Un serveur saisi à Amsterdam, une copie pour Washington

Par l'équipe Archibou

Le 13 octobre 2026, la police néerlandaise a saisi un serveur dans un datacenter d'Amsterdam. Le serveur appartenait à un hébergeur italien. La demande venait des États-Unis. Le Parlement néerlandais a découvert l'affaire par la presse. Ce n'est pas le Cloud Act. C'est un traité de 1981, et c'est peut-être plus instructif qu'on ne le pense.

1. Les faits

Autistici/Inventati (A/I) est un fournisseur d'accès italien, associatif, qui propose depuis environ vingt-cinq ans des adresses e-mail et de l'hébergement web gratuits à des organisations, des collectifs et des militants. Environ 20 000 structures utilisent ses services.¹ Le collectif se présente comme anticapitaliste et antifasciste.

Le 26 août 2026, Washington le désigne « Specially Designated Global Terrorist » (SDGT), c'est-à-dire organisation terroriste mondiale spécialement désignée.² Le Département d'État l'accuse de fournir l'infrastructure numérique de « cellules antifascistes violentes » et d'autres militants d'extrême gauche. Les griefs publics visent l'hébergement de communications et de revendications ; ils n'établissent pas, à notre connaissance, une participation directe à des violences. A/I conteste. Le Sénat italien souligne qu'aucune procédure pénale italienne ou européenne ne vise l'organisation pour terrorisme.²

La désignation suffit pourtant à produire des effets immédiats : perte du nom de domaine, fermeture du compte PayPal, gel des avoirs bancaires. Début septembre, A/I annonce sa dissolution.² Une décision administrative américaine, sans procès, a mis fin à vingt-cinq ans d'activité, avant même la saisie.

Le 13 octobre, la police d'Amsterdam intervient dans un datacenter du Science Park, à Amsterdam-Oost. Elle saisit un serveur d'A/I. Une copie est réalisée ; elle est destinée aux autorités américaines. Le serveur physique, lui, doit être restitué au datacenter.³ Le parquet d'Amsterdam précise que les données n'ont pas encore été transmises aux États-Unis au 17 octobre.⁴ La Dutch Cloud Community, fédération néerlandaise du cloud et de l'hébergement, affirme l'inverse.⁵ La contradiction n'est pas tranchée à ce jour.

Le 15 octobre, la DCC publie un communiqué et adresse une lettre urgente à la police : elle demande sur quel fondement juridique l'intervention a eu lieu, et si un contrôle judiciaire indépendant a eu lieu.⁴ Le 16 octobre, des députés de quatre partis (PRO, D66, SP et PvdD) posent des questions écrites au ministre de la Justice et de la Sécurité David van Weel — et, pour la question 2026Z22534, également au secrétaire d'État aux Affaires économiques.⁶ Ils demandent notamment combien de fois, ces deux dernières années, Washington a demandé la saisie de serveurs ou de données d'hébergeurs européens, et combien de fois les Pays-Bas ont accepté.

2. Le mécanisme : un traité, pas une extraterritorialité

C'est ici que l'affaire devient intéressante, et qu'elle se distingue du Cloud Act.

Le fondement juridique n'est pas une loi américaine qui s'appliquerait de force en Europe. C'est le traité d'entraide judiciaire signé entre les Pays-Bas et les États-Unis en 1981 (MLAT).⁷ La police néerlandaise agit sous droit néerlandais, avec des pouvoirs néerlandais, mais à la demande des États-Unis. Comme le résume un avocat cité par Decrypt : « Un agent du FBI à Amsterdam a à peu près les pouvoirs d'un touriste. »⁸ Les États se demandent la permission. Ici, les Pays-Bas l'ont accordée.

Le traité pose des conditions. La demande doit porter sur des faits pénalement répréhensibles dans les deux pays, passibles d'au moins un an d'emprisonnement. Elle peut être refusée si elle porte atteinte aux intérêts essentiels de l'État requis, si elle concerne une infraction politique, ou en cas de double jeopardy.⁸ Le parquet d'Amsterdam estime qu'aucun de ces motifs ne s'appliquait.⁴

Deux détails font tiquer.

D'abord, le « principe de confiance » : le parquet néerlandais n'évalue ni la proportionnalité de la demande, ni la nécessité réelle pour l'enquête américaine. Il vérifie que les conditions du traité sont remplies, pas que la demande est justifiée.⁸ C'est le principe même de l'entraide judiciaire, et c'est ce qui la rend efficace. Mais c'est aussi ce qui la rend aveugle à un usage politique.

Ensuite, la désignation américaine. Elle n'a aucune valeur juridique aux Pays-Bas. Ni le gouvernement néerlandais ni l'Union européenne ne l'ont reprise. Elle n'a pas été prononcée par un tribunal.⁸ Et pourtant, c'est elle qui a déclenché la demande, et c'est elle qui a permis de franchir le seuil du traité. « Le problème néerlandais, dit l'avocat, c'est que l'étiquette de Washington sous-tend la demande, et que les Pays-Bas ne la partagent pas. »⁸

Autrement dit : un acte administratif étranger, sans procès, a servi de base à une coopération judiciaire européenne. Ce n'est pas une violation du droit. C'est le droit qui fonctionne comme prévu, et c'est précisément ce qui inquiète.

