Analyse du passé d’un futur proche
Par Didier Reinach
Pour télécharger le document en PDF descendez en fin de page
Un jour, sans se concerter, des millions de gens écrivent la même lettre.
Le jour où les consommateurs n’ont plus peur de leur pouvoir.
Il y a des révolutions qui commencent par une pancarte. Celle-ci commence par une enveloppe.
Un jour les historiens du numérique ne s’accorderont sans doute jamais sur la date exacte, tant tout se déclenche presque simultanément dans plusieurs pays, des millions de consommateurs, sans se concerter, sans parti, sans syndicat, sans pétition virale sur les réseaux sociaux, envoient une lettre quasi identique.
Préambule / Ce dont on se souvient
Une lettre en recommandé, avec accusé de réception, à leur banque, à leur assureur, à leur opérateur téléphonique, à leur fournisseur d’énergie, à leurs boutiques en ligne.
Le texte varie à peine d’un pays à l’autre. Le fond, jamais :
« Je vous somme de m’indiquer si mes données personnelles sont confiées, directement ou par sous-traitance, à un prestataire soumis à une loi étrangère d’extraterritorialité, notamment, mais pas exclusivement, le Cloud Act américain. À défaut de réponse claire, je retire mon consentement à tout traitement de mes données par un tel prestataire, avec effet immédiat. »
Une phrase. Une seule. Et pourtant, ce jour-là, quelque chose se casse dans un système qui semble pourtant invincible.
Enquête
L’étincelle
Une fuite, une preuve, une colère
On ne saura sans doute jamais qui, le premier, met la main sur ces quelques pages. Un stagiaire trop bavard, un audit mal refermé, un lanceur d’alerte fatigué de se taire peu importe.
Ce qui compte, c’est ce que ces pages montrent : un établissement financier réputé, respecté, confie discrètement l’hébergement et l’analyse des données de plusieurs millions de clients à un sous-traitant placé sous la juridiction des États-Unis.
Sans le dire sans vraiment le cacher non plus, techniquement : c’est écrit, en tout petit, dans un avenant contractuel que personne ne lit jamais.
Le document circule pendant trois jours dans des cercles restreints avant qu’un journaliste ne le publie. Le titre de l’article tient en une ligne : « Vos données bancaires appartiennent au gouvernement américain — et vous ne le saviez pas. »
Le mot qui change tout : « soumis »
Le mot qui met le feu aux poudres n’est pas « transféré ». C’est « soumis ».
Voté en 2018, le Cloud Act américain autorise les autorités des États-Unis à exiger d’une entreprise américaine ou de la filiale étrangère d’un groupe américain qu’elle leur livre les données qu’elle héberge, où qu’elles se trouvent physiquement dans le monde.
Peu importe que le serveur soit à Zurich, à Francfort ou à Montréal. Peu importe que le client n’ait jamais mis les pieds aux États-Unis.
Si le prestataire est américain, ou simplement rattaché à une entité américaine, la donnée devient accessible sur simple demande, souvent sans que le client, ni même l’entreprise suisse, canadienne ou européenne qui le sert, ne le sache jamais.
Le problème dépasse la seule question de l’hébergement direct. Nombre de données sont déjà « rangées » chez des filiales ou des partenaires eux-mêmes rattachés, de près ou de loin, à des maisons mères américaines.
Et compte tenu du nombre d’entreprises, de toutes nationalités, rachetées au fil des années par des groupes ou des fonds de pension américains, le gouvernement des États-Unis se retrouve, de fait, en mesure de réclamer l’accès à des milliards de données à travers le monde dont les vôtres.
Vos données restent chez vous. Mais elles sont soumises à un autre pays, à une autre législation.
Pour des informations complémentaires…
— La guerre des data (1/3) — USA, CIA et domination tech
— La guerre des data (2/3) — Cloud Act et talents ignorés
— Cette entreprise qui avait signé avec le diable
Décryptage
Ce que la loi vous permet depuis toujours
Vous n’êtes pas propriétaire de vos données mais vous avez des droits
Ce que peu de gens comprennent, c’est que la loi la LPD en Suisse, le RGPD en Europe, la Loi 25 au Québec ou la LPRPDE (PIPEDA) au Canada n’a jamais fait du consommateur le propriétaire de ses données, au sens où il serait propriétaire de sa voiture ou de sa maison.
Vos données ressemblent moins à un bien qu’à un jardin : vous n’en possédez pas la terre au sens strict, mais la loi vous reconnaît le droit de dire qui peut y entrer, qui peut le cultiver, et surtout, qui n’a pas le droit d’en emporter les fruits sans vous le dire.
