Una corte canadese ha emesso l’ordine con il quale ha richiesto alla francese OVH Groupe SA (indicata come “OVH Parent”) e a Hébergement OVH Inc. (“OVH Canada”) di fornire dati sensibili alla polizia canadese. Sono dati di sottoscrizione e di account connessi a quattro indirizzi IP, a loro volta associati a entità del gruppo operative in Francia, Regno Unito e Australia.
Ciò è leggibile in modo problematico sotto la lente della sovranità digitale in Europa.
- Da una parte, la decisione pone Ovh di fronte a un dilemma tra la giustizia canadese e il diritto penale francese, e ha anche allertato il governo francese.
- Dall’altra, in ballo c’è l‘indipendenza e la protezione dei dati posseduti dai fornitori online europei. Valori su cui loro (e l’Europa) in questa fase fanno molto leva, rispetto alle big tech USA.
La vicenda si apre con un atto tipico del diritto processuale penale canadese, la Production Order prevista dal Criminal Code, adottata l’11 aprile 2024 e posta al centro di un giudizio di revisione statutaria dinanzi all’Ontario Court of Justice. La cornice investigativa dichiarata dal giudice riguarda un’indagine di sicurezza nazionale, elemento che imprime all’intero procedimento una curvatura particolare, perché tende a privilegiare rapidità, segretezza ed effettività dell’acquisizione rispetto alle cautele di cortesia internazionale.
Indice degli argomenti
Production order del Canada su OVH: la cronologia e la scadenza del 27 ottobre
Sul piano cronologico, il provvedimento sottoposto a revisione trova la propria origine nella primavera 2024; il giudizio di revisione conosce un’udienza indicata come celebrata il 15 agosto 2025; il frontespizio reca la data 19 settembre 2025; la decisione viene resa pubblica il 25 settembre 2025. Il dato cronologico, in apparenza neutro, acquista valore sistemico perché misura la durata di una controversia che evolve in un conflitto di legalità contrapposte e di competenze concorrenti.
Il tempo processuale, qui, acquista la consistenza di un fattore di pressione: il giudice indica una scadenza di adempimento al 27 ottobre, con effetti immediati sulla posizione dell’impresa. Proprio la cogenza del termine, per come riportato nelle fonti giornalistiche richiamate nel testo, spinge OVH ad attivare un percorso di judicial review.
Quando il dato non sta su una mappa: territorialità, cloud e gruppo
Già nel modo in cui il fascicolo si presenta, con l’intitolazione “His Majesty the King” contro “OVH”, si percepisce una scelta di costruzione processuale: l’azione statuale assume la forma più netta del processo penale di tradizione common law, mentre la controparte privata appare come un centro di imputazione unitario. Eppure la sostanza fattuale rinvia a una costellazione societaria articolata e transnazionale, dove la forma “gruppo” convive con entità giuridiche distinte.
La prima frizione nasce proprio qui: l’ordine, pur muovendo da un’emanazione giudiziaria interna, esercita una trazione concreta su informazioni collocate fuori dal territorio canadese, in infrastrutture e contesti normativi che rispondono a logiche diverse. Il caso assume così un profilo paradigmatico: misura la distanza tra la territorialità classica del potere e la geografia variabile del dato, che segue architetture tecniche, catene contrattuali e assetti di gruppo più che coordinate cartografiche.
Production order canadese su OVH e possesso dei dati: parent e controllata
Il nucleo fattuale, per come cristallizzato nei paragrafi introduttivi della decisione, presenta una struttura nitida. Primo, un’autorità investigativa federale, la RCMP, ricorre allo strumento della Production Order. Secondo, l’ordine si rivolge a due soggetti: la capogruppo francese e la controllata canadese. Terzo, l’oggetto concerne dati identificativi e di account legati a quattro indirizzi IP, collegati a sussidiarie del gruppo in Francia, Regno Unito e Australia. Quarto, l’indagine viene qualificata come “national security investigation”.
I quattro IP e la catena internazionale
Ogni elemento opera come tessera di un mosaico che la controversia ricompone in chiave giuridica: la coppia parent–subsidiary diviene il punto d’appoggio per estendere l’efficacia dell’ordine; la localizzazione estera del dato introduce il tema del conflitto di norme; la qualificazione “sicurezza nazionale” funge da coefficiente di intensificazione dell’interesse pubblico.
La posizione delle parti, almeno nella sintesi iniziale del provvedimento, contiene già la grammatica del contenzioso. OVH Canada accetta la ragionevolezza dell’ordine nella misura in cui riguarda la società canadese; l’asse del conflitto si concentra invece sulla preda di conseguire, tramite il canale canadese, informazioni detenute dalla capogruppo francese. OVH Parent sostiene che OVH Canada non detiene possesso o controllo dei dati e che la società canadese non dispone della capacità di ottenerli.
“Virtual presence” e “real and substantial connection”
Il giudizio di revisione, per come viene presentato e poi discusso nelle ricostruzioni disponibili, ruota attorno al modo stesso di pensare la giurisdizione nell’età del cloud. Il giudice incardina il ragionamento su concetti come “virtual presence” e “real and substantial connection”, passaggio da cui dipende la possibilità di attrarre la capogruppo straniera entro il raggio dell’ordine domestico.
Nel racconto del caso, la dimensione commerciale del gruppo e l’immagine unitaria veicolata dall’impresa fungono da indizi di collegamento; la distinzione organizzativa e l’assenza di accesso tecnico in capo alla controllata vengono invece addotte come argomenti di freno. La contrapposizione rivela un mutamento di paradigma: il processo non interroga soltanto dove si trova il dato, bensì chi, secondo l’ordinamento del foro, possa “rispondere” del dato.
L’attrito con la Francia: legge di blocco e rischio di doppia sanzione
Il capitolo più sensibile, sul piano fattuale prima ancora che normativo, concerne l’attrito con il diritto francese. Stampa e commentatori giuridici richiamano la legge francese di blocco e comunicazioni delle autorità francesi, con affermazioni circa l’illiceità di una consegna diretta all’autorità canadese fuori dai canali di cooperazione. Questo dato, pur veicolato in forma indiretta dalle fonti accessibili, entra nella vicenda come elemento concreto.
La produzione del dato assume così il volto di un atto idoneo a proiettare conseguenze personali su dirigenti e consulenti, oltre che conseguenze patrimoniali sul gruppo. La cronologia lascia spazio a un’esperienza tipica del diritto transnazionale contemporaneo: l’impresa, dinanzi a un comando giuridico, percepisce un duplice polo sanzionatorio, ciascuno dotato di linguaggio e strumenti propri, ciascuno capace di esigere obbedienza in modo pieno.
Production order canadese OVH e alternativa MLAT: cosa cambia
In questa cornice, la via MLAT assume rilievo come fatto istituzionale prima che come categoria. Le fonti descrivono una scelta investigativa orientata verso l’ordine interno, con la via di assistenza giudiziaria collocata sullo sfondo. Tale dato imprime all’intera vicenda una cifra politica in senso alto, perché riguarda il modo in cui uno Stato tratta un altro Stato nel momento in cui chiede cooperazione probatoria.
Il canale MLAT, nel diritto vivente delle relazioni tra ordinamenti, incorpora un’idea di reciprocità e di controllo bilaterale; l’ordine domestico diretto, quando mira a dati situati oltre frontiera, attribuisce al giudice del foro una funzione che travalica la mera direzione dell’istruttoria interna e investe la disciplina dei rapporti tra sovranità. Il fatto decisivo, in altre parole, consiste nel mezzo prescelto: da esso discende la forma dell’atto e, con essa, il tipo di conflitto che l’atto produce.
Le proteste della Francia e di Ovh
Il Ministero dell’Economia francese, in particolare il Service de l’Information Stratégique et de la Sécurité Économiques (SISSE) che vigila sul rispetto della legge sul blocco, ha assunto una posizione inequivocabile in due lettere.
Nella prima lettera del maggio 2024 e in una seconda lettera ancora più dettagliata del gennaio 2025, il SISSE ha avvertito che la divulgazione diretta dei dati alla RCMP sarebbe illegale. L’autorità ha confermato che le informazioni richieste rientrano nell’ambito di applicazione della legge e che eludere i trattati internazionali costituirebbe una violazione della sovranità francese.
Anche il Ministero della Giustizia francese è intervenuto il 21 febbraio. In essa, ha assicurato ai colleghi canadesi un “trattamento accelerato” se avessero scelto la via ufficiale tramite una rogatoria. Parigi ha segnalato la sua disponibilità a cooperare, pur rispettando le regole del gioco. OVH ha già messo al sicuro i dati, che sono pronti. Tuttavia, la RCMP e la procura canadese hanno insistito sulla divulgazione diretta e il tribunale dell’Ontario li ha seguiti.
Appello: lotta per il principio
OVH ha presentato ricorso contro la decisione di Perkins-McVey alla Corte Superiore di Giustizia dell’Ontario alla fine di ottobre tramite gli avvocati dello studio Miller Thomson. La richiesta di revisione giudiziaria sembra una lezione di diritto internazionale. Gli avvocati sostengono che il tribunale di primo grado abbia ignorato alcuni principi fondamentali: i tribunali canadesi dovrebbero evitare di emettere ordinanze che costringono i cittadini di Stati amici a commettere reati penali nel loro Paese. Ciò è particolarmente vero quando esiste un’alternativa legale attraverso un trattato di assistenza giudiziaria reciproca.
La filiale canadese non può essere semplicemente ritenuta responsabile dei dati della società madre francese, sottolineano gli avvocati. L’estensione dei poteri canadesi ai server stranieri in questione va oltre i diritti sovrani nazionali.
“I ricorrenti subirebbero un danno irreparabile prima ancora che la Corte d’appello possa esaminare il caso”, si legge nella richiesta urgente di sospensione dell’esecuzione. Questo perché Perkins-McVey ha fissato il termine per la divulgazione dei dati al 27 ottobre. Senza una sospensione immediata dell’ordinanza, OVH dovrebbe scegliere quale legge violare.
Precedente per il settore cloud: che c’è in ballo
L’esito di questo procedimento è seguito con grande attenzione dal settore tecnologico. Se prevalesse l’interpretazione giuridica canadese e la “presenza virtuale” fosse sufficiente per imporre l’accesso diretto ai dati in Europa, ciò metterebbe in discussione il modello di business di molti fornitori di servizi cloud internazionali.
Le aziende europee spesso pubblicizzano la protezione dall’accesso da parte delle autorità straniere, ad esempio attraverso il US Cloud Act. Una sentenza che consentisse alla polizia canadese l’accesso diretto alla Francia minerebbe questa promessa.
i.
