Introduction

Tu as des fichiers sur iCloud, ou Google Drive, ou Dropbox. Ça synchronise partout, ça marche, tu n’y penses plus.

Puis tu entends cette phrase : “Le cloud, c’est l’ordinateur de quelqu’un d’autre.” Et tu te demandes vaguement si tu devrais t’en inquiéter.

La réponse honnête : ça dépend. De ce que tu y stockes, de qui est ce “quelqu’un d’autre”, et de ce que tu as accepté sans forcément t’en rendre compte. Cet article déroule le mécanisme, sans dramatiser mais sans minimiser, pour que tu puisses faire un choix éclairé, plutôt que de risquer de n’en faire aucun.

Le problème

Ce que “cloud” veut dire vraiment

“Cloud” est un mot marketing. Ce qu’il désigne, c’est simple : tes fichiers ne sont pas sur ton disque dur. Ils sont sur un serveur, dans un datacenter, qui appartient à une entreprise. Quand tu ouvres un document sur iCloud depuis ton Mac, ton Mac télécharge une copie depuis les serveurs d’Apple, ou depuis une infrastructure cloud de sociétés américaines en Europe si tu as de la chance.

La phrase “l’ordinateur de quelqu’un d’autre” vient du monde du logiciel libre, utilisée comme pique contre la centralisation. Elle est un peu simpliste, mais elle a le mérite de mettre le doigt sur quelque chose de réel : tu utilises une ressource informatique que tu ne possèdes pas, que tu ne contrôles pas, et dont les conditions d’utilisation peuvent changer sans ton accord.

Ce n’est pas une raison d’arrêter. C’est une raison de comprendre.

Trois choses que tu cèdes sans y penser

Quand tu mets tes fichiers sur un service cloud tiers, tu cèdes potentiellement trois choses.

L’accès. L’entreprise peut lire tes fichiers si elle veut, ou si on le lui demande. Sur iCloud sans Protection Avancée des Données activée, Apple détient les clés de chiffrement. Elle peut donc accéder à tes photos, tes documents, tes sauvegardes iPhone, et les transmettre à un gouvernement sur demande judiciaire. Apple publie un rapport de transparence : dans leur rapport de transparence, Apple indique avoir fourni des données pour la grande majorité des demandes judiciaires américaines.

La continuité. L’entreprise peut te couper l’accès à tout moment. Violation de CGU (réelle ou algorithmiquement supposée), faillite, fusion-acquisition, décision unilatérale. Tes fichiers sont chez eux, pas chez toi. Le jour où ils ferment la porte, tu ramasses ce qu’ils veulent bien te laisser prendre.

La juridiction. Les lois du pays où sont hébergés tes fichiers s’appliquent, qu’elles te plaisent ou non. iCloud, Google Drive, Dropbox, OneDrive : tous sous juridiction américaine, soumis au CLOUD Act de 2018. Cette loi permet au gouvernement américain d’exiger l’accès à des données stockées n’importe où dans le monde si l’entreprise est américaine, sans passer par les procédures d’entraide judiciaire internationale habituelles. Même tes fichiers dans un datacenter français.

Le mécanisme

Comment le chiffrement change (ou ne change pas) la donne

La réponse standard des fournisseurs cloud quand tu soulèves ce problème : “Tes données sont chiffrées.” C’est vrai. Ce qui compte, c’est qui détient les clés.

Il y a deux modèles fondamentalement différents.

Chiffrement serveur (le plus courant). Tes fichiers sont chiffrés sur les serveurs de l’entreprise, avec des clés que l’entreprise gère. C’est mieux que rien, ça protège contre les pirates qui voudraient s’introduire dans les datacenters, mais ça ne protège pas contre l’entreprise elle-même, ni contre une demande judiciaire. iCloud sans Protection Avancée des Données fonctionne ainsi pour la majorité des données.

Chiffrement de bout en bout — E2EE. Les clés de chiffrement sont générées sur ton appareil, pas sur les serveurs. L’entreprise stocke un fichier qu’elle ne peut pas lire, même si elle le voulait, même sous injonction judiciaire. C’est ce que fait Proton Drive par architecture. C’est ce que fait iCloud pour certaines catégories de données quand tu actives la Protection Avancée des Données.

La nuance pratique : E2EE a un coût. Si tu perds ton mot de passe ET ta clé de récupération, tes données sont inaccessibles définitivement. L’entreprise ne peut pas te les rendre, parce qu’elle n’a jamais eu les clés.

