Ambassades de données : vers une souveraineté numérique hors-frontière ?

Registre de la population, cadastre, livre foncier, registre du commerce, système du Trésor : ce qui fait tourner l’administration estonienne existe en double au Luxembourg, dans des locaux où aucun agent du Grand-Duché n’entre sans l’accord du représentant estonien, sauf incendie ou autre urgence. Le principe s’énonce simplement et se qualifie mal en droit : un État place des copies de ses registres essentiels sur le territoire d’un autre et en garde le contrôle. À rebours de la localisation des données, on sort l’information du territoire pour la protéger et en assurer la continuité, et l’on compense la perte de contrôle physique par un montage juridique.

Au Luxembourg, l’immunité par traité

Deux accords seulement relèvent du traité entre États, et le même pays les accueille. L’accord estonien, signé le 20 juin 2017 par Jüri Ratas et Xavier Bettel, est ratifié par le Riigikogu en mars 2018, au terme d’une réflexion engagée dès 2014 avec Microsoft. Tallinn a retenu le Grand-Duché pour ses centres publics certifiés Tier IV et pour son engagement à garantir l’immunité des systèmes, selon l’exposé des motifs cité par le Riigikogu. Le coût était évalué à 2,2 millions d’euros sur cinq ans, dont 85 % pris en charge par le Fonds européen de développement régional, selon ERR. Dix bases y sont répliquées : registre de population, registre du commerce, livre foncier électronique, cadastre, registre des assujettis, registre des documents d’identité, système d’information du Trésor, système judiciaire eFile, registre des pensions et Journal officiel. 

Quatre ans plus tard, Monaco signe son accord avec le Luxembourg en juillet 2021. Il entre en vigueur le 30 juin 2023. La principauté cherchait, dit le préambule, des locaux situés à l’étranger, à au moins 150 kilomètres de son territoire, pour protéger ses données des catastrophes naturelles comme des actes illicites. Sur deux kilomètres carrés, aucune redondance géographique n’est possible sans franchir la frontière.

Les deux textes se disent conclus « dans l’esprit » de la convention de Vienne de 1961, qu’ils jugent insuffisante, et en recopient la mécanique. Dans l’accord estonien, les locaux sont inviolables (article 3), les équipements échappent à toute forme de procédure judiciaire (article 5) et les données sont assimilées aux archives de la République (article 6). L’Estonie peut chiffrer ses communications officielles comme elle l’entend et recourir à des courriers diplomatiques ; ces communications ne peuvent être ni censurées ni restreintes. Si l’accord prend fin, les données ne sont remises qu’au représentant autorisé de l’Estonie ; s’il est introuvable, le Luxembourg les protège comme ses propres archives jusqu’à ce qu’un représentant légal se présente (article 10). Le texte anticipe ici l’hypothèse d’un État dont les autorités ne répondent plus. Monaco l’a reprise dans son propre accord (article 14).

Le texte monégasque complète le dispositif sur plusieurs points. Son article 7 interdit expressément aux autorités luxembourgeoises d’appréhender les données à distance sans consentement préalable de Monaco : l’accès logique est pris en compte, et non plus seulement l’intrusion physique. L’article 4 écarte toute autorité « étrangère » de l’accès physique, mais l’interdiction de l’accès à distance ne vise, elle, que le Luxembourg. L’article 8 exclut toute interception des communications à des fins administratives ou judiciaires. L’article 3 oblige le Luxembourg à prévenir six mois avant toute cession des locaux ou tout changement de gestionnaire, sauf urgence impérieuse. 

Des angles morts demeurent dans les deux cas. L’immunité protège locaux, machines et données, mais pas l’alimentation électrique ni le refroidissement : les deux textes imposent des locaux livrés en état de marche, sans garantir leur continuité en crise. Le Luxembourg ne doit à Tallinn que le niveau de protection qu’il s’accorde à lui-même (article 4). Le représentant estonien, faute d’être membre d’une mission diplomatique, ne bénéficie d’aucune immunité personnelle, relevait dès 2019 Bartłomiej Sierzputowski dans l’International and Comparative Law Quarterly. Aucune bascule en conditions réelles n’a été rendue publique à ce jour ; le site estonien demeure une sauvegarde, que Tallinn veut à terme pouvoir exploiter en direct. 

En Ukraine, l’exil des registres dans l’urgence

L’Ukraine constitue le seul cas documenté de basculement réel, et il s’est fait hors de tout cadre diplomatique et avec des opérateurs privés. Avant 2022, la loi ukrainienne imposait le maintien de certaines données publiques sur des serveurs situés sur le territoire national. La loi « Sur les services cloud » n° 2075-IX, adoptée le 17 février 2022, une semaine avant l’invasion, n’a pas levé ce verrou. Signée le 15 mars et applicable à partir de septembre, elle interdit au contraire de traiter hors du pays les secrets d’État, l’information officielle et les données des registres d’État, comme le détaille l’analyse du cabinet Sayenko Kharenko. La sortie des données repose sur le droit d’exception : la résolution n° 263 du Cabinet des ministres du 12 mars 2022 autorise, pendant la loi martiale, l’hébergement des registres publics et de leurs copies dans des clouds ou des centres de données situés à l’étranger, dérogation inscrite ensuite dans la loi n° 2130-IX du 15 mars 2022.

