Vos emails archivés chez un hébergeur américain ? La CNIL vient de vous poser une bombe à retardement

# Vos emails archivés chez un hébergeur américain ? La CNIL vient de vous poser une bombe à retardement

Je vais être direct : en 2026, trop de PME et d'ETI européennes stockent encore leurs archives de messagerie chez des opérateurs américains, sans vraiment mesurer ce que ça implique juridiquement, opérationnellement, et souverainement. La récente prise de position de la CNIL sur la reconstitution d'emails — cette pratique qui consiste à recréer des messages supprimés à partir de métadonnées ou de sauvegardes — devrait servir de déclencheur. Pas comme une contrainte supplémentaire à absorber. Comme une opportunité de faire enfin ce qu'on aurait dû faire depuis le RGPD.

Parce que le vrai sujet n'est pas technique. Il est politique.

Ce que la CNIL nous dit, entre les lignes

Quand la CNIL s'intéresse à la reconstitution d'emails, elle touche à quelque chose de fondamental : la maîtrise du cycle de vie de la donnée. Qui peut accéder à quoi, jusqu'à quand, et sous quelle juridiction. Ces questions semblent abstraites jusqu'au jour où elles ne le sont plus — lors d'un contentieux, d'un audit, ou d'une injonction judiciaire.

Or, la plupart des PME européennes que je rencontre n'ont pas de réponse claire à ces questions. Elles savent qu'elles utilisent une suite collaborative américaine, que les emails sont "quelque part dans le cloud", que les sauvegardes sont "gérées automatiquement". Ce flou n'est pas une posture. C'est une réalité opérationnelle héritée de dix ans de facilité d'adoption.

La CNIL, en posant un cadre sur ce que l'on peut ou ne peut pas faire avec des données de messagerie reconstituées, rappelle une vérité simple : une donnée qu'on ne contrôle pas géographiquement et juridiquement, on ne la contrôle pas du tout.

Le Cloud Act, cet invité permanent dans vos archives

Il faut appeler les choses par leur nom. Lorsqu'une entreprise européenne archive ses emails sur une infrastructure opérée par un acteur américain — quelle que soit la localisation physique des serveurs — elle s'expose au Cloud Act américain. Cette loi, adoptée en 2018 et toujours en vigueur, autorise les autorités américaines à exiger l'accès à des données hébergées par des entreprises américaines, y compris hors du territoire des États-Unis.

J'entends souvent la réponse confortable : "On a un DPA en béton, nos données sont en Europe, on est couverts." Non. Un Data Processing Agreement ne neutralise pas le Cloud Act. Ce sont deux régimes juridiques différents, qui peuvent entrer en collision — et dans cette collision, ce n'est pas le RGPD qui gagne systématiquement.

Ce n'est pas une hypothèse théorique. C'est une réalité que les juristes spécialisés en droit numérique connaissent bien, et que nos DSI devraient intégrer dans leur cartographie des risques au même titre qu'une vulnérabilité CVE critique.

NIS2 et DORA, qui s'appliquent désormais à un spectre élargi d'organisations, renforcent cette logique : la résilience opérationnelle et la maîtrise des chaînes de dépendance ne sont plus optionnelles. L'archivage de messagerie fait partie de cette chaîne. C'est une infrastructure critique déguisée en commodité.

La reconstitution d'emails : un révélateur des angles morts

Ce qui rend la problématique de la reconstitution d'emails particulièrement intéressante, c'est qu'elle expose les angles morts de la gouvernance des données en entreprise.

Dans combien de PME le DSI sait-il précisément ce qui est archivé, pendant combien de temps, avec quels droits d'accès, et selon quelles politiques de rétention automatique ? Dans combien d'ETI existe-t-il une procédure documentée pour répondre à une demande de droit d'accès ou d'effacement portant sur des emails archivés ?

Je pense que la réponse honnête, dans la majorité des cas, est : personne ne sait vraiment. Et c'est précisément là que le bât blesse. Parce qu'une donnée mal gouvernée est une donnée vulnérable — à la fuite, à l'injonction étrangère, à la sanction réglementaire.

La reconstitution d'email n'est pas qu'un sujet RGPD. C'est un sujet de cybersécurité. Des archives de messagerie mal protégées ou mal localisées constituent une surface d'attaque. Les campagnes de spear phishing les plus sophistiquées s'appuient sur des informations historiques précises. Qui a accès à vos archives ? Depuis où ? Avec quelle authentification ?

Ce que "souverain" veut dire concrètement ici

Souveraineté numérique, ça sonne souvent comme un slogan. Je vais donc être précis sur ce que ça signifie dans le contexte de l'archivage de messagerie pour une PME ou une ETI européenne.

Cela signifie : savoir exactement où sont vos données, sous quelle juridiction elles tombent, qui peut y accéder sans votre consentement, et à quelle vitesse vous pouvez les récupérer ou les détruire si nécessaire. Cela signifie aussi pouvoir répondre à un audit CNIL ou à une due diligence d'acquisition sans passer trois semaines à reconstituer une cartographie depuis zéro.

Des acteurs européens existent pour répondre à ce besoin. Idera — via sa filiale européenne Zix — ou des opérateurs comme Oodrive proposent des solutions d'archivage de messagerie conformes, opérées sous droit européen. Ce ne sont pas des alternatives de confort. Ce sont des choix stratégiques.

Je ne dis pas que la migration est simple. Je dis qu'elle est nécessaire, et que 2026 est une année où le cadre réglementaire — CNIL, NIS2, DORA — crée à la fois la contrainte et le justificatif budgétaire pour la financer. C'est le moment de porter ce sujet en CODIR, pas comme un projet IT, mais comme un enjeu de gouvernance.

La décision ne devrait plus appartenir uniquement au DSI

C'est peut-être là mon message le plus fort : l'archivage de messagerie est devenu un sujet de direction générale. Le risque juridique lié à une injonction étrangère, le risque réglementaire d'une non-conformité RGPD sur les durées de rétention, le risque cyber d'une archive mal sécurisée — aucun de ces risques n'est purement technique.

Le DSI ou le RSSI peut identifier le problème. Il ne peut pas le résoudre seul si la direction générale ne comprend pas ce qu'elle signe chaque fois qu'elle renouvelle un contrat avec un opérateur américain sans poser les bonnes questions.

La CNIL, en remettant la reconstitution d'emails sur la table, nous offre un point d'entrée concret pour cette conversation. Saisissons-le. Pas pour cocher une case de conformité. Pour reprendre la main sur quelque chose qui nous appartient : nos communications professionnelles, notre mémoire organisationnelle, notre données.

En Europe, sous droit européen. Rien de moins.