RGPD, CLOUD Act et hébergement : ce qui change pour une PME belge

Un serveur situé en Europe ne suffit pas. Le CLOUD Act américain ne regarde pas où sont les machines : il regarde si le prestataire relève de la juridiction des États-Unis et s’il a la « possession, la garde ou le contrôle » des données. Voici ce qui a changé depuis 2024, ce qu’une PME belge doit réellement faire, et les trois questions à poser à son hébergeur.

Article rédigé le 13 septembre 2026. Il n’est pas un avis juridique : nous ne sommes pas avocats. Chaque affirmation renvoie à un texte ou à une décision que vous pouvez vérifier. Pour une situation particulière — et surtout pour une profession à secret professionnel — consultez un conseil.

Ce que dit exactement le CLOUD Act

Le texte tient en une phrase, à l’article 18 U.S.C. § 2713. Un fournisseur de service de communication électronique ou d’informatique à distance doit préserver et divulguer le contenu des communications et les informations relatives à un client qui se trouvent en sa « possession, custody, or control » — et ce, « regardless of whether » ces informations « is located within or outside of the United States ».

Traduit : la localisation des données est juridiquement indifférente. Héberger en Belgique ne soustrait rien au CLOUD Act si le prestataire y est soumis.

Une précision qu’on lit rarement et qui compte. On dit souvent que le CLOUD Act « vise la nationalité du prestataire ». C’est juste dans le résultat, imprécis dans le motif, et un juriste vous reprendra. Le critère exact est double : la juridiction personnelle américaine sur le prestataire, et la possession, garde ou contrôle des données par lui. Une entreprise sans rattachement réel aux États-Unis sort du champ. Pour les grands acteurs — Amazon, Microsoft, Google, Oracle — la question ne se pose pas : ils sont incontestablement dedans.

Et la filiale européenne d’un groupe américain ?

Il n’y a pas de réponse tranchée, et méfiez-vous de quiconque vous en donne une. Le Comité européen de la protection des données et le Contrôleur européen, dans leur réponse conjointe à la commission LIBE du Parlement en juillet 2019, listaient précisément cette question comme non résolue : comment la notion de « contrôle » doit-elle s’interpréter à l’égard des sociétés affiliées de groupes américains établies dans l’Union. Sept ans plus tard, elle l’est toujours.

La notion de possession, custody, or control est une notion procédurale américaine ancienne, appliquée au cas par cas : contrôle capitalistique, capacité technique effective d’accès, pouvoir de direction de la maison mère. Il n’existe aucune règle automatique dans un sens ou dans l’autre.

Le fait le plus parlant sur ce point ne vient pas d’une ONG mais du prestataire lui-même. Le 18 juin 2025, devant la commission d’enquête du Sénat français sur la souveraineté numérique, le directeur des affaires publiques et juridiques de Microsoft France, interrogé sous serment sur sa capacité à garantir que des données de citoyens français ne soient pas transmises au gouvernement américain sans accord français, a répondu : « Non, je ne peux pas le garantir » — en ajoutant que cela ne s’était jamais produit.

Ce que l’Europe oppose — et c’est nouveau

Le CLOUD Act ne s’applique pas dans le vide. Deux textes européens créent un conflit de lois frontal, et l’un des deux est récent.

L’article 48 du RGPD : une décision d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant la communication de données personnelles « ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit » qu’à condition d’être fondée sur un accord international en vigueur, tel qu’un traité d’entraide judiciaire. Le CEPD en a publié la lecture définitive le 5 juin 2025 (lignes directrices 02/2024), qui traite spécifiquement du cas du sous-traitant destinataire d’une demande et de celui de la société mère d’un pays tiers réclamant des données à sa filiale européenne.

