Loi de blocage et cyber : vers un tournant répressif au nom de la souveraineté informationnelle

Auteurs : Raphaël Gauvain, Blanche Balian (avocats, Stephenson Harwood)

À l’occasion du colloque annuel du Cercle des directions de la sécurité des entreprises (CDSE), tenu le 16 décembre à Issy-les-Moulineaux, la vice-procureure Johanna Brousse s’est ouvertement prononcée en faveur d’un durcissement des sanctions pénales applicables aux entreprises qui ne respecteraient pas ce dispositif stratégique.

Son intervention, devant des responsables sûreté et cyber des plus grands groupes français, marque une évolution notable du discours du parquet : la loi de blocage n’est plus seulement un mécanisme défensif face à l’extraterritorialité du droit étranger, mais devient un enjeu opérationnel majeur de conformité cyber.

Une loi née de l’extraterritorialité du droit américain, renforcée par le cyber

Initialement conçue pour faire face aux pratiques extraterritoriales, en particulier américaines, la loi de blocage interdit aux entreprises françaises de communiquer directement à des autorités étrangères des informations économiques, commerciales, industrielles, financières ou techniques sensibles, en dehors des procédures prévues par les traités d’entraide judiciaire. 

Plus précisément, la loi prévoit deux cas distincts, sous réserve des traités ou accords internationaux : 

• l’interdiction imposée aux personnes françaises ou résidant en France de communiquer à des autorités publiques étrangères certaines données stratégiques « dont la communication est de nature à porter atteinte à la souveraineté, à la sécurité, aux intérêts économiques essentiels de la France ou à l’ordre public » (article 1), ci-après les « Données Sensibles » ; 
• l’interdiction imposée à toute personne de communiquer certaines données stratégiques « tendant à la constitution de preuves en vue de procédures judiciaires ou administratives étrangères ou dans le cadre de celles-ci » (article 1 bis), ci-après les « Données Stratégiques ». 

La réforme de 2022 a modernisé ce cadre, en l’adaptant aux réalités numériques et cloud, à savoir notamment :

• l’explosion des volumes de données ;
• l’externalisation massive vers des prestataires cloud ;
• la multiplication des demandes judiciaires transfrontalières portant sur des données hébergées en Europe.

Toute sollicitation émanant d’une autorité étrangère doit désormais être transmise sans délai au Service de l’information stratégique et de la sécurité économiques (SISSÉ), point de passage obligé destiné à préserver les intérêts stratégiques nationaux (articles 1 et 2 du décret n° 2022-207 du 18 février 2022). Le SISSÉ dispose d’un délai d’un mois pour adresser à la personne concernée un avis portant sur l’applicabilité des dispositions de la loi de blocage. 

Selon le SISSÉ, les premiers effets de la réforme ont été supérieurs aux attentes. De plus en plus d’entreprises, y compris des sociétés étrangères, viennent s’adresser au guichet unique. Le SISSÉ rend désormais entre 50 et 60 avis par an. Le nombre de saisines a été multiplié par cinq par rapport à la période antérieure. À cet égard, le SISSÉ souligne la grande diversité des dossiers reçus, à la fois dans leur origine géographique (52 % d’Amérique du Nord, 30 % de l’Union européenne ou du Royaume-Uni, 7 % d’Asie) et dans leur nature (42 % de procédures civiles, 30 % de procédures pénales, 28 % de procédures administratives). 

Des sanctions jugées structurellement inefficaces

C’est précisément sur ce point que la vice-procureure a exprimé une position ferme. Selon elle, le quantum des peines actuellement prévues ne correspond plus aux enjeux économiques et cyber contemporains, à savoir :

• 6 mois d’emprisonnement et/ou 18 000€ d’amende pour une personne physique ;
• jusqu’à 90 000€ d’amende pour une personne morale.

Dans les faits, pour des grands groupes, ces montants sont sans commune mesure avec les risques financiers, contractuels ou réputationnels liés à un refus de coopération avec une autorité étrangère, en particulier américaine.