Ce que “juridiction européenne” change vraiment

On entend souvent “mes données sont en Europe, donc je suis protégé par le RGPD.” C’est partiellement vrai, et partiellement faux.

Le RGPD encadre comment tes données sont collectées et utilisées dans l’Union européenne. Il impose des règles strictes aux entreprises opérant sur le territoire européen. Ce n’est pas rien.

Mais ça ne protège pas de tout. Si l’entreprise est américaine, le CLOUD Act prime sur le RGPD dans les faits. En 2023, la Commission européenne a adopté le Data Privacy Framework (DPF), un nouvel accord de transfert UE-US censé remplacer le Privacy Shield invalidé par Schrems II. Il est déjà contesté devant les tribunaux européens et son avenir reste incertain. En attendant, si les données sont sur des serveurs européens d’une filiale américaine, les autorités américaines peuvent théoriquement y accéder quand même.

La juridiction compte. Mais “serveurs en Europe” n’est pas la même chose que “entreprise sous droit européen avec siège hors Five Eyes”. Infomaniak, par exemple, est une entreprise suisse, avec ses serveurs en Suisse, sous droit helvétique. Ce n’est pas un bouclier absolu, mais c’est une juridiction significativement plus protectrice que les États-Unis, et hors CLOUD Act.

Les trois niveaux de confiance en pratique

Pour y voir clair, voici comment lire un service cloud selon ce critère :

Niveau 1 — Tu fais confiance à l’entreprise ET à sa juridiction. Tu utilises iCloud avec la Protection Avancée des Données activée : E2EE pour la plupart des données, sauf iCloud Mail, Contacts et Calendrier qui restent exclus (contraintes d’interopérabilité IMAP/CalDAV/CardDAV). Tu restes chez Apple, sous droit américain. Bon pour le quotidien, insuffisant pour des données sensibles.

Niveau 2 — Tu fais confiance au chiffrement, pas à l’entreprise. Tu utilises un service E2EE comme Proton Drive ou Cryptomator par-dessus n’importe quel cloud : même si l’entreprise reçoit une injonction, elle remet des fichiers illisibles. Le maillon faible ici, c’est le code lui-même. Si le chiffrement est mal implémenté, ou si une faille se cache dans l’application, la promesse E2EE ne tient plus. C’est pourquoi deux choses comptent : que le code soit open source (n’importe qui peut vérifier ce qui tourne), et qu’il ait été audité par un tiers indépendant (Proton Drive a été audité par Securitum, code source publié sur GitHub).

Niveau 3 — Tu contrôles l’infrastructure. Tu auto-héberges ton propre stockage (Nextcloud sur VPS ou NAS hébergé, ou self-host chez toi sur serveur maison). Zéro entreprise tierce dans la boucle. Le maillon faible, c’est ta propre sécurité : un Nextcloud mal configuré ou un NAS exposé sur internet, c’est pire qu’iCloud.

Ce que ça change concrètement

Pour le particulier qui veut faire mieux sans tout réinventer

Si tu utilises iCloud aujourd’hui, la première chose à faire ne coûte rien : activer la Protection Avancée des Données (Réglages → ton nom → iCloud → Protection avancée des données). Ça bascule la majorité de tes données iCloud en E2EE (exception : iCloud Mail, Contacts et Calendrier, qui restent hors E2EE pour des raisons d’interopérabilité). Tu gardes l’écosystème Apple, tu récupères le chiffrement de bout en bout sur le reste. Le seul vrai inconvénient : si tu perds l’accès à ton compte sans clé de récupération, Apple ne peut pas t’aider. Tu notes ta clé quelque part de sûr.

Si tu veux aller plus loin sans quitter le cloud, Proton Drive est l’alternative E2EE la plus accessible : app Mac native, app iOS, interface web, E2EE par défaut, code audité. Juridiction suisse. Ce n’est pas la solution la moins chère, mais c’est le meilleur compromis confort/souveraineté disponible sans compétence technique particulière.

À lire bientôt : Proton Drive vs iCloud vs Infomaniak, où stocker tes fichiers ?

Pour l’indépendant avec des données clients

La question devient business, pas juste personnelle. Des données clients dans un cloud américain sous juridiction CLOUD Act, c’est une exposition légale et contractuelle. Ce n’est pas hypothétique, c’est la nature du droit applicable.