L’article 32 du Data Act (règlement (UE) 2023/2854), applicable depuis le 12 septembre 2025. C’est le vrai changement, et peu de PME le savent. Le fournisseur de service de traitement de données doit désormais prendre « toutes les mesures techniques, organisationnelles et juridiques adéquates » pour empêcher un accès gouvernemental d’un pays tiers contraire au droit de l’Union ; à défaut d’accord international, il ne doit transmettre que le minimum de données et doit vous informer au préalable, sauf impératif répressif.

Concrètement : depuis un an, votre hébergeur a une obligation positive de résistance et d’information, que vous pouvez lui opposer contractuellement. C’est la base légale de la troisième question, plus bas.

Ce qui reste honnêtement incertain : personne n’a tranché ce conflit de lois. Un prestataire pris entre un ordre américain et une interdiction européenne est exposé des deux côtés, et aucune juridiction européenne n’a encore sanctionné un hébergeur pour avoir obtempéré.

Le transfert vers les États-Unis : trois fissures ouvertes en même temps

Réponse courte : le Data Privacy Framework est toujours en vigueur en septembre 2026. Il n’est pas sûr pour autant.

Date	Événement
10 juillet 2023	Décision d’adéquation (UE) 2023/1795 — Data Privacy Framework
3 septembre 2025	Le Tribunal de l’UE rejette le recours en annulation (aff. T-553/23, Latombe)
31 octobre 2025	Pourvoi devant la Cour de justice — affaire C-703/25 P, toujours pendante
juin 2026	La Cour suprême des États-Unis met fin à la protection des membres des agences fédérales indépendantes contre une révocation sans motif — dont la FTC, pilier de l’adéquation
31 juillet 2026	Le CEPD écrit à la Commission européenne et lui demande d’examiner si cette décision affecte la validité du DPF

Une décision d’adéquation reste valable tant que la Commission ne la retire pas et que les juridictions de l’Union ne l’annulent pas. Le DPF n’a été ni annulé, ni suspendu. Mais un pourvoi est pendant, le régulateur européen lui-même demande un réexamen, et le pilier d’indépendance sur lequel l’adéquation était bâtie vient d’être érodé aux États-Unis.

La conclusion à en tirer n’est pas « fuyez ». C’est celle-ci : une PME qui repose aujourd’hui sur le DPF seul, sans clauses contractuelles types ni analyse d’impact des transferts en réserve, a construit sa conformité sur une base qui a déjà été renversée deux fois — Safe Harbor en 2015, Privacy Shield en 2020 — et qui est contestée une troisième. Le travail utile est de cartographier ses flux vers les États-Unis et de préparer un repli, pas d’attendre l’arrêt.

Ce qu’une PME belge doit avoir, concrètement

Deux documents. Ce sont les deux premiers que l’Autorité de protection des données demande en cas de contrôle.

1. Le contrat de sous-traitance (article 28 du RGPD). Il doit fixer l’objet, la durée, la nature et la finalité du traitement, le type de données ; le traitement sur instruction documentée, y compris pour les transferts hors UE ; la confidentialité ; les mesures de sécurité ; l’interdiction de recruter un sous-traitant ultérieur sans votre autorisation écrite, avec information préalable de tout changement pour que vous puissiez vous y opposer ; l’assistance en cas de violation de données ; la suppression ou la restitution en fin de contrat ; et la possibilité d’audit.

2. Le registre des activités de traitement (article 30). Attention au piège le plus répandu : l’exemption pour les organisations de moins de 250 personnes est très étroite. Elle ne joue que si le traitement est occasionnel et sans risque pour les droits des personnes et sans données sensibles. L’APD l’écrit dans son propre vade-mecum pour les PME. En pratique, dès qu’une entreprise a des salariés, elle traite de façon systématique : quasiment aucune PME belge n’en bénéficie.

Une proposition de la Commission — le « Digital Omnibus » du 22 mai 2025 — prévoit de relever ce seuil de 250 à 750 salariés, sauf traitements à haut risque. Elle était encore en trilogue au printemps 2026 : proposée, pas adoptée. Le droit applicable reste le seuil de 250.

