rapport d'information fait au nom de la mission d'information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » — Contributions et auditions

un chiffre d’affaires de 4,5 milliards d’euros, cette entreprise française est l’un des chefs de file européens de la transformation numérique. Comme d’autres, elle a subi en 2020 une cyberattaque d’ampleur. Si nous sommes parvenus à la parer à temps, elle ne nous en a pas moins causé certains dommages. Je puis donc témoigner de la recrudescence de ce phénomène de cyberattaques à l’occasion de la crise sanitaire et de la crise économique qu’elle provoque.

La fédération Syntec que je préside, rassemble dans ses syndicats affiliés des entreprises spécialisées dans les domaines, non seulement du numérique, mais également de l’ingénierie, du conseil, de la formation professionnelle et de l’événementiel. Elle représente 80 000 entreprises, un million de salariés, 8 % du produit intérieur brut français.

Enfin, j’interviens en qualité de président du comité « souveraineté et sécurité économique des entreprises » du MEDEF. Au sein de l’organisation patronale, nous n’avons pas attendu le déclenchement de la pandémie pour nous mobiliser sur les enjeux de souveraineté économique au sens large. À notre sens, la souveraineté numérique en forme l’un des volets.

Dès 2019, M. Geoffroy Roux de Bézieux, président de l’organisation, a souhaité la création d’un comité lié à ces thématiques. Dans un contexte international marqué par la rivalité commerciale entre les États-Unis, la Chine et d’autres puissances, avec l’emploi de législations extraterritoriales, tel le clarifying lawful overseas use of data act, ou cloud act, loi fédérale des États-Unis adoptée en 2018, face aux transformations numériques et technologiques, devant les enjeux climatiques, il est apparu indispensable que les entreprises françaises s’emparent des questions de souveraineté, de renforcement de leurs actifs et de leurs données.

À nos yeux, la démarche ne revêt nulle intention protectionniste. Elle vise simplement à se garder de toute candeur. Le libéralisme auquel nous demeurons attachés ne saurait être synonyme de naïveté. Il nous apparaît urgent d’affirmer nos ambitions de souveraineté et de nous donner les moyens, juridiques et financiers, de la préserver sur tous les plans. La souveraineté concerne aussi bien le numérique que les aspects technologiques, industriels, monétaires, juridiques, énergétiques et sanitaires. Nous entendons que nos entreprises expriment leurs talents à travers les frontières par le jeu de règles équitables, qu’elles prennent toute leur place dans la compétition internationale. Nous articulons la souveraineté selon un triptyque : protéger, ne pas entraver, rester attractif.

Nous nous félicitons de constater que le terme de souveraineté n’est désormais plus un tabou. Nous nous réjouissons que la prise de conscience des enjeux de souveraineté dans ses différentes dimensions, dont le numérique, se développe en France et en Europe. Ces enjeux se retrouvent dans les plans de relance nationaux et de l’Union européenne. Ils apparaissent dans l’ambitieux agenda que porte M. Thierry Breton, le commissaire européen au marché intérieur. À l’évidence, la crise sanitaire a accéléré cette prise de conscience, en particulier sur le rôle clé que jouent le numérique et ses acteurs.

Qu’il s’agisse de protection des données des entreprises, de régulation des acteurs du marché, de facilitation du recours à des outils sécurisés et à des technologies d’avenir, le MEDEF préconise une approche offensive du renforcement de notre souveraineté numérique.

Celle-ci recouvre concomitamment les aspects régaliens, des intérêts économiques et des sujets de société.

Il en va de notre capacité à maîtriser notre destin. De ce point de vue, nous ne pouvons laisser les seuls États traiter la question de la souveraineté, notamment numérique. Il nous appartient de réduire nos dépendances, d’être plus autonomes, sans cependant verser dans

l’autarcie et sans nous couper des avancées techniques qui se développent au plan mondial et auxquelles nous entendons continuer d’avoir recours.

Il nous faut renforcer notre aptitude à affronter les crises, à « rebondir », à devenir plus « résilients », et nous donner les moyens d’une meilleure compétitivité sur les marchés internationaux. Nous refusons que nos entreprises dépendent uniquement des solutions d’un nombre excessivement restreint d’acteurs. La souveraineté vient soit de la maîtrise des techniques de pointe, soit de la diversité des sources d’approvisionnement.

En matière de souveraineté en général et de souveraineté numérique en particulier, nous recommandons une approche par cercles géographiques concentriques. Le ministère de l’économie, des finances et de la relance partage cette approche que nous lui avons soumise.

Le premier cercle inclut ce que nous devons impérativement maîtriser sur le territoire national en raison de l’importance des enjeux. Il s’agira par exemple des données les plus sensibles de certaines de nos administrations ou grandes entreprises.

Le deuxième cercle se rapporte au niveau européen et peut être soutenu par les initiatives européennes. À titre d’illustration, je citerai le projet Gaia-X dans le domaine du cloud computing, ou accès à des services informatiques via l’internet. Le MEDEF y adhère.

Le troisième cercle renvoie à ce qui autorise des partenariats internationaux extra-européens, en vue de répondre aux besoins de développement de nos entreprises que je qualifierai de « standards ». Je répète qu’il n’est pas question de nous couper des acteurs non européens qui détiennent des techniques importantes.

L’approche que je vous décris ne se matérialisera que si elle repose sur des partenariats public-privé plus étroits qu’ils ne le sont à présent. Ces partenariats ne se restreignent pas aux seules commandes publiques. Il m’importe que nous analysions comment des partenariats entre les secteurs public et privé ont progressé dans d’autres domaine que le numérique. Je pense à celui qui a cours aux États-Unis pour l’élaboration de vaccins contre le coronavirus.

Outre la commande publique, le succès de tels partenariats semble lié chez nous à la capacité à mettre en œuvre, fort en amont, des politiques d’investissement auprès d’acteurs privés, certes à l’échelle nationale, mais peut-être aussi, voire surtout, à celle de l’Union européenne. Avant qu’il ne soit trop tard, il revient à la puissance publique de prendre le risque de miser sur des solutions numériques nationales ou européennes. À l’extérieur de l’Europe, des gouvernements excellent en la matière. Imitons-les. De ces partenariats dépend l’émergence de compétiteurs français et européens auxquels il sera loisible de confier nos commandes publiques.

M. Christian Poyau complétera mes propos.

M. Christian Poyau, coprésident de la commission « mutations technologiques et impacts sociétaux » du MEDEF, président-directeur général de groupe Micropole. Je m’attacherai à la numérisation des entreprises.

Moi-même entrepreneur, j’ai fondé et dirige la société Micropole. Elle compte environ 1 200 salariés et, présente dans six pays, réalise à l’export 36 % de son chiffre d’affaires annuel de 115 millions d’euros. Je suis parmi vous au nom de la commission « mutations technologiques et impacts sociétaux » du MEDEF, à laquelle j’appartiens depuis plusieurs années. De fait, voilà cinq ans que le MEDEF a pris à bras-le-corps le sujet de la numérisation des entreprises.

Celle-ci s’avère un vecteur majeur de l’accélération de la productivité et de la compétitivité, ainsi que de la création d’emplois. Nous agissons donc résolument pour sa promotion.

Chacun le constate : la crise sanitaire a mis en avant l’utilité des outils numériques.

J’évoquerai quelques secteurs.

La télémédecine a connu une accélération de son développement évaluée à deux années. Entre les mois de mars et avril 2020, l’assurance-maladie a remboursé 5,5 millions de consultations effectuées à distance. Le système permet un service d’une qualité indéniable, plus rapide. Il contribue à désenclaver certains territoires, tout en restant moins onéreux pour la collectivité.

Le télétravail a concerné quelque 27 % des personnes en activité. Il a entraîné un changement des habitudes et des mentalités. Nous verrons comment il continuera d’exister.

Difficile à organiser, il requiert que nous l’adaptions aux attentes et besoins de nos collaborateurs.

Les sites d’achat en ligne avec un service de retrait des commandes en magasin, dit de click and collect, se sont par ailleurs multipliés.

Nonobstant des critiques qui concernent notamment ses conséquences sur l’environnement, le numérique emporte d’indéniables effets positifs sur la qualité de vie de nos collaborateurs et de nos concitoyens.

Dans son plan de relance, le Gouvernement prévoit un volet relatif à la numérisation des entreprises, pour un montant de 385 millions d’euros. Nous le jugeons clairement insuffisant et pour le moins limité en comparaison de l’investissement total que le plan représente.

Le volet se compose pour partie d’une sensibilisation à la numérisation. Mon expérience du terrain me permet d’affirmer que les entreprises sont d’ores et déjà parfaitement conscientes de la nécessité de leur numérisation.

Il comprend également un dispositif d’audit et d’accompagnement. Nous regrettons que celui-ci se polarise sur le secteur industriel. S’il s’avère utile d’aider les industries françaises à améliorer leur numérisation, il convient de n’en pas négliger pour autant le secteur des services.

J’ajoute que nos structures, dont le MEDEF Île-de-France, nous ont signalé que, faute de fonds disponibles, l’aide du plan de relance à l’investissement de transformation vers l’industrie du futur serait ramenée de 40 %, ainsi qu’initialement prévu, à 10 % du coût de l’investissement engagé. La surprise et l’inquiétude des entrepreneurs en sont vives.

L’annonce suscite l’interrogation de ceux qui avaient commencé à établir des prévisions sur le fondement du plan de relance.

Sur les aspects de cybersécurité, je conviendrai que toutes les entreprises se trouvent sous la menace d’attaques informatiques. Même si le respect de règles fondamentales de sécurité demeure essentiel, aucune parade ne permet de les en prémunir définitivement. Nous œuvrons plutôt à communiquer sur la réaction à adopter en cas d’attaque. Malheureusement, sous l’angle du droit, les moyens dévolus à la justice sur les questions qui tiennent au numérique, apparaissent dérisoires.

La dernière partie de mon intervention traitera des données, avant de conclure sur la commande publique.

La numérisation des entreprises, que j’évoquais à l’instant, a mis en avant le poids des plateformes en ligne. Elles sont le plus souvent d’origine extra-européenne. Il nous semble qu’une compétition commerciale équitable implique de disposer d’armes égales à celles de la concurrence.

Le combat n’est pas perdu. Les plateformes ne vivent que des données que nous leur confions. Gardons à l’esprit que l’Europe constitue le premier marché économique mondial des données informatiques. Or, sur notre continent, leur accès reste à ce jour ouvert sans aucune espèce de contrainte.

Par le jeu d’une action de souveraineté, sans agressivité, mais sans ingénuité non plus, une volonté ferme de protéger nos données nous permettra sans conteste de beaucoup progresser.

Déjà cité, le projet Gaia-X s’engage dans cette voie. Il vise l’interopérabilité et la portabilité des données. Je mentionnerai également les data hubs, ou centres de données. Des initiatives les concernent, par exemple dans le domaine de la santé. Il faut les y étendre à la partie industrielle, celles des données partagées entre professionnels, en « B to B » (business to business).

Lorsque nous évoquons les partenariats entre les secteurs public et privé, nous pensons notamment à l’entreprise américaine SpaceX. Celle-ci doit sa réussite au soutien que la national aeronautics and space administration (NASA) lui apporte par son financement. Dans cet exemple, un État oriente ses investissements vers un acteur privé, dont il autorise ainsi une dynamique forte. Amazon Web Services (AWS), acteur mondial de premier plan dans le domaine du cloud, a de même bénéficié, dans les années 2000, du levier d’un investissement de la defence advanced research projects agency (DARPA) de 500 millions de dollars.

