M. Bastien Lachaud interroge M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur les atteintes potentielles à la souveraineté numérique française soulevées par la récente décision d'un tribunal de l'Ontario concernant OVHcloud. Un tribunal canadien a en effet ordonné à OVHcloud de transmettre à la police fédérale des données hébergées sur des serveurs situés en France. Une telle décision, si elle est confirmée en appel, place l'entreprise française dans une situation intenable. Se conformer à la loi canadienne violerait la loi de blocage française, tandis que s'y opposer l'exposerait à des sanctions au Canada. Elle ouvrirait surtout la voie à un précédent extrêmement préoccupant, permettant à une autorité étrangère d'exiger un accès direct à des données stockées sur le territoire national. Le ministère de l'économie a rappelé dans cette affaire que tout transfert de données vers un État tiers peut passer par une procédure de dérogation encadrée par les autorités françaises lorsqu'elle est demandée. Or le Canada conteste ce principe et souhaite pouvoir obtenir des données à tout moment, sans contrôle préalable de la France, ce qui contrevient frontalement aux principes de souveraineté numérique. Cette affaire constitue un test pour l'avenir du cloud souverain français : si une telle jurisprudence devait s'imposer, elle fragiliserait l'ensemble des entreprises françaises, au bénéfice d'autorités ou de juridictions étrangères susceptibles d'accéder directement à des données hébergées en France. Il lui demande donc quelles mesures le Gouvernement entend mettre en œuvre pour protéger l'opérateur de cloud français face à ces injonctions extraterritoriales et garantir que les données hébergées en France ne puissent être directement saisies par une autorité étrangère.

Le Gouvernement n'a pas vocation à commenter une procédure en cours à l'étranger. Le traitement d'une procédure doit être mené conformément aux obligations du pays concerné au regard du droit international. Par ailleurs, la saisine en France des services de l'État compétents par une entreprise est couverte notamment le secret professionnel des agents publics et le secret des affaires. Il peut toutefois être indiqué que le ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique est très attentif aux enjeux de souveraineté numérique et reste pleinement mobilisé pour garantir la protection des données hébergées en France, ainsi que pour soutenir les acteurs français du cloud face aux mesures étrangères extraterritoriales. Plusieurs dispositifs sont mis en œuvre au sein du ministère afin de lutter contre les mesures étrangères à portée extraterritoriale. A ce titre, le service de l'information stratégique et de la sécurité économique (SISSE), au travers de l'action de son guichet unique interministériel, a pour mission d'accompagner les entreprises françaises confrontées à des demandes d'informations émanant d'autorités étrangères et de veiller à l'application de la loi pénale n° 68-678 du 26 juillet 1968, qui encadre la transmission à l'étranger d'informations sensibles. Cette loi comporte deux volets, l'article 1er qui interdit la communication à toute autorité publique étrangère d'informations touchant à la sécurité, la souveraineté, l'ordre public ou les intérêts économiques essentiels de la France et l'article 1er bis qui a pour finalité de s'assurer que les demandes de communication ou recherches d'informations en vue de collecter des preuves dans le cadre de procédures judiciaires ou administratives empruntent bien les canaux et traités applicables en matière de coopération internationale. La loi punit le non-respect de ces dispositions d'une peine d'emprisonnement de six mois et d'une amende de 18 000 euros et, pour les personnes morales, d'une amende de 90 000 euros. Cette loi a donc vocation à s'appliquer aux demandes de transmission, par des autorités étrangères, de données hébergées sur des serveurs localisés en France. Ce type de demande doit notamment s'effectuer dans le respect de la Convention de Budapest sur la cybercriminalité du 23 novembre 2001. Le décret n° 2022-207 du 18 février 2022 prévoit la possibilité pour le guichet interministériel du SISSE, de rendre des avis portant sur l'applicabilité ou non de loi n° 68-678 du 26 juillet 1968. Ces avis, adressés aux personnes ayant saisi le guichet, ont vocation à être transmis à l'autorité étrangère à l'origine de la demande d'information. Ils permettent de faire connaître la position formelle de l'administration française concernant l'interprétation de cette loi. Afin d'assurer le traitement de certaines situations, le guichet « loi de 1968 » du SISSE a la possibilité de solliciter un magistrat de liaison pour sensibiliser des autorités publiques étrangères aux dispositions de la loi de 1968, ou d'activer d'autres canaux diplomatiques. Le SISSE travaille actuellement à renforcer la visibilité du dispositif, qui pourrait être encore mieux connu des personnes susceptibles de faire face à des sollicitations de la part d'autorités étrangères. Par ailleurs, le Gouvernement réaffirme son opposition à tout contournement des canaux et traités applicables en matière de coopération internationale et veille à ce que les conventions d'entraide judiciaire, qu'elles soient bilatérales ou multilatérales, soient strictement respectées.