Ce que risque réellement une PME belge

Pas 20 millions d’euros. C’est le plafond théorique du RGPD, et l’écrire pour effrayer est malhonnête. Voici ce que montrent les chiffres de l’Autorité.

En 2022, la Chambre Contentieuse a rendu 189 décisions pour un total de 738 900 € d’amendes sur l’année — l’ordre de grandeur belge est celui-là, pas celui des gros titres. En 2025, l’APD a reçu 1 394 plaintes, en hausse de 67 % sur un an. Les sanctions récentes donnent l’échelle : environ 120 000 € pour une entreprise s’étant qualifiée à tort de sous-traitant alors qu’elle était responsable du traitement ; environ 176 000 € pour la conservation de la boîte mail d’un ex-salarié pendant plus d’un an.

Un développement à connaître : en mai 2026, le président de l’APD a annoncé que l’Autorité passerait désormais, pour certains cas, par le tribunal pénal plutôt que par la voie administrative — en reprochant ouvertement à la Cour des marchés d’avoir réduit en appel des amendes lourdes jusqu’à l’euro symbolique, privant les sanctions de tout effet dissuasif.

Pour une PME, le risque réel n’est donc pas l’amende maximale. C’est : une procédure ouverte sur la plainte d’un ex-salarié ou d’un client mécontent — de loin la source la plus fréquente ; un ordre de mise en conformité assorti d’un délai court ; la publication de la décision, avec son effet sur la réputation. Et le déclencheur le plus banal reste l’incapacité à produire, sur demande, le contrat de sous-traitance et le registre.

Les professions à secret professionnel : ce n’est plus un confort

Pour un avocat, un médecin, un notaire ou un expert-comptable, le choix d’hébergeur ne relève pas seulement du RGPD : il touche à l’article 458 du Code pénal, qui sanctionne la violation du secret professionnel. Les deux obligations se cumulent.

Notaires — le texte le plus contraignant. Le code de conduite de la Chambre nationale des notaires du 28 janvier 2021, approuvé par arrêté royal du 24 juillet 2021, est un code de conduite au sens de l’article 40 du RGPD rendu obligatoire par voie réglementaire. Il désigne nommément comme sous-traitants à encadrer par contrat : le fournisseur du logiciel de gestion de dossiers, celui du logiciel comptable, le fournisseur de sauvegarde et le gestionnaire du parc informatique. Il impose le chiffrement des sauvegardes, des serveurs à accès restreint, un accès à distance des techniciens soumis à accord préalable, et la désignation d’un DPO.

Avocats. Le vade-mecum « L’avocat et le RGPD » d’AVOCATS.BE pose une phrase que tout le monde devrait lire : le respect du secret professionnel « ne peut suffire à garantir sa conformité ». Le secret ne dispense pas du RGPD, et réciproquement. Côté néerlandophone, l’Orde van Vlaamse Balies est plus explicite encore sur notre sujet : l’avocat ne peut recourir qu’à des sous-traitants prenant des mesures appropriées, à vérifier avant la signature ; et lorsque les données sont stockées hors de l’Espace économique européen, en particulier aux États-Unis, des mesures supplémentaires suffisantes doivent être prises.

Médecins. Les lignes directrices du Conseil national de l’Ordre du 27 avril 2019 sont nettes : la collaboration avec un tiers doit être établie dans un contrat de sous-traitance, et — phrase à retenir — « le médecin reste responsable si le logiciel ne satisfait pas aux exigences légales ». Tout médecin doit tenir un registre mentionnant notamment le lieu de stockage des données, sans que l’Ordre reprenne l’exemption des 250 salariés : pour un médecin isolé, c’est une obligation déontologique autonome. Un avis plus ancien de l’Ordre demande que les données médicales ne soient confiées qu’à des sociétés établies dans l’Union européenne — mais il est antérieur au RGPD et se réfère à la directive de 1995, aujourd’hui abrogée : il exprime une position de l’Ordre, pas une norme en vigueur telle quelle.