Le secteur privé ne manque pas de dynamisme, d’inventivité, ni d’ambition. Il appartient à nos autorités de l’encourager par ses financements, le plus en amont possible de la commande publique. Notre plan de relance national ne considère pas assez le problème de la numérisation des entreprises, mais entretenons une attitude positive. Rien n’est encore perdu pour la France et l’Europe dans ce domaine. Par une coopération étroite de leurs institutions avec le secteur privé, elles disposent des moyens d’y faire entendre leur voix et d’en relever les défis.

Mme Florence Naillat, adjointe au délégué général du METI. Au nom du METI, je vous remercie pour votre invitation à nous exprimer devant votre mission d’information.

Le METI fédère et représente les entreprises de taille intermédiaire. La France dénombre 5 400 ETI, essentielles à l’ossature économique et sociale de ses régions. Pour les deux-tiers d’entre elles, les ETI disposent d’un siège social situé en dehors de l’Île-de-France.

Elles fournissent 25 % des emplois en général, 38 % de ceux de l’industrie manufacturière.

De 2009 à 2015, après la crise économique de 2008, cette catégorie d’entreprise a démontré sa capacité de résistance, avec la création nette de 335 000 postes, devenant pendant la période la principale pourvoyeuse d’emplois. Les ETI s’ouvrent particulièrement à la scène internationale. Ne constituant que 4 % des exportateurs, elles assurent 34 % des exportations nationales et pour les trois-quarts d’entre elles sont présentes en dehors de nos frontières.

En dépit de leurs atouts, la crise que nous traversons les affecte durement. Nous attendons encore les résultats consolidés de 2020. Toutefois, avec des disparités selon les secteurs d’activité, nous en estimons l’évolution moyenne du chiffre d’affaires en 2020 à une baisse de l’ordre de 8 %. Plus de la moitié a connu une dégradation de sa capacité d’investissement et de son ratio entre endettement et fonds propres. Plus de quatre sur dix d’entre elles ont dû consentir à une diminution de leur effectif au cours de l’année. Enfin, en 2020, une ETI sur dix a fait l’objet d’une tentative de rachat étrangère et, dans la même proportion, d’une tentative étrangère d’entrée dans son capital. Un risque assez élevé de prédation les touche actuellement.

Au regard du sujet qui nous occupe, ces éléments conjoncturels nous indiquent qu’afin de relever les défis de la transformation et de la souveraineté numériques, les ETI requièrent un environnement concurrentiel favorable. C’est pourquoi le METI plaide de longue date en faveur de mesures structurelles de compétitivité, à l’instar de celles que le plan de relance français intègre, au premier rang desquelles une baisse de la fiscalité applicable à l’activité productive.

M. Alain Conrad propose de vous dresser un état des lieux de la maturité numérique des ETI, à la lumière d’un baromètre que nous avons récemment publié.

M. Alain Conrard, président de la commission digitale du METI, directeur général de Prodware Group. Président de la commission digitale du METI, je dirige la société Prodware. Créée en 1989, celle-ci accompagne, au service de leur compétitivité, les entreprises dans la fourniture de leur système d’information. Depuis une dizaine d’année, nous nous positionnons toujours davantage sur les aspects de transformation numérique des entreprises qui nous accordent leur confiance. Prodware est présente dans quatorze pays. Elle enregistre un chiffre d’affaires de 190 millions d’euros, dont 60 % sont réalisés à l’international.

Nous possédons donc les résultats d’une étude que le METI a commandée à l’institut de sondages CSA en septembre 2020 sur la maturité numérique des ETI, en s’associant au cabinet Ernst & Young et associés (EY) et à la société d’investissement Apax Partners.

Certaines des informations qu’elle révèle nous paraissent mériter votre attention.

Il en ressort que la maturité numérique des ETI progresse. Deux ETI sur trois se sont activement engagées dans leur transformation numérique. La crise sanitaire en a à l’évidence accéléré le processus en modifiant l’organisation du travail à l’intérieur des entreprises. Dans 92 % des cas, les ETI ont, dans ces circonstances, accentué leur recours aux outils numériques, qu’il s’agisse par exemple de messageries instantanées, d’applications de visioconférence ou de transfert de fichiers informatiques. Nous relevons que 84 % des décideurs de ces entreprises s’estiment désormais en mesure d’affronter les conséquences de la crise que nous traversons.

L’étude rapporte également un investissement toujours plus massif des ETI dans le numérique. Leur investissement concerne essentiellement la modernisation des infrastructures, l’acquisition d’outils numériques collaboratifs, le déploiement d’outils d’amélioration de l’« expérience client », ceux de marketing numérique, de commerce en ligne et la cybersécurité. Pour 71 % d’entre eux, les dirigeants interrogés déclarent vouloir poursuivre leurs investissements dans les solutions numériques.

L’âge moyen d’une ETI est de 31 ans. Ces sociétés font montre d’un fort pragmatisme dans le choix de leurs priorités d’investissement. Elles calculent d’abord leur retour sur investissement. Ceux qu’elles opèrent de nos jours montrent sans ambages l’importance qu’elles accordent aux outils numériques.

La manière d’aborder la transformation numérique dans les entreprises revêt par ailleurs un caractère décisif. L’étude dévoile que 71 % des ETI estiment que leurs direction générale et direction des systèmes d’information (DSI) portent principalement la transformation numérique en leur sein.

En pratique, cette transformation se heurte à plusieurs obstacles : la résistance au changement, le défaut de vision partagée, des difficultés à intégrer les nouvelles compétences, la nécessité que les décideurs appréhendent les conséquences profondes de la transformation sur leur entreprise. Je pense ici à celles de l’intelligence artificielle, des mégadonnées (big data), ou de l’internet des objets (IoT), sur l’organisation et le modèle même des entreprises, leurs canaux et modes de production. Les ETI n’investissent pas encore assez dans ces sujets qui déterminent pourtant en partie leur performance future.

Il est vrai que la crise sanitaire intervient après une première période difficile pour elles, marquée par les effets de mouvements sociaux éprouvants, ceux des « gilets jaunes » et de grèves nationales. Ces épreuves successives n’améliorent guère leur capacité de financement.

En conclusion, il nous paraît essentiel que les ETI continuent d’accélérer leur transformation numérique. À mesure que celle-ci se concrétise, ses enjeux apparaissent avec plus de netteté, notamment en matière de sécurité et de souveraineté. La récente étude du courtier Bessé montre que 76 % des dirigeants d’ETI ont subi au moins une incidence cyber en 2019 et 2020. La question reste de savoir comment les aider au mieux dans le choix et la mise en œuvre de solutions appropriées.

M. Sylvain Rouri, directeur des ventes d’OVHcloud. J’exerce les fonctions de directeur exécutif chez OVHcloud. Installée dans le nord de la France, cette société occupe, avec 1,6 million de client, la première place parmi les acteurs européens du cloud. Elle compte plus de 2 400 employés répartis dans le monde. Elle réalise 60 % de son chiffre d’affaires à l’étranger.

Le METI porte toute son attention à la question de la souveraineté numérique. Il en retient une approche en deux temps, en distinguant entre souveraineté des données et souveraineté technologique.

La première doit permettre aux dirigeants d’entreprise de comprendre la portée précise de leurs choix en matière de stockage de leurs données, de mesurer l’exacte étendue de leur utilisation par l’acteur auquel ils s’associent. Ici, le METI promeut information et formation, afin que les décisions se prennent en toute connaissance de cause, en toute transparence et en pleine liberté.

Nous constatons que la donnée se déplace d’un continent à l’autre, sans que l’utilisateur du service en soit systématiquement averti, et pour des usages qui ne sont pas nécessairement ceux auxquels il a souscrit. Il s’avère urgent que les Européens reprennent le contrôle de leurs données. De notre point de vue, aucun compromis ne saurait grever la souveraineté de ces données.

La souveraineté technologique sous-tend l’idée d’une autosuffisance dans la maîtrise technologique. À ce jour, force est de constater qu’éloignée de la réalité, elle demeure un vœu pieux. À maints égards, nous dépendons de solutions étrangères. Dans ces conditions, nous n’incitons pas à un quelconque repli dans la recherche de solutions strictement souveraines.

Notre propos encourage au contraire à rester ouvert.

Nous mettons donc l’accent sur le premier aspect de la souveraineté numérique, celui de la souveraineté des données. Dans le processus de numérisation des entreprises, nous souhaitons qu’un nombre toujours croissant de dispositifs aident les entrepreneurs à comprendre pour mieux choisir. L’ANSSI y contribue par les certifications qu’elle met en place. Il importe désormais d’en ouvrir l’accès aux entreprises de la manière la plus large possible.

Ne perdons pas de vue que pour une entreprise, choisir une plateforme dédiée aux ressources humaines engage les données tant privées que professionnelles de ses collaborateurs, selon des principes qui peuvent relever d’une réglementation autre que nationale. Je doute que tous les entrepreneurs français en aient une claire conscience lorsqu’ils décident de recourir à telle ou telle plateforme. Conférer un label de confiance souverain aux plateformes et logiciels contribuerait à les éclairer dans leur choix.

Quant à la commande publique, elle semble des plus insuffisantes sous l’angle de la souveraineté de nos données. Elle n’insuffle pas le mouvement qui nous conduirait à en reprendre le contrôle de la valeur et des atouts qu’elles représentent. Je ne reviendrai pas sur la décision que des institutions publiques ont prise de recourir à des plateformes étrangères dans des domaines où, pourtant, l’information s’avère sensible. Je préfère évoquer la marge de progression qu’il nous reste à combler.

Je souscris pleinement à l’idée d’un partenariat entre le secteur public et le secteur privé, très en amont de la commande publique. Le travail de recensement, de labellisation, de certification doit ici permettre au secteur public de mieux connaître les acteurs en présence.

Nous constatons une méconnaissance totale des compétences et des savoir-faire des entreprises de la « tech » française. Elle en contrarie nombre d’initiatives et en provoque parfois le départ dans le sillage d’investisseurs étrangers.

Il importe que la commande publique gagne en importance et montre l’exemple.

En 2018, l’État a effectué un travail remarquable en segmentant en trois « cercles » l’approche du cloud et des offres qui le concernent. Cependant, à ce jour, seul s’est matérialisé le premier de ces cercles, qui vise à répondre à des besoins strictement régaliens d’infrastructures numériques. Poursuivons résolument cet effort. Les propositions ne manquent pas pour rapprocher et valoriser les savoir-faire français et européens au service d’une numérisation qui nous ménage la maîtrise de nos données et contribue au rayonnement de nos entreprises.

M. Alain Assouline, coprésident de la commission « innovation et économie numérique » de la CPME. Je préside la commission numérique de la CPME, ainsi que CINOV-Numérique, le syndicat des petites entreprises du numérique. Par ailleurs, je dirige le réseau des écoles WebForce3 que j’ai fondé. Il forme aux métiers du numérique dont nous avons besoin.

La CPME regroupe 1,5 million d’entreprises adhérentes, qui représentent trois millions de salariés.

L’éclosion de l’internet portait avec elle des promesses de liberté. L’outil était supposé lever barrières et frontières. Nous nous sommes cependant aperçus qu’un espace non réglementé emportait également la possibilité de maux considérables.

En Europe, dans les années 2000, la question de la souveraineté numérique s’est ainsi d’abord posée sous l’angle de la réglementation, en particulier à l’égard des données personnelles.

Assurer cette souveraineté se révèle aujourd’hui nécessaire à la bonne marche de l’économie européenne, à la liberté des individus et des entreprises. Il s’agit principalement de garantir la libre circulation des données dans une situation où le plus fort risque d’imposer ses vues.

Le numérique demeure un secteur complexe. Stimulant de prime abord l’innovation, il peut également produire des effets de réseaux préjudiciables à la fertilité de l’économie. Des acteurs s’ancrent dans des positions durables sur ce marché du numérique, à l’entrée duquel ils établissent des barrières. Nos petites entreprises, qui n’en peuvent guère discuter les conditions, en deviennent dépendantes.