Ce que ces lois offrent, en revanche, c’est un faisceau de droits bien réels : le droit de savoir si une organisation détient des informations sur vous, le droit d’y accéder, le droit de les faire corriger, et celui qui a tout changé le droit de vous opposer à un traitement, ou de retirer un consentement déjà donné.
Le levier que personne n’utilise
Ce droit d’opposition existe depuis longtemps : consacré par l’article 21 du RGPD européen depuis 2018, présent sous une autre forme dans le principe du consentement de la LPRPDE canadienne depuis le début des années 2000, renforcé en 2023 par la Loi 25 au Québec, et réaffirmé par la LPD suisse révisée, entrée en vigueur la même année.
Sept ans. Vingt ans. Trois ans. Pendant tout ce temps, ce droit dort, oublié au fond d’une notice d’information que personne ne lit, quelque part entre les conditions générales et la politique de cookies.
Il suffit d’une lettre, et d’un mot « soumis » pour que des millions de gens se souviennent, tous en même temps, qu’ils ont toujours eu le droit de la poser, cette question.
La lettre fatale
Le texte qui circule recopié, traduit, adapté, mais jamais trahi dans son fond tient sur une demi-page. Il ne réclame rien d’impossible. Il ne menace rien d’illégal. Il pose une question simple, et fixe un délai.
« Mes données personnelles sont-elles, directement ou par l’intermédiaire d’un sous-traitant, transférées vers un pays ou une entité soumis à une législation d’extraterritorialité telle que le Cloud Act ? Je vous demande une réponse écrite sous trente jours. Sans réponse, ou en cas de réponse positive, je retire par la présente mon consentement à tout traitement de mes données par un tel prestataire, conformément aux droits qui me sont reconnus par la loi. »
Un grain de sable, seul, n’arrête aucun rouage. Des millions de grains de sable, au même moment dans les mêmes rouages, arrêtent une usine entière, détournent ses clients, et mettent des milliers de travailleurs au chômage.
Ce que les banques, les assureurs et les opérateurs n’ont pas anticipé, ce n’est pas la lettre elle-même c’est qu’elle arrive par millions, presque simultanément, dans des pays différents, sans qu’aucune organisation centrale n’ait jamais donné le mot d’ordre.
❖❖❖
CHRONOLOGIE DES OPÉRATIONS
Le bouche-à-oreille avant l’algorithme
Ce que les observateurs trouvent le plus déroutant, avec le recul, ce n’est pas l’ampleur du mouvement. C’est sa lenteur, puis sa brutalité. Pendant les six premières semaines, la lettre circule presque silencieusement : un fils l’envoie à sa mère, une collègue la glisse dans une conversation de bureau, un post traîne, oublié, dans un groupe de quartier. Rien qui ressemble à une campagne. Tout ce qui ressemble à une conversation.
Puis, un matin, les services juridiques de plusieurs grandes institutions constatent, presque simultanément, que le courrier recommandé qu’ils traitaient comme un cas isolé la semaine précédente en compte, cette semaine-là, plusieurs centaines. La semaine suivante, plusieurs milliers. Le mois suivant, ils se comptent par millions et menacent, de surcroît, de fermer leurs comptes, de rompre leurs contrats, d’arrêter toute relation commerciale.
Un modèle de lettre, mille versions
Le texte s’adapte aux réalités locales sans jamais trahir sa logique. En Suisse, on invoque la LPD révisée et le droit de s’opposer au traitement. Au Québec, la Loi 25 et le droit de retirer son consentement. En France et dans le reste de l’Union européenne, l’article 21 du RGPD. Au Canada, les principes de la LPRPDE relatifs au consentement. Le fond reste identique : une question précise, un délai légal, une conséquence automatique en cas de silence.
Les associations s’en emparent
Ce sont les associations de défense des consommateurs, dans plusieurs pays, qui transforment une pratique spontanée en mouvement structuré. Elles n’inventent rien : elles mettent simplement à disposition un modèle juridiquement irréprochable, traduit, vérifié article par article, accompagné d’un mode d’emploi. Ce que des milliers de personnes font déjà seules, dans leur coin, devient un geste que n’importe qui peut accomplir en dix minutes.
Un avocat spécialisé en droit du numérique résume la situation dans une formule restée célèbre : « Nous n’avons rien créé. Nous avons juste appris aux gens à lire une loi qui existait déjà. »
Le mur du silence
Les premières réponses : nier, minimiser, gagner du temps
Les premières réponses des institutions concernées suivent un scénario presque identique, d’un établissement à l’autre. D’abord, le silence poli le fameux « nous prenons bonne note de votre demande, qui sera traitée dans les meilleurs délais ».
