En fransk cloududbyder med moderselskab i EU er blevet pålagt af en canadisk domstol at udlevere data, der ligger på servere uden for Canada. Sagen viser, at jurisdiktionsrisiko også kan komme fra en allieret retsstat og gå gennem et datterselskab.
Sagen kort
OVH Groupe S.A. har hovedsæde i Roubaix i Frankrig og er børsnoteret på Euronext Paris. Koncernen har et canadisk datterselskab, Hébergement OVH Inc. i Montreal, og to datacentre i Canada, oplyser OVHcloud i sin meddelelse af 31. juli 2026.
Canadisk politi, Royal Canadian Mounted Police (RCMP), ville have abonnent- og kontooplysninger knyttet til fire IP-adresser. Serverne bag adresserne stod i Frankrig, Storbritannien og Australien, skriver både heise og The Register. Politiet gik til koncernen direkte i stedet for at bruge retshjælpsaftalen mellem Canada og Frankrig.
Hvad skete der, dato for dato
- 19. april 2024 · Ontario Court of Justice udstedte en udleveringsordre (production order) efter den canadiske straffelovs § 487.014. Ordren var rettet mod både OVH Groupe og Hébergement OVH, ifølge OVHcloud.
- Maj 2024 og januar 2025 · Den franske myndighed SISSE under økonomiministeriet skrev, at direkte udlevering ville være ulovlig efter fransk ret, skriver heise.
- 21. februar 2025 · Det franske justitsministerium tilbød fremskyndet behandling, hvis Canada brugte den officielle retshjælpsvej, ifølge heise.
- September 2025 · Dommer Heather Perkins-McVey afviste OVH’s begæring om at ophæve eller ændre ordren. Dentons angiver afgørelsen som The King v OVH, Ottawa 24/000659 (ONCJ), i en artikel fra juni 2026. Fristen for udlevering blev sat til 27. oktober 2025.
- Oktober 2025 · OVH ankede til Ontario Superior Court of Justice og bad om udsættelse af fuldbyrdelsen, skriver heise. Dentons beskrev i juni 2026 afgørelsen som anket.
- 31. juli 2026 · OVHcloud meddelte, at canadiske myndigheder har truet begge selskaber med tiltale for manglende efterlevelse af ordren efter § 487.0198 og for at hindre rettens gang efter § 139, stk. 2. Begge selskaber vil bestride tiltalen.
Hvem besluttede
Kravet kom fra RCMP i en efterforskning, som dommeren ifølge The Register betegnede som en sag om national sikkerhed. Domstolen besluttede, at ordren skulle stå ved magt over for både moderselskabet og datterselskabet. Truslen om tiltale kommer fra de canadiske myndigheder.
På den anden side står de franske myndigheder, der to gange har skrevet, at direkte udlevering ville stride mod fransk lov. OVH står mellem to retssystemer, der kræver det modsatte af selskabet.
Hvilken mekanisme
Domstolen fandt, at den havde jurisdiktion over det franske moderselskab, fordi koncernen har en virtuel tilstedeværelse i Canada, ifølge Dentons. Det canadiske datterselskab drev datacentre i Quebec og Ontario og havde ifølge samme kilde adgang til data på servere, som moderselskabet og de britiske og australske søsterselskaber kontrollerede.
Den canadiske advokat David Fraser har gennemgået afgørelsen på sin blog. Han beskriver, at retten byggede på en afgørelse fra British Columbias appeldomstol fra 2018 om Craigslist. Her havde virksomheden selv accepteret canadisk jurisdiktion, hvad OVH ikke gjorde. Retten anså desuden retshjælpsaftalen for en mulighed og ikke et krav, skriver Fraser.
Kriteriet om besiddelse eller kontrol (possession or control) går igen i amerikansk lovgivning, se → Cloud Act. Hvem i koncernen der reelt kan hente data frem, bliver dermed afgørende for, hvilke lande der kan stille krav.
Fransk lov og retshjælpsvejen
Den franske blokeringslov, lov nr. 68-678 af 26. juli 1968, forbyder med forbehold for traktater at videregive bestemte oplysninger til udenlandske myndigheder. Overtrædelse straffes efter lovens artikel 3 med op til seks måneders fængsel og en bøde på 18.000 euro. For selskaber kan bøden nå 90.000 euro pr. overtrædelse, skriver heise og The Register.
