Guide OVHcloud pour les demandes des autorités et de la police

Ce guide propose des conseils professionnels généraux destinés aux forces de l'ordre, aux procureurs et aux enquêteurs spécialisés dans la cybercriminalité cherchant à obtenir des données auprès d'OVHcloud. Il ne constitue pas un avis juridique. Il suppose que vous agissez dans le cadre d'une autorité légale appropriée dans votre propre juridiction et que vous utiliserez le canal légal adapté à votre affaire. Les procédures, les points de contact et les pratiques de conservation évoluant, confirmez toujours les exigences actuelles directement auprès d'OVHcloud et de vos propres conseillers juridiques avant de vous y fier.

Pourquoi OVHcloud est différent des fournisseurs américains

OVHcloud est l'une des plus grandes entreprises de cloud et d'hébergement en Europe, fournissant des serveurs dédiés, des serveurs privés virtuels (VPS) et une infrastructure cloud publique et privée (IaaS). Sa société mère est française et son siège social est situé à Roubaix, avec des centres de données en France, dans le reste de l'Europe et dans le monde. Cela est important pour les enquêteurs car le régime juridique qui protège et régit les données des clients est principalement le droit français et européen : le Règlement Général sur la Protection des Données (RGPD), le Code de procédure pénale français et les textes législatifs français associés.

Avec la plupart des grands fournisseurs d'hébergement américains, les forces de l'ordre étrangères sont habituées à un portail en libre-service et à un vocabulaire familier de subpoena, d'ordonnance judiciaire ou de mandat, parfois soutenu par des accords exécutifs du CLOUD Act. La filiale américaine d'OVHcloud opère effectivement dans ce cadre pour les données qu'elle contrôle aux États-Unis. Cependant, pour les données clients hébergées dans l'Union européenne, OVHcloud applique les règles européennes et françaises et s'est publiquement opposé à la divulgation directe aux autorités non européennes en dehors des canaux juridiques internationaux formels. La France dispose également d'une loi de blocage (Loi 68-678) qui interdit aux entreprises françaises de transmettre des données sensibles à des autorités étrangères, sauf par le biais de processus d'assistance juridique internationale reconnus. La conséquence pratique : vous ne pouvez généralement pas simplement envoyer votre ordonnance nationale à OVHcloud et attendre une production. Vous aurez normalement besoin d'un instrument européen ou d'une demande d'entraide judiciaire mutuelle.

Ce qu'OVHcloud détient

En tant que fournisseur d'infrastructure, OVHcloud détient des données au niveau du compte et de l'infrastructure plutôt que le contenu de ce que les clients exécutent sur leurs serveurs. Ce qui est réellement utile dans une enquête dépend du service et des réalités en matière de conservation.

Canal d'abus vs réquisition judiciaire

OVHcloud exploite deux voies distinctes, et utiliser la mauvaise fait perdre du temps.

• Canal d'abus. OVHcloud publie un formulaire public d'abus pour signaler les activités illégales ou abusives hébergées sur son réseau : phishing, distribution de logiciels malveillants, fraude, plaintes pour droits d'auteur et matériel pédopornographique. C'est la voie correcte pour faire agir ou supprimer un contenu nuisible, et pour signaler un serveur à l'attention du fournisseur. Ce n'est pas une voie pour obtenir l'identité de l'abonné ou des journaux, et toute donnée informelle produite répondra rarement aux normes de preuve.
• Réquisition judiciaire formelle. Pour obtenir des données clients en tant que preuve, vous avez besoin d'une demande légale valide et contraignante transmise par le canal approprié. En France, il s'agit généralement d'une réquisition judiciaire émise en vertu du Code de procédure pénale. La pratique déclarée d'OVHcloud est de ne pas divulguer de données clients sans une ordonnance légale valide, contraignante et dûment signifiée.

Voies légales par pays requérant

L'instrument correct dépend de la localisation de l'autorité enquêtrice.

• Autorités françaises. Signifiez une réquisition judiciaire ou une ordonnance pertinente en vertu du Code de procédure pénale français directement par le processus légal français.
• Autres États membres de l'UE. Utilisez une Décision d'Enquête Européenne (DEE) en vertu de la Directive 2014/41/UE, exécutée via l'autorité française compétente. Le paquet européen "e-evidence" introduit en outre l'Ordonnance Européenne de Production et l'Ordonnance Européenne de Conservation pour les preuves électroniques transfrontalières entre États membres ; vérifiez ce qui est en vigueur et opérationnel pour votre affaire.
• Autorités hors UE. Utilisez une demande d'entraide judiciaire mutuelle (MLAT) ou une commission rogatoire transmise à l'autorité centrale française. La France a indiqué qu'elle accélérerait les demandes MLAT correctement acheminées. Envoyer une ordonnance nationale directement à OVHcloud pour des données hébergées dans l'UE sera probablement refusé, et la loi de blocage française décourage la divulgation directe en dehors de ces canaux.
• Données contrôlées par l'entité américaine. Lorsque les données sont réellement détenues par la filiale américaine d'OVHcloud, le processus légal américain s'applique, avec des données non liées au contenu disponibles via un subpoena américain et le contenu via un mandat de perquisition américain ; les accords exécutifs du CLOUD Act (reconnus avec un petit nombre de pays) peuvent également s'appliquer. Ne présumez pas que cela couvre les données hébergées dans l'UE.