Ensuite, la minimisation : des réponses types assurant que les données sont « traitées dans le respect le plus strict de la réglementation applicable », sans jamais répondre à la question posée noir sur blanc : oui ou non, un sous-traitant soumis à une loi d’extraterritorialité y a-t-il accès ?
Le problème du silence
C’est là que la mécanique de la lettre révèle toute son intelligence. Ne pas répondre clairement dans le délai imparti ne met pas fin au problème : cela déclenche, automatiquement, le retrait du consentement annoncé dans la lettre elle-même. Le silence, pensé comme une échappatoire commode, devient la pire des réponses possibles.
Une porte que le fournisseur refuse d’ouvrir n’arrête pas la personne qui frappe : elle lui apprend simplement qu’il y a quelque chose à cacher.
Les services juridiques se retrouvent alors face à un dilemme inédit : répondre honnêtement, et risquer un scandale ; ou continuer à se taire, et déclencher, par leur propre silence, l’effet juridique qu’ils cherchent justement à éviter.
Le premier domino
Il faut qu’un établissement régional, de taille moyenne, plus agile que les mastodontes du secteur, prenne la décision que personne n’osait prendre : répondre franchement, admettre le recours passé à un sous-traitant soumis au Cloud Act, et annoncer, dans la foulée, le rapatriement complet de l’hébergement de ses données vers des infrastructures locales, hors de portée de toute loi étrangère.
La communication tient en quelques lignes. L’effet, lui, est immédiat : une vague de nouveaux clients, venus d’établissements concurrents restés silencieux, et une couverture médiatique totalement disproportionnée par rapport à la taille réelle de l’institution.
Il suffit d’un seul domino qui tombe pour que toute la ligne s’effondre : même les dominos les plus massifs, ceux qu’on croyait inébranlables, finissent par tomber.
En quelques mois, ce qui n’était qu’un choix commercial isolé devient une norme de marché. Ne pas pouvoir garantir l’absence d’exposition à une loi étrangère d’extraterritorialité devient, tout simplement, un désavantage concurrentiel.
ANALYSE
Ce que les institutions ont changé
Rapatrier, auditer, prouver
Une fois le premier domino tombé, les autres n’ont plus le choix du calendrier seulement celui de la méthode.
Certaines institutions rapatrient l’hébergement de leurs données vers des infrastructures locales ou régionales. D’autres tentent de renégocier leurs contrats de sous-traitance pour exiger des garanties contractuelles explicites d’absence d’exposition à une loi étrangère d’extraterritorialité, sans y parvenir.
D’autres encore doivent, pour la première fois de leur histoire, cartographier réellement la chaîne complète de leurs sous-traitants, et découvrent, au passage, des ramifications qu’elles ignoraient elles-mêmes : des fournisseurs de complaisance, recrutés pour satisfaire des « petits z’amis » plutôt que pour répondre à un vrai besoin et parfois même de pures contrefaçons de prestataires.
Certaines entreprises, plus lucides, se regroupent pour créer et financer un centre de données local, en réunissant les meilleurs ingénieurs, créateurs et inventeurs du domaine, réunis en coopérative.
Ce dernier point est, pour beaucoup de directions techniques, le plus inconfortable : il faut admettre que personne, en interne, n’a les compétences pour stocker et gérer les données de façon symbiocratique, c’est-à-dire créer un espace souverain et les traiter de telle sorte qu’elles génèrent, collectivement, de la valeur.
— Intelligence symbiocratique : définition et hétérogenèse
Le nouveau contrat type
En quelques trimestres, une clause qui n’existait dans presque aucun contrat devient un standard. Un établissement financier, pour conquérir de nouvelles parts de marché, prend les devants en proposant un contrat garantissant la souveraineté des données, la conformité, et le droit de contrôle des clients — sur simple requête, et sous le regard d’experts assermentés auprès des tribunaux.
Les cabinets d’audit, désormais tenus d’être eux-mêmes assermentés, ajoutent une ligne à leurs grilles de conformité. Les assureurs eux-mêmes commencent à proposer des polices couvrant le risque de rupture de confiance liée à une exposition à une loi extraterritoriale signe, s’il en fallait un, que le risque devient réel aux yeux de ceux dont le métier est justement de chiffrer le risque.
Au-delà de la propriété émerge une nouvelle grammaire des données
Propriété, contrôle, usage, valeur
Le débat public, jusque-là bloqué sur une question mal posée : « à qui appartiennent mes données ? », finit par se déplacer vers des questions plus utiles.