Au sein de la CPME, nous pensons que PME et TPE assurent une fonction primordiale dans l’économie. Toutefois, pour assurer leur rôle, il leur faut jouir d’un environnement favorable à une concurrence loyale et à l’innovation. L’indépendance numérique vis-à-vis d’États tiers et d’entreprises dominantes devient un gage d’efficacité et de sécurité dans les activités qu’elles mènent. La souveraineté numérique prend pour elles d’autant plus de sens qu’elle rétablit une libre concurrence et des conditions d’innovation optimales.

Reconnaissons que nous nous tenons encore fort éloignés d’une souveraineté numérique française ou européenne. Quoique nous adoptions des mesures sur les questions de maîtrise de nos données et de régulation, les principales entreprises mondiales du secteur numérique, tant sur les aspects de matériel qu’en matière de logiciels, ne sont pas européennes.

Aucun opérateur européen ne figure parmi elles. Il en ressort une certaine dépendance à l’égard des entreprises américaines et asiatiques.

Les téléphones mobiles utilisent exclusivement les systèmes d’exploitation Android ou iOS. Les grandes plateformes numériques exercent une forme de monopole sur les marchés des moteurs de recherche. Il leur permet de contrôler le référencement des sites en ligne. Par les conditions commerciales qu’elles imposent, ces mêmes plateformes créent également la possibilité d’une dépendance à leurs services.

Les TPE et PME se révèlent particulièrement vulnérables à de telles pratiques, du fait du taux élevé de leur recours à des services en ligne. Selon la Commission européenne, ce taux atteint 42 % et s’avère majoritairement lié à l’utilisation des moteurs de recherche.

Comment les pouvoirs publics pourraient-ils promouvoir une souveraineté numérique française et européenne ? Outre l’attention à porter à la formation de nos chefs d’entreprise, nous pensons que la manière la plus efficace d’y parvenir consisterait à privilégier une réglementation favorable à l’émergence de nos propres grands acteurs du numérique. Ne nous avouons pas vaincus et, par l’organisation de réglementations adaptées aux entreprises, particulièrement aux PME, encourageons l’émergence de ces nouveaux acteurs.

De plus, nous estimons nécessaire de réglementer plus rigoureusement les plateformes actuelles. À l’évidence, si elles paraissent dans un premier temps proposer aux TPE et PME françaises des solutions séduisantes pour la promotion de leurs produits et de leur image commerciale, elles préjudicient ensuite à leur développement et représentent une forme d’impasse.

La CPME salue l’initiative de la Commission européenne qui a conduit à l’adoption de deux règlements, l’un sur les services numériques, l’autre sur les marchés numériques. Ils remettent en question les effets de réseaux, la position dominante et durable de certains acteurs. En s’attaquant au comportement de plateformes qui agissent en tant que « contrôleurs

d’accès » sur les marchés numériques, ces textes sont susceptibles de contribuer à l’amélioration de la capacité des TPE et PME à suivre le rythme de la transition numérique.

À notre avis, promouvoir la souveraineté numérique passe pour beaucoup par l’encouragement des entreprises à utiliser des outils européens et français. De cette manière, nous favoriserons l’émergence, sur notre continent, d’acteurs de premier plan du secteur numérique. Du moins, il importe que nous aidions, par nos financements, nos entreprises à se développer sans recourir systématiquement aux outils étrangers.

L’hébergement de nos données en Europe s’avère essentiel, afin d’assurer leur sécurité et notre entière liberté dans leur utilisation. À ce titre, pour se prémunir des dangers potentiels, il apparaît utile d’organiser des campagnes de sensibilisation et de formation au sein des entreprises sur la notion de souveraineté numérique.

PME-TPE, citoyens et pouvoirs publics doivent œuvrer de concert. Par-delà les mesures, nous jugeons primordial le comportement général des citoyens. Ils représentent la masse des utilisateurs et leurs choix pèsent sur les évolutions du marché. Si nous voulons y prendre une place, il nous revient de les convaincre. Pour l’obtenir, protéger ne suffit pas : il nous faut être les meilleurs.

Nous remarquons la propension de certains États à capter les données afin d’affermir leur puissance économique. À ce jour, plus de 90 % des données disponibles ont été produites au cours des deux dernières années. Le fort développement de l’économie des données a pour corollaire l’importance croissante des enjeux éthiques et sécuritaires.

Une place reste à prendre. Elle ne consiste sûrement pas à imiter Chinois et Américains.

L’Europe gagnera à s’inspirer de ses valeurs propres et à bâtir un modèle original.

En raison de son poids économique, de l’ordre de 8 % du produit intérieur brut français, la commande publique joue un rôle non négligeable. La question de la territorialisation de cette commande, avec la valorisation des savoir-faire locaux, partant la question de la place accordée aux PME, ne manque pas d’importance.

Les PME demeurent sous-représentées dans l’achat public. Selon l’observatoire économique de la commande publique (OECP), si elles ont été attributaires de 57 % des marchés conclus en 2017, les contrats qu’elles obtiennent ne représentent que 29 % du montant total de ces marchés. Or, comme le rappelait l’un des intervenants du MEDEF, elles constituent 95 % de notre tissu d’entreprises.

L’explication en tient aux limites de leur capacité financière, au problème des délais de paiement, à l’absence ou à l’insuffisance d’avances, enfin à la complexité des procédures d’appel d’offres, ainsi qu’aux délais parfois excessivement brefs de ces dernières. Récemment, les pouvoirs publics ont pris des mesures destinées à améliorer la situation des PME. Elles n’en connaissent pas moins un durcissement de leurs relations avec les établissements bancaires.

La CPME se prononce en faveur d’une relance massive de la commande publique sur des enjeux stratégiques. Le plan du Gouvernement pourrait y aider. Néanmoins, je partage l’analyse selon laquelle il consacre une part trop restreinte à la transformation numérique, notamment pour ce qui a trait aux PME.

Une telle relance suppose une politique publique effective qui permette aux acheteurs de mieux orienter leurs choix, en tenant certes compte de critères techniques, mais aussi de

critères de qualité sociale ou environnementale, avec la préférence pour des circuits courts.

Des dispositifs existent, par exemple celui du label « relations fournisseurs et achats responsables ». Ils paraissent cependant mal connus des acheteurs publics, qui les mettent peu en application.

Le soutien de la puissance publique concerne également la numérisation des entreprises. Nous avons eu l’occasion de lui signaler que le montant d’environ 300 millions d’euros qu’elle lui alloue se révèle notoirement insuffisant. En partenaires loyaux, nous avons néanmoins réfléchi à la manière de l’employer au mieux.

Nous ne concevons nullement la sensibilisation aux enjeux numériques comme une injonction à la transformation numérique. Parties prenantes des formations-actions qui s’élaborent, nous croyons plutôt à la nécessité de poser pour point de départ les problématiques et besoins des entreprises, afin que le numérique leur apparaisse comme une solution.

En Europe, loin du rang économique qui lui revient, la France n’occupe que la seizième place s’agissant de la transformation numérique des TPE-PME. La CPME a engagé un tour de France, afin de se rapprocher des territoires et d’accompagner au plus près les petites entreprises qui les animent. De fait, ce n’est le plus souvent pas dans les principales métropoles que la transformation numérique s’avère lacunaire.

Ces petites entreprises peinent à définir leur voie parmi la multiplicité des solutions qui s’offrent désormais à elles. La plateforme France Num témoigne du nombre et de la diversité des aides existantes. Nous défendons de longue date l’idée d’un guichet unique à destination des chefs d’entreprise. Ils y trouveraient un point d’accès à l’ensemble des informations qui les intéressent sur les accompagnements dont ils peuvent bénéficier.

En ce sens, nous nous inspirerions opportunément de l’exemple allemand, celui d’un programme national d’envergure, le Kompetenzzentrum Digitales Handwerk. Il propose un éventail complet de services dédiés à la transformation numérique des artisans et des TPE. Il s’adresse aux PME afin de les accompagner dans la voie de la numérisation, en mettant en exergue le potentiel technique et économique que celle-ci renferme pour elles. Il démontre son efficacité.

Pour notre part, le tour de France que nous avons entrepris entend de même montrer aux entreprises le bénéfice concret qu’elles tireraient de leur numérisation. En la matière, tout accompagnement n’obtiendra de succès que s’il pourvoit à leur fourniture en outils immédiatement utiles et mobilisables. En tant que telle, la sensibilisation ne suffit pas. À partir des problématiques qui se posent, il faut sans délai l’assortir de solutions concrètes.

La crise sanitaire de 2020 a, pour nombre d’entreprises, marqué le début de leur transformation numérique. Devant notamment recourir à des solutions de type click and collect, elles s’y sont parfois engagées dans un certain désordre et sans réelle méthode. Par effet de symétrie, les cyberattaques ont cru de 400 % pendant la période. Les formations-actions se destinent à aider nos entreprises à mieux conduire leur transformation numérique.

Les enjeux de cybersécurité y occupent une place prépondérante, tant ils nous semblent une composante essentielle, non seulement de la souveraineté, mais également de la confiance que les entrepreneurs mettent dans le processus et, par suite, l’une des clés de sa réussite.

Vous nous aviez par ailleurs interrogés sur des aspects de concurrence et de fiscalité numériques. À l’évidence, la réflexion sur la souveraineté numérique ne saurait les omettre. Il paraît difficilement acceptable que des géants du numérique qui tendent à écraser la

concurrence, échappent dans une large mesure à leurs obligations fiscales. Nous plaidons en faveur de la transparence de leurs activités et des profits qu’ils en retirent sur notre territoire.

Étant donné le retard que les PME et TPE françaises ont pris dans la réalisation de leur transformation numérique, il conviendrait de dédier à cette transformation un budget spécifique, géré par un organe unique, par exemple l’agence du numérique rattachée au ministère de l’économie, des finances et de la relance. Il a été proposé de flécher vers lui la totalité des recettes de la fiscalité des géants du numérique, les « GAFA » (Google, Apple, Facebook, Amazon).

M. Philippe Latombe, rapporteur. À l’occasion de la précédente table ronde de ce jour, des représentants d’entreprises du secteur de la cybersécurité ont préconisé une forme de certification ou de labellisation obligatoire à laquelle les acheteurs publics se référeraient.

D’une part, elle les assurerait de la robustesse des systèmes et des produits numériques qu’ils sont susceptibles d’acquérir. D’autre part, elle les acculturerait au recours à des solutions qui répondent aux normes et valeurs européennes. Elle suppose une nécessaire modification de la réglementation. En jugez-vous la proposition pertinente ? Vous paraît-elle induire une promesse d’efficacité ou, à l’inverse, présenter le risque d’une complexité accrue ?

M. Laurent Giovachini. L’ANSSI s’est déjà engagée dans une démarche de labellisation. Son directeur général a dû vous l’indiquer.

M. Philippe Latombe, rapporteur. Les intervenants qui vous ont précédés entendaient renforcer encore l’approche de certification qui prévaut actuellement.

M. Laurent Giovachini. Il est en effet envisageable d’aller plus avant, mais il conviendrait d’abord de bien exploiter les labels existants. Je pense par exemple à ceux des prestataires de détection d’incidents de sécurité (PDIS) ou de prestataires de réponse aux incidents de sécurité (PRIS). Ils donnent l’occasion de mettre en valeur des acteurs de confiance, pour l’essentiel français, notamment en raison de la réponse qu’ils apportent aux cyberattaques ou des audits de sécurité qu’ils mènent à titre préventif.

La cybersécurité forme la première brique de l’assise de la souveraineté numérique.

