Aux Pays-Bas, une saisie américaine fait trembler le secteur du cloud

Un serveur saisi à Amsterdam sur demande de Washington, et le secteur néerlandais du cloud monte au créneau. Le 13 octobre, la police néerlandaise a récupéré un serveur du fournisseur italien Autistici/Inventati (A/I), hébergé dans un datacenter du Amdterdam Science Park. L'opération répond à une demande d'entraide judiciaire américaine. Trois jours plus tard, la Dutch Cloud Community (DCC), fédération professionnelle du cloud et de l'hébergement, a réclamé des précisions sur le fondement juridique de l'intervention et sur l'existence d'un contrôle indépendant. Elle affirme qu’une copie des données a déjà été remise aux États-Unis. Une version contredite le 17 octobre par le parquet d’Amsterdam. L’autorité invoque le traité d'entraide judiciaire entre les deux pays et affirme ne disposer d'aucun motif de refus. La police avait toutefois déclaré à la chaîne locale AT5 qu’elle préparait une copie destinée aux autorités américaines. Au-delà du cas A/I, la DCC redoute une perte de confiance des entreprises hébergeant leurs données aux Pays-Bas. Quelles garanties offrir à leurs clients lorsque des autorités étrangères réclament l'accès à leurs infrastructures ? 

La confiance des hébergeurs ébranlée 

À l’origine de cette saisie, une décision américaine du 26 août au fondement contesté. Washington a inscrit Autistici/Inventati sur sa liste des entités sanctionnées pour terrorisme international. Il l'accuse de fournir gratuitement des services de messagerie et d’hébergement web à des groupes d'extrême gauche antifascistes violents. Le département d’État cite notamment Rose City Antifa, dans l’Oregon et Jane’s Revenge, accusés d’attaque contre des centres anti-avortement. Mais les griefs publics visent l’hébergement de communications et de revendications, sans établir une participation directe aux violences. Le collectif conteste les accusations. Le Sénat italien, lui, souligne l’absence de procédure pénale italienne ou même européenne visant A/I pour terrorisme. Les sanctions ont néanmoins entraînés la perte de son nom de domaine, la fermeture de son compte PayPal et le gel de ses avoirs bancaires. Après 25 ans d’activité au service d’environ 20 000 organisations et militants, A/I a dû engager sa dissolution début septembre. Une sanction administrative américaine a ainsi suffi à mettre fin aux activités d'un hébergeur européen, avant toute condamnation pénale connue. 

Amsterdam face à ses contradictions 

La contestation revêt une portée particulière aux Pays-Bas, historiquement favorables à l'ouverture du marché européen du cloud aux fournisseurs américains. En 2022, le gouvernement néerlandais s'était opposé, avec six autres États membres de l'Union européenne, à l'introduction de critères de souveraineté dans le projet de schéma européen de certification de cybersécurité des services cloud (EUCS). Au cœur du désaccord, les exigences susceptibles de restreindre l'accès des fournisseurs non européens aux certifications les plus élevées. Les Pays-Bas privilégiaient une approche fondée sur la sécurité technique. La France défendait, au contraire, des garanties contre les législations extraterritoriales, dans la continuité de sa qualification SecNumCloud. La ligne néerlandaise a depuis évolué. En juillet 2025, le gouvernement appelait à réduire la dépendance des administrations aux fournisseurs étrangers, avant de durcir ses règles d'utilisation du cloud public en juillet 2026. Trois mois plus tard, ses propres hébergeurs exigent des garanties face à Washington. Longtemps contestée dans les négociations européennes, la question du contrôle étranger des données s'impose désormais au cœur d'un datacenter d'Amsterdam.