Depuis plusieurs années, le débat sur la souveraineté numérique est largement dominé par le CLOUD Act américain. Cette loi permet aux autorités des États-Unis d’exiger d’un fournisseur américain la remise de données placées sous son contrôle, même lorsque celles-ci sont hébergées dans un autre pays. L’affaire qui oppose aujourd’hui OVHcloud aux autorités canadiennes montre cependant que cette logique extraterritoriale n’est pas exclusivement américaine.

OVH Groupe, établi en France, et sa filiale canadienne Hébergement OVH font maintenant l’objet d’accusations au Canada pour ne pas avoir respecté une ordonnance de communication et pour entrave à la justice. Les entreprises affirment qu’elles contesteront vigoureusement ces poursuites.

À l’origine du conflit se trouve une ordonnance obtenue par la Gendarmerie royale du Canada en avril 2024, dans le cadre d’une enquête liée à la sécurité nationale. Elle exige la remise de données d’abonnés et de comptes associées à quatre adresses IP. Les serveurs concernés se trouvent en France, au Royaume-Uni et en Australie. Aucune des informations demandées ne serait hébergée au Canada.

OVHcloud soutient que sa filiale canadienne est juridiquement distincte des autres sociétés du groupe et qu’elle ne possède ni ne contrôle les données recherchées. L’entreprise affirme également qu’une transmission directe aux autorités canadiennes pourrait contrevenir à la loi française de 1968, qui encadre la communication de renseignements économiques et commerciaux à des autorités étrangères.

En septembre 2025, la juge Heather Perkins-McVey, de la Cour de justice de l’Ontario, a néanmoins maintenu l’ordonnance. Elle a conclu que les activités commerciales d’OVHcloud au Canada, ses employés, ses centres de données et les services proposés aux Canadiens établissaient un lien réel et substantiel avec le pays. La cour a aussi retenu qu’OVH avait déjà donné suite à une ordonnance canadienne concernant des données hébergées en Allemagne, un précédent qui fragilise son argument voulant que sa filiale canadienne soit incapable d’obtenir des données conservées ailleurs.

Le tribunal a par ailleurs jugé que le risque de poursuites en France demeurait insuffisamment démontré. Il a privilégié les besoins de l’enquête canadienne, estimant que le recours au traité d’entraide judiciaire entre le Canada et la France entraînerait des délais et des incertitudes. La juge a conclu que l’ordonnance était valide, exécutoire et nécessaire.

OVHcloud réclame pourtant précisément l’utilisation de ce mécanisme international, connu sous l’acronyme MLAT. Selon l’entreprise, il permettrait aux autorités canadiennes d’obtenir légalement les renseignements recherchés par l’intermédiaire de la justice française. Paris aurait même proposé de traiter la demande de façon accélérée.

L’affaire place maintenant OVHcloud dans une situation particulièrement délicate. En remettant directement les données aux autorités canadiennes, le groupe respecterait l’ordonnance ontarienne, mais risquerait de contredire sa promesse selon laquelle les renseignements de ses clients demeurent soumis aux lois du pays où ils sont hébergés. Ce principe constitue l’un de ses principaux arguments face aux fournisseurs américains comme Amazon, Microsoft et Google.

En refusant de collaborer, OVHcloud s’expose toutefois aux conséquences du droit canadien. Les nouvelles accusations pour non-respect de l’ordonnance et entrave à la justice rendent ce risque concret. L’entreprise transforme ainsi sa contestation en véritable démonstration de sa volonté de défendre les données de ses clients, mais au prix d’un affrontement judiciaire avec un pays où elle possède des activités commerciales et deux centres de données.

« Nos clients, partout dans le monde, comptent sur nous pour que leurs données soient protégées par les lois de la juridiction dans laquelle elles résident », affirme Octave Klaba, fondateur et président-directeur général d’OVHcloud. Pour le dirigeant, la séparation juridique entre les différentes filiales du groupe doit empêcher une autorité nationale d’utiliser une présence locale pour accéder aux serveurs exploités dans d’autres pays.

L’issue du dossier pourrait dépasser largement le cas d’OVHcloud. Si la position canadienne est confirmée, la simple localisation physique des données ne suffirait plus à garantir leur souveraineté. Les entreprises devraient aussi examiner la structure internationale de leur fournisseur, les liens entre ses filiales et la capacité technique ou juridique de la société mère à accéder aux serveurs.

Le parallèle avec le CLOUD Act devient alors difficile à éviter. La question ne serait plus seulement de savoir dans quel pays se trouve un centre de données, ni même quelle est la nationalité du fournisseur. Elle serait plutôt de déterminer dans quels territoires ce fournisseur exerce ses activités et jusqu’où les tribunaux de ces pays peuvent étendre leur autorité.

OVHcloud conteste toujours la décision ontarienne. Tant que les tribunaux supérieurs ne se seront pas prononcés, la portée définitive de cette affaire demeurera incertaine. Une chose est cependant acquise : en choisissant de résister, le groupe français met à l’épreuve, devant les tribunaux canadiens, la promesse de souveraineté numérique sur laquelle repose une partie importante de son identité commerciale.

+++++++

+++++++

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur
l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.