Qu’est-ce que l'article 10 bis A du projet de loi SREN ?

L'article 10 bis A du projet de loi SREN pour sécuriser et réguler l'espace numérique a suscité un vif débat en France. Introduit par le Sénat en juillet 2023, il vise à instaurer une souveraineté numérique en imposant le recours à des fournisseurs de cloud européens pour les données sensibles des entités publiques.

L’Europe en quête de souveraineté

Depuis quelques mois, l'espace numérique européen est en pleine ébullition. Au cœur de cette agitation se trouve l’article 10 bis A, un amendement clé du projet de loi SREN (pour Sécuriser et Réguler l'Espace Numérique). Divisant les sénateurs et les entreprises, les partisans et les détracteurs, cet article tourne autour d’une question cruciale : devrions-nous privilégier un cloud européen pour nos données sensibles ou continuer à recourir aux services des géants américains ?

Cet article de loi, proposé par la sénatrice Catherine Morin-Desailly le 5 juillet 2023, vise à imposer l'utilisation de fournisseurs de clouds européens pour toutes les données sensibles, écartant ainsi les clouds américains (Microsoft, Amazon, Google).

Le débat autour de la souveraineté numérique

Le débat sur la souveraineté numérique est récurrent en Europe. Pourquoi ? Parce qu’il pose la question de la capacité des pays européens à contrôler leurs données et leurs infrastructures numériques.

Le débat autour de la souveraineté européenne se joue entre ceux qui prônent la création d'un marché européen du cloud, indépendant des GAFAM (Google, Apple, Facebook, Amazon, Microsoft), et ceux qui soulignent les lacunes des offres européennes par rapport à leurs homologues américains. Les débats oscillent constamment entre la nécessité de booster le cloud européen et les réalités économiques et techniques du secteur.

Si booster le cloud européen est une nécessité d’après les partisans de cette souveraineté numérique en Europe, il s’agit aussi d’échapper aux lois extraterritoriales, comme la loi FISA (Foreign Intelligence Surveillance Act) américaine sur l’espionnage, qui sera renouvelée à la fin de l’année.

Cette loi oblige toute entreprise américaine, même lorsqu’elle exerce une activité hors Etats-Unis, à communiquer des données aux services secrets américains, sans avoir à avertir les principaux intéressés. Un point particulièrement problématique puisqu’il s’agit de données sensibles.

En résumé, le débat autour de la souveraineté numérique européenne est motivé par plusieurs facteurs principaux :

la dépendance de l'Europe aux technologies américaines (notamment les fournisseurs de cloud),
les risques de sécurité et de confidentialité des données (notamment la loi FISA),
la volonté de l'Europe de développer sa propre industrie numérique.

Zoom sur l'article 10 bis A du SREN

L'article 10 bis A du SREN (projet de loi visant à Sécuriser et Réguler l'Espace Numérique) est une réponse à ce débat qui vise à renforcer la souveraineté numérique de la France en obligeant les entités publiques à recourir à des fournisseurs de cloud européens pour les données sensibles.

L'article définit les données sensibles comme « les données dont la violation est susceptible d'engendrer une atteinte à l'ordre public, à la sécurité publique, à la santé ou la vie des personnes ou à la protection de la propriété intellectuelle. » L'article prévoit également une dérogation possible pour les projets déjà en cours.

Initialement favorable à l’article, le Gouvernement a finalement fait volte-face sous la pression des négociations européennes en cours et des critiques sur la filière française du cloud qui peine à rivaliser avec les géants américains.

Les start-up d’e-santé ont été les premières à monter au créneau car bon nombre d’entre elles utilisent des clouds américains, à l’image de Doctolib dont les données sont hébergées chez AWS (Amazon Web Services).

Leur message : vous nous demandez de passer à un fournisseur de cloud européen, mais l’offre n’est pas au niveau de celle des clouds américains. Une éventuelle migration prendra un temps fou et coûtera forcément cher.

Une nouvelle version de l'article est finalement déposée, exigeant le recours aux clouds européens pour les données sensibles des entités publiques, mais avec des conditions plus flexibles que dans l’article de départ.

Quelles répercussions pour le monde de l’IT en Europe ?

Alors que les débats continuent, l'avenir de l'article de loi numérique 10 bis A demeure incertain. Son sort sera décidé lors de son passage devant la Commission mixte paritaire. De ce fait, les positions pour ou contre le cloud européen peuvent encore évoluer dans les semaines et les mois qui arrivent.

La question de la souveraineté numérique de l'Europe demeure un défi majeur, avec des implications capitales pour le monde professionnel des freelances IT. La décision finale concernant l'utilisation des clouds européens ou américains pour les données sensibles façonnera non seulement le paysage IT, mais également les opportunités et les défis professionnels à venir.

En savoir plus sur le cloud :