Experts-comptables. L’ITAA recommande de traiter l’environnement logiciel comme une « chaîne de données » et de s’assurer que chaque fournisseur est contractuellement encadré, de limiter l’usage de l’e-mail et de faire transiter les documents sensibles par des canaux sécurisés à expiration plutôt que par des archives dans le nuage.

Le constat transversal est important : la Belgique n’a pas d’équivalent de la certification française HDS pour les données de santé, ni d’aucune certification sectorielle d’hébergement. L’obligation passe donc indirectement par le secret professionnel, les articles 28 et 32 du RGPD et les codes de déontologie. C’est plus exigeant en responsabilité, et beaucoup moins lisible en pratique.

NIS2 : ce qui vous concerne, et ce qui ne vous concerne pas

La Belgique a été le premier État membre à transposer NIS2 : loi du 26 avril 2024, arrêté royal du 9 juin 2024, en vigueur le 18 octobre 2024. L’autorité est le Centre pour la Cybersécurité Belgique.

La grande majorité des PME belges — moins de 50 personnes et moins de 10 M€ — n’est pas directement soumise à NIS2. Écrire l’inverse serait faux, et c’est pourtant écrit partout. Restent des exceptions qui s’appliquent quelle que soit la taille : administrations publiques, prestataires de services de confiance, registres de noms de domaine, fournisseurs de services DNS.

Mais deux canaux indirects comptent, et ceux-là vous atteignent :

• La chaîne d’approvisionnement. Les entités NIS2 doivent sécuriser leurs fournisseurs et peuvent leur imposer des exigences par contrat. Une PME qui travaille pour un hôpital, une commune, un opérateur d’énergie ou une banque se verra imposer NIS2 par son client. Le CCB recommande à ces fournisseurs le niveau Basic du référentiel CyberFundamentals.
• Votre hébergeur, lui, est concerné. Les fournisseurs de cloud, les opérateurs de centres de données et les prestataires de services managés entrent dans le champ. Choisir un hébergeur conforme devient un élément de votre propre conformité.

Sur l’application : à la mi-2026, aucune sanction individuelle n’avait été publiée en Belgique. La phase initiale privilégie l’accompagnement. Environ 4 000 entités étaient enregistrées fin 2025.

Aucun label ne vous dispensera de vérifier

Il n’existe aucun label ni certification belge de cloud souverain, équivalent au SecNumCloud français. Le référentiel CyberFundamentals du CCB est un cadre de cybersécurité, pas un schéma de souveraineté : il ne dit rien de la nationalité du prestataire ni de son exposition au droit extraterritorial.

Au niveau européen, l’EUCS — le schéma de certification des services cloud — n’est toujours pas adopté. Les exigences de souveraineté qu’il contenait en 2020 en ont été retirées début 2024, et le projet est depuis dans l’impasse. Seul l’EUCC, sur les critères communs, a été formellement adopté. La Commission a en revanche publié en avril 2026 un Cloud Sovereignty Framework qui traduit la souveraineté en critères de marchés publics mesurables, gradués de SEAL-0 à SEAL-4 — mais il s’applique à ses propres achats et vaut, pour le privé, comme référentiel d’évaluation, pas comme certification.

Autrement dit : il n’y a pas de case à cocher. La diligence doit être contractuelle et documentée. D’où les trois questions qui suivent.

Les trois questions à poser à votre hébergeur

Chacune est formulée pour appeler une réponse écrite, pas une déclaration commerciale.