La question devient aussi juridique. Depuis l’arrêt Schrems II (2020), stocker des données personnelles de clients européens sur un cloud américain sans mesures de protection supplémentaires pose un vrai problème de conformité RGPD. Les sanctions restent rares, mais le risque légal existe, et un client pourrait le soulever.

En Europe, le RGPD s’impose à toute entreprise qui traite des données personnelles. Ce n’est pas une clause contractuelle optionnelle, c’est la loi. “iCloud, c’est pratique” n’est pas une réponse recevable face à un client ou une autorité de contrôle.

Options pragmatiques : Proton Drive (E2EE) ou Infomaniak kDrive, tous deux sous juridiction suisse et conformes RGPD pour les données de sociétés européennes. Ou Nextcloud auto-hébergé si tu as la compétence technique. L’article comparatif #13 détaille les différences en profondeur.

Ce que ça ne protège pas

La souveraineté cloud ne protège pas de tout. Un fichier chiffré de bout en bout dans Proton Drive, c’est illisible pour Proton, mais si tu l’ouvres sur un Mac compromis, le fichier déchiffré est là, en clair, à la merci de ce qui tourne sur ta machine. La sécurité du cloud ne compense pas une sécurité endpoint défaillante.

À lire : Pourquoi ton client mail est une passoire — et comment colmater ça

Et un Nextcloud auto-hébergé mal configuré expose plus que Dropbox. Le contrôle total, c’est aussi la responsabilité totale.

Le vrai coût de la souveraineté, c’est aussi le prix. Proton Drive et Infomaniak kDrive ne sont pas gratuits. iCloud 50 Go à 0,99€/mois, c’est imbattable en tarif. Tu paies la souveraineté, comme tu paies Proton Mail E2EE plutôt que Gmail. C’est un choix conscient, pas une évidence.

Idées reçues

Mais les nuages d’Apple sont en Europe

Apple a des datacenters en Europe. Ça ne change pas que la maison mère est à Cupertino, que les clés maîtres de chiffrement (hors Protection Avancée) sont gérées par Apple Inc., et que le CLOUD Act s’applique aux entreprises américaines quelle que soit la localisation physique des serveurs.

“Serveurs en Europe” est un argument marketing utile pour la conformité RGPD locale. Pas un argument de souveraineté contre une injonction fédérale américaine.

Les fournisseurs souverains sont moins pratiques

C’était vrai en 2018. Proton Drive en 2026 a une app Mac native, la synchronisation automatique des dossiers, le partage de fichiers, et une bonne interface web. Infomaniak kDrive a une intégration macOS propre. Ce n’est pas aussi transparent qu’iCloud Finder, mais l’écart s’est considérablement réduit.

Je n’ai rien à cacher

L’argument est faux, pas parce que tu aurais des choses inavouables, mais parce qu’il repose sur une hypothèse incorrecte : que le problème c’est ce que tu fais, pas ce que d’autres peuvent faire avec tes données.

Tes documents comptables dans un cloud lisible par des tiers, ce n’est pas un problème si tu n’as rien fait de mal. C’est un problème si tes données sont utilisées pour te cibler commercialement, si elles fuient lors d’une brèche, exposant ainsi des données clients, ou encore si elles sont transmises à un gouvernement dans un cadre que tu n’as pas anticipé.

En résumé

Le cloud, c’est effectivement l’ordinateur de quelqu’un d’autre. La question n’est pas “est-ce qu’il faut l’utiliser” mais “est-ce qu’on comprend ce qu’on accepte en l’utilisant”.

Trois paramètres à regarder pour n’importe quel service cloud : qui détient les clés de chiffrement (toi ou l’entreprise), quelle est la juridiction applicable (pas juste la localisation des serveurs), et que se passe-t-il si l’entreprise disparaît ou te coupe l’accès.

Sur l’usage concret : si tu utilises iCloud, commence par activer la Protection Avancée des Données. Si tu as des données professionnelles, regarde Proton Drive ou Infomaniak kDrive. Si tu veux le contrôle total, l’auto-hébergement Nextcloud est la prochaine étape, mais ça demande un peu plus de technique et de la maintenance.

Le comparatif détaillé des options, avec les prix, les cas d’usage et les limites réelles de chacun, c’est dans l’article #13.

À lire bientôt : Proton Drive vs iCloud vs Infomaniak, où stocker tes fichiers ?