Amendement n° 75 · Article 17

Après l’alinéa 1, insérer l’alinéa suivant :

« Le prestataire et les consultants assurent l’hébergement de ces données ou le confient à un tiers. Dans les deux cas, cet hébergement doit être assuré par une entreprise qui répond à l’ensemble des règles de l’article 19.6 du référentiel d’exigences dit « SecNumCloud ». »

Le référentiel cité « SecNumCloud », élaboré par l'Agence nationale de la sécurité des systèmes d'information, vise à assurer des garanties de sécurité et de protection des données en conformité avec le droit européen. Le point précis cité porte sur la protection vis-à-vis du droit extra-européen. En effet, certains pays comme les Etats-Unis ont mis en place des législations permettant à leurs autorités d'accéder dans certains cas aux données stockées par des entreprises soumises à leur droit. Le but est ici de faire en sorte que les entreprises qui vont héberger les données échangées pour les besoins de la prestation soient établies dans l'Union européenne. Les critères retenus sont le siège statutaire, l'administration centrale et le principal établissement du tiers en question.

Ces dispositions prévoient aussi que le capital social et les droits de vote dans la société du prestataire ne doivent pas être, directement ou indirectement individuellement détenus à plus de 24% et collectivement détenus à plus de 39% par des entités tierces possédant leur siège statutaire, administration centrale ou principal établissement au sein d’un État non-membre de l’Union européenne.

Il est préférable de confier l’hébergement des données qui concernent l’administration à des entreprises françaises ou européennes afin d’éviter les risques d’ingérence et de permettre une coopération en toute confiance entre l’administration et les cabinets de conseil auxquels elle a recours.