OVHcloud contesté au Canada, la souveraineté des données face à un test juridique que personne n’attendait vraiment

Le bras de fer entre OVHcloud et les autorités canadiennes expose une faille sensible de la souveraineté numérique. Une décision rendue au Canada considère que la localisation physique des serveurs ne suffit pas à protéger des données hébergées hors du pays lorsque l’entreprise dispose d’une activité locale significative. Le dossier, lié à une enquête de sécurité nationale, concerne la transmission d’informations associées à quatre adresses IP. Pour le groupe français, l’affaire touche directement sa promesse commerciale: garantir à ses clients une maîtrise juridique claire de leurs données.

Perkins McVey privilégie le contrôle d’OVHcloud aux serveurs

La décision attribuée à la juge Perkins McVey retient un critère central: la capacité de contrôle de l’entreprise compte davantage que l’emplacement matériel des infrastructures. Le raisonnement ne s’arrête donc pas à la question de savoir si les données sont stockées en France, en Europe ou dans un autre pays. Il examine la réalité économique du groupe au Canada, sa clientèle locale et l’organisation de ses services.

Dans cette lecture, OVHcloud ne peut pas se présenter comme un acteur totalement extérieur au Canada. Le groupe exploite des centres de données dans le pays, y vend ses offres cloud et s’appuie sur une entité locale. Pour la juridiction canadienne, ces éléments suffisent à caractériser une présence substantielle, même lorsque la donnée recherchée n’est pas conservée sur le territoire canadien.

Ce point est décisif pour tout le secteur. Depuis plusieurs années, les fournisseurs européens mettent en avant la séparation entre zones d’hébergement, entités juridiques et cadres réglementaires. Cette architecture contractuelle vise à rassurer les clients publics, les entreprises sensibles et les organisations soumises à des obligations fortes de confidentialité. Le jugement canadien introduit une lecture plus fonctionnelle: si une maison mère organise et contrôle le service, elle peut être visée par une demande locale.

Le message envoyé aux opérateurs cloud est clair, la protection liée aux serveurs ne repose pas seulement sur leur adresse physique. Elle dépend aussi de la gouvernance, des accès internes, des liens capitalistiques et du pouvoir réel de décision. Pour les clients, la notion de souveraineté devient moins intuitive. Un hébergement présenté comme européen peut rester exposé à des procédures étrangères lorsque le fournisseur entretient une activité commerciale structurée dans le pays demandeur.

GRC et SCRS réclament quatre adresses IP

L’affaire trouve son origine dans une enquête criminelle de sécurité nationale menée au Canada. Selon les éléments rapportés, la GRC, Gendarmerie royale du Canada, et le SCRS, Service canadien du renseignement de sécurité, cherchaient à obtenir des informations liées à quatre adresses IP. Ces données peuvent permettre d’identifier un compte, une connexion, un client ou un service utilisé à un moment donné.

En avril 2024, une ordonnance de communication a été délivrée sur le fondement du Code criminel canadien. Cette procédure vise à contraindre un tiers à transmettre des informations utiles à une enquête. Dans le domaine numérique, elle concerne fréquemment des données de connexion, des métadonnées, des identifiants techniques ou des éléments permettant de relier une activité en ligne à une personne physique ou morale.

Le débat ne porte pas uniquement sur le contenu des données demandées. Il concerne surtout la voie d’accès choisie par les autorités. OVHcloud soutient que sa filiale canadienne ne peut pas obtenir des données conservées ailleurs, ce qui limite juridiquement sa capacité à répondre directement. La justice canadienne estime, de son côté, que l’organisation globale du groupe permet de dépasser cette séparation opérationnelle.

Cette tension illustre la difficulté rencontrée par les enquêteurs face à des infrastructures distribuées. Les services cloud reposent sur des architectures internationales, avec des centres de données répartis, des équipes de support segmentées et des contrats qui distinguent les zones de traitement. Les autorités veulent éviter que cette complexité technique ralentisse une enquête sensible. Les fournisseurs, eux, redoutent qu’une réponse directe crée un précédent fragilisant la confiance de leurs clients.