Le consommateur n’est, juridiquement, propriétaire de rien : ni en Suisse, ni au Canada, ni dans l’Union européenne.
Mais il est le producteur, le créateur de ses données. Une organisation les détient. Un algorithme ou un analyste les transforme. Et quelqu’un, en bout de chaîne, capte la valeur qu’elles génèrent.
Or un créateur n’est jamais totalement dépossédé de ce qu’il crée.
C’est tout le sens du droit de suite, qui permet à un artiste de percevoir une part de la valeur créée à chaque revente de son œuvre, longtemps après qu’il s’en est séparé.
Pourquoi la donnée personnelle échapperait-elle à cette même logique ?
Quatre notions, quatre acteurs potentiellement différents : la propriété, le contrôle, l’usage, et la valeur.
Tant que ces quatre éléments restent invisibles, une seule question mal formulée masque tout le reste. Une fois nommés séparément, ils changent la nature même de la négociation entre les entreprises et leurs clients.
Une rivière n’appartient à personne c’est un bien commun. Mais celui qui construit le barrage capte l’essentiel de l’énergie qu’elle transporte, et pendant longtemps, personne n’a songé à réclamer sa part du courant.
À qui profite le crime ? Avec les data, la question se pose exactement dans les mêmes termes.
Vers une Symbiocratie™ des données
C’est précisément à cet endroit que le mouvement cesse d’être une simple réaction de défiance pour devenir un projet. Plutôt que d’opposer indéfiniment consommateurs et entreprises sur la question de la propriété, certaines organisations pionnières commencent à associer, dans la gouvernance même de leurs données, les producteurs, les détenteurs, les transformateurs et les bénéficiaires de la valeur créée.
Un fantastique centre de données sous forme de coopérative !
Ce principe n’est pas nouveau : c’est celui d’un management symbiocratique, où la performance ne naît pas de la domination d’un maillon sur les autres, mais de la coopération organisée entre des talents et des rôles complémentaires. Appliqué aux données, il devient une gouvernance où la donnée n’est plus un butin que l’on capte, mais une ressource que l’on cultive collectivement avec, pour chacun, une part explicite de contrôle et de bénéfice.
MODE D’EMPLOI
Ce qu’il reste à faire
Rien de tout cela n’est acquis pour toujours. Les lois d’extraterritorialité n’ont pas disparu.
Le Cloud Act est toujours en vigueur. Rien n’empêche un nouveau sous-traitant, un nouveau contrat, une nouvelle génération de dirigeants pressés de faire des économies, de rouvrir la porte qu’on vient de refermer.
Ce que ce mouvement change, ce n’est pas la loi.
C’est l’usage qu’on en fait.
Voici, en tant que consommateur, ce qu’il faut retenir et continuer d’exiger de ses banques, boutiques et fournisseurs de services :
- Poser la question, par écrit, à chaque prestataire qui détient des données vous concernant.
- Exiger une réponse claire, dans le délai légal, plutôt que se contenter d’une formule vague.
- Utiliser réellement le droit d’opposition et de retrait du consentement, car ce droit ne sert à rien tant qu’il dort.
- Considérer la souveraineté, la cybersécurité et la conformité du fournisseur comme un critère de choix, au même titre que le prix ou le service.
- Réclamer une gouvernance partagée de la valeur créée, plutôt qu’une simple protection contre l’abus.
Notre identité, nos données ne sont pas un jeu d’ego : ce sont des états d’être, des informations sur ce que nous sommes et ce que nous possédons, et qui ne peuvent être violées.
Les exposer, pour des raisons pratiques ou personnelles, doit rester un choix volontaire, et c’est ce choix qui nous appartient. C’est ce choix que nous devons désormais tous imposer, avec une question toute simple, posée à chaque organisation qui prétend nous servir :
« Votre installation technologique, vos logiciels, votre architecture, votre périmètre sont-ils souverains, cybersécurisés, conformes et votre gouvernance est-elle symbiocratique™ ? »
La revanche des data n’est pas une révolution au sens classique du terme : c’est le consommateur qui reprend son pouvoir.
Personne ne renverse personne.
Des millions de gens ordinaires finissent simplement par utiliser, un jour, en même temps, un droit qu’ils ont toujours eu et cela suffit à faire plier des institutions qui semblent, la veille encore, inébranlables, qui se croient, jusque-là, inattaquables, ou tout simplement pas éthiques vis-à-vis de leurs clients.
Didier Reinach
© Didier Reinach, 2026. Tous droits d’exploitation et d’utilisation réservés. —
didier@la-machina.xyz
www.la-machina.xyz