Preservation et limites de rétention dans l'UE

Le traitement des données personnelles par OVHcloud à des fins répressives s'inscrit dans le cadre du RGPD et du cadre plus large de protection des données de l'UE. Crucialement, le droit européen n'autorise plus la conservation indifférenciée et généralisée des données de connexion. La Cour de justice de l'Union européenne (CJUE), dans les arrêts Tele2 Sverige/Watson (2016) et La Quadrature du Net (2020 et 2024), a jugé que la conservation générale et indifférenciée des données de trafic et de localisation est illégale, avec des exceptions étroites (par exemple, une menace réelle pour la sécurité nationale) et une position plus permissive sur la conservation des adresses IP pour l'accès des forces de l'ordre. L'effet pratique pour les enquêteurs est que les journaux de connexion peuvent être conservés pendant des périodes plus courtes, ou dans des conditions plus restreintes, que ce à quoi vous pourriez vous attendre de la part d'anciens fournisseurs ou de juridictions hors UE.

Demandes d'urgence

OVHcloud reconnaît les situations d'urgence, telles que la conviction de bonne foi qu'il existe un risque de préjudice corporel imminent ou une menace pour la vie. Dans les cas d'urgence réelle, contactez le fournisseur via son canal d'urgence ou d'abus désigné, identifiez clairement l'urgence, la base juridique et les données spécifiques nécessaires, et assurez le suivi avec l'instrument formel approprié. La divulgation d'urgence est une exception, et non un substitut au canal juridique approprié ; elle doit être réservée aux scénarios réels de menace pour la vie.

Flux de travail étape par étape

1. Confirmez qu'OVHcloud est le bon fournisseur. Vérifiez le WHOIS, l'allocation RIPE/ARIN et le DNS inverse pour confirmer que l'adresse IP, la plage IP ou le serveur appartient bien à OVHcloud et non à un revendeur ou à un client en aval.
2. Déterminez les identifiants. Enregistrez l'adresse IP exacte, le port le cas échéant, le nom d'hôte du serveur ou l'identifiant de service, ainsi que les horodatages précis avec le fuseau horaire. La précision permet une réponse plus rapide et plus ciblée.
3. Faites la distinction entre contenu et non-contenu. Séparez les données relatives à l'abonné et au compte de tout contenu stocké, et déterminez si le contenu est détenu par OVHcloud ou par le client sur une machine auto-gérée.
4. Envoyez une demande de conservation rapidement. Compte tenu des limites de conservation dans l'UE, demandez à OVHcloud de conserver les données pertinentes pendant que vous préparez votre instrument formel.
5. Choisissez le canal juridique approprié. Autorité française : réquisition judiciaire. Autorité européenne : OEE ou Ordre européen de production. Autorité hors UE : entraide judiciaire internationale (MLAT) ou commission rogatoire. Données détenues aux États-Unis : procédure américaine.
6. Signifiez via ce canal et assurez le suivi. Acheminez l'instrument vers l'autorité française ou européenne compétente si nécessaire, faites référence à votre demande de conservation et enregistrez l'accusé de réception ainsi que tout numéro de référence.
7. Prévoyez la notification au client. OVHcloud peut informer le client, sauf si la loi l'interdit ; si la confidentialité est importante, assurez-vous que votre ordonnance judiciaire inclut une clause de non-divulgation exécutoire.

Questions fréquentes

Puis-je simplement utiliser le formulaire d'abus d'OVHcloud pour obtenir l'identité du titulaire du compte ? Non. Le formulaire d'abus sert à signaler un contenu illégal ou abusif et à obtenir une intervention. L'identité de l'abonné, l'attribution d'IP et les journaux nécessitent une demande juridique formelle via le canal judiciaire approprié.

Je suis un enquêteur hors UE. Puis-je envoyer mon mandat national directement à OVHcloud ? Généralement non pour les données hébergées dans l'UE. Vous aurez normalement besoin d'une demande d'entraide judiciaire (MLAT) ou d'une commission rogatoire acheminée par les canaux juridiques français. La loi de blocage française et les règles de l'UE découragent la divulgation directe aux autorités étrangères en dehors de ces canaux.

Pourquoi OVHcloud pourrait-il conserver moins de journaux de connexion que prévu ? Le droit européen, façonné par les arrêts de la CJUE, restreint la conservation générale et indifférenciée des données de trafic. Les délais de conservation peuvent être plus courts et plus restreints que dans certaines juridictions hors UE, demandez donc la conservation rapidement.

OVHcloud informera-t-il le client de ma demande ? Souvent oui, sauf si la loi l'interdit. Si votre enquête nécessite la confidentialité, assurez-vous que votre instrument juridique comporte une obligation de non-divulgation exécutoire.

Guides associés

• Cloud evidence: getting data from AWS, Azure and Google Cloud
• Cloudflare law enforcement data request: police and government guide
• MLAT vs LERS vs Interpol: which channel, when

Pour le répertoire complet des portails de demande des forces de l'ordre, consultez notre hub du portail LERS.

Image principale : Une salle de serveurs de centre de données. · Crédit : Christopher Bowns · Wikimedia Commons · CC BY-SA 2.0 · source