Amendement n° CL4

Par cet amendement, le groupe LFI réaffirme son souhait de renforcer la souveraineté numérique française en ligne, en s'émancipant des géants du numériques étrangers - et notamment américain - par le développement de l'usage de services de l'informatique en nuage (aussi appelé "cloud") réversibles.

Face à la numérisation de la société, l'usage de "cloud" est devenu indispensable au bon fonctionnement de l'administration publique. Selon les données de la Cour des Comptes sur le sujet, les dépenses publiques en la matière sont passées d’1 M€ en 2020 à 52 M€ en 2024 (les services de l’État représentent les 2/3 de la somme, soit 32 M€). Au total, entre 2020 et 2024, 120 M€ ont été dépensés. Si des données sont disponibles sur l’identité des fournisseurs d’accès choisis par l’État, il n’existe aucune donnée agrégée sur l’identité des fournisseurs choisis par les collectivités territoriales, alors même qu’elles sont des acteurs désormais incontournables de l’action publique. Par conséquent, il est impossible d’évaluer le niveau d’exposition aux risques de ces dernières, ainsi que le coût engendré. Or, ces interrogations sont particulièrement légitimes, au vu de la structure du marché actuel. En effet, 3 grandes entreprises américaines en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Dans ce contexte, la question de l'extraterritorialité se pose.

En effet, de nombreuses législations étrangères permettent aux États les ayant mises en place de récupérer les données collectées par les entreprises, même lorsque cette récolte a été effectué à l’étranger. A titre d'illustration, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. Face à cela, il est donc indispensable de développer l'usage de nouveaux outils permettant de garantir un accès souverain aux données, parfois très sensibles, hébergées par les administrations publiques afin de préserver notre souveraineté numérique.

Les services de cloud réversibles jouent un rôle majeur en la matière. En effet, ils permettent à ses utilisateurs de préserver leur autonomie technologique et d’assurer leur sécurité en leur donnant la faculté de récupérer les données stockées à tout moment, notamment d’un fournisseur de cloud qui ne respecterait pas les exigences minimums de protection des données personnelles collectées. Il ne s'agit en réalité que d'une traduction législative d'une exigence déjà existante : en effet, la circulaire du Premier ministre n° 628-SG du 5 juillet 2021 définit la doctrine d’utilisation de l’informatique en nuage par l’État via la circulaire dite « cloud au centre » qui souligne que « l’État doit veiller scrupuleusement à la protection de ses données et de celles des citoyens, et notamment à leur hébergement sur le territoire de l’Union européenne » en encourageant les services et les organisations publiques à recourir à des solutions d’hébergement en nuage qui intègrent des exigences de réversibilité, de portabilité et d’interopérabilité et qui « n’entravent pas l’autonomie de l’État dans ses choix numériques à venir ». Le recours à un service de "cloud" non réversible et non développé par des structures publiques ne deviendrait alors qu'une exception dûment justifiée, une évaluation comparative de nature technique et économique devant démontrer qu’il est impossible d’accéder à des solutions équivalentes déjà développées au sein de l’administration publique en matière de fonctionnalités, de coût total et de cybersécurité, réalisée sous la supervision de la direction interministérielle du numérique (Dinum).