En avril 2024, une ordonnance judiciaire canadienne, établie au titre de la sécurité nationale Canadienne, exigeait d’OVH la remise de données d’abonnés rattachées à quatre adresses IP. La particularité ? Ces données étaient stockées sur des serveurs situés en dehors du territoire canadien, à savoiren France, au Royaume-Uni et en Australie.

Les arguments d’OVH 

Pour s’y opposer, OVH Groupe et sa filiale canadienne faisaient valoir deux arguments majeurs : 

  • d’une part, la filiale canadienne est une entité juridiquement distincte, n’ayant pas le contrôle sur les données réclamées gérées par la maison mère ;  
  • d’autre part, une transmission directe violait la loi française de blocage de 1968, qui encadre et sanctionne la communication de renseignements d’ordre économique, commercial , industriel ou technique  à des autorités étrangères. 
La décision de justice et le précédent 

La validité de cette ordonnance vient d’être confirmée par la Cour supérieure de justice de l’Ontario, obligeant désormais OVH à transmettre ces données.  

La juge a retenu que la seule présence commerciale d’OVHcloud au Canada (employés, centres de données, clients) suffisait à établir un lien réel et substantiel avec le pays. Ce lien confirmant l’application des lois canadiennes à OVH. Elle a également relevé un précédent qui fragilise la défense d’OVH : le groupe avait déjà transmis, sur simple demande canadienne, des données hébergées en Allemagne. 

Le dilemme d’OVH 

Cette décision place OVHcloud au cœur d’un conflit de normes. En cédant aux exigences d’Ottawa, l’hébergeur contourne la procédure d’entraide judiciaire internationale et prend le risque de violer la loi de blocage française de 1968 ainsi que le RGPD, tout en entachant la confiance de ses clients. À l’inverse, tenir tête à la justice canadienne expose l’entreprise et ses dirigeants locaux à de lourdes sanctions pénales et financières pour outrage au tribunal. C’est l’ensemble du modèle de l’asile juridique européen promu face aux géants américains qui se trouve aujourd’hui ébranlé. 

L’analyse d’ITLAW Avocats 

Ce cas d’école confirme que la localisation géographique d’un serveur ne suffit plus, à elle seule, à garantir l’application exclusive du droit du pays d’hébergement.  

Dès lors qu’un fournisseur cloud dispose d’une présence commerciale dans le pays qui ordonne la communication des données, ses tribunaux peuvent s’estimer compétents et ce,  indépendamment du lieu où les serveurs visés par la demande de communication se trouvent réellement.  

Pour les directions juridiques et les DSI, la leçon est claire : la souveraineté technologique s’analyse désormais au prisme de l’exposition juridique globale de vos prestataires.  

Il est devenu indispensable d’intégrer ces risques dans l’analyse du choix de vos fournisseurs Cloud et SaaS !  

Faites une analyse de risque, cartographiez vos données, mettez à jour vos grilles de lectures des offres de vos fournisseurs et négocier les clauses pertinentes. 

Pour en savoir plus: Cloud et souveraineté, entre mythes et réalités … Votre système d’information et vos données sont-ils réellement protégés ? 

–

Claudia Weber, Avocat associé fondateur ITLAW Avocats.

ITLAW Avocats mobilise ses talents et son expertise en matière de protection des  données personnelles, de projets informatiques  complexes, de  contrats, d’innovation et de  propriété intellectuelle  ainsi que sa connaissance de l’écosystème IT et son expertise en matière de négociation pour vous accompagner dans la sécurisation de vos projets complexes. 
Nous contacter