Amendement n° 677
LOI n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (1)
Dispositif
Rédiger ainsi cet article :
« I. – Pour chacun des services qu’ils proposent à leurs clients, lorsque ces services disposent d’une qualification de l’Agence nationale de la sécurité des systèmes d’information ou d’un certificat de cybersécurité européen au sens du Règlement (UE) 2019/881 en date du 17 avril 2019 (règlement sur la cybersécurité) en cours de validité, les fournisseurs d’informatique en nuage et leurs intermédiaires publient, de façon claire et compréhensible, les informations relatives à la nature et au niveau de cette qualification ou certification.
« Cette publication doit perdurer pendant toute la durée de l’offre du service d’informatique en nuage aux clients et peut notamment prendre la forme d’une information publiée sur le site internet du fournisseur d’informatique en nuage, sous réserve d’être facilement accessible par le public.
« II. – Les fournisseurs d’informatique en nuage et leurs intermédiaires publient les informations sur l’empreinte environnementale de leurs services, notamment en matière d’empreinte carbone, de consommation d’eau et de consommation d’énergie couvrant le cycle de vie de l’infrastructure informatique déployée pour le traitement des données de leurs services individuels. L’indice est calculé à partir de données de référence mises à disposition par l’Agence de l’environnement et de la maîtrise de l’énergie.
« III. – Les fournisseurs d’informatique en nuage et leurs intermédiaires publient les informations concernant l’emplacement physique de toute l’infrastructure informatique déployée pour le traitement des données de leurs services individuels.
« IV. – Les fournisseurs d’informatique en nuage et leurs intermédiaires publient l’existence d’un risque d’accès gouvernemental aux données de l’utilisateur du service d’informatique en nuage.
« V. – Les fournisseurs d’informatique en nuage et leurs intermédiaires publient une description des mesures techniques, juridiques et organisationnelles adoptées par le fournisseur d’informatique en nuage afin d’empêcher l’accès gouvernemental aux données lorsque ce transfert ou cet accès créerait un conflit avec le droit de l’Union européenne ou le droit national de l’État membre concerné.
« Les sites internet mentionnés au présent article sont mentionnés dans les accords contractuels relatifs à tous les services de traitement des données proposés par les fournisseurs d’informatique en nuage et leurs intermédiaires.
« VI. – Un décret précise le contenu, les modalités d’application et les délais de mise en œuvre des obligations mentionnées aux alinéas précédents, ainsi que le ou les seuils d’activité en deçà desquels les fournisseurs de service d’informatique en nuage n’y sont pas assujettis. »
Ce que ça change · analyse IA
Réintroduit l'obligation de transparence sur la localisation des données et les risques d'accès étatiques, opposant souveraineté numérique et simplification des obligations des fournisseurs.
Intention : Renforcer la protection de la souveraineté des données des utilisateurs en imposant une transparence totale sur les risques de saisies étatiques étrangères, face à une volonté législative de limiter les obligations de déclaration des prestataires.
L'amendement tente de restaurer des exigences de transparence que la version de la rapporteure avait supprimées. Le débat porte sur l'étendue de l'obligation d'information : l'auteur veut forcer les fournisseurs (et leurs intermédiaires) à révéler non seulement où sont stockées les données, mais aussi la vulnérabilité de ces données face aux demandes d'accès des gouvernements étrangers. Le rejet de cet amendement confirme la volonté du législateur de ne pas alourdir la charge de transparence des acteurs du cloud, privilégiant une approche plus allégée ou moins contraignante pour les intermédiaires, au risque de laisser une zone d'ombre sur la protection effective des données face aux lois extraterritoriales.
Exposé sommaire
Par cet amendement de réécriture de l'article 10 bis, nous proposons de compléter la rédaction de la rapporteure avec tous les éléments de transparence qu'elle a choisi d'écarter.
En effet, son amendement de réécriture a supprimé des obligations pourtant essentielles adoptées lors de l'examen du texte au Sénat. Il s'agit des informations concernant l’emplacement physique de toute l’infrastructure informatique déployée pour le traitement des données de leurs services individuels, l’existence d’un risque d’accès gouvernemental aux données de l’utilisateur du service d’informatique en nuage et une description des mesures techniques, juridiques et organisationnelles adoptées par le fournisseur d’informatique en nuage afin d’empêcher l’accès gouvernemental aux données lorsque ce transfert ou cet accès créerait un conflit avec le droit de l’Union européenne ou le droit national de l’État membre concerné.
Toutes ces obligations concernent à la fois les fournisseurs d’informatique en nuage mais aussi leurs intermédiaires.
Le débat en séance (compte rendu)
Cet amendement est rattaché à une séance mais n'apparaît pas dans le compte rendu (amendement non soutenu, retiré avant discussion ou discuté en groupe sans mention individuelle).