Accusé de ne pas avoir respecté une ordonnance de communication canadienne datant de 2024, OVHcloud risque désormais des poursuites pénales. L'hébergeur français fait valoir la souveraineté juridique de ses filiales et prépare sa défense.
Ce week-end, l'hébergeur français OVHcloud a confirmé être visé par une menace de poursuites judiciaires au Canada, qui lui reproche de ne pas s'être conformé à une ordonnance de communication d'informations privées vieille de plus de deux ans. Dans le détail, il s'agit des données d'abonnés liées à des serveurs situés hors du territoire canadien, réclamées directement par les autorités, qui ne sont pas passées par les canaux diplomatiques habituels. Pour une entreprise qui bâti une bonne partie de son image sur la protection juridique de ses clients, c'est un vrai problème. OVHcloud, lancé dans un bras de fer, promet de se défendre « vigoureusement ».
Le bras de fer entre OVHcloud et le Canada autour de la protection des données
Avec l'affaire opposant OVHcloud au Canada, nous voilà avec un vrai cas d'école de souveraineté et de test de crédibilité de cette souveraineté. Le 19 avril 2024, en invoquant un article du Code criminel canadien, la justice locale avait exigé d'OVH France et de sa filiale OVH Canada la communication de données d'abonnés et de comptes. Le souci, c'est que ces informations concernent des adresses IP rattachées à des serveurs hébergés par d'autres filiales du groupe, situées hors du Canada, donc a priori hors de sa portée juridique directe. Un détail cocasse évidemment, puisqu'OVHcloud exploite justement deux datacenters sur le sol canadien, mais ce n'est pas là que se trouvent les données recherchées.
Deux ans plus tard, faute d'avoir obtenu ce qu'elles réclamaient, les autorités canadiennes ont décidé d'accélérer les choses. Elles menacent désormais d'attaquer OVH France et OVH Canada en justice, pour non-conformité à l'ordonnance de communication, et entrave à la justice, rien que ça.
L'hébergeur fondé et dirigé par Octave Klaba ne compte pas plier. Dans un communiqué publié ce week-end, le groupe affirme avoir « agi de bonne foi », dans le respect de ses obligations légales, aussi bien françaises que canadiennes. Son argument est que chaque filiale OVH est une entité juridique indépendante, régie par les lois du pays où elle opère, et non par celles de sa maison-mère.
La souveraineté numérique, le nerf de la guerre
OVHcloud ne faut pas contester d'ailleurs, puisque l'entreprise propose aussi une porte de sortie. Elle rappelle l'existence des traités d'entraide judiciaire internationale, les fameux MLAT, conçus précisément pour ce type de demande transfrontalière. D'après OVH, les autorités françaises ont fait savoir qu'une requête passée par ce canal serait traitée en quelques semaines seulement. Une voie plus longue qu'une simple ordonnance, certes, mais qui au moins respecte les prérogatives de chaque pays.
Octave Klaba rappelle que son entreprise s'est bâtie sur « une promesse de confiance, de transparence et de souveraineté des données ». Il ajoute que ses équipes ont agi de manière licite tout au long du dossier et qu'elles défendront le principe de séparation juridique des filiales avec la conviction qu'il sera reconnu. Cela donne une idée du positionnement commercial et du caractère de la société qui, depuis des années, cultive son image d'alternative européenne face aux géants américains du cloud, eux soumis au très controversé CLOUD Act.
Et essayons de voir plus loin. Si le Canada obtenait gain de cause en s'appuyant sur la présence locale d'une filiale pour accéder à des données stockées à l'étranger, l'argument de la « séparation des entités », brandi par de nombreux acteurs du cloud pour vanter leur indépendance vis-à-vis des lois extraterritoriales, en sortirait sérieusement fragilisé. Il n'est pas question ici de jouer la surenchère, mais il y a un vrai enjeu pour le groupe nordiste, qui revendique le titre de premier fournisseur de cloud en Europe.
