Amendement n° 1631
LOI n° 2023-703 du 1er août 2023 relative à la programmation militaire pour les années 2024 à 2030 et portant diverses dispositions intéressant la défense (1)
Dispositif
Supprimer cet article.
Ce que ça change · analyse IA
Précise que l'obligation de cloud souverain ne s'applique qu'aux données sensibles et non à l'ensemble des données des OIV/OSE.
Intention : Limiter la portée de l'obligation de souveraineté numérique aux seules données réellement stratégiques pour éviter une charge inutile sur les opérateurs et une fausse sensation de sécurité.
L'amendement cherche à corriger une généralisation excessive du texte initial. En imposant le cloud souverain à l'ensemble des données des Opérateurs d'Importance Vitale (OIV) et des Opérateurs de Service Essentiel (OSE), la loi initiale créait une confusion entre la nature de l'acteur (dont l'activité est vitale) et la nature de l'information traitée. L'adoption de cet amendement montre que le législateur a reconnu le risque d'une mesure disproportionnée et potentiellement inefficace : protéger l'acteur ne signifie pas que chaque donnée qu'il manipule est stratégique pour la Nation. Le débat révèle une volonté de passer d'une protection de 'périmètre' (tout ce que l'OIV touche) à une protection de 'contenu' (ce qui est réellement sensible).
Exposé sommaire
Cet article 35 bis vise à obliger les Opérateurs d'Importance Vitale (OIV) et les Opérateurs de Service Essentiel (OSE) à héberger leurs données sensibles et les traitements associés chez des opérateurs d'informatique en nuage (cloud) ne pouvant pas être soumis aux juridictions non européennes à portée extraterritoriale. Bien que renforcer les garanties de protection des données sensibles et stratégiques des entreprises pour éviter leur captation par des puissances étrangères est une préoccupation légitime, que je soutiens, cette réponse proposée par cet article ne va pas dans le bon sens.
En effet, cet article opère une confusion entre les notions « d’activité » et de « données ». Les OIV et les OSE ont été désignées comme telles pour garantir la continuité d’activité des services essentiels de la Nation. Leurs activités sont donc « d’importance vitale » pour la Nation, dans le cas des OIV, et leurs services sont « essentielles » dans le cas des OSE, leurs données ne revêtent pas toutes de telles caractéristiques. En effet, les données des OIV et OSE ne présentent pas toutes un caractère « sensible » au regard des intérêt fondamentaux de la nation. De plus, la très grande majorité des données sensibles ou stratégiques de l'économie française ne sont pas portées ou traitées par le système d'information d'importance vitale d'un OIV ou son équivalent pour un OSE.
Ainsi, ce nouvel article pourrait n’avoir qu'un effet symbolique, mais également un effet contre-productif en donnant l'illusion que le sujet de la protection des données sensibles ou stratégiques des entreprises françaises est pris en charge par la réglementation, alors qu’en réalité, beaucoup reste à faire.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).