C’est vraisemblablement dans ce domaine que nous sommes les moins démunis. À l’œuvre, la démarche de labellisation y porte ses fruits. Sans doute les enjeux de souveraineté numérique se posent-ils avec davantage d’acuité au-delà de ce socle de la cybersécurité.

L’un de nos interlocuteurs a proposé de distinguer entre souveraineté des données et souveraineté technologique. La distinction qu’il opère me convient. Néanmoins, quoique le premier type de souveraineté revête un caractère essentiel et dépasse les seuls aspects de cybersécurité, je ne crois pas que des acteurs français et européens aient perdu toute chance de s’imposer en matière de technologie et de souveraineté technologique.

Évidemment, en Europe, nous ne possédons ni GAFA ni BATX (Baidu, Alibaba, Tencent, Xiaomi). Pourtant, notre écosystème de startups, d’entreprises de services numériques telles que Capgemini, Atos, Sopra Steria, d’éditeurs de logiciels comme Dassault Systèmes ou l’allemand SAP, d’hébergeurs à l’instar d’OVHcloud, de sociétés stratégiques particulièrement concernées par le numérique, par exemple Thales, porte les germes de champions susceptibles d’aider les États européens, non seulement à répondre au problème des cyberattaques et à préserver la souveraineté de leurs données, mais aussi à assurer une forme de souveraineté technologique dans le domaine numérique.

À l’échelon européen, nous sommes parvenus, quelques années en arrière, à réagir contre l’omniprésence du système américain de géopositionnement par satellites, le GPS.

Fondé sur l’excellence spatiale française et européenne, le programme Galileo permet progressivement de n’en plus dépendre totalement.

Dans le domaine numérique, nous évoquions l’initiative Gaia-X. Citons celle que la Commission européenne vient de lancer en ce mois de janvier 2021, dénommée Hexa-X. Elle consiste en un projet de recherche dans le domaine des réseaux sans fil 6G, en partenariat avec l’entreprise finlandaise Nokia.

Au commencement de la téléphonie mobile, au début des années 1990, Français et Européens étions, avec la norme GSM, les premiers mondiaux. Nous avons ensuite, petit à petit, perdu notre avance. Nous voyons ce qu’il en est de nos jours avec la cinquième génération (5G) de standards pour la téléphonie mobile. En prenant le risque d’investir, l’Europe s’efforce désormais d’être présente, en 2030, au rendez-vous de la 6G.

Labelliser dans le domaine de la cybersécurité reste positif. Pourtant, il ne s’agit que d’une première étape. Elle est certes essentielle puisque les risques de cyberattaques s’amplifient à mesure que la société se numérise. Plus avant de la question de la protection et, surtout, de l’hébergement des données, ne nous estimons pas vaincus sur le plan de la souveraineté technologique.

Si personne ne niera qu’il nous faut continuer d’accéder aux technologies qui se développent en dehors de notre continent, ne nous interdisons pas de susciter l’émergence de nos propres protagonistes. Notre tissu industriel et de services nous autorise à fonder quelque espoir dans le succès de l’entreprise, au moins dans le domaine du B to B, le numérique pour l’industrie. Il est vrai que les plateformes chinoises et américaines paraissent pour l’heure solidement implantées dans celui de la relation entre professionnels et particuliers, ou « B to C » (business to consumer). Je demeure optimiste devant les initiatives françaises et européennes. Nous disposons des moyens de remonter la pente et la partie n’est pas perdue d’avance.

M. Alain Assouline. Je partage cet avis. Dans le secteur du numérique, les positions des uns et des autres évoluent dans des délais extrêmement courts. Pour ce qui tient à l’usage même du numérique, l’Europe n’a pas pris de retard. Il est exact que nous comptons des acteurs de renom parmi les entreprises de services numériques (ESN, anciennement sociétés de services en ingénierie informatique, SSII) ou les éditeurs.

Pour autant, je veux attirer votre attention sur le risque qui consisterait à abandonner aux géants actuels, les GAFA, tout le secteur de la grande consommation. Précisément, étant le principal producteur de données, ce secteur pose le premier la problématique de notre souveraineté numérique.

À ce sujet, je ne sais dans l’immédiat suggérer de solution. Je considère néanmoins qu’il nous faut collectivement réfléchir à un modèle numérique alternatif qui prenne appui sur nos territoires et leurs valeurs, nos PME et notre agilité.

Je regrette le temps que nous avons perdu. En dépit des fleurons de notre industrie informatique, nous nous sommes laissé dépasser sur le terrain de la grande consommation et des usages du quotidien, ceux de la téléphonie mobile, des réseaux sociaux, des plateformes en ligne, des places de marché électroniques. Avec la crise sanitaire, nombre de nos commerçants, TPE et PME, ont entrepris leur transformation numérique. Bien souvent, ils

n’ont d’autre choix que ceux que leur proposent des acteurs étrangers, tels que Facebook et Amazon.

Ne pas nous imposer dans le registre de ces usages généralisés du quotidien rendrait vaine notre réaction sur les questions de souveraineté numérique. Montrons-nous offensifs également sur ce terrain.

M. Christian Poyau. Un acteur comme Amazon tire son avantage de la qualité des usages qui ont cours avec, en arrière-plan, le déploiement d’une chaîne logistique. Seule une volonté commune des acteurs européens d’investir massivement dans l’amélioration de l’expérience utilisateur, l’UX (user experience), contrebalancera les équilibres actuels du marché numérique grand public.

Notons au passage qu’en matière d’offre numérique dans le secteur de la distribution alimentaire, des acteurs comme Leclerc ou Auchan conservent en France une position de tête.

Je reviendrai un instant sur les aspects de certification. Nous y relevons dès à présent de nombreuses réalisations. Je doute qu’en ajouter améliorerait la situation qui nous occupe.

Il convient de ne pas oublier que toute nouvelle certification équivaut pour les PME à des contraintes, et à autant de barrières, supplémentaires. Concentrons-nous sur d’autres sujets.

Sur celui du plan de relance en particulier, notre organisation professionnelle propose un crédit d’impôt à la numérisation, ainsi qu’à la transition énergétique et environnementale.

Aidons les entreprises françaises à investir dans ces domaines. Pour l’heure, une rentabilité communément inférieure à celle de leurs concurrents les y entrave.

Par ailleurs, la transformation des entreprises tient à la conduite du changement et à la formation. Des investissements tant publics que privés doivent également s’y intéresser.

M. Sylvain Rouri. Il importe en effet que la certification ne devienne pas une contrainte additionnelle dans l’accès de nos entreprises aux marchés publics. Cependant, je prétends qu’il nous faut progresser, sinon dans la certification, du moins dans la qualification, et associer la souveraineté des données à la cybersécurité. Dans les dispositifs existants, la notion de souveraineté des données reste encore trop peu mise en avant.

Une tendance simpliste tend à affirmer que la partie est perdue sur le terrain de la donnée personnelle et que l’Europe doit désormais s’attacher à remporter celle de la donnée professionnelle. Pour notre part, nous pensons que la seconde prolonge essentiellement la première. C’est pourquoi nous invitons à notre tour à ne pas nous avouer vaincus. L’éclairage de la certification et de la qualification offre un moyen efficace de promouvoir l’exigence de souveraineté des données.

En outre, je partage l’idée selon laquelle un important effort d’accompagnement des PME-TPE demeure à réaliser prioritairement. Nombreuses en France, elles connaissent souvent mal les solutions qui leur permettront d’accomplir leur transformation numérique.

M. Alain Assouline. Il nous faut veiller à ne pas alourdir le poids des contraintes procédurales qui pèsent sur les entreprises. Souvent, la question de la sécurité a constitué un frein à l’innovation et à l’agilité. Or, je demeure convaincu qu’une prompte réactivité apporte la meilleure garantie de sécurité. Les forteresses ne résistent guère, particulièrement dans ce domaine.

Je soulignerai que le retard que nous enregistrons ne provient pas tant d’une insuffisance de l’investissement public. Il tient d’abord à la manière dont les projets ont été conduits. Ils n’ont pas assez pris en compte la question de la relation à l’utilisateur. À l’inverse, les GAFA assoient leur force sur une approche grand public. La nôtre privilégie trop la relation B to B, elle considère trop peu l’utilisateur final.

M. Alain Conrard. La transformation numérique implique certes de nouveaux usages dans l’entreprise ; elle les promeut surtout au niveau de l’individu. À la vérité, elle touche dans leur quotidien toutes les strates de la société.

À la suite de MM. Poyau et Rouri, je reconnais que nous devrions peut-être raisonner plus selon une logique de sensibilisation et d’acculturation. Obtenir que chaque individu prenne mieux en compte la nécessité de la transformation numérique favorisera ensuite la conduite de cette transformation au niveau entrepreneurial. Il me semble qu’orienter d’emblée et uniquement nos efforts à l’endroit des entreprises constituerait une erreur.

Nous le constatons à l’heure de procéder à une campagne de vaccination de grande ampleur. Nos autorités se trouvent dans l’obligation de doubler les plateformes d’inscription en ligne de traditionnels centres d’appels téléphoniques. Considérons donc les changements qui s’opèrent à l’aune de la population européenne dans son ensemble.

M. Laurent Giovachini. Ne nous accablons tout de même pas. En France, nous constatons que de nombreux services en ligne de nos administrations fonctionnent parfaitement bien. À titre d’exemple, dans le domaine des impôts, l’interface proposée, de conception purement nationale, s’avère particulièrement efficace à l’égard de toutes les catégories de citoyens. Sans doute, en matière de vaccin, l’absence d’anticipation joue-t-elle défavorablement et le ministère de la santé ne se révèle peut-être pas la plus en pointe de nos institutions sur les sujets qui nous intéressent.

M. Alain Assouline. Pour autant, l’État recrute 4 000 conseillers numériques, afin d’accompagner la population française dans l’utilisation de ses services en ligne.

M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur un dernier point.

La France compte à ce jour un secrétariat d’État, mais pas de ministère de plein exercice, dédié au numérique. Nous relevons l’absence de véritable transversalité sur les questions qui relèvent de ce domaine. La précédente table ronde nous a appris que la direction interministérielle du numérique (DINUM) n’a nullement centralisé les demandes au moment où il a fallu répondre aux conséquences de la crise sanitaire sur les modalités d’organisation du travail et pourvoir nos fonctionnaires de réseaux privés virtuels (virtual private networks, VPN).

Les intervenants de cette première table ronde ont prôné un ministère du numérique à part entière. Respectant les spécificités de chaque secteur ministériel, il n’en effectuerait pas moins un travail transversal sur les enjeux du numérique. Que pensez-vous de cette proposition ?

M. Sylvain Rouri. Mon observation personnelle confirme, dans la situation d’urgence que nous avons vécue, une forme inquiétante de désorganisation, avec la sollicitation ministère par ministère des entreprises du numérique. L’absence de préparation, de schéma directeur et de coordination était flagrante. Notre discussion sur l’intrication des enjeux du numérique entre monde professionnel et grand public, entre entreprises, particuliers et citoyens, sur le fait qu’ils pénètrent tous les niveaux de la société, montre le sens qu’il y aurait à les embrasser de façon transversale, avec un ministère qui se consacrerait à ce travail.

J’ajoute que, dans la résolution des problèmes qui se posent, les organisations, les procédures et les outils ne constituent que des moyens. Il importe qu’en aval, la gouvernance et l’exécution suivent.

Lors du déclenchement de la crise sanitaire, l’une des principales faiblesses dans la réaction numérique a tenu à l’absence de gouvernance. L’écart s’est révélé trop important entre les annonces et directives du Gouvernement d’une part, leur appropriation et mise en œuvre d’autre part.

