne voyagent pas seulement vers le service principal. Elles circulent entre les modules, vers les services d'IA intégrés, vers les plateformes d'analyse d'usage. Et chaque intermédiaire est régi par ses propres conditions, elles-mêmes soumises au droit américain.

La DSI a alors évalué une migration partielle vers des outils souverains européens pour les flux les plus sensibles — données RH, données clients stratégiques, documents contractuels. Elle a notamment regardé du côté de Proton for Business pour la messagerie chiffrée et d'une solution de stockage documentaire opérée en France par un acteur certifié SecNumCloud.

Le constat est édifiant : la migration technique est faisable en quelques mois. La migration contractuelle et organisationnelle prend beaucoup plus de temps. Parce qu'il faut former, convaincre, et surtout réécrire des processus entiers qui supposaient implicitement la disponibilité permanente de l'écosystème américain.

La vraie question que personne ne pose en réunion COMEX

Les 5 milliards de sanctions RGPD ne sont pas une anomalie. Ils sont le signal d'une mécanique qui s'emballe : les autorités de contrôle européennes coordonnent de mieux en mieux leurs actions, les amendes montent, et la jurisprudence se solidifie autour d'une interprétation stricte des transferts hors UE.

Dans ce contexte, continuer à externaliser ses données critiques vers une infrastructure dont on ne maîtrise ni la localisation réelle, ni les obligations légales domestiques, ni les sous-traitants de rang 2 et 3, c'est accepter un risque de conformité dont on ne peut pas calculer le plafond.

Mais la question que personne ne pose encore franchement en COMEX, c'est celle-ci : le coût d'une migration vers une infrastructure européenne souveraine est-il supérieur au coût cumulé du risque — amende, procédure, atteinte à la réputation client, perte de marchés publics ?

Pour cette ETI industrielle, la réponse a commencé à se construire dans la douleur d'un contrôle. Elle aurait pu se construire sereinement deux ans plus tôt, lors du dernier renouvellement de contrat.

Ce que les DSI peuvent transférer comme raisonnement

Cette situation n'est pas un cas isolé. Elle est structurelle. Quelques enseignements transférables, sans prétendre à l'exhaustivité :

La cartographie des flux de données n'est pas un exercice RGPD. C'est un exercice de souveraineté. Elle révèle les dépendances réelles, pas celles qu'on croit avoir. Une ETI qui ne sait pas exactement où dorment ses données personnelles ne maîtrise pas son risque.

Un contrat d'adhésion avec un acteur américain dominant n'est pas un accord de co-responsabilité. C'est un transfert unilatéral de risque vers l'entreprise européenne. La clause DPA (Data Processing Agreement) ne protège pas l'ETI face à son autorité de contrôle. Elle documente seulement ce que le fournisseur fera — ou ne fera pas.

La certification SecNumCloud n'est pas un label marketing. Elle est une garantie que le prestataire est soumis exclusivement au droit européen et ne peut pas être contraint de livrer des données à une juridiction étrangère. Pour des données critiques, c'est la seule garantie opposable.

Migrer progressivement est plus réaliste que migrer tout d'un coup. Commencer par les flux les plus sensibles — données RH, données clients, documents contractuels — permet de tester, d'apprendre, et de démontrer en interne que la souveraineté numérique n'est pas synonyme de régression fonctionnelle.

L'angle qu'on évite encore trop souvent

Derrière le sujet RGPD se cache un angle que les directions générales tardent à intégrer : la dépendance à une infrastructure américaine est désormais un risque réglementaire chiffrable. Ce n'est plus une question philosophique sur la souveraineté numérique. C'est une ligne dans l'analyse de risques, avec une probabilité et un impact.

Les 5 milliards de dollars de sanctions cumulées ne sont pas tombés du ciel. Ils sont le résultat de décisions d'achat faites sans considérer ce risque. La prochaine ligne de ce compteur sera peut-être celle d'une ETI qui pensait que le problème ne la concernait pas.

Le fournisseur américain, lui, continuera de vendre. Et de ne pas partager la facture.