Loi SREN : le cloud souverain au cœur des débats

En pleine période estivale, les discussions autour du cloud souverain auront été particulièrement chaudes. L’automne n’aura pas dissipé le brouillard sémantique qui plane autour de l’informatique en nuage, chaque camp ayant une conception spécifique (cf. notre encadré) de ce que devrait être un “cloud souverain”.  

C’est un amendement, l’article 10 BIS A, introduit pendant l’été par la sénatrice Catherine Morin-Desailly qui a mis le feu aux poudres. Ce dernier voulait imposer aux fournisseurs de solutions cloud traitant de données sensibles – et notamment de données de santé – la qualification la plus élevée en la matière : SecNumCloud. Une telle disposition revient concrètement à exclure les trois hyperscalers américains – Amazon Web Services (AWS), Microsoft Azure et Google Cloud – qui représentaient 70 % du marché français en 2022 (dont 45 % pour le seul AWS, source : Markess by Exægises).

Cet article 10 bis A a finalement été retoqué le 21 septembre dernier lors de son examen en Commission spéciale, avant d’être réintroduit et complètement réécrit par plusieurs membres de l’Hémicycle, notamment Anne Le Hénanff, députée Horizons et rapporteure du volet cloud de la loi SREN. “L’article 10 BIS A, explique-t-elle à mind Health, tel qu’écrit par le Sénat n’était pas réaliste. Nous avons rencontré les principaux clouders français, qui sont en train de s’organiser pour conquérir le marché européen.” 

Le choix du pragmatisme

Avancer franchement ou prudemment sur la souveraineté numérique : deux méthodes s’opposent actuellement, qui vont décider du message politique adressé aux clouders français et à l’Europe au travers de la loi SREN. La position minimaliste, soutenue et qualifiée de “pragmatique  et réaliste” par Anne Le Hénanff a consisté à imposer deux types de contraintes différentes, selon la nature des données traitées. “Pour les données sensibles, qui étaient les données publiques des administrations centrales, c’est-à dire les ministères, c’est désormais la doctrine “cloud au centre” qui s’appliquerait (cf. encadré). Nous aurions pu adresser un message politique très fort en imposant la qualification SecNumCloud pour tous, mais cela coûterait trop cher aux acteurs et, au niveau technique, les clouders français ne pourraient pas accueillir toutes ces données techniques en même temps. Il faut compter au minimum 18 mois pour les migrations”, explique Anne Le Hénanff. 

“Les données de santé, poursuit-elle, n’appartiennent pas à la même sphère, et nous les avons sorties du cadre de l’article 10 BIS A (elles ont été intégrées dans un article 10 BIS B, ndlr). Pour celles-ci, le référentiel HDS apporte déjà de solides garanties, et il est d’ailleurs en cours de réactualisation. Ce n’est certes pas le niveau SecNumCloud, mais pour avoir discuté avec des opérateurs de santé comme Doctolib et Medaviz (tous deux ont des données hébergées dans le cloud AWS, ndlr), ce niveau de sécurité est déjà très élevé !”

Du côté du Sénat, le sénateur Les Républicains et co-rapporteur du projet de loi SREN Patrick Chaize ne décolère pas : “soit on fait la loi, soit on est au gouvernement. Un parlementaire ne devrait pas se poser la question des moyens, il doit avoir en tête ce qui est le meilleur pour le pays et la défense de nos concitoyens”. Et d’ajouter : “si à chaque fois nous réfléchissons à la mise en œuvre, nous devenons forcément minimalistes dans nos positions”. Lui considère “les données de santé comme les plus sensibles qui soient”. Il a également rencontré des clouders français mais observe que “là où certains sont réticents et mettent en avant des complexités, d’autres se disent prêts à répondre à la contrainte”. 

