La législation CLOUD Act aux États-Unis impose aux entreprises qui fournissent des services cloud de communiquer les données aux autorités américaines qui en font la demande.
Cette disposition s'applique également aux entreprises américaines qui traitent des données européennes. Une demande des autorités est suffisante, et aucune explication ou décision de justice n'est nécessaire.
Le principal problème lié au fait d'autoriser une entreprise américaine à traiter vos données personnelles européennes est la nature intrusive des programmes de surveillance entrepris par le gouvernement américain et les agences de renseignement, autorisés par la section 702 de la FISA (Foreign Intelligence Surveillance Act) et le décret 12333 (considérés comme disproportionnés en vertu du RGPD).
Le RGPD, quant à lui, a été créé pour protéger les données des citoyens européens et leur donner plus de droits sur la collecte, le traitement et le stockage de leurs données personnelles.