Installer un nouveau ministère ne prendra de sens que pour autant qu’il dispose véritablement des moyens d’agir. Il risque de se heurter au repli d’institutions qui se sont efforcés d’engager, chacune de son côté, leur propre transformation numérique. À ce jour, cette dispersion de l’effort national explique le peu de consistance de la commande publique et une certaine tendance à recourir à des solutions étrangères qui présentent l’avantage de la facilité.

M. Alain Assouline. Lors de sa mise en place au début du mandat de l’actuel Président de la République, le secrétariat d’État chargé du numérique a été rattaché au Premier ministre, sans disposer d’administration spécifique. Depuis, il est revenu dans le périmètre du ministère de l’économie, des finances et de la relance. Ses compétences y sont disputées. Il ne traite par exemple pas de la transformation numérique des TPE-PME. Le ministre délégué aux petites et moyennes entreprises s’en charge.

La CPME soutient la création d’un ministère de plein exercice, qui dispose de moyens réels, avec une administration dédiée, afin de conduire une action transversale sur les sujets inhérents au numérique.

M. Christian Poyau. J’aimerais saluer le travail de terrain, particulièrement concret, que conduit M. Cédric O, l’actuel secrétaire d’État chargé de la transition numérique et des communications électroniques.

Certes, au sein de nos institutions, il demeure possible de parfaire l’organisation du pilotage des questions numériques, mais la remarque vaut aussi pour toutes les entreprises de quelque envergure. Dans ces dernières, nous remarquons une même hésitation quant à l’attribution de ce pilotage à l’une des directions qui les structurent. Le numérique y revient-il à la direction financière, à la direction opérationnelle, à celle du marketing, ou encore à celle en charge des systèmes d’information ?

Cependant, l’attitude des responsables politiques en poste me surprend. Bien qu’ils s’avèrent, au plus haut niveau de l’État, parfaitement conscients des enjeux du numérique, et qu’au surplus ils l’affichent dans leurs discours, ils ne donnent à ces enjeux qu’une médiocre traduction dans les textes.

M. Philippe Latombe, rapporteur. Souhaitez-vous évoquer d’autres aspects du sujet qui nous rassemble ?

M. Sylvain Rouri. Je rappellerai l’importance de soutenir les startups. Elles quittent en nombre trop élevé notre territoire. La raison en tient au fait que les géants américains et chinois du numérique leur accordent des bons d’utilisation gratuits (vouchers) des infrastructures de leurs plateformes, ce qui les enferme techniquement. Elles ne parviennent ensuite que difficilement à s’affranchir de ces infrastructures et à s’émanciper.

M. Alain Assouline. J’ajouterai une brève observation au sujet de la formation de nos talents aux métiers du numérique. Une compétition mondiale s’est engagée. Notre capacité à former de nouveaux et nombreux talents dans les différents domaines du numérique jouera vraisemblablement un rôle fondamental dans la promotion de notre souveraineté numérique.

M. Laurent Giovachini. À condition, toutefois, que ces talents que nous formons dans nos écoles et universités rejoignent effectivement les entreprises françaises et européennes.

Tel n’est pas toujours le cas. Nous formons sans doute plus de talents que nous n’en employons. Des filières du numérique connaissent des situations de pénurie de compétences.

Si elles veulent les attirer et retenir, nos entreprises doivent demeurer attractives. Nous nous confrontons à une situation que nous avons rencontrée quelques décennies en arrière dans le secteur financier, quand nos diplômés choisissaient volontiers de partir pour des banques étrangères.

M. Alain Assouline. Vous avez raison. Il ne suffit pas de former nos talents. Encore faut-il nous donner les moyens de les garder.

M. Christian Poyau. Soulignons de plus combien le développement des outils numériques dépend de la qualité de nos infrastructures. Je pense en particulier aux réseaux de télécommunication, à la fibre et à la 5G. Nous devons continuer à avancer sur ces sujets et je regrette certains débats actuels, notamment au sein de collectivités territoriales, qui visent à réfréner notre marche.

M. Alain Conrard. En dernier lieu, j’appuierai sur ce que nous manquons cruellement de formations et d’actions d’information auprès des publics les plus jeunes, spécialement ceux des collèges et lycées, sur les enjeux majeurs dont nous avons traité. Au sens large du terme, l’innovation gagnerait à intégrer les programmes de l’enseignement secondaire.

M. Philippe Latombe, rapporteur. Vous n’êtes pas les seuls à avoir soulevé la question de la formation. Elle concerne notre système éducatif dans son ensemble, de l’école à l’enseignement supérieur et à l’alternance. Elle conduit à nous interroger sur la manière de conserver ensuite nos talents. La mission d’information sera vraisemblablement amenée à l’approfondir dans la suite de ses travaux.

Je vous remercie pour le temps que vous nous avez consacré.

Audition de M. Edward Jossa, président de l’Union des groupements d’achats publics (UGAP) et de Mme Pierrette Vidal, directrice commerciale secteur public,et M. Michel Ferrand, directeur avant-vente de Specialist Computer Company France (SCC France)

(21 janvier 2021)

Présidence de M. Philippe Latombe, Rapporteur.

M. Philippe Latombe, rapporteur. Bonjour à tous. Notre mission d’information poursuit ses travaux avec deux auditions consacrées à la souveraineté numérique et à la commande publique. Nous auditionnons l’Union des groupements d’achats publics (UGAP) et Specialist Computer Company France (SCC France), un acteur privé spécialiste de la transformation digitale des organisations et fournisseur de l’UGAP.

Notre objectif est d’échanger avec vous sur la façon dont la commande publique peut être mise au service de la transformation numérique de nos administrations et de la construction d’une forme de souveraineté numérique nationale ou européenne.

Nous recevons aujourd’hui M. Edward Jossa, président-directeur général de l’UGAP, Mme Pierrette Vidal, directrice commerciale secteur public, et M. Michel Ferrand, directeur avant-vente, au sein de SCC France.

J’aimerais d’abord que vous nous indiquiez ce que recouvre, selon vous, la notion de souveraineté numérique. Ce concept fait l’objet d’une attention croissante de la part des pouvoirs publics, notamment depuis la crise sanitaire. Nous avons, au cours de nos auditions, eu l’occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. Je suis intéressé par le regard que vous portez sur ce concept et la façon dont il peut, selon vous, se traduire concrètement au sein de l’action publique.

En second lieu, je souhaiterais échanger avec vous sur le contenu de la commande publique française et ses liens avec la promotion de notre souveraineté numérique. J’aimerais notamment savoir si les acteurs publics privilégient ou non, lorsque cela est possible, l’acquisition de matériels, de logiciels, de services numériques français ou européens. Je suis intéressé à connaître sur ce point votre analyse des forces et faiblesses de l’offre numérique française et européenne, et la façon de remédier à nos éventuelles carences.

Enfin, j’aimerais vous interroger sur la transformation numérique des acteurs publics.

L’UGAP et SCC France participent à ce processus d’ampleur, en fournissant du matériel, des logiciels et des services numériques aux administrations. Je souhaiterais que vous nous indiquiez quelles sont les pratiques et les attentes des acteurs publics dans ce domaine, mais aussi le cas échéant, leurs difficultés. Cette question fait le lien avec le sujet de la cybersécurité, et le besoin de développer au sein de la sphère publique une véritable culture de la sécurité numérique.

Je vous cède maintenant la parole pour un propos liminaire d’environ dix minutes chacun, puis nous engagerons le dialogue sur la base des éléments que vous nous aurez apportés.

Mme Pierrette Vidal, directrice commerciale secteur public, Specialist Computer Company (SCC) France. Fondé en 1975 par Sir Peter Rigby, SCC est une entreprise familiale, aujourd’hui devenue le premier groupe privé européen. Le groupe SCC est classé

sixième du top 10 des entreprises de services du numérique (ESN) en 2020. En Europe, nous intervenons en Angleterre, en France, en Espagne et en Roumanie et réunissons environ 5 000 collaborateurs. Nous avons réalisé l’année dernière un chiffre d’affaires de 2,7 milliards d’euros. En France, notre chiffre d’affaire s’élevait à 1,7 milliard d’euros l’année dernière – le secteur public représentant plus de 55% de ce montant. Nous employons plus de 3 000 collaborateurs en France. Notre présence en France s’étend sur tout le territoire national par 23 agences commerciales, 55 points techniques, un solution-center, quatre centres de services et un grand centre logistique situé à Lieusaint pour tout ce qui a trait au stockage et à l’intégration des matériels déployés.

SCC est un intégrateur de solutions technologiques. Nous accompagnons tous nos clients – privés, publics ou entreprises de taille intermédiaire (ETI) – dans leur transformation numérique. Nos offres associent solutions technologiques et services associés. Nous intervenons dans différents domaines, au premier rang desquels la modernisation des infrastructures et l’évolution vers le cloud (privé, public ou hybride) de façon sécurisée, prenant en compte le développement des usages et l’expérience des utilisateurs.

Nous intervenons tout au long du cycle de vie d’un projet, à commencer par le conseil, puis la mise en œuvre, le stockage, le déploiement, l’aide aux utilisateurs (services desk et proximité). Nous gérons également la fin de vie de tous nos produits à travers une filiale spécialisée. Tout ceci est encapsulé avec des offres de financement pour nos clients, si besoin.

Pour que nos clients puissent disposer d’une visibilité globale de leurs projets, nous avons mis en place une suite outillée permettant le suivi et l’analyse.

Je vous présenterai les réalisations de 2020 et l’actualité 2021 de SCC. Nous avons connu un franc succès en matière d’accompagnement de services. Tous nos investissements ont été réalisés pour accompagner nos clients français et européens sur des centres de production français. Pour preuve, la réussite de notre centre de services Recyclea : il s’agit d’une entreprise adaptée spécialisée dans la fin de vie des équipements. Nous y employons aujourd’hui plus de 70% de personnes en situation de handicap, à Montluçon. Nous continuons également le développement d’Altimance, un centre de services aux utilisateurs ouvert en 2016. Situé à Valenciennes, il emploie plus de 300 collaborateurs, pour la plupart des jeunes diplômés et des jeunes en réinsertion sociale. Il nous a valu le prix Choose France pour la cohésion et la solidarité.

En 2021, SCC ouvrira un nouveau centre de services à Montluçon, Altimancea. Nous continuerons nos développements, à savoir : la recherche de partenaires innovants dans les domaines du cloud, de l’hybridation, de l’internet des objets (IdO ou IOT), ainsi que la modernisation de nos propres infrastructures et l’obtention de la certification ISO 27001 pour notre direction des systèmes d’information (DSI), qui constitue le pilier de la transformation numérique de nos activités.

M. Edward Jossa, président-directeur général de l’Union des groupements d’achats publics (UGAP). L’UGAP est une centrale d’achat au sens du droit communautaire et national. L’UGAP est responsable de la publication des appels d’offres, et, par conséquent, les clients publics de l’UGAP sont dispensés de mener ces procédures. Ce modèle, qui se généralise, vaut pour l’UGAP comme pour toutes les grandes centrales d’achats européennes.

Il se caractérise avant tout par la dispense de procédures dont bénéficient les administrations qui ont recours aux services de l’UGAP.

La deuxième caractéristique principale de l’UGAP est qu’elle constitue une centrale d’achat généraliste. Elle est ainsi la principale centrale d’achat public généraliste en France.

Nous intervenons dans absolument tous les domaines, sauf : le militaire, qui est régi par une

réglementation particulière, le bâtiment et les travaux publics, qui sont eux aussi soumis à des règles particulières liées à la relation avec la maîtrise d’ouvrage, l’alimentaire pour des raisons historiques, et enfin le médicament, car la commercialisation du médicament est soumise à une législation spécifique. L’UGAP intervient ainsi actuellement dans l’achat des tests antigéniques mais non des vaccins.