Les textes européens en ligne de mire

La prudence de la position prise majoritairement par l’Assemblée nationale s’explique par les débats en cours au niveau européen, notamment à propos du Data Act. “Nous avons examiné le texte de la loi SREN à un moment où l’encre n’était pas tout à fait sèche du côté européen, ce qui explique qu’il a fallu attendre fin octobre pour que l’on ait des éléments stables sur le Data Act, en produisant du droit qui soit raccord avec lui”, explique le député Renaissance Eric Bothorel. “Nous allons bientôt avoir les conclusions de ce texte , ajoute Anne Le Hénanff, nous allons aussi avoir peut-être des avancées sur les négociations EUCS (la certification européenne relative aux prestataires de cloud, appelée à remplacer le référentiel SecNumCloud). Nous n’avons pas voulu être plus royaliste que le roi et nous faire finalement retoquer par l’Europe. Plutôt que de planifier rapidement une CMP (Commission mixte paritaire, ndlr) pour tomber d’accord sur un texte qui serait potentiellement retoqué, notre ministre, Jean-Noël Barrot, a choisi d’envoyer à Bruxelles le texte du Sénat, modifié par l’Assemblée nationale. La notification de l’Europe a eu lieu très rapidement et nous avons déjà eu des retours sur les titres. Je n’ai pas eu accès au courrier de la Commission européenne, mais selon mes sources, le titre 3 (le volet concernant le cloud, ndlr) n’a pas été modifié et a été estimé conforme”. Ce motif de satisfaction ne fait pas la joie de tous les parlementaires. Pour Patrick Chaize, cette prudence assumée “est une façon de dire “attendons que l’Europe fasse”. Mais l’Europe c’est nous !, s’exclame-t-il. J’ai été en 2021 l’auteur de la loi Reen (Réduction de l’empreinte environnementale du numérique, ndlr),, et lorsque j’ai lancé ce travail, beaucoup m’ont dit qu’il allait être impossible de le mettre en place, puisque c’est l’Europe qui décide. Le texte est sorti, nous atteignons nos objectifs et l’Europe regarde aujourd’hui ce qu’a fait la France pour pouvoir étendre cette loi à d’autres pays.”

Health Data Hub : vers un statu quo ?

Autre sujet de discorde : le cas du Health Data Hub (HDH), qui, pour des raisons de souveraineté de la donnée, doit depuis plusieurs années migrer vers un nouveau cloud (opéré jusqu’à présent par Microsoft Azure), à minima européen. Or, l’article 10 BIS A, dans sa dernière version, propose une dérogation pour tous les projets déjà en cours. La question est des plus délicates pour les parlementaires, le gouvernement (Cédric O, puis Jean-Noël Barrot) s’étant clairement prononcé, tout comme le Conseil d’État en 2020, pour une migration du HDH. La députée Horizons tempère : “Je ne suis pas favorable à ce qu’il y ait beaucoup de dérogations. Je pense d’ailleurs que les sénateurs nous demanderont des précisions là-dessus.” Patrick Chaize confirme : “le Health Data Hub est un des points de discussion”.

L’avenir de la loi SREN

Si la date de la Commission mixte paritaire (CMP) – qui, statutairement, rassemble 7 députés et 7 sénateurs pour tomber d’accord sur une version définitive d’un texte – n’est pas encore fixée (elle était pressentie pour le 28 novembre mais les parlementaires pourraient se laisser plus de temps), les conclusions de celle-ci pourraient survenir d’ici mi-décembre, et la loi SREN devenir opérationnelle. C’est en tout cas ce que soutient la députée Anne Le Hénanff, qui sait que “le point de discussion le plus dur concernera l’article 10 BIS B” (celui qui concerne spécifiquement les données de santé). En cas d’échec de cette CMP, une nouvelle lecture serait organisée dans chaque chambre, puis le gouvernement peut donner le dernier mot à l’Assemblée qui peut, dans ce cas, reprendre le dernier texte voté par elle. “On marche sur des oeufs, mais ce serait un très mauvais signal sur le numérique que le gouvernement choisisse cette voie”, prévient le sénateur Patrick Chaize. Le député Renaissance Eric Bothorel, membre de la Commission spéciale chargée d’examiner le projet de loi SREN, se veut optimiste : “L’expérience que j’ai de la configuration actuelle de l’Assemblée nationale et du Sénat est qu’elle arrive très souvent à une CMP positive et je n’ai pas repéré d’élément irritant entre les deux chambres, qui soit d’une nature à la compromettre. Je suis donc assez confiant sur une CMP qui, si elle devait avoir lieu tout début décembre, permettrait d’aboutir à l’adoption d’un texte peut être avant la fin de l’année”.