L’exécution repose sur des fournisseurs privés. Trois boîtiers AWS Snowball sont acheminés depuis Dublin via la Pologne dans les premiers jours du conflit. Selon Liam Maxwell, directeur chez AWS, 161 registres d’État et 356 organisations ont été migrés, pour une quinzaine de pétaoctets. Le dispositif actuel n’offre aucune immunité formelle digne d’une “

ambassade” dans la mesure où la protection est contractuelle et repose sur la relation commerciale avec l’hébergeur, sur le chiffrement et sur la dispersion. Le recours à un prestataire américain ajoute une autre contrainte : le CLOUD Act permet aux autorités américaines de contraindre un fournisseur soumis à leur juridiction à communiquer des données placées sous son contrôle, y compris lorsqu’elles sont stockées hors des États-Unis. Kyiv a engagé des discussions parallèles avec plusieurs États, dont l’Estonie et la France, pour la protection de ses données essentielles à l’extérieur de son territoire national, selon les informations du Wall Street Journal du 14 juin 2022. Aucun accord n’a été rendu public depuis. Depuis, le gouvernement ukrainien a renforcé le cadre de l’hébergement de ses données, avec la résolution n° 154 du 11 février 2025 fixant les exigences applicables aux prestataires de services cloud et de centres de données, notamment la conformité à la norme ISO/IEC 27001. 

Vers un marché de l’asile de données ?

Dans le Golfe, l’accueil s’organise d’abord par la loi du pays hôte, que l’Arabie saoudite prévoit d’adosser à des accords d’État à État. Le décret-loi bahreïni n° 56 de 2018 réserve le contenu des clients étrangers, entreprises comprises, aux juridictions de leur État d’origine, à charge pour le prestataire local d’aviser le procureur général de toute injonction. Le régime ne s’applique qu’aux États et aux centres de données désignés par le Conseil des ministres. Le décret a précédé de peu l’ouverture à Bahreïn, en 2019, de la première région AWS du Moyen-Orient. Le projet saoudien de Global AI Hub Law, soumis à consultation en avril 2025, distingue trois modèles. Le Private Hub est un centre de données réservé à un État étranger, le « pays invité », et fonctionne selon son droit dans le cadre d’un accord bilatéral avec Riyad. L’Extended Hub reprend cette logique, mais permet à un opérateur tiers d’héberger ses propres données ou celles de ses clients selon le droit du pays invité, toujours sur la base d’un accord avec l’Arabie saoudite. Le Virtual Hub est exploité par un prestataire saoudien et permet de soumettre les données de ses clients au droit d’un « État étranger désigné », sans qu’un accord bilatéral soit nécessairement requis. Dans les trois cas, le dispositif reste sous contrôle saoudien et le Conseil des ministres peut mettre fin aux accords ou arrangements pour protéger la sécurité et la souveraineté du Royaume, avec un maintien temporaire des privilèges prévu par le texte. 

L’Inde, de son côté, promet depuis son budget du 1^er février 2023 d’accueillir des ambassades de données à GIFT City, la zone économique spéciale du Gujarat qui abrite son centre financier international et son régulateur dédié, l’IFSCA. En février 2025, un responsable de l’IFSCA assurait à The Hindu BusinessLine que Singapour étudiait « activement » une implantation. Aucune législation dédiée n’a été adoptée, constate en juillet 2026 le cabinet CMS IndusLaw, qui juge notamment utile de prévoir des exceptions à la section 69 de l’Information Technology Act, laquelle permet aux autorités indiennes d’intercepter et de déchiffrer des données. Un responsable de GIFT City a bien évoqué, d’après le cabinet, une loi ad hoc offrant une immunité comparable à celle des ambassades, mais aucun texte n’a suivi. La déclaration conjointe indo-émirienne du 19 janvier 2026 ouvre une autre piste : les deux dirigeants y chargent leurs équipes d’étudier des « ambassades numériques » sous des arrangements de souveraineté mutuellement reconnus. Le même jour, le secrétaire indien aux Affaires étrangères, Vikram Misri, parlait en briefing d’un concept « relativement nouveau », dont le cadre réglementaire reste à élaborer. Le lendemain, à Davos, le groupe émirien G42 lançait une offre commerciale baptisée « Digital Embassies », adossée à des accords d’État à État.

Le terme d’ambassade de données recouvre aujourd’hui des dispositifs plus ou moins aboutis : deux traités bilatéraux calqués sur le droit diplomatique, un déplacement opéré en urgence par contrat commercial en Ukraine, et plusieurs projets à l’étude mais sans cadre juridique arrêté. Si aucun nouvel accord inter-étatique n’a été signé depuis 2021, l’intérêt pour le principe s’élargit. Gartner prédit qu’au moins 15 % des « nations situées dans des régions géopolitiquement volatiles » auront conclu un accord formel d’ici 2029.