L'affaire est un véritable casse-tête juridique. En avril 2024, la justice canadienne a exigé d'OVHCloud la communication de métadonnées liées à quatre adresses IP dans le cadre d'une enquête criminelle.
Le problème ? Ces informations ne sont pas au Canada, mais sur des serveurs en France, au Royaume-Uni et en Australie. La demande a été faite à la filiale locale d'OVHCloud, qui n'a techniquement pas accès à ces informations, car elle est juridiquement distincte de la maison mère française.
Pourquoi la justice canadienne s'acharne-t-elle ?
La Cour de l'Ontario ne lâche rien. Dans une décision rendue en septembre, la juge Heather Perkins-McVey a balayé les arguments techniques d'OVHCloud. Pour la justice canadienne, la "présence virtuelle" du groupe au Canada suffit à le soumettre à la juridiction locale, peu importe où se trouvent physiquement les serveurs. C'est une interprétation très large du droit qui change complètement la donne pour les opérateurs internationaux.
La Gendarmerie royale du Canada (RCMP) a délibérément choisi de contourner les traités d'entraide judiciaire existants entre la France et le Canada. Une voie plus rapide, mais qui heurte de plein fouet les principes de coopération internationale et la souveraineté des États. OVHCloud a désormais un délai très court, jusqu'au 27 octobre 2025, pour obtempérer sous peine de lourdes sanctions pénales.
Quelle est la défense d'OVHCloud et de la France ?
Le fournisseur français OVHCloud est pris entre le marteau et l'enclume. S'il obéit à l'injonction canadienne, il viole la loi de blocage française. Cette loi interdit formellement à toute entreprise française de communiquer des informations sensibles à des autorités étrangères en dehors des canaux officiels. Les dirigeants risqueraient jusqu'à six mois de prison et des amendes conséquentes pour chaque infraction.
Face à ce que Paris considère comme une atteinte à sa souveraineté, l'État français est monté au créneau. Le Service de l’Information Stratégique et de la Sécurité Économique (SISSE), rattaché à Bercy, a envoyé deux courriers pour rappeler l'illégalité de la démarche. Le ministère de la Justice a également proposé une coopération accélérée, mais via la voie légale d'une commission rogatoire. Une main tendue que les autorités canadiennes ont pour l'instant ignorée.
Quelles sont les conséquences pour le secteur du cloud ?
Cette affaire est bien plus qu'un simple bras de fer juridique. Elle met à mal toute la stratégie d'OVHCloud, qui a bâti sa réputation sur la séparation stricte, juridique et technique, de ses filiales pour protéger les données de ses clients contre les lois extraterritoriales comme le Cloud Act américain. Ironiquement, le danger ne vient pas de Washington, mais d'Ottawa.
Si la décision canadienne est confirmée en appel, elle créerait un précédent mondial dévastateur. N'importe quel pays pourrait exiger l'accès à des informations hébergées à l'autre bout du monde, du moment qu'un fournisseur de services y a une activité commerciale. C'est toute l'architecture de la confiance dans le cloud qui serait remise en cause. OVHCloud a fait appel devant la Cour supérieure de l'Ontario pour tenter de désamorcer cette bombe à retardement.
Foire Aux Questions (FAQ)
Qu'est-ce que la loi de blocage française ?
C'est une loi qui interdit aux entreprises françaises de transmettre des données à caractère économique, commercial, industriel, financier ou technique à des autorités publiques étrangères, sauf dans le cadre de traités d'entraide judiciaire internationaux. Le but est de protéger la souveraineté et les intérêts stratégiques français.
Pourquoi le Canada n'utilise-t-il pas les voies légales ?
Les enquêteurs canadiens semblent privilégier la rapidité d'une ordonnance directe ("Production Order") plutôt que les procédures de coopération internationale. Ces dernières sont jugées plus lentes et bureaucratiques, même si elles sont légalement prévues pour ce type de situation et respectent la souveraineté de chaque État.
Cette affaire remet-elle en cause la souveraineté numérique ?
Absolument. Si la localisation physique des données n'est plus une protection suffisante, le principe même de souveraineté numérique est menacé. Cela signifie que les données pourraient ne plus être exclusivement soumises aux lois du pays où elles sont stockées, créant une insécurité juridique majeure pour les entreprises et les citoyens.