3. Pourquoi c'est plus inquiétant que le Cloud Act

Le Cloud Act, on commence à le connaître.⁹ Une entreprise américaine doit remettre aux autorités américaines les données qu'elle détient, où qu'elles soient. La parade est simple en théorie : choisir un fournisseur réellement européen, sans maison-mère américaine.

L'affaire A/I montre la limite de cette parade. Ici, l'hébergeur est italien, le serveur est aux Pays-Bas, les données sont en Europe. Et elles sont quand même copiées pour Washington, parce que l'État néerlandais a coopéré. Le MLAT ne s'intéresse pas à la nationalité du fournisseur. Il s'intéresse au territoire, et à la volonté de l'État requis.

Conséquence : un hébergeur européen n'est pas un bouclier juridique. C'est un maillon. Le bouclier dépend de ce que l'État est prêt à refuser, de ce qu'un juge est autorisé à contrôler, et de ce que l'entreprise est capable de faire : notifier, chiffrer, contester, résister.

C'est une nuance désagréable pour tous ceux qui vendent du « cloud souverain » comme une propriété magique du sol. Le sol ne suffit pas. Et le contexte rend la nuance plus urgente : AWS, Microsoft et Google contrôlent 70 à 80 % du marché européen du cloud.¹⁰

4. Le précédent

L'affaire ne concerne pas seulement A/I. Elle envoie un message à tous les hébergeurs européens qui servent des clients sensibles : journalistes, ONG, opposants, institutions internationales. Vous pouvez être le prochain.

Le message est d'autant plus fort que la procédure a été discrète. Pas de décision judiciaire publique, pas de débat préalable, pas d'information du Parlement. Une demande américaine, une exécution néerlandaise, une copie. Le Parlement l'a apprise par la presse.¹¹

La Cour pénale internationale est à La Haye. En 2025, selon Handelsblatt, son procureur a perdu l'accès à sa messagerie Microsoft après des sanctions américaines (Microsoft conteste toute coupure) ; elle a décidé de remplacer Microsoft 365 par openDesk, une suite open source, pour 1 800 postes.¹² La question posée par les députés néerlandais est explicite : les entreprises qui travaillent pour la CPI peuvent-elles encore agir librement, si elles savent que ce type de demande existe ?⁶

5. La chaîne de souveraineté

La leçon n'est pas « l'Europe ne sert à rien ». C'est que la souveraineté n'est pas une adresse. C'est une chaîne. Et il faut la regarder maillon par maillon.

1. La propriété. Qui possède l'entité qui détient mes données ? Une maison-mère américaine, un fonds extra-européen, une coopérative française ?
2. L'exploitation. Qui administre les serveurs, avec quel personnel, depuis quel pays ?
3. La juridiction. Quel droit s'applique au contrat, au fournisseur, aux données ?
4. Le contrôle judiciaire. Qui examine une demande d'accès avant qu'elle soit exécutée ? Un juge indépendant, un parquet, personne ?
5. Les motifs de refus. Que peut-on opposer à une demande abusive ? Un intérêt essentiel, une infraction politique, un conflit de lois ?
6. La technique. Les données sont-elles chiffrées de bout en bout ? Le fournisseur peut-il notifier son client ? Peut-il refuser de produire une clé qu'il ne détient pas ?

Le serveur est le dernier maillon, pas le premier. Un datacenter en France avec une maison-mère américaine reste exposé au Cloud Act. Un datacenter aux Pays-Bas avec un hébergeur italien reste exposé au MLAT. Un datacenter en France avec une entreprise française, un personnel français et un chiffrement dont le client détient la clé est plus solide, mais il n'est pas invulnérable à une réquisition française légale. La souveraineté n'est pas l'immunité. C'est la maîtrise de la chaîne.

6. Et pour vous ?

Pour une famille qui stocke des photos, le risque est évidemment plus faible que pour un collectif militant ou une institution internationale. Mais le principe est le même : ce qui compte n'est pas seulement l'endroit où est le serveur, c'est qui le possède, qui peut recevoir une demande, et ce qui se passe si la demande est acceptée.

Un hébergeur français, ce n'est pas magique. C'est une chaîne plus courte : le droit appliqué est le vôtre, l'autorité qui peut demander est la vôtre, et les recours sont devant vos juges. C'est déjà beaucoup. C'est exactement le choix d'Archibou : droit français, pas de maison-mère américaine, pas d'analyse automatique de vos fichiers.¹³ Et une exigence : si une réquisition légale arrive, elle doit être claire, limitée et contestable, pas silencieuse.

7. Ce qu'il faut retenir

• Un serveur européen peut être copié pour une autorité étrangère, par un État européen, sans décision judiciaire publique.
• Le fondement n'était pas le Cloud Act, mais un traité d'entraide judiciaire de 1981.
• La désignation américaine qui a déclenché la demande n'a aucune valeur juridique en Europe, et pourtant elle a suffi.
• La souveraineté n'est pas une adresse, c'est une chaîne : propriété, exploitation, juridiction, contrôle, refus, chiffrement.
• Un hébergeur européen est un meilleur maillon. Pas un bouclier automatique.

Article publié par Archibou. Octobre 2026.

Peut être librement partagé et reproduit sous licence CC-BY-4.0, avec mention de la source.