Una battaglia legale che si sta consumando tra Canada e Francia rischia di ridefinire gli equilibri della sovranità digitale europea. Al centro della controversia c'è OVH, colosso francese dell'hosting e dei servizi cloud, che si trova stretta tra due fuochi: da un lato la giustizia canadese che pretende la consegna immediata di dati sensibili attraverso un ordine di produzione emesso nell'aprile 2024, dall'altro il governo francese che considera tale operazione un'aperta violazione delle proprie leggi sulla protezione delle informazioni e della sovranità nazionale. Il caso tocca il cuore stesso di un interrogativo cruciale nell'era digitale: chi ha realmente il controllo sui dati quando le infrastrutture attraversano confini nazionali e le strutture aziendali si articolano in reti globali?
Il nodo della territorialità nell'era del cloud
La vicenda prende le mosse da un'indagine di sicurezza nazionale condotta dalla Royal Canadian Mounted Police (RCMP), la polizia federale canadese. Gli investigatori hanno richiesto informazioni legate a quattro indirizzi IP, collegati a filiali del gruppo OVH operative in Francia, Regno Unito e Australia. Per ottenerle, hanno utilizzato uno strumento previsto dal codice penale canadese: la Production Order, una sorta di decreto di acquisizione probatoria che impone a un soggetto di consegnare documenti o dati alle autorità.
L'Ontario Court of Justice ha confermato l'ordine il 19 settembre 2025, dopo un'udienza celebrata ad agosto, fissando come scadenza per la consegna dei dati il 27 ottobre. Ma qui emerge il primo grande problema: l'ordine si rivolge sia a OVH Canada, filiale locale del gruppo, sia a OVH Groupe SA, la capogruppo francese. La questione non riguarda semplicemente dove fisicamente risiedano i dati, ma chi possa legalmente "rispondere" di essi secondo la giurisdizione canadese.
Due ordinamenti, un solo gruppo: l'impossibile scelta
La struttura societaria di OVH diventa così il campo di battaglia giuridico. La filiale canadese ha riconosciuto la legittimità dell'ordine nella parte che la riguarda direttamente, ma ha negato di possedere o controllare i dati della casa madre francese. OVH Parent, dal canto suo, sostiene che la controllata canadese non disponga né dell'accesso tecnico né dell'autorità legale per ottenere quelle informazioni.
Il giudice canadese ha basato la propria decisione su concetti come la "presenza virtuale" e la "connessione reale e sostanziale", argomentando che l'immagine commerciale unitaria del gruppo e le sue operazioni integrate giustifichino l'estensione della giurisdizione canadese.
La reazione di Parigi: sovranità in gioco
La Francia ha reagito con fermezza. Il Service de l'Information Stratégique et de la Sécurité Économiques (SISSE), l'organo ministeriale che vigila sul rispetto della legge di blocco francese, ha inviato due lettere ufficiali, nel maggio 2024 e nel gennaio 2025. In entrambe, l'autorità francese ha chiarito senza ambiguità che la divulgazione diretta dei dati alle autorità canadesi costituirebbe un'azione illegale secondo il diritto francese.
Anche il Ministero della Giustizia francese è sceso in campo il 21 febbraio, assicurando ai colleghi canadesi un "trattamento accelerato" qualora avessero optato per i canali ufficiali di cooperazione giudiziaria internazionale, ovvero le rogatorie previste dai trattati di assistenza legale reciproca (MLAT). Parigi ha dunque manifestato disponibilità a collaborare, ma nel rispetto delle procedure internazionali stabilite. OVH ha già preparato i dati richiesti e li ha messi al sicuro, pronti per essere trasmessi attraverso i canali appropriati.
MLAT o bypass: la scelta che fa la differenza
La questione dei Mutual Legal Assistance Treaties rappresenta il cuore politico della controversia. Questi trattati incarnano un principio di reciprocità tra Stati sovrani, prevedendo meccanismi di controllo bilaterale quando si tratta di scambiare prove e informazioni in ambito penale. La scelta della RCMP e della procura canadese di privilegiare un ordine domestico diretto, bypassando i canali MLAT, viene letta dalle autorità francesi e da OVH come un'invasione della sovranità nazionale.
Non si tratta di un cavillo procedurale: il mezzo prescelto determina la natura stessa dell'atto e il tipo di conflitto che genera. Un ordine domestico che mira a dati situati oltre frontiera attribuisce al giudice del foro un potere che travalica la semplice gestione dell'istruttoria interna, entrando nel delicato terreno dei rapporti tra ordinamenti sovrani. La via MLAT avrebbe garantito un controllo francese sulla richiesta e sulla sua conformità alle leggi locali; l'ordine diretto elimina questo filtro.
Il ricorso e il dilemma della doppia sanzione
A fine ottobre, OVH ha presentato ricorso alla Corte Superiore di Giustizia dell'Ontario tramite lo studio legale Miller Thomson. Gli avvocati della società hanno definito la decisione del tribunale di primo grado come una violazione di principi consolidati del diritto internazionale: i tribunali canadesi dovrebbero evitare di emettere ordinanze che costringano cittadini di Stati amici a commettere reati penali nel loro paese d'origine, specialmente quando esistono alternative legali tramite trattati internazionali.
Il ricorso sottolinea che la filiale canadese non può essere ritenuta responsabile dei dati della società madre francese e che l'estensione della giurisdizione canadese ai server europei oltrepassa i limiti della sovranità nazionale. La richiesta di sospensione urgente dell'esecuzione evidenzia il rischio di danno irreparabile: senza un blocco immediato dell'ordinanza, OVH si troverebbe costretta a scegliere quale legge violare, quella canadese o quella francese, con conseguenze sanzionatorie in entrambi i casi.
Il precedente che spaventa l'Europa digitale
Le implicazioni di questo caso vanno ben oltre la singola azienda. Il settore tecnologico europeo osserva con preoccupazione un'eventuale vittoria della tesi canadese. Se la "presenza virtuale" fosse sufficiente per imporre l'accesso diretto a dati custoditi in Europa, crollerebbe uno dei pilastri su cui molti fornitori di servizi cloud costruiscono il proprio vantaggio competitivo: la protezione dall'accesso indiscriminato da parte di autorità straniere.
I provider europei hanno costruito la propria reputazione proprio sulla promessa di proteggere i dati dalla portata extraterritoriale di leggi come il Cloud Act statunitense. Una sentenza favorevole alla tesi canadese creerebbe un precedente applicabile potenzialmente da qualsiasi giurisdizione, minando la credibilità di queste garanzie. Per l'Europa, che ha investito risorse considerevoli nella costruzione di una sovranità digitale autonoma rispetto alle big tech americane, la posta in gioco assume dimensioni strategiche che trascendono il singolo caso processuale.