Dans toutes ses activités, l’UGAP travaille avec 700 fournisseurs de premier rang. En vérité, la notion de fournisseurs de premier rang ne correspond pas à la réalité de l’activité, car les fournisseurs de second rang sont bien plus nombreux.

La clientèle de l’UGAP se compose de 22 000 entités. Parmi elles comptent l’État, les collectivités territoriales et les collectivités hospitalières. L’UGAP traite en réalité avec l’ensemble des entités soumises à l’application du code de la commande publique en France.

Ce champ d’application peut également inclure des structures privées, si celles-ci sont majoritairement subventionnées ou si elles interviennent sur des missions de service public.

Le champ d’intervention de l’UGAP est ainsi exactement le champ d’application du code de la commande publique. Aujourd’hui, 43% des ventes concernent l’État et les établissements publics, 31% les collectivités territoriales et 26% les autres entités (principalement le secteur hospitalier).

La troisième caractéristique principale de l’UGAP est qu’elle intervient en mode grossiste. Cela la distingue de la quasi-totalité des centrales d’achats en France et en Europe.

Dans la plupart des cas, les centrales d’achats regroupent des acheteurs face à un marché collectif, obtiennent ainsi une meilleure performance économique, puis chaque acteur mobilise le marché. Le modèle de l’UGAP est différent : juridiquement, l’UGAP achète aux fournisseurs puis revend. Elle porte donc totalement l’action de l’achat et de la revente. Pour une centrale d’achat, cela s’appelle intervenir en mode grossiste.

La quatrième caractéristique de l’UGAP, qui est étroitement liée au fait qu’elle travaille en mode grossiste, est qu’elle intervient – c’est là encore une particularité de la France – sous la forme d’un établissement public industriel et commercial (EPIC). Puisque l’UGAP achète et revend, elle peut se financer par la constitution d’une marge. Le choix de la France, opéré dans les années 1960, a été de privilégier le mode grossiste. Historiquement, l’UGAP était une structure d’approvisionnement et de vente aux écoles, qui relèvent de la compétence communale. Ce modèle d’achat et de revente a pour conséquence que l’EPIC ne reçoit pas de subvention de l’État et porte la responsabilité de ses marchés. La structure doit donc gérer ses marchés de manière à obtenir des ressources à l’équilibre. L’établissement est d’ailleurs soumis à l’impôt sur les sociétés et génère un bénéfice, qui revient à l’État puisque l’établissement est à 100% public. La structure est donc un réel EPIC, bien qu’elle intervienne sur des matières proprement régaliennes.

La stratégie de l’établissement se fonde sur trois éléments. Tout d’abord, une évolution maîtrisée de l’offre : nous ne pouvons pas intervenir dans tous les domaines, et nous devons choisir les sujets prioritaires pour les entités qui font appel à l’UGAP. Cela est d’autant plus vrai que, sauf en cas d’instruction ministérielle, la règle est que les clients publics ont le choix de recourir ou non à l’UGAP. Cet élément est fondamental. L’UGAP doit donc acheter les produits qui se vendent. Cela est très important. L’UGAP est responsable économiquement de la performance de ses achats.

La valeur ajoutée du modèle de l’UGAP se situe dans l’exécution : le modèle de l’exécution a le mérite de rendre des services accrus à la fois aux fournisseurs et aux clients.

Aux fournisseurs, car en vendant à l’UGAP, les fournisseurs sont en rapport avec un seul point de vente, et non avec la multitude des interlocuteurs du secteur public ; cela facilite

énormément la relation commerciale ainsi que la facturation. L’UGAP met d’ailleurs un point d’honneur à payer à date, à 30 jours, ce qui constitue une sécurité et une garantie de trésorerie très appréciables pour les entreprises – et peut-être d’autant plus pour les PME avec lesquelles nous travaillons directement. Cela nous a permis de jouer un rôle très positif pendant la crise :

nous avons versé 100 millions d’euros de paiements anticipés aux entreprises et avons donc représenté un soutien aux entreprises pendant cette période très difficile.

Voilà les éléments principaux de présentation de l’UGAP. Souhaitez-vous que je poursuive mon propos par l’analyse des enjeux propres à la souveraineté numérique ?

M. Philippe Latombe, rapporteur. Absolument, cela me paraît logique.

M. Edward Jossa. S’agissant de la définition de la souveraineté numérique, d’autres personnes sont bien plus compétentes que moi pour s’exprimer à ce sujet. Il me semble qu’il existe, dans la souveraineté numérique, certains sujets indissociables de la souveraineté économique générale, et des sujets plus spécifiques au numérique.

Les enjeux indissociables de la souveraineté économique générale sont la nationalité des entreprises et la nationalité des produits. Ces deux éléments peuvent très bien ne pas correspondre. La nationalité des entreprises est un enjeu de pouvoir et un levier important.

Quand le potentiel rachat de Carrefour a été envisagé, nous avons bien vu à quel point la nationalité de l’entreprise constituait un enjeu de pouvoir. La nationalité des produits est quant à elle un enjeu purement économique. En tant que centrale d’achat, l’UGAP doit gérer des complexités propres à ce sujet : même si elle traite avec des entreprises étrangères, l’UGAP travaille toujours avec des filiales de droit français et implantées en France. Cela montre que la notion de nationalité économique n’est pas si simple que cela à cerner.

Les enjeux propres au numérique sont tout d’abord la localisation de la donnée et la maîtrise de la donnée. Cela recouvre deux catégories différentes de données.

Cela concerne tout d’abord les données produites lors de transactions entre une entreprise et des particuliers. Cela est le modèle des GAFA, qui disposent de données produites dans le cadre de la relation avec l’entreprise : lorsque vous achetez sur Amazon ou que vous surfez sur Facebook, par exemple. La donnée est donc propriété de l’entreprise. Le domaine de la protection des données personnelles est mobilisé pour répondre à ce sujet, c’est pourquoi le RGPD revêt une importance cruciale en la matière ; néanmoins, les réponses apportées à ce sujet se sont traduites concrètement par la multiplication des demandes de consentement adressées aux particuliers. Les particuliers les accordent de manière quasiment automatique désormais. Les vrais enjeux soulevés par ce sujet sont davantage la concurrence et la concentration de quantités de données considérables, qui constituent le propre du modèle adopté par les GAFA.

La deuxième catégorie de données recouvre les données à protéger et à conserver sur le territoire. Il s’agit des données de l’État ou des entreprises, liées à la sécurité par exemple, et qui transitent par des systèmes d’exploitation ou des serveurs qui sont sur le cloud. L’enjeu n’est donc pas la production de la donnée mais la protection de la donnée existante.

Il convient de bien distinguer ces deux enjeux, qui se traitent par des solutions différentes. Il me semble que la première catégorie de données peut être traitée par des solutions relevant du droit économique et du droit de la concurrence, afin d’éviter les concentrations et les abus de position dominante quand ceux-ci se font au profit d’acteurs extérieurs à la France. Le deuxième sujet se traite par des règles de protection, des solutions de souveraineté permettant notamment le cloud souverain.

Je ne pense pas néanmoins que les enjeux de souveraineté numérique se limitent à ces enjeux liés proprement à la donnée. Je rappellerai par exemple l’extraordinaire concentration des systèmes d’exploitation : en téléphonie mobile, elle repose sur Android ou Apple ; dans les ordinateurs, sur Windows ; nous constatons la même tendance archi-monopolistique dans les télécommunications, avec une concentration d’entreprises étrangères dans les solutions que nous utilisons. Nous communiquons aujourd’hui via Zoom. Cela témoigne des enjeux d’une concentration d’éléments absolument stratégiques dans le domaine des télécommunications.

Ce phénomène est accru par les fortes interactions existant entre les différents éléments dans le secteur informatique : entre le software et le hardware, ou entre les différents logiciels entre eux, par exemple. Cela questionne les interdépendances et la capacité à faire de manière autonome. Je pense donc que les enjeux généraux de la souveraineté numérique nécessitent une vision globale des interactions existantes entre tous ces sujets.

Je souhaiterais maintenant évoquer la manière dont ces enjeux s’articulent avec la commande publique, et montrer comment l’UGAP applique le code de la commande publique dans ce contexte très particulier. Pour comprendre plus concrètement notre sujet, j’évoquerai chacun des segments de l’informatique : les matériels, les logiciels, puis les prestations informatiques.

S’agissant des matériels au sens large, la France est quasi absente de la micro-informatique et des serveurs. Ce marché est aujourd’hui complètement dominé par HP, Lenovo et Dell. L’UGAP ne passe même plus de marchés directs de matériels, mais a recours à des distributeurs. En 2020, l’activité de l’UGAP représentait 734 millions d’euros sur ce segment, dont 500 millions d’euros étaient partagés entre les trois grands distributeurs avec lesquels l’UGAP travaille (SCC, Computer Center et Econocom). La pratique des grandes entreprises comme HP et Lenovo n’est pas de vendre en direct mais de vendre par des distributeurs. En la matière, le marché impose donc bien son modèle à la commande publique.

Seuls deux secteurs échappent à ce principe de passage obligé par des revendeurs : il s’agit des photocopies et télécopies, pour lesquels les grands acteurs répondent en direct (Toshiba pour les photocopieurs, Xerox pour les copieurs). Ils forment donc des marchés plus classiques du point de vue de la commande publique. Je citerai à ce sujet quelques exceptions d’entreprises françaises : la société Nomios intervient en matière de cybersécurité. Le marché spécifique conclu avec cette entreprise se justifie par le fait que leur produit est hybride et mêle matériel, logiciel et prestation intellectuelle. Elle constitue une exception à ce principe sur le segment des matériels.

S’agissant du segment des logiciels, la situation est encore plus compliquée. Certains logiciels, dont tout le monde a besoin, sont extrêmement concentrés et imposent leur loi au marché. Dans le même temps, il existe une foultitude de créateurs de logiciels, dont énormément d’entreprises françaises. La difficulté, au regard du code de la commande publique, est la comparabilité. Le code de la commande publique est destiné à faire respecter les règles de la concurrence, et la concurrence repose sur la comparabilité des produits. Or, le secteur des logiciels est extrêmement instable et la valeur des produits est extraordinairement difficile à déterminer. Qu’il s’agisse de grands ou de petits créateurs de logiciels, les prix des produits sont fixés de manière tout à fait arbitraire selon les clients, selon les quantités achetées ou selon l’articulation du logiciel avec les services associés. Tous ces éléments forment donc un marché très difficile à cerner. Le modèle économique a conduit à une claire prédominance des distributeurs, qui constituent quasiment la seule solution pour acheter un logiciel. L’UGAP a conclu deux marchés spécifiques pour des logiciels indispensables, dont le modèle de vente ne passe que par des revendeurs : il s’agit d’Oracle et du matériel Microsoft. Pour ces marchés, l’UGAP met en concurrence les revendeurs.

Cela me permet de répondre à l’une de vos interrogations sur le projet Health Data Hub. Le ministère a mobilisé notre marché dédié à l’achat d’équipement Microsoft. Nous avons pour cela mis en concurrence les différents revendeurs, et c’est de cette manière que s’est faite l’attribution du marché. L’UGAP n’intervient pas en la matière : le ministère achète le logiciel et l’UGAP ne sait pas à quelles fins l'État mobilise les logiciels achetés ; il ne relève d’ailleurs pas de sa mission de le savoir, mais seulement de vérifier que les logiciels sont achetés au prix et aux conditions contractuelles du marché.

