Demandes de données transfrontalièresUne demande doit devenir une ordonnance là où se trouve le disque, sans quoi elle reste une lettre.

L'expression que ce marché emploie et n'explique jamais

Lisez suffisamment ce secteur et vous croiserez la même affirmation dans deux directions opposées. L'une dit qu'un serveur à l'étranger est simplement hors d'atteinte. L'autre dit que rien de tout cela n'a d'importance parce qu'ils obtiendront les données de toute façon. Les deux ne sont que des suppositions, et la chose sur laquelle elles supposent a un nom, une procédure, une file d'attente et une trace écrite.

Un enquêteur d'un pays qui veut des registres détenus par une société dans un autre dispose d'un petit nombre de voies ouvertes — cinq, en comptant large. Une seule d'entre elles est le traité que tout le monde nomme et que personne ne décrit. Deux sont plus rapides que le traité et reposent sur un critère qui n'a rien à voir avec l'emplacement du matériel. Et les voies les plus rapides de toutes ne relèvent pas du droit du tout, ce qui est la partie de tout ceci qui met réellement fin à des sites web.

Les cinq voies pour franchir une frontière

Elles diffèrent selon qui en est destinataire, qui peut refuser, et si un juge lit un jour le dossier. À peu près de la plus rapide à la plus lente, ce qui est proche de l'inverse du poids que porte chacune.

Trois des cinq se terminent par quelqu'un de local signifiant un document local, et c'est la phrase à retenir de ce tableau. Les deux autres demandent à une société d'agir sur un document qui n'a aucune force là où se trouve cette société. Savoir si « offshore » veut dire quoi que ce soit tient presque entièrement à ce qu'un fournisseur fait de ces deux-là.

Ce qu'est réellement l'entraide judiciaire

Un MLAT est un traité entre deux États se promettant mutuellement de l'aide en matière pénale : preuves, témoignages, registres, signification d'actes. Il en existe des centaines, presque tous bilatéraux ; les États-Unis à eux seuls sont partie à plus de soixante d'entre eux. Ils existent parce qu'un procureur n'a aucun pouvoir à l'étranger et qu'une ordonnance de justice est un instrument national. Le traité ne donne pas à l'État demandeur une portée. Il lui donne une file d'attente.

Cette file d'attente traverse des bureaux désignés appelés autorités centrales, et une demande est transmise de l'un à l'autre plutôt qu'envoyée directement d'un point à l'autre. Aux États-Unis, ce bureau est l'Office of International Affairs, au sein du ministère de la Justice ; ailleurs, il s'agit généralement du ministère de la Justice. La chaîne a presque partout la même forme :

1. Un enquêteur rédige la demande et la remet à sa propre autorité centrale, dans la forme que prévoit le traité, en nommant l'infraction et les registres recherchés.
2. Cette autorité vérifie que la demande relève bien du traité et la transmet à l'autorité centrale de l'État requis. Des demandes sont renvoyées à cette étape pour imprécision, et un grand nombre le sont.
3. L'autorité destinataire l'examine au regard du droit de son propre pays et la remet à un procureur local ou à un juge d'instruction.
4. Ce procureur saisit un tribunal local pour obtenir une ordonnance nationale, exactement comme il le ferait dans une affaire nationale, sur des motifs de droit interne.
5. Le tribunal accorde ou refuse. S'il accorde, une ordonnance nationale est signifiée à la société — dans son propre pays, dans sa propre langue, en vertu de son propre droit.
6. Ce qui est produit remonte la même chaîne en sens inverse, chaque étape ayant sa propre file d'attente.

Une commission rogatoire est le même trajet, mais sans rien en dessous : une demande d'un tribunal d'un pays à un tribunal d'un autre, transmise par la voie diplomatique et accordée par courtoisie plutôt que par obligation. C'est ce qu'on utilise là où aucun traité n'existe, et c'est plus lent que le mécanisme dont on se plaint déjà de la lenteur.

Les quatre filtres qu'une demande doit franchir

Ce ne sont pas de simples formalités. C'est là que se joue l'attrition, et trois des quatre sont appliqués par des personnes qui n'ont aucun intérêt dans l'enquête.

1. Double incrimination. La plupart des traités permettent de refuser l'assistance lorsque les faits décrits ne constituent pas aussi une infraction dans l'État requis. Un pays dont le droit ne reconnaît pas l'infraction n'a rien à demander à ses propres tribunaux.
2. Spécificité. La demande doit nommer ce qui est recherché avec assez de précision pour qu'un juge local puisse signer une ordonnance en ce sens. « Tout ce qui est associé à ce site web » n'est pas une chose pour laquelle un tribunal d'un État de droit délivre une ordonnance.
3. Le droit propre de l'État requis. L'ordonnance qui arrive finalement est une ordonnance nationale, elle doit donc satisfaire aux exigences nationales — proportionnalité, protection des données, et dans l'Union européenne l'article 48 du RGPD, qui ne rend une demande d'un pays tiers reconnaissable que si un accord international la soutient.
4. Le registre doit exister. Aucun traité ne contraint une société à produire une chose qu'elle ne détient pas, et aucun tribunal ne lui ordonne d'en reconstituer une.

Le quatrième filtre est le seul sur lequel un client a une quelconque influence, et c'est donc le seul qui mérite qu'on y consacre de l'argent. Tout le reste de cette liste relève de la procédure de quelqu'un d'autre. Ce que contiennent les registres est une décision prise par un fournisseur des années avant l'arrivée de la demande, et par vous lorsque vous choisissez ce que votre propre application consigne — ce qui est le sujet de ce que votre propre site enregistre sur ses lecteurs.

Pourquoi cela prend aussi longtemps

Chaque étape de cette chaîne est un bureau avec son arriéré, et les délais s'accumulent au lieu de se chevaucher. Le chiffre habituellement cité pour une demande d'entraide judiciaire menée à terme avoisine dix mois, et il ne vient pas de ce secteur : le propre groupe de réflexion des États-Unis sur le renseignement et les technologies de communication l'a rapporté en 2013, et la Commission européenne a cité un chiffre comparable en plaidant pour l'instrument décrit deux sections plus bas. Rien depuis ne l'a rendu nettement plus rapide.

Dix mois ne sont ni un détail technique ni une raison de se détendre, et les traiter comme l'un ou l'autre est une erreur. C'est un fait structurel d'un processus qui comporte six files d'attente, et c'est la raison d'être de la demande de conservation : un instrument court, envoyé dès le premier jour, demandant que les registres qui existent aujourd'hui cessent d'être supprimés pendant que la lente mécanique tourne. La conservation est la partie que les gens oublient quand ils pensent aux délais. Une demande qui ne produit rien pendant un an peut malgré tout avoir gelé quelque chose dès le premier après-midi — s'il y avait quelque chose à geler.

Le CLOUD Act porte sur la société, pas sur le pays

En 2013, les États-Unis ont signifié un mandat à Microsoft pour des e-mails stockés à Dublin. Microsoft a fait valoir qu'un mandat national n'atteignait pas l'Irlande. L'affaire est montée jusqu'à la Cour suprême, et en mars 2018 le Congrès l'a rendue sans objet en adoptant le CLOUD Act.

Ce que la loi a fait tient en une phrase, et c'est la phrase que ce marché aurait dû lire. Elle a modifié le Stored Communications Act — 18 U.S.C. §2703 — pour exiger d'un fournisseur soumis à la juridiction des États-Unis qu'il produise les données en sa possession, sa garde ou son contrôle, que ces données soient stockées ou non à l'intérieur des États-Unis.

Lisez-la maintenant pour ce qu'elle ne dit pas. Elle ne dit strictement rien sur l'emplacement du serveur. L'endroit où se trouve le disque a cessé d'être la question ; la seule question que pose la loi est de savoir si la société qui le détient peut être atteinte par un tribunal des États-Unis. Une société américaine avec un centre de données à Francfort entre dans le champ de la loi. Une société sans présence aux États-Unis en est exclue, et un disque posé en Virginie n'y changerait rien — pour cela, les États-Unis se retrouveraient dans la file d'attente décrite plus haut.

La loi a aussi ouvert une seconde voie : des accords exécutifs entre les États-Unis et un gouvernement étranger remplissant certaines conditions, en vertu desquels les autorités de chaque partie peuvent signifier des ordonnances directement à des fournisseurs situés chez l'autre. Le Royaume-Uni a signé le premier en 2019, entré en vigueur en 2022 ; l'Australie a suivi. Ces accords atteignent les fournisseurs à la portée des gouvernements signataires, et personne d'autre, ce qui revient au même critère que précédemment, sous un autre habillage.

Ce qui a changé en Europe en août 2026

L'Union européenne a construit sa propre version de la voie directe, applicable depuis le 18 août 2026 — assez récemment pour que la plupart des pages de ce marché n'aient pas encore rattrapé leur retard. Le Règlement (UE) 2023/1543 crée l'injonction européenne de production et l'injonction européenne de conservation : une autorité d'un État membre peut délivrer une ordonnance et la signifier directement à un fournisseur de services proposant des services dans l'Union, sans passer par les autorités du second État, comme le fait l'entraide judiciaire.

Sa compagne, la Directive (UE) 2023/1544, est ce qui fait fonctionner l'ensemble. Les fournisseurs proposant des services dans l'Union doivent désigner un établissement ou un représentant légal dans un État membre pour recevoir ces ordonnances. Cette désignation est le point d'accroche, et c'est le même critère que celui du CLOUD Act, écrit à l'européenne : l'instrument atteint quiconque a accepté, en opérant là-bas, d'être joignable.

La dernière ligne est celle qu'on cite le plus souvent à tort. La Convention de Budapest sur la cybercriminalité — traité du Conseil de l'Europe ETS 185, ouvert à la signature en 2001 et aujourd'hui ratifié bien au-delà de l'Europe — prévoit la conservation rapide à l'article 29, l'entraide judiciaire pour les données stockées à l'article 31, et impose à l'article 35 à chaque partie de maintenir un point de contact joignable vingt-quatre heures sur vingt-quatre. L'article 32 b), celui que l'on cite comme un pouvoir général d'accès à distance, ne le permet que lorsque les données sont accessibles au public ou lorsque la personne légalement habilitée à les divulguer y consent. C'est une porte étroite, et ce n'est pas une porte dérobée.

Les deux voies qui ne passent jamais devant un juge

Voici la moitié inconfortable de la réponse. Chaque voie décrite plus haut est lente, formelle et dénombrable — le rapport en bas de cette page les compte. Les voies qui mettent réellement fin à la plupart des sites web ne sont rien de tout cela, et un lecteur qui a suivi la mécanique des traités jusqu'ici s'inquiète généralement pour la mauvaise raison.

• L'amont. Un fournisseur loue du transit à des opérateurs et de l'espace dans un site physique. Une plainte adressée à ceux-ci plutôt qu'au fournisseur atteint une partie qui n'a aucune relation avec vous et rien à perdre à y donner suite. Ce qui y répond, c'est un fournisseur qui possède la relation et a déjà refusé par le passé.
• Le bureau d'enregistrement. Un domaine est une licence accordée par un registre relevant de sa propre juridiction, et un registre peut suspendre un nom sans toucher au serveur en quoi que ce soit. La machine continue de servir ; plus rien ne se résout. C'est une surface d'attaque différente, qui a son propre guide.
• Le rail de paiement. Un prestataire de paiement par carte peut geler un compte sur simple plainte, à sa guise, sans procédure digne de ce nom et sans appel possible. C'est l'essentiel de la raison pour laquelle le règlement se fait ici uniquement on-chain.
• Le service abuse. Une plainte est lue par une personne à un autre bureau, sur une autre horloge, au regard d'une politique plutôt que d'une loi. Qui lit une plainte vous concernant le décrit de l'intérieur.

Aucune de ces voies n'est une demande de données transfrontalière, et c'est précisément pour cela qu'elles ont leur place dans un guide sur les demandes de données transfrontalières. La menace pour laquelle les gens achètent de l'hébergement offshore n'est souvent pas celle qui finit par les atteindre.

Lire la structure d’un hébergeur à la lumière de tout ceci

Tout ce qui précède se ramène à une poignée de faits vérifiables sur une société, et chacun d'eux peut être établi avant de dépenser quoi que ce soit.

1. Quelle entité figure sur la facture, et où est-elle immatriculée. Pas la région, pas le drapeau sur la carte : la société avec laquelle vous contractez.
2. Une seule entité, ou une par région. Une société unique opérant dans huit pays est un seul défendeur avec huit adresses, et une ordonnance contre elle les atteint toutes.
3. Quelque chose dans le groupe est-il atteignable depuis la juridiction à laquelle vous pensez. Une société mère, une filiale, un bureau, un compte bancaire. C'est le critère du CLOUD Act, et il s'applique bien plus largement que la loi elle-même.
4. Que dit le fournisseur qu'il fait d'une ordonnance étrangère. Par écrit, avec un délai, publié avant même d'en avoir eu besoin.
5. Que publie-t-il ensuite. Un décompte de ce qui est arrivé, de ce qui a atteint le seuil légal, et de ce qui a réellement été produit. Le troisième chiffre est celui que personne ne parvient à falsifier de façon convaincante, car c'est celui qui serait embarrassant.
6. Ce qui existe pour être produit, tout simplement. La dernière question, et en fin de compte la seule qui décide de quoi que ce soit.

La structure de ce parc, ce sont huit régions et huit sociétés, chacune inscrite au registre de son propre pays, ce qui explique qu'une ordonnance obtenue contre l'une ne soit pas exécutoire contre une autre sans recommencer tout le processus dans le second pays. C'est une manière coûteuse d'organiser une entreprise, et elle est organisée ainsi pour cette seule raison ; les conditions générales le disent à la clause 1, et la liste des entités se trouve sur la page à propos.

Ce que cela donne en chiffres

Ce parc publie ce qui lui parvient, par trimestre, et ce depuis son ouverture. Sur 164 demandes des forces de l'ordre reçues à ce jour, 54 ont atteint le seuil légal — une ordonnance d'un tribunal ayant juridiction sur l'entité visée — et 31 ont abouti à quelque chose.

Le chiffre qui mérite d'être lu est l'écart. Cent dix demandes, les deux tiers de tout ce qui est arrivé, n'ont jamais franchi la question qui est l'objet de tout ce guide : celle de savoir si la signification émanait d'un tribunal capable d'atteindre la société visée. Ce n'est pas un taux de refus, et ce n'est pas de la défiance. C'est la forme du problème, sur un échantillon d'une seule société.

Le second chiffre se trouve à l'autre bout. Sur les trente et une qui ont produit quelque chose, ce qui a été produit relève de l'inventaire — une adresse e-mail associée à un compte, une écriture de registre on-chain — jamais le contenu d'un disque. Non pas parce qu'une ligne aurait été héroïquement tenue, mais parce qu'un registre qui n'a jamais été créé ne peut être remis à personne. Le rapport complet se trouve sur la page de transparence, et le processus qu'il comptabilise est détaillé sur la politique à l'usage des forces de l'ordre.

Questions réellement posées

Chaque prix de ce parc de serveurs est publié intégralement, à un seul endroit. Voir le catalogue complet