Le parquet cyber constate ainsi une tentation croissante de « compliance opportuniste » : répondre à une injonction étrangère, parfois informelle, en mettant en balance les enjeux et en anticipant la faiblesse du risque pénal en France.

La montée en puissance du parquet cyber et de la Junalco

Cette prise de position s’inscrit dans un contexte institutionnel plus large. La section cyber (J3) du parquet de Paris, intégrée à la Junalco, s’est progressivement imposée comme un acteur clé de la régulation pénale du cyberespace.

Son champ d’action couvre désormais :

• les attaques cyber majeures ;
• les atteintes aux systèmes d’information critiques ;
• les violations graves de la souveraineté numérique, dont les manquements à la loi de blocage.

Dans cette logique, un durcissement des sanctions serait perçu comme un signal pénal fort, destiné à modifier durablement les arbitrages des directions juridiques, compliance et cyber.

Identifier les données sensibles : le rôle structurant du guide ANSSI

Consciente des difficultés pratiques rencontrées par les entreprises, l’ANSSI a publié en avril 2022 un guide d’identification des Données Sensibles au sens de la loi de blocage. Ce document constitue une brique essentielle de mise en conformité.

Il propose notamment :

• une méthodologie de cartographie des données (techniques, industrielles, commerciales, R&D, sécurité) ;
• des critères de sensibilité tenant compte du contexte géopolitique et sectoriel ;
• des recommandations pour intégrer la loi de blocage dans les politiques de sécurité des systèmes d’information (PSSI) et les dispositifs de data governance.

Ce guide marque un changement d’approche : la loi de blocage devient un sujet cyber à part entière, au même titre que le RGPD ou la directive NIS.

Décrets et arrêtés de 2022 : un dispositif opérationnel consolidé

La réforme précitée de 2022 s’est accompagnée de plusieurs décrets et arrêtés, qui ont précisé :

• les modalités exactes de saisine du SISSÉ ;
• les délais et canaux de transmission des demandes étrangères ;
• les obligations de traçabilité et d’archivage pour les entreprises concernées.

Ces textes visent à mettre en place un processus clair, depuis la réception de la demande étrangère jusqu’à la décision de communication ou de refus. Toutefois, leur appropriation reste hétérogène, en particulier dans les groupes internationaux où les arbitrages se font souvent hors de France.

OVHcloud, cloud européen et tensions extraterritoriales

Le cas d’OVHcloud, confronté à une demande d’un tribunal canadien visant des données hébergées sur le sol européen, illustre ces tensions. En contournant les mécanismes d’entraide judiciaire, la juridiction étrangère met l’entreprise face à un conflit de normes :

• coopérer et violer potentiellement la loi française ;
• refuser et s’exposer à des sanctions ou restrictions à l’étranger.

Ce type de situation, de plus en plus fréquent pour les acteurs du cloud et des services numériques, alimente la réflexion du parquet sur la nécessité d’un cadre pénal réellement dissuasif.

Un contexte géopolitique plus contraignant

La problématique est d’autant plus sensible que le retour au pouvoir de l’administration Donald Trump ravive les craintes liées à l’extraterritorialité du droit américain et à l’usage stratégique des données.

Pour les autorités françaises, la loi de blocage devient ainsi un instrument de résilience géopolitique, complémentaire des stratégies de cloud de confiance, de souveraineté numérique et de protection des intérêts économiques essentiels.

Vers une nouvelle ère de conformité cyber-pénale ?

En filigrane, le message du parquet cyber est clair : la loi de blocage ne peut plus rester une norme symbolique. Un relèvement substantiel des sanctions, combiné aux outils méthodologiques de l’ANSSI et aux textes d’application de 2022, pourrait transformer cette loi en levier structurant de la conformité cyber des grandes entreprises.

Pour les RSSI, directeurs juridiques et responsables conformité, l’enjeu est désormais double :

• anticiper les demandes étrangères par une meilleure classification des données ;
• intégrer le risque pénal de la loi de blocage dans les arbitrages cyber et contractuels.

À défaut, le risque est de voir la souveraineté informationnelle rester un principe affiché, mais insuffisamment défendu face aux pressions juridiques internationales.

Loi https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000501326

***