Juridique

Droit extraterritorial : le Canada s'inspire des États-Unis, aux dépens d'OVH

OVH se retrouve pris entre deux feux : la justice canadienne le somme de livrer des données stockées dans l’Hexagone hors de toute commission rogatoire ; la loi française le lui interdit. (Photo : OVH)

Une juridiction de l'Ontario enjoint OVH de lui donner accès à des données stockées en Europe et en Australie. Tout simplement parce que l'hébergeur possède une filiale au Canada. C'est beau comme du Patriot Act.

PublicitéAux rangs des pays qui ne semblent plus guère disposés à en passer par les classiques commissions rogatoires, permettant au juge de pays de solliciter l'assistance juridique d'un autre, voici venir le Canada. En effet, selon nos confrères allemands de Heise, en avril 2024, l'hébergeur français a été sommé par un tribunal de l'Ontario de remettre à la police montée canadienne des données stockées sur des serveurs basés en France, au Royaume-Uni et en Australie, données liées à quatre adresses IP. Une demande qui s'inscrit dans le cadre d'une enquête criminelle ciblant des suspects clients d'OVH en France. La requête de la justice canadienne vise à accéder aux données de ces individus.

L'affaire s'est accélérée en septembre dernier lorsqu'une juge a pris une « ordonnance de production », qui impose à une tierce partie de remettre à la police des données dans un délai imparti. Pour justifier son ordonnance, la magistrate s'est appuyée sur une interprétation large de la notion de « présence virtuelle » : OVH opérant à l'échelle mondiale et offrant des services au Canada, la société serait soumise à la juridiction canadienne, indépendamment de l'emplacement physique de ses serveurs, défend la magistrate. Et ce même si la filiale canadienne d'OVH est une entité juridique indépendante (Hebergement OVH Inc, à Montréal), et n'a donc aucun accès technique aux données de la société mère, stockées dans des centres de données européens. Rappelons d'ailleurs que le groupe français avait choisi une implantation au Canada pour son développement outre Atlantique et décidé de séparer cette entité des activités européennes précisément pour échapper aux lois extraterritoriales... américaines.

Pour la France, la voie légale, c'est la commission rogatoire

L'hébergeur roubaisien a refusé d'accéder à la demande du tribunal canadien en invoquant la loi française dite de blocage (loi n° 68-678), texte qui interdit aux entreprises et aux citoyens français de divulguer des informations ou des données économiquement sensibles à des autorités étrangères, sauf en cas de demande formulée par les voies internationales officielles. Les sanctions prévues pour non-respect de cette loi datant de 1968 (et révisée en 2022) peuvent aller jusqu'à 6 mois de prison et 90 000 euros d'amende. Le refus d'OVH l'expose, par contre, à des sanctions au Canada contre sa filiale locale.

Le dilemme de l'hébergeur a pris une tournure politique. Le ministère de l'Economie français - via le Sisse (service de l'information stratégique et de la sécurité économique) - a adopté une position sans équivoque dans deux courriers, datés de mai 2024 et de janvier 2025. Ceux-ci indiquent clairement que la communication directe des données à la police canadienne serait illégale au regard de la loi française et constituerait un contournement des traités internationaux violant la souveraineté française. En février, le ministère de la Justice hexagonal est aussi intervenu pour assurer à son homologue canadien qu'une demande suivant la voie officielle - soit, rappelons-le, celle de la commission rogatoire - ferait l'objet d'un traitement accéléré de sa part. L'ordonnance récente du tribunal de l'Ontario montre que la justice canadienne semble, pour l'heure, privilégier le passage en force.