Dans le domaine des logiciels, nous travaillons quasiment exclusivement soit sur ces deux marchés dédiés, soit sur un marché inventé par l’UGAP et repris depuis par les autres centrales d’achats : le marché multi-éditeurs. Nous mettons en concurrence des bibliothécaires de logiciels. Le marché multi-éditeurs est d’ailleurs le marché le plus important de l’UGAP :

il regroupe 3 000 éditeurs. La valeur du revendeur réside évidemment dans le prix qu’il nous offre pour ses produits, mais également dans les services associés. Pour gérer un tel nombre de logiciels, il faut disposer d’une vraie plateforme performante, qui permet de repérer les caractéristiques des logiciels et de les mettre en comparaison. La valeur réside dans la prestation qui permet la fluidité de la consommation.

M. Philippe Latombe, rapporteur. Je me permets une incise car vous avez évoqué un dossier qui nous intéresse en particulier. Nous auditionnerons dans quelques semaines le Health Data Hub et d’autres services. Le ministère vous a-t-il demandé d’acheter Microsoft pour le Health Data Hub ?

M. Edward Jossa. Nous avons reçu une commande. Nous disposons d’un marché Microsoft. Oui, nous avons reçu une commande du ministère pour intervenir sur notre marché Microsoft.

M. Philippe Latombe, rapporteur. Cela vous arrive-t-il souvent de recevoir ce genre de commande ? Dans ce cas précis, je comprends que vous avez été exécutant d’une décision prise par l’État.

M. Edward Jossa. L’UGAP fonctionne sur commande. Nous avons un marché Microsoft – nous ne traitons d’ailleurs pas en direct avec Microsoft, mais avec un revendeur, en l’occurrence SCC, qui est le titulaire de notre marché Microsoft. Notre rôle est de vendre ce qui nous est acheté, aussi simplement que cela.

M. Philippe Latombe, rapporteur. Merci. Je souhaitais comprendre très clairement vos propos.

M. Edward Jossa. Nous vérifions néanmoins une convenance des prix. Nous essayons également de protéger les clients contre les achats trop nombreux de licences : parfois, les règles propres à chaque éditeur causent des négociations compliquées sur le nombre de licences autorisées. Nous ne jouons en revanche aucun rôle dans les décisions prises par les acteurs publics de recourir à telle ou telle solution. La plupart du temps d’ailleurs, si vous disposez d’un système central sur SAP, il est extrêmement coûteux d’en changer. Il existe donc des pratiques extrêmement contraignantes dans ce domaine. En tant que telle, l’UGAP ne peut que vérifier la commande auprès d’un distributeur.

J’en terminerai au sujet des logiciels. Nous avons réalisé en 2020 594 millions d’euros de ventes de prestations. Le principal acteur en est SCC, qui est majoritaire dans ce domaine car titulaire du marché multi-éditeurs. Le marché multi-éditeurs est un des principaux outils par lequel il serait possible de faire émerger des entreprises françaises de logiciels dans la commande publique. Nous cherchons à mobiliser ce marché pour répondre à des objectifs de

politique publique. Ainsi, notre cellule innovation repère des PME ; si les solutions qu’elles proposent nous paraissent bonnes et semblent correspondre aux besoins des collectivités locales, alors nous discutons, notamment avec SCC, de leur intégration dans le marché multi-éditeurs. C’est de cette manière que nous avons obtenu le logiciel Doctolib, aujourd’hui référencé dans le marché multi-éditeurs. C’est également le cas de Talentsoft, une très belle entreprise française. Le marché multi-éditeurs est donc un vecteur important de politique publique.

M. Éric Bothorel. Cette architecture d’approvisionnement de produits, dont l’UGAP constitue une interface privilégiée pour la commande publique, n’a-t-elle pas évolué pour vendre davantage des services que des produits ? J’entends ce matin des propos qui me ramènent vingt ans en arrière, à l’époque où je travaillais chez Infopoint. Le marché du logiciel a longtemps été considéré comme un marché de produits. Nous pouvons imaginer, s’agissant du Health Data Hub, que par convenance et par facilité, le ministère a choisi d’acheter des briques Microsoft. Mais lorsque l’on achète du software, en mode SaaS ou autre, cela revient à acheter une prestation de services. Nous évoluons aujourd’hui vers un système où les logiciels sont facturés à l’heure, par exemple – ce modèle n’existait pas il y a dix ans. À l’époque, notre consommation de logiciels reposait sur l’acquisition d’une licence qui permettait d’utiliser le produit sans en être propriétaire ; cela n’est plus le cas aujourd’hui. Le modèle d’approvisionnement en place aujourd’hui correspond-t-il toujours à la façon dont nous consommons le logiciel ? Je ne parle ici que des offres sur étagère. Le marché du logiciel a fortement évolué. Les référencements à l’UGAP sont-ils encore adaptés, alors que le marché évolue en permanence ?

M. Edward Jossa. Nous nous posons cette question tous les jours. Tout le défi pour l’UGAP est de s’adapter à la réalité du marché. En la matière, nous avons distingué les logiciels et les services.

Je commencerai par les marchés de service. En sus des 594 millions d’euros issus de la vente des logiciels, nous vendons chaque année pour 350 millions d’euros de services. Ce secteur est différent de celui des logiciels : il regroupe certaines entreprises françaises très performantes, comme Capgemini et Atos. C’est le seul secteur dans lequel existent quelques géants français. Il faut savoir mobiliser nos atouts dans la compétition internationale dans ce domaine.

Revenant à votre question, la valeur de logiciels s’entend par l’association étroite entre les logiciels et les services. C’est la raison pour laquelle nos marchés de service utilitaires prévoient des services associés aux logiciels dans la prestation. Nous nommons le marché « marché de logiciels », mais la construction contractuelle de ce marché est faite de sorte à intégrer une part de services. Cela est parfois d’ailleurs très compliqué en termes de facturation pour les clients publics. Les règles de la comptabilité publique ne sont pas simples à ce sujet.

Il y a donc une part de services dans les marchés de logiciels.

Le marché du cloud est encore différent. Nous sommes passés par un intégrateur, en l’occurrence Capgemini qui a remporté le marché et qui propose plusieurs solutions. Nous avons fait le choix de faire appel à différents fournisseurs de cloud : parmi eux, les fournisseurs incontournables, comme Amazon Web Services (AWS) ou Azur de Microsoft ; mais aussi Outscale, OVH, Scaleway, Oracle. Notre marché de cloud regroupe plusieurs fournisseurs. Il revient au client de choisir le fournisseur auquel il souhaite recourir et il doit justifier son choix. Notre marché prévoit ainsi un module qui explique les raisons d’intérêt général qui peuvent présider au choix de nos clients. De plus, nous portons une grande attention au dispositif de labellisation. La norme SecNumCloud est importante en termes de souveraineté numérique. Notre fournisseur OVH dispose de la norme SecNumCloud. Si le client public

requiert, pour ses données, un fournisseur titulaire de la norme SecNumCloud, il peut trouver satisfaction dans ce marché.

Il existe également un enjeu d’articulation de la prestation cloud pure avec les prestations de conseil. Cette question est particulièrement sensible pour les collectivités territoriales, qui ne sont pas toujours dotées de directions des services informatiques (DSI) aussi puissantes que peuvent l’être celles des entreprises ou de l’État. Nous lançons en ce moment un marché de conseil, qui sera publié dans quelques semaines.

M. Philippe Latombe, rapporteur. La fourniture des services de conseil est-elle préalable au cloud ? Comment est-elle séquencée ? Si la société chargée d’effectuer la mission de conseil propose ensuite systématiquement la solution d’un seul fournisseur de cloud, la commande est orientée.

M. Edward Jossa. C’est justement pour assurer une forme d’indépendance du conseil et du cloud qu’il nous a été demandé de procéder à la publication de deux marchés bien distincts : un premier pour les prestations de cloud brutes, et un second pour les prestations de conseil. Nous effectuerons une forme de surveillance de la neutralité des acteurs du conseil vis-à-vis des acteurs du cloud.

M. Éric Bothorel. Je propose de recourir à un cas concret. Admettons qu’une petite agglomération de 20 000 habitants dispose d’une salle informatique vieillissante. Elle souhaite migrer son système d’information (SI) dans le cloud. Elle va devoir recourir à la commande publique et donc se tourner vers l’UGAP. Quels sont les flux ? Qui interagit avec qui ?

Comment les échanges se déroulent-ils ?

M. Edward Jossa. Nous disposons d’un réseau commercial dont les directions territoriales sont implantées dans tout le pays. Nos conseillers informatiques spécialisés orientent le client public vers la meilleure solution. Dans un premier temps, cela peut être de proposer au client public du conseil en stratégie informatique, en organisation, voire en cybersécurité. La première étape est donc de fournir des prestations de conseil. Ensuite, l’UGAP oriente la collectivité, en fonction de ses besoins, vers une solution purement logicielle ou bien vers une solution de cloud. Tout ceci doit permettre d’assurer la cohérence des équipements, matériels et prestations souhaités. Nous disposons d’une gamme complète de services. Il revient au conseiller informatique de l’UGAP d’orienter correctement le client vers les solutions dont il a besoin.

M. Éric Bothorel. Comment feriez-vous alors pour conseiller cette collectivité qui a besoin d’un hébergeur ? Sur quels critères décideriez-vous de l’orienter plutôt vers OVH ou vers AWS ?

M. Edward Jossa. La manière classique de travailler de l’UGAP recouvre les étapes suivantes : conseil, puis devis, puis commande. Sur un certain nombre de solutions, comme le marché multi-éditeurs ou le marché cloud, tout notre travail consiste à incorporer des outils d’aide à la décision dans notre dispositif de commande. Cet outil d’aide à la décision repose sur un système de questions et réponses : le client entre les données relatives à ses besoins et à sa commande. Capgemini, titulaire du marché, est responsable d’entretenir une application d’aide au choix qui permet d’objectiver les critères guidant la prise de décision. Cela permet d’éviter une forme d’arbitraire qui présente un risque pour l’UGAP tout comme pour le client public.

M. Philippe Latombe, rapporteur. Vous avez évoqué la labellisation SecNumCloud.

Si l’ordonnateur vous donne ce critère, il oriente forcément les solutions proposées.

M. Edward Jossa. Évidemment, si l’on entre ce critère, le système va sortir une solution correspondante : Outscale ou OVH.

M. Philippe Latombe, rapporteur. En effet. La labellisation SecNumCloud fait-elle partie des critères qui vous sont régulièrement demandés par vos clients ?

M. Edward Jossa. Cela dépend des besoins. Certains services spécialisés de l’État nous demandent la labellisation SecNumCloud. En revanche, si le client a besoin d’un puissant outil de gestion de ses données de ressources humaines ou de transports en commun, je ne vois pas quelle justification pourrait présider au recours à la labellisation SecNumCloud.

M. Philippe Latombe, rapporteur. Je peux le comprendre. Ma question est la suivante : la labellisation SecNumCloud fait-elle partie des critères bien présents à l’esprit des ordonnateurs ? Dans le cas du Health Data Hub, l’État vous a demandé de recourir à Microsoft.

Mais les données traitées étaient très particulières et par conséquent, l’on est en droit de se demander où elles allaient être hébergées. De la même manière, une polémique a émergé au sujet de l’hébergement des données du prêt garanti par l’État (PGE) sur AWS, alors qu’elles pourraient potentiellement constituer des données sensibles. Je constate qu’il faut encore construire l’appétence et l’éducation des ordonnateurs publics à la sécurité des données et donc au recours à ce label. Cela n’est pas une critique envers l’UGAP.

M. Edward Jossa. Je ne peux pas répondre à cette question. L’UGAP n’est pas une autorité de prescription. La logique de l’UGAP est de fournir ce qu’on lui demande. Il faut sans doute renforcer la pédagogie, certes. L’animation et la formation constantes, au-delà des directeurs informatiques et incluant les décideurs (les secrétaires généraux des ministères, par exemple), peuvent contribuer à la prise de conscience de ces enjeux.

