Souveraineté numérique

Quitter les GAFAM ? Jugez sur pièces.

Pas de slogan. Des lois, des arrêts, des auditions sous serment et des sanctions officielles, datés et sourcés. Nous vous laissons juger.

Lire le dossierVoir les alternatives libres

GAFAM désigne Google (Alphabet), Apple, Facebook (Meta), Amazon et Microsoft. Cette page traite aussi des grands réseaux sociaux, dont TikTok et X.

Juridiction

Un serveur en France ne vous place pas sous le droit français.

Ce qui compte n’est pas l’emplacement du disque dur. C’est la loi à laquelle obéit l’entreprise qui l’exploite.

  • Le CLOUD Act, promulgué le 23 mars 2018, permet aux autorités américaines d’exiger des entreprises sous juridiction américaine les données qu’elles détiennent, même lorsqu’elles sont stockées hors des États-Unis. L’article 48 du RGPD interdit en principe ce type de transfert vers une autorité étrangère sans accord international.1

Sénat, 10 juin 2025 · sous sermentLe rapporteur Dany Wattebled demande au directeur des affaires publiques et juridiques de Microsoft France s’il peut garantir que les données des citoyens français confiées à Microsoft via l’Ugap ne seront jamais transmises aux autorités américaines sans l’accord explicite des autorités françaises.

« Non, je ne peux pas le garantir, mais, encore une fois, cela ne s’est encore jamais produit. »
Anton Carniaux, Microsoft France, commission d’enquête sur la commande publique.2,3
  • Face à une injonction américaine fondée, Microsoft a indiqué devant les sénateurs être légalement contraint de remettre les données.1 Microsoft dit analyser chaque demande et rejeter celles qui sont infondées.2
  • La section 702 du FISA autorise la surveillance électronique sans mandat de personnes non américaines situées hors des États-Unis, avec l’assistance obligatoire des fournisseurs américains.4 Les Européens entrent, par définition, dans cette catégorie.
  • Le texte a expiré le 12 juin 2026, faute de vote du Congrès, pour la première fois depuis 2008.5 La surveillance continue pourtant : les autorisations accordées en mars 2026 par la cour FISA restent valables jusqu’en mars 2027.6

Quand le droit européen et le droit américain s’opposent, c’est votre fournisseur qui arbitre. Et il a déjà dit, sous serment, de quel côté il se rangerait.

Jurisprudence

La justice européenne a déjà annulé deux accords.

Pour que vos données partent légalement aux États-Unis, l’Union européenne doit reconnaître que leur protection y est « adéquate ». Elle l’a fait trois fois.

  1. 2000 → 2015

    Safe Harbor

    Invalidé

    CJUE, arrêt Schrems I, C-362/14, 6 octobre 2015.7

  2. 2016 → 2020

    Privacy Shield

    Invalidé

    CJUE, arrêt Schrems II, C-311/18, 16 juillet 2020.7

  3. 2023 → ?

    Data Privacy Framework

    Pourvoi pendant

    Validé par le Tribunal de l’UE (T-553/23, 3 septembre 2025). Pourvoi devant la Cour de justice (C-703/25 P).7,8,9

Les deux premiers sont tombés pour la même raison : l’accès des services de renseignement américains aux données des Européens. Le troisième repose en partie sur un décret présidentiel américain, un texte qu’un président peut révoquer seul.

Construire son informatique sur ce socle, c’est parier qu’il tiendra mieux que les deux précédents.

Précédents

Une décision prise à Washington, une messagerie coupée à La Haye.

  • Cour pénale internationale, 2025. Après les sanctions décidées en février 2025 par l’administration américaine contre le procureur de la CPI, Karim Khan, celui-ci a perdu l’accès à sa messagerie Microsoft et a dû changer de fournisseur, selon l’Associated Press.10 Microsoft conteste : « nous n’avons jamais suspendu ni coupé les services de la Cour pénale internationale », a déclaré son représentant sous serment au Sénat.11 Quelle que soit la version retenue, l’accès d’un magistrat international à sa messagerie a dépendu d’une décision prise à Washington.
  • Données de santé des Français, 2019–2026. En 2019, l’État confie la Plateforme des données de santé (Health Data Hub) à Microsoft Azure, sans appel d’offres.12 Le 23 avril 2026, après des années de critiques, il retient un hébergeur français qualifié SecNumCloud. La migration est prévue entre fin 2026 et début 2027.13

Le risque n’a rien de théorique. L’État lui-même en a tiré les conséquences pour les données de santé de toute la population.

Sanctions

Des amendes record. Puis d’autres.

Une sélection de décisions officielles. Une décision frappée de recours n’est pas définitive : le statut est indiqué pour chacune.

  • 5 Md $

    Accord conclu

    Facebook · FTC (États-Unis)

    24/07/2019

    Affaire Cambridge Analytica, 87 millions de comptes concernés.14

  • 1,2 Md €

    Recours annoncé

    Meta · DPC (Irlande)

    22/05/2023

    Transferts de données d’utilisateurs européens vers les États-Unis après l’arrêt Schrems II. Plus grosse amende RGPD prononcée à cette date.15

  • 500 M €

    Recours annoncé

    Apple · Commission européenne (DMA)

    23/04/2025

    Restrictions empêchant les développeurs d’orienter leurs clients vers des offres hors App Store.16

  • 200 M €

    Aucun recours mentionné par nos sources

    Meta · Commission européenne (DMA)

    23/04/2025

    Modèle « consentir ou payer » : publicité ciblée ou abonnement.16

  • 530 M €

    Recours annoncé

    TikTok · DPC (Irlande)

    02/05/2025

    Transferts illicites vers la Chine et informations inexactes fournies pendant l’enquête.17

  • 325 M €

    Aucun recours mentionné par nos sources

    Google · CNIL (France)

    01/09/2025

    Publicités insérées entre les courriels Gmail et cookies sans consentement valide, 74 millions de comptes concernés.18

  • 2,95 Md €

    Recours annoncé20

    Google · Commission européenne (art. 102 TFUE)

    05/09/2025

    Abus de position dominante dans la publicité en ligne depuis au moins 2014.19

  • 120 M €

    Recours déposé

    X · Commission européenne (DSA)

    05/12/2025

    Coche bleue trompeuse, transparence publicitaire, accès des chercheurs aux données.21

« — » : nos sources ne mentionnent pas de recours, ce qui ne signifie pas qu’il n’en existe aucun.

Des montants à relativiser.L’amende de 5 milliards de dollars infligée à Facebook en 2019 représentait environ un mois de chiffre d’affaires du groupe.14

La récidive est notée par les autorités.Pour sa sanction de 2025, la CNIL a retenu la « négligence » de Google, déjà sanctionné par elle en 2020 et en 2021.22

Réseaux sociaux

Sur les réseaux sociaux, votre audience appartient à quelqu’un d’autre.

Une page professionnelle n’est pas un actif. C’est un emplacement loué, dont le propriétaire fixe seul les règles, la visibilité et le prix.

  • Vos abonnés ne voient plus vos publications. Une étude Ogilvy mesurait déjà une chute de la portée organique des pages Facebook de 16 % à 6,15 % entre 2012 et 2014.23 Pour toucher votre propre communauté, la plateforme vous propose de payer.
  • Vos publications nourrissent leur IA. Depuis le 27 mai 2025, Meta utilise les contenus publics des utilisateurs adultes européens de Facebook et d’Instagram pour entraîner ses modèles d’intelligence artificielle, sauf opposition de leur part.24
  • Votre vie privée a un tarif. Le modèle « consentir ou payer » de Meta, publicité ciblée ou abonnement, a été sanctionné au titre du DMA.16
  • Ce que les plateformes savaient. D’après des études internes révélées en 2021 par la lanceuse d’alerte Frances Haugen, ancienne employée de Facebook, 32 % des adolescentes interrogées déclaraient qu’Instagram amplifiait leurs complexes.25,26 Facebook soutenait jusque-là qu’il n’existait aucun consensus sur l’impact des réseaux sociaux sur les adolescents.25
  • Quand l’algorithme amplifie le pire. Selon Amnesty International (2022), « Meta savait ou aurait dû savoir que les systèmes d’algorithmes de Facebook amplifiaient la propagation de contenus nocifs anti-Rohingyas » en Birmanie avant les atrocités de 2017. Un rapport interne de 2016 cité par l’ONG reconnaissait : « Nos systèmes de recommandation aggravent le problème ».27 Meta avait admis en 2018 ne pas en faire assez.28
  • La modération recule. Le 7 janvier 2025, Meta a annoncé la fin de son programme de vérification des faits aux États-Unis, remplacé par des notes rédigées par les utilisateurs.29

Dépendance

Le prix se décide ailleurs. Et il ne baisse pas.

  • La gratuité a un modèle économique. La CNIL a constaté que Google affichait des publicités sous forme de courriels, au milieu des vrais messages, dans les boîtes Gmail de 53 millions d’utilisateurs en France, sans leur consentement.18
  • Une fois captif, vous payez ce qu’on vous demande. Après le rachat de VMware par l’américain Broadcom, des membres du CISPE, l’association européenne des fournisseurs d’infrastructure cloud, rapportent des hausses de licences de 800 à 1 500 %. L’université de Lille a vu son budget VMware multiplié par 12 avant négociation.30
  • Les conditions changent sans vous. Accès suspendu sur sanction étrangère, données réutilisées pour l’IA, publicité glissée dans la messagerie : dans chacun des cas cités sur cette page, l’utilisateur n’a pas été consulté avant le changement.

Plus une organisation dépend d’un fournisseur, moins elle pèse dans la négociation suivante.

Méthode

Méthode et droit de réponse.

Chaque affirmation factuelle renvoie à une source publique, consultée le 1er novembre 2026. Les citations sont reproduites mot pour mot. Lorsqu’une entreprise conteste un fait ou a formé un recours, nous l’indiquons. Les titres et les phrases mises en exergue en fin de section expriment notre analyse à partir de ces faits.