Ifølge Fraser accepterede den canadiske dommer, at loven fandt anvendelse. Retten tillagde den dog ringe vægt, fordi den sjældent håndhæves, og fordi retten ikke fandt en reel risiko for strafforfølgning. OVH skriver selv, at de franske myndigheder har tilkendegivet, at en anmodning via retshjælpsvejen ville blive behandlet inden for få uger.
Hvad organisationen kunne have vidst på forhånd
For en kunde hos OVH var koncernens opbygning offentlig. Det fremgår af OVHcloud’s egne oplysninger, at koncernen har selskaber og datacentre i flere lande uden for EU, herunder Canada. En kortlægning efter → juridisk enhed og moderselskab ville have vist moderselskabet i Frankrig.
Det, kortlægningen normalt ikke fanger, er søsterselskaberne. Spørgsmålet er, hvilke selskaber i koncernen der kan tilgå eller kontrollere kundens data, og i hvilke lande de har tilstedeværelse. Det hører til gennemgangen af → underdatabehandlere og leverandørkæden.
Hvad sagen ikke viser
Sagen viser ikke, at OVH har udleveret data. De offentlige kilder oplyser ikke, at det er sket, og OVH skriver, at selskabet har handlet i god tro efter både canadisk og fransk ret. Afgørelsen fra september 2025 er ikke offentliggjort i en officiel database, og gengivelsen her bygger på sekundære kilder, der har læst den.
Sagen viser heller ikke, at en europæisk udbyder giver samme eksponering som en amerikansk. Moderselskabet er fortsat underlagt fransk og europæisk ret, og fransk lov forbyder direkte udlevering. Anken og den varslede tiltale var ikke afgjort pr. 30. oktober 2026, så udfaldet er ukendt. Sagen drejer sig om fire IP-adresser i en straffesag og siger intet om generel adgang til kunders data.
Læren for en exit-plan
En udbyder med moderselskab i EU har en stærkere juridisk position end en med moderselskab uden for EU. Positionen afhænger dog også af, hvor i verden koncernen driver forretning. Brug sagen til fire konkrete handlinger.
- Kortlæg koncernens lande · Notér for hver udbyder, i hvilke lande koncernen har selskaber eller datacentre, også uden for EU. Se → de tre lag.
- Spørg om adgang og kontrol · Bed udbyderen oplyse skriftligt, hvilke selskaber i koncernen der kan tilgå jeres data. Spørgsmålene står i → seks spørgsmål til leverandøren.
- Læs udbyderens politik for myndighedskrav · Notér, om udbyderen forpligter sig til at bestride krav og bruge retshjælpsvejen, med kilde. Sammenlign efter samme målestok som i → de store udbyderes suveræne clouds.
- Vurder alternativer ens · Ejerskab, hosting og koncernens udbredelse vurderes for alle kandidater, jf. → trin 7.
Ved mange leverandører med selskaber i flere lande kan en uvildig gennemgang spare tid. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger lovgivning, juridisk enhed og moderselskab pr. system.
Kilder
- OVHcloud: OVHcloud Confirms Intent to Vigorously Contest Charges Related to Canadian Production Order, 31. juli 2026. https://blog.ovhcloud.com/en/posts/ovhcloud-contests-canadian-production-order-charges/
- Légifrance: Loi n° 68-678 du 26 juillet 1968 relative à la communication de documents et renseignements d’ordre économique, commercial, industriel, financier ou technique à des personnes physiques ou morales étrangères (konsolideret). https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000501326
- Dentons Canada Regulatory Review: Bill C-22: Strengthening Canada’s lawful access regime, 19. juni 2026. https://www.canadaregulatoryreview.com/bill-c-22-strengthening-canadas-lawful-access-regime/
- heise online: Canadian Court: OVHcloud from France must hand over user data, 26. november 2025. https://www.heise.de/en/news/Canadian-Court-OVHcloud-from-France-must-hand-over-user-data-11092029.html
- The Register: Canadian data order risks blowing a hole in EU sovereignty, 27. november 2025. https://www.theregister.com/2025/11/27/canada_court_ovh
- David Fraser, Canadian Privacy Law Blog: What digital sovereignty? How a Canadian Court is forcing a French company to break French law, 5. december 2025. https://blog.privacylawyer.ca/2025/12/what-digital-sovereignty-how-canadian.html