M. Philippe Latombe, rapporteur. Il nous a été rapporté, au cours de précédentes auditions et notamment par des PME françaises, que les acheteurs publics poursuivaient majoritairement des motivations de facilité, de rapidité et de solidité des systèmes. L’éducation de générations d’acheteurs publics est donc centrée sur l’utilisation de solutions de type Microsoft ou AWS, car celles-ci sont simples d’utilisation.

M. Edward Jossa. Les ministères poursuivent certaines priorités absolues et doivent gérer des problématiques d’urgence, comme nous le constatons en ce moment. Je ne vois pas comment une administration, d’autant plus dans le contexte actuel de crise sanitaire, peut prendre le moindre risque en matière d’opérationnalité. Il s’agit bien là d’opérationnalité. La tentation normale de tout décideur public est de ne pas avoir recours à une solution innovante s’il est question d’intervenir sur une partie clé de son système d’information. Le client public, aujourd’hui, ne tolère même pas une journée de rupture de service.

M. Philippe Latombe, rapporteur. Je prends l’exemple d’une grande entreprise publique ou parapublique qui souhaite changer son système de messagerie. Elle fait le choix d’opter pour Microsoft 365. Cela suppose de recourir à Azur pour stocker les mails en cloud.

Pourquoi utiliser ces solutions ? Pourquoi opter pour Microsoft 365 et Azur, et ne pas remplacer Azur par une autre solution ? Est-ce uniquement parce que ces solutions sont intégrées et que cela ne se négocie pas ? Serait-il au contraire possible de segmenter ces services ?

M. Edward Jossa. Ces choix dépendent de la stratégie de chaque client. Il faut interroger à ce sujet chaque ministère ainsi que la direction interministérielle du numérique (DINUM). Ces choix recouvrent des enjeux d’opérationnalité. Les grands opérateurs ont de tels moyens qu’ils ont toujours un temps d’avance ; et le client public recherche avant tout la

performance. À mon sens, le sujet se traite davantage par l’angle économique que par celui de la commande publique. Il faut soutenir les champions nationaux ; l’enjeu est davantage d’éviter que ceux-ci soient rachetés par des entreprises étrangères.

M. Éric Bothorel. Peut-on donc toujours dire, comme on le disait dans les années 1990, que l’UGAP est un catalogue ?

M. Edward Jossa. Oui, au fond du fond, en matière informatique, l’UGAP est un grand catalogue.

M. Éric Bothorel. Si elle est un catalogue, peut-on reconnaître que la capacité de l’UGAP et de ses conseillers informatiques à influencer les acteurs publics est très peu utilisée ? Le travail de qualification et de prise de décision est souvent fait en amont, par l’aide de conseils, de revendeurs, de distributeurs, d’intégrateurs. Il apparaît alors que la seule capacité de l’UGAP à influencer les choix de marché est la disponibilité ou non d’un produit à son catalogue.

Je reviendrai sur la question posée au sujet du Health Data Hub. Le client public avait fait le choix d’opter pour Microsoft, mais il aurait tout aussi bien pu acheter de l’AWS ou de l’OVH puisque ces solutions sont disponibles au catalogue. La capacité d’influence de l’UGAP à orienter vers une solution plutôt qu’une autre n’existe donc pas.

M. Edward Jossa. L’UGAP ne se positionne pas de telle manière à influencer. Elle n’a pas vocation à se substituer aux décideurs publics. Nous sommes une centrale d’achat et notre mission est celle d’un facilitateur. Les ministères ne souhaitent pas que l’UGAP interfère dans leurs décisions. L’UGAP peut exercer une forme de contrôle, mais seulement quand elle est expressément mandatée pour le faire, par exemple en matière de voitures – cela constitue l’exception plutôt que la règle. La mission de l’UGAP est de faire respecter les règles de la concurrence et d’appliquer le code de la commande publique. S’il faut faire évoluer les choses, cela doit se jouer par des prescriptions adressées aux décideurs ; cela n’est certainement pas notre rôle et nous ne le revendiquons pas.

M. Éric Bothorel. Mais votre capacité d’influence peut s’exercer au moment de la consultation pour constituer le catalogue. Il vous appartient, au moment des consultations en vue d’un futur référencement, de sélectionner les produits. C’est de cela que se nourrit le catalogue mis à disposition.

M. Edward Jossa. Pas tout à fait. En matière de véhicules par exemple, nous élaborons un catalogue général qui correspond à tout ce que nous pouvons vendre ; en revanche, nous avons établi un catalogue resserré pour l’État, car seule la vente de certains véhicules est autorisée. L’UGAP fait ce que le client lui demande de faire.

M. Éric Bothorel. Quelle est la valeur ajoutée de l’UGAP dans ce cas-là ? Est-ce seulement le référencement de produits qui ont été choisis en amont ?

M. Edward Jossa. La valeur ajoutée de l’UGAP est de sécuriser les procédures de mise en concurrence, d’appliquer correctement le code de la commande publique, de faire gagner du temps aux clients, de procéder à des économies. Cela est exactement la mission de toutes les centrales d’achats en Europe. L’UGAP n’a pas de spécificité à ce sujet. Nous sommes là pour obtenir de meilleurs prix et pour faciliter la commande.

En revanche, si l’État décide qu’une partie des applications des ministères doivent obligatoirement bénéficier de la labellisation SecNumCloud, et que nous avons instruction de ne vendre que des produits labellisés SecNumCloud, alors nous l’appliquerons.

M. Philippe Latombe, rapporteur. Je poserai une question complémentaire à SCC.

Les fournisseurs, qu’il s’agisse de sociétés informatiques petites ou grandes, concèdent-ils parfois de tels efforts commerciaux que leurs prix deviennent beaucoup moins chers que les autres services référencés ? Par exemple, AWS propose à beaucoup de jeunes entreprises des vouchers pour utiliser ses services et les rendre captives de son marché. Les grands acteurs tels que Microsoft ou Amazon s’adonnent-ils à des pratiques commerciales qui les positionnent de façon plus favorable sur le marché que d’autres petites entreprises qui n’en ont pas la capacité ? Comment, dans votre mission, déterminez-vous les pratiques qui relèvent d’une politique commerciale agressive ?

M. Michel Ferrand, directeur avant-vente, SCC France. Nous avons participé au marché cloud de l’UGAP, il y a un an. Nous sommes arrivés en deuxième position derrière Capgemini, mais nous avons bien suivi le déroulement des négociations avec les fournisseurs de cloud. Nous étions en contact avec quatorze d’entre eux et nous avons bien étudié leurs politiques de vente. Oui, ils concèdent des efforts commerciaux, et probablement plus importants que s’ils vendaient leurs services en direct à une collectivité locale ou à une entreprise privée. A contrario, ils ont tous mis en place une politique de justesse. Amazon pratique l’engagement de dépense pour disposer d’une tarification plus agressive dès le départ.

Ils n’ont en revanche pas pratiqué cela avec SCC : les prix pratiqués avec SCC étaient hors engagement de dépense, car le marché de l’UGAP ne garantit pas de volume – il s’agit d’un référencement sur catalogue. La matrice d’aide au choix est capitale et ne doit pas être influencée : si les acteurs procèdent à des engagements de dépense impliquant des réductions, la matrice est faussée. Dans le cadre de l’UGAP, l’ensemble des fournisseurs de cloud a joué le jeu et n’a pas pratiqué l’engagement de dépense.

Un ministère ou une collectivité qui cherche la labellisation SecNumCloud afin de bénéficier d’une garantie de sécurité dans la matrice de choix de l’UGAP se verra proposer les seuls acteurs français labellisés : OVH et Outscale. Cela constitue une vraie sécurité. Mais il ne relève pas de l’UGAP de forcer le choix du ministère. Les ministères sont dotés d’équipes informatiques très compétentes et ils procèdent à leurs achats en toute conscience. Le choix d’achat est en revanche plus difficile pour les collectivités territoriales, souvent moins informées sur le sujet. Se met alors en place le jeu de la vente, qui consiste à mettre en avant une solution grâce au réseau territorial de revendeurs.

M. Philippe Latombe, rapporteur. Les petites entreprises ont rapporté à notre mission d’information que l’accès à la commande publique leur était très difficile. Quels sont les critères qui permettent de procéder aux achats ? Nous ne doutons pas que vous procédiez aux achats dans le respect des règles françaises et communautaires. Je m’interroge néanmoins sur les biais existants et cherche à savoir s’il est possible d’objectiver le ressenti communiqué par les entreprises lors des précédentes auditions.

M. Michel Ferrand. L’UGAP, comme SCC, y sont très sensibles. Les ministères ont des équipes informatiques très compétentes, sur les choix desquelles il est difficile d’influer.

L’influence est en revanche très facile à exercer sur les services d’une collectivité locale. La situation est compliquée car les bénéficiaires finaux souffrent d’un important manque de compétences sur ces sujets.

M. Philippe Latombe, rapporteur. Je vois les choses de manière différente. Je préfère justifier l’achat de solutions toutes faites et simples d’utilisation par l’ignorance technique des

clients. Le client qui sait exactement ce qu’il veut, en revanche, fait un choix d’achat en toute conscience. Cela repose la question du choix de Microsoft dans le cas du Health Data Hub. La décision prise en toute conscience par quelqu’un de très compétent devient alors gênante.

M. Michel Ferrand. Je citerai un autre exemple. Le marché multi-éditeurs propose aujourd’hui un outil de visioconférence 100% français nommé Tixeo. Pourtant, il n’est pas acheté. L’UGAP comme SCC proposent des solutions alternatives, et pourtant nous n’arrivons pas à les commercialiser de façon importante. Il y a bien une raison à cela, et cela n’est pas dû à de la mauvaise volonté.

M. Philippe Latombe, rapporteur. S’agit-il d’une question d’acculturation ?

M. Michel Ferrand. Je le pense, en effet.

M. Edward Jossa. Je souhaiterais expliquer plus en détails comment nous essayons de favoriser les PME dans le marché multi-éditeurs, qui constitue l’un des outils les plus puissants mis en place en France pour favoriser la vente de logiciels français. Nous avons d’abord mis en place un dispositif d’identification. Il repose sur une cellule dédiée de trois ou quatre personnes qui consacrent leur temps à étudier les propositions de logiciels reçues et à déterminer lesquelles sont pertinentes. Le travail d’identification est capital : il est nécessaire de faire le tri dans toutes les solutions qui nous sont proposées. Puis, nous étudions lesquelles d’entre elles sont pertinentes au regard des besoins du secteur public. Nous avons ainsi conclu des partenariats de recherche et d’innovation avec des collectivités territoriales, qui nous aident dans ce travail de qualification des solutions. Une fois la solution retenue, nous l’intégrons dans notre offre. La solution multi-éditeurs fait gagner un temps précieux à l’éditeur. Une fois la solution ajoutée au catalogue de l’UGAP, il est encore nécessaire de la faire connaître. Cela est peut-être le sujet sur lequel nous devons encore le plus travailler. Nous mettons en place un dispositif de conseil et d’assistance aux titulaires pour mieux faire à ce sujet. Nous avons été des accélérateurs de croissance colossaux pour certaines solutions ; il faut également que les entreprises puissent faire face à l’afflux croissant de demandes, potentiellement dans un temps très réduit. 50% des titulaires auprès de l’UGAP sont des PME ;

toutes activités confondues, les PME représentent 20% du volume du chiffre d’affaires de l’UGAP. Elles sont principalement présentes dans le secteur du mobilier, du conseil et du logiciel.

M. Philippe Latombe, rapporteur. Certains outils de financement existent pour les titulaires de marchés. Ils permettent d’accompagner la montée en charge des PME.

Imaