DocuSign : les faits juridiques
- Raison sociale : DocuSign, Inc.
- Siège social : 221 Main Street, San Francisco, California 94105, USA
- Cotation : NASDAQ · ticker DOCU (introduction 2018)
- Nationalité : société de droit américain (Delaware)
- Filiale française : DocuSign France SAS · Paris · immatriculée au RCS de Paris
- Datacenters UE : Irlande, Allemagne (pour les clients européens qui en font la demande)
La filiale française est un canal commercial et juridique local, mais elle n'échappe pas au contrôle de la maison mère américaine. C'est le cœur du problème de souveraineté.
Le vrai problème : le Cloud Act et FISA 702
Le Cloud Act (2018)
Le Clarifying Lawful Overseas Use of Data Act autorise les autorités américaines à réquisitionner les données d'une entreprise US même quand ces données sont stockées à l'étranger. Concrètement : le FBI peut demander à DocuSign Inc. l'accès à vos données stockées en Irlande sans passer par la justice française ou européenne. DocuSign est tenu par la loi américaine de coopérer, sous peine de sanctions pénales.
FISA 702
Le Foreign Intelligence Surveillance Act, section 702 autorise la NSA à surveiller les communications de non-Américains, y compris les contenus stockés chez des Electronic Communication Service Providers américains — catégorie qui inclut DocuSign. L'arrêt Schrems II de la CJUE (2020) a explicitement pointé cette loi comme incompatible avec le RGPD.
Le Patriot Act
Même après sa refonte partielle en 2015 (USA Freedom Act), les dispositions permettant l'accès aux données restent large. Combiné au Cloud Act, il forme un cadre juridique où les autorités US disposent d'un pouvoir d'accès étendu aux données détenues par les entreprises américaines, indépendamment de leur localisation physique.
Concrètement, qu'est-ce que ça veut dire ?
Un magistrat américain, un enquêteur du FBI ou une agence de renseignement peut, sous certaines conditions procédurales US (généralement moins strictes que le droit français), obtenir de DocuSign Inc. l'accès aux métadonnées et parfois au contenu de vos documents signés — sans notification obligatoire ni à vous ni à vos clients. C'est ce que la CNIL et le CEPD (EDPB) qualifient de « risque documenté » depuis Schrems II.
Le RGPD est-il respecté ?
Techniquement, DocuSign propose des mécanismes conformes au RGPD :
- Clauses contractuelles types (SCC) validées par la Commission européenne
- Certification ISO 27001, 27017, 27018
- Data Processing Agreement (DPA) signé avec chaque client
- Data Privacy Framework (accord UE-USA 2023) — mais dont la validité est déjà contestée devant la CJUE (« Schrems III » attendu 2026-2027)
Le problème n'est pas contractuel, il est structurel : aucune clause contractuelle ne peut empêcher l'application d'une loi étrangère à une société soumise à cette loi. La CJUE l'a explicitement dit dans Schrems II : les SCC ne suffisent pas quand la législation du pays tiers est incompatible avec le RGPD.
Qui est concerné en pratique ?
Pour un usage commercial B2B classique (contrats commerciaux, RH standard), le risque juridique reste théorique. En revanche, l'usage de DocuSign devient problématique voire déconseillé pour :
| Secteur / cas d'usage | Niveau de risque | Position CNIL / doctrine |
|---|---|---|
| Santé (dossier médical, patient) | Élevé | HDS obligatoire → prestataire FR/UE hors juridiction US |
| Défense, sécurité publique | Élevé | SecNumCloud obligatoire → prestataire non-soumis lois étrangères |
| Administration publique | Élevé | Doctrine « Cloud au centre » 2021 → cloud de confiance FR |
| Marchés publics sensibles | Moyen à élevé | Recommandations DINUM 2024 → privilégier prestataires FR |
| Avocats, notaires (secret professionnel) | Moyen | Barreaux recommandent prestataires FR/UE |
| Experts-comptables | Moyen | Ordre encourage souveraineté (pas d'obligation formelle) |
| Contrats commerciaux B2B classiques | Faible | Usage acceptable avec SCC + DPA |
| Signature RH interne (contrats, avenants) | Faible | Acceptable si pas de données sensibles art. 9 RGPD |
Que dit la CNIL ?
La CNIL a publié plusieurs mises en garde sur les transferts extra-UE depuis Schrems II. Sa position officielle peut se résumer ainsi :
« Toute organisation qui utilise un fournisseur soumis au Cloud Act pour traiter des données personnelles de résidents européens doit conduire une analyse de transfert (Transfer Impact Assessment, TIA) et mettre en place des mesures supplémentaires — cryptographiques notamment — pour garantir un niveau de protection équivalent au RGPD. »
En clair : ce n'est pas interdit, mais c'est votre responsabilité de démontrer que les données restent protégées. Beaucoup de DPO préfèrent choisir un prestataire européen pour éliminer le risque à la source.
Les alternatives françaises
1. Universign (via Securit Expert)
- Nationalité : société française (Cryptolog International, groupe Signaturit basé à Barcelone)
- Hébergement : France
- Juridiction : droit français / UE uniquement, hors Cloud Act
- PSCo qualifié eIDAS : oui, inscrit à la EU Trust List
- Certifications : ISO 27001, PVID certifié ANSSI, eIDAS QES
- Idéal pour : cabinets, professions réglementées, marchés publics, données sensibles
2. Lex Persona
- PSCo qualifié français, hébergement FR, positionnement grands comptes / éditeur intégré
3. Certeurope (groupe Oodrive)
- Éditeur français avec certification SecNumCloud pour la partie hébergement — le plus haut niveau de souveraineté disponible
4. Yousign
- Français (Caen), hébergement FR. Attention : levée de fonds Bpifrance + investisseurs internationaux — vérifier la structure capitalistique à jour
Notre conseil
Si vous êtes DPO ou RSSI, ne raisonnez pas en « français vs étranger » mais en juridiction applicable. Une entreprise française détenue majoritairement par un fonds US peut être soumise au Cloud Act de facto. À l'inverse, une société européenne (comme le groupe Signaturit espagnol qui possède Cryptolog International/Universign) est hors périmètre US même si son capital est international, tant qu'elle n'est pas contrôlée par une entité US.
FAQ · DocuSign et souveraineté
DocuSign propose l'hébergement en Irlande, ça règle le problème ?
Non. L'hébergement UE réduit la latence et facilite certaines analyses RGPD, mais ne change rien à la juridiction US applicable à la maison mère américaine. Le Cloud Act s'applique quel que soit le lieu de stockage.
Le Data Privacy Framework (DPF) 2023 ne résout-il pas la question ?
Il apporte un cadre nouveau mais reste fragile. Plusieurs experts et l'association None of Your Business (Max Schrems) préparent déjà un recours contre le DPF (« Schrems III »). Prudence recommandée : ne pas fonder une stratégie long terme sur un accord qui pourrait tomber d'ici 2027.
Est-ce que la signature DocuSign a moins de valeur juridique en France ?
Non. Une signature qualifiée eIDAS produite par DocuSign France (add-on QES) a exactement la même valeur légale qu'une signature Universign — c'est le règlement européen 910/2014 qui prime. La différence porte sur le risque d'accès aux données, pas sur la valeur juridique du document signé.
Peut-on utiliser DocuSign avec chiffrement de bout en bout pour contourner le Cloud Act ?
DocuSign propose du chiffrement au repos et en transit, mais pas de chiffrement de bout en bout où seul le client détient la clé. Une réquisition Cloud Act obtiendrait donc les données déchiffrées côté DocuSign. Ce que la CNIL appelle « mesures cryptographiques supplémentaires » nécessite typiquement une couche externe à DocuSign (BYOK, HSM tiers), rarement mise en œuvre en pratique.
Universign est-il vraiment français ?
La marque Universign est portée par Cryptolog International, société française créée en 2001, désormais filiale du groupe Signaturit (basé à Barcelone, Espagne). Groupe européen, hors juridiction US. Hébergement 100 % France, PSCo qualifié eIDAS français inscrit à la EU Trust List française.