Dans une procédure de sécurité nationale, la pression institutionnelle est plus forte que dans un litige commercial classique. Les tribunaux peuvent privilégier l’efficacité de l’enquête, surtout lorsque les données demandées paraissent limitées. Pour un fournisseur cloud, même une demande ciblée sur quelques adresses IP peut ouvrir un débat beaucoup plus large sur ses obligations futures.

OVHcloud défend son modèle de filiale canadienne

Fondé par Octave Klaba en 1999, OVHcloud a construit une partie de sa différence sur la maîtrise de ses infrastructures et sur un positionnement européen. Face aux géants américains du cloud, le groupe français met en avant une promesse de contrôle, de transparence et de limitation des risques d’accès extraterritorial. Le dossier canadien place cette promesse sous tension.

La position défendue repose sur une séparation entre la maison mère et sa filiale canadienne. Selon cette logique, l’entité locale commercialise des services et opère sur son marché, mais elle ne disposerait pas librement d’un accès à toutes les données hébergées dans d’autres juridictions. Ce cloisonnement est courant dans les groupes internationaux. Il sert à répondre à des règles nationales différentes et à limiter les transferts non autorisés.

Pour les clients, cette architecture est souvent présentée comme un élément de souveraineté numérique. Elle doit garantir que les données ne circulent pas sans base légale claire. Les administrations, les hôpitaux, les banques ou les industriels sensibles regardent ces garanties avec attention avant de choisir un prestataire. La confiance ne dépend pas uniquement du prix ou de la performance technique, mais aussi de la capacité du fournisseur à résister à des demandes jugées excessives.

Le raisonnement canadien affaiblit cette ligne de défense sans l’annuler totalement. Il ne dit pas que toutes les filiales d’un groupe mondial peuvent accéder automatiquement aux données du groupe. Il affirme plutôt qu’une activité locale structurée peut suffire à soumettre l’entreprise à une obligation de communication. La nuance est importante, car elle oblige les acteurs du cloud à documenter très précisément leurs chaînes d’accès, leurs responsabilités internes et leurs limites techniques.

Le risque commercial est réel pour OVHcloud. Les clients qui choisissent un fournisseur européen pour éviter une exposition aux législations étrangères peuvent demander des garanties supplémentaires. Le groupe devra probablement expliquer, contrat par contrat, où se trouvent les données clients, qui peut les consulter, sur quelle base et selon quelles procédures de contestation.

RGPD et loi de blocage compliquent la réponse française

Pour une entreprise française, répondre à une demande étrangère ne se limite pas à obéir ou refuser. Le RGPD encadre strictement les transferts de données personnelles hors de l’Union européenne. La loi de blocage française peut aussi limiter la communication directe d’informations économiques, commerciales ou techniques à des autorités étrangères, sauf cadre de coopération prévu.

Cette situation place les groupes internationaux entre plusieurs obligations contradictoires. Une juridiction canadienne peut estimer qu’une entreprise présente sur son territoire doit produire des éléments demandés dans une enquête. Une autorité européenne peut, de son côté, considérer qu’un transfert réalisé sans base conforme viole les règles de protection des données. Le conflit n’est pas théorique, il touche la conformité quotidienne des services numériques mondialisés.

La comparaison avec l’affaire BNP jugée aux États-Unis en 2018 est souvent citée par les juristes. Dans ce dossier, la banque avait refusé une demande de dépseudonymisation en invoquant notamment le RGPD et la loi de blocage. Le tribunal américain avait admis l’importance de ces contraintes. Le Canada adopte ici une approche plus offensive envers le fournisseur visé, en insistant sur sa présence économique locale.

La voie classique pour contourner ces conflits repose sur l’entraide judiciaire entre États. Ce mécanisme permet à une autorité étrangère de demander l’assistance des autorités du pays où se trouvent les données ou l’entreprise concernée. La procédure est plus lente, mais elle sécurise mieux la chaîne juridique. Les enquêteurs, confrontés à des dossiers numériques rapides, la jugent souvent trop peu réactive.

Le dossier OVHcloud intervient dans un moment où les gouvernements cherchent à reprendre la main sur les infrastructures critiques. Les fournisseurs cloud devront adapter leurs contrats, leurs schémas de gouvernance et leurs discours commerciaux. La souveraineté numérique ne se résume plus à une carte des centres de données, elle se joue dans les tribunaux, les procédures d’accès et les rapports de force entre États.