Une erreur, une décision qui a évolué, une entreprise qui souhaite apporter sa version ? Écrivez-nous : nous corrigerons et indiquerons la date de la correction.

Signaler une correction

Sources

Sources

  1. 1ActuIA, « Données sensibles et Cloud Act : Microsoft France admet ne pas pouvoir s’opposer à une injonction américaine », 2025. actuia.com
  2. 2Dr. Datenschutz, transcription de l’audition du Sénat du 10 juin 2025 (en allemand, extraits en français). dr-datenschutz.de
  3. 3Solutions Numériques, déclaration d’Anton Carniaux devant le Sénat, 2025. solutions-numeriques.com
  4. 4Brookings, « A key intelligence law expires in April and the path for reauthorization is unclear », 10 février 2026. brookings.edu
  5. 5Congressional Research Service, « The Impact of FISA Section 702’s Repeal », LSB11444, 22 juin 2026. everycrsreport.com
  6. 6Brennan Center for Justice, « Section 702 of the Foreign Intelligence Surveillance Act, Explained », mis à jour en 2026. brennancenter.org
  7. 7Tribunal de l’Union européenne, communiqué de presse n° 106/25, affaire T-553/23 Latombe/Commission, 3 septembre 2025 (PDF). curia.europa.eu
  8. 8WilmerHale, « European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework », 1er décembre 2025. wilmerhale.com
  9. 9Solutions Numériques, « Data Privacy Framework : Microsoft défend les transferts de données UE–États-Unis » (affaire C-703/25 P). solutions-numeriques.com
  10. 10Associated Press, repris par l’Irish Examiner, « Trump sanctions on International Criminal Court prosecutor halt tribunal’s work », mai 2025. irishexaminer.com
  11. 11Next, « Microsoft nie avoir coupé l’accès de ses services à la Cour pénale internationale », juin 2025. next.ink
  12. 12Reuters, repris par The Star, « France swaps Microsoft for Iliad’s Scaleway to repatriate health data hub », 23 avril 2026. thestar.com.my
  13. 13IT-Connect, « La France remplace Microsoft par Scaleway pour héberger les données de santé », 2026. it-connect.fr
  14. 14Siècle Digital, « La Federal Trade Commission réclame 5 milliards de dollars à Facebook », 24 juillet 2019. siecledigital.fr
  15. 15Siècle Digital, « Meta sanctionné d’une amende de 1,2 milliard d’euros pour violation du RGPD », 22 mai 2023. siecledigital.fr
  16. 16Next, « DMA : Apple écope d’une amende de 500 millions d’euros, Meta de 200 millions », 23 avril 2025. next.ink
  17. 17Blog du Modérateur, « RGPD : pourquoi TikTok a écopé d’une amende de 530 millions d’euros ? », mai 2025. blogdumoderateur.com
  18. 18CNIL, « Publicités insérées entre les courriels et cookies : la CNIL sanctionne Google d’une amende de 325 millions d’euros », 3 septembre 2025 (délibération SAN-2025-004). cnil.fr
  19. 19Commission européenne, « La Commission inflige à Google une amende d’un montant de 2,95 milliards d’euros pour pratiques abusives dans le domaine des technologies publicitaires en ligne », 5 septembre 2025. representation.ec.europa.eu
  20. 20Cyber Daily, « Google fined €2.95bn by EU for anti-competitive adtech practices » (réaction de Google : « we will appeal »), 9 septembre 2025. cyberdaily.au
  21. 21CB News, « DSA : X fait appel d’une amende de 120 millions € infligée par l’UE », 2026. cbnews.fr
  22. 22Next, « Cookies, publicité entre les mails : des amendes salées de la CNIL pour Google et Shein », 4 septembre 2025. next.ink
  23. 23Presse-citron, « Selon cette étude, le reach sur Facebook a encore baissé » (étude Ogilvy). presse-citron.net
  24. 24CNIL, « IA : Meta entraînera ses systèmes d’IA avec les données des utilisateurs européens dès fin mai 2025 ». cnil.fr
  25. 25Presse-citron, « Facebook Files : comprendre de A à Z cette tentaculaire affaire », octobre 2021. presse-citron.net
  26. 26L’ADN, « 32 % des adolescentes en détresse à cause d’Instagram, et Instagram le sait », 16 septembre 2021. ladn.eu
  27. 27Amnesty International, « Myanmar. Les systèmes de Facebook ont promu la violence contre les Rohingyas – Meta doit des réparations », 29 septembre 2022. amnesty.org
  28. 28Fortune, « Amnesty report on Meta finds Facebook algorithm “proactively amplified and promoted” anti-Rohingya hate speech in Myanmar », 29 septembre 2022. fortune.com
  29. 29Siècle Digital, « Meta met fin au fact-checking aux États-Unis », 8 janvier 2025. siecledigital.fr
  30. 30Le Monde Informatique, « Licences VMware : Broadcom ne relâche pas la pression » (observatoire ECCO du CISPE). lemondeinformatique.fr

Les noms et marques cités appartiennent à leurs titulaires respectifs et sont mentionnés à titre d’information. Aucun logo de ces entreprises n’est reproduit sur cette page.