1. « Quelle entité juridique signe mon contrat, de quel pays relève-t-elle, et quelles sont ses sociétés mères ? »

Et non pas « où sont vos serveurs ». Cette question-là obtient une réponse rassurante et sans portée juridique, puisque le § 2713 déclare la localisation indifférente. Ce qui compte est l’identité et le rattachement du cocontractant — et la question sur les sociétés mères n’est pas rhétorique : c’est exactement le point que le CEPD déclarait non résolu, et celui sur lequel Microsoft France a répondu « non, je ne peux pas le garantir » devant le Sénat.

2. « Donnez-moi votre contrat article 28 et la liste nominative de vos sous-traitants ultérieurs, avec leur pays. »

C’est la seule exigence de cet article qui soit une obligation légale de votre entreprise, pas de l’hébergeur. Et c’est là que se cache le vrai risque : un hébergeur parfaitement européen peut sous-traiter sa sauvegarde, sa supervision ou sa messagerie à un acteur américain — auquel cas toute la démonstration de souveraineté s’effondre au deuxième maillon. Le code de conduite des notaires nomme d’ailleurs explicitement « le fournisseur de sauvegarde » parmi les sous-traitants à encadrer.

3. « Que faites-vous si une autorité d’un pays tiers réclame mes données ? Décrivez la procédure. »

Ce n’est plus une question de confort depuis le 12 septembre 2025 : l’article 32 du Data Act vous donne une base légale opposable. Un prestataire incapable de répondre par écrit signale soit qu’il n’a pas fait le travail, soit qu’il préfère ne pas le formaliser. Et si le Data Privacy Framework venait à tomber, une entreprise qui aura documenté cette procédure changera de base juridique en quelques semaines. Les autres revivront Schrems II.

Et chez nous

Vos données et celles de vos visiteurs sont hébergées en Europe, chez un hébergeur de droit européen : elles relèvent du RGPD et restent hors de portée du CLOUD Act américain, auquel sont soumis Google Workspace et Microsoft 365 même lorsque leurs serveurs se trouvent en Europe — le texte vise la nationalité du prestataire, pas l’emplacement des machines. Une offre hébergée en Belgique est à l’étude ; tant qu’elle n’est pas en service, nous ne l’annonçons pas.

Nous écrivons cette phrase-là et pas une autre, parce que c’est celle qui est exacte aujourd’hui. Le jour où notre infrastructure sera belge, elle changera — et elle changera partout sur ce site en même temps, parce qu’elle n’est écrite qu’à un seul endroit.

Sources

18 U.S.C. § 2713 (CLOUD Act, Pub. L. 115-141). Règlement (UE) 2016/679 (RGPD), articles 28, 30, 32 et 48. CEPD, lignes directrices 02/2024 sur l’article 48, version finale du 5 juin 2025. CEPD et CEPD-EDPS, réponse conjointe à la commission LIBE, 10 juillet 2019. Règlement (UE) 2023/2854 (Data Act), article 32, applicable depuis le 12 septembre 2025. Décision d’adéquation (UE) 2023/1795. Tribunal de l’UE, aff. T-553/23, 3 septembre 2025 ; pourvoi C-703/25 P. Lettre du CEPD à la Commission européenne, 31 juillet 2026. Autorité de protection des données, vade-mecum pour les PME et rapports annuels 2022 et 2025. Chambre nationale des notaires, code de conduite du 28 janvier 2021, approuvé par AR du 24 juillet 2021. AVOCATS.BE, « L’avocat et le RGPD ». Orde van Vlaamse Balies, GDPR-wijzer. Conseil national de l’Ordre des médecins, lignes directrices RGPD du 27 avril 2019. ITAA, mai 2026. Loi du 26 avril 2024 et AR du 9 juin 2024 (NIS2) ; Centre pour la Cybersécurité Belgique. Commission européenne, Cloud Sovereignty Framework, avril 2026. Audition de Microsoft France devant la commission d’enquête du Sénat, 18 juin 2025.

Cet article sera mis à jour si l’affaire C-703/25 P est tranchée ou si la Commission répond au CEPD. Dernière vérification : 13 septembre 2026.