Intervention de Diane Dufoix-Garnier

La position d'IBM est en effet différente de celle d'autres grands acteurs internationaux, dont je ne connais cependant pas la structure juridique propre. IBM Corp considère que le droit des sociétés doit être pris en compte, et que la manière dont nous avons construit nos filiales en fait des entités juridiques absolument distinctes. Nos contrats et nos relations avec nos clients sont en effet construits de telle sorte que les filiales étrangères d'IBM Corp (y compris donc la filiale française) n'ont aucune activité commerciale aux États-Unis qui justifierait une applicabilité du Cloud Act. Et nous contestons l'idée, effectivement partagée par certains juristes, selon laquelle un simple lien en capital entre IBM US et une filiale étrangère d'IBM soumet cette dernière à la compétence légale des États-Unis. Dans les rares cas où cette position a dû être testée, elle a été entendue par la puissance qui a instauré le Cloud Act aux États-Unis.

Notre approche inclut toutefois plusieurs autres remparts. Bien avant le Cloud Act, IBM avait décidé de contester par tout moyen toute demande émise directement auprès d'IBM US qui ne suivrait pas les voies légales reconnues sur le plan international. Les principaux arguments que nous engagerions à cet égard consisteraient à indiquer que la demande concerne des données sous contrôle de la filiale française, qui n'est pas soumise au droit américain ; et que ces données ne sont pas en possession, sous la garde ou sous le contrôle d'IBM US, même si celle-ci est soumise à la compétence personnelle de l'État à l'origine de la demande. Cette posture est donc forte, et différente de celle d'autres acteurs, mais nous l'avons testée, et nous l'avions adoptée dès 2014, donc bien avant le Cloud Act. Toutes les entreprises du monde ont l'occasion de contester les injonctions d'un juge. Cela n'a rien de tabou aux États-Unis, et, selon le contexte, IBM utilisera tous les moyens disponibles en droit à cette fin.