Scrutin n° 1768 du 01/06/2023

Supprimer cet article.

Cet article 35 bis vise à obliger les Opérateurs d'Importance Vitale (OIV) et les Opérateurs de Service Essentiel (OSE) à héberger leurs données sensibles et les traitements associés chez des opérateurs d'informatique en nuage (cloud) ne pouvant pas être soumis aux juridictions non européennes à portée extraterritoriale. Bien que renforcer les garanties de protection des données sensibles et stratégiques des entreprises pour éviter leur captation par des puissances étrangères est une préoccupation légitime, que je soutiens, cette réponse proposée par cet article ne va pas dans le bon sens.

En effet, cet article opère une confusion entre les notions « d’activité » et de « données ». Les OIV et les OSE ont été désignées comme telles pour garantir la continuité d’activité des services essentiels de la Nation. Leurs activités sont donc « d’importance vitale » pour la Nation, dans le cas des OIV, et leurs services sont « essentielles » dans le cas des OSE, leurs données ne revêtent pas toutes de telles caractéristiques. En effet, les données des OIV et OSE ne présentent pas toutes un caractère « sensible » au regard des intérêt fondamentaux de la nation. De plus, la très grande majorité des données sensibles ou stratégiques de l'économie française ne sont pas portées ou traitées par le système d'information d'importance vitale d'un OIV ou son équivalent pour un OSE.

Ainsi, ce nouvel article pourrait n’avoir qu'un effet symbolique, mais également un effet contre-productif en donnant l'illusion que le sujet de la protection des données sensibles ou stratégiques des entreprises françaises est pris en charge par la réglementation, alors qu’en réalité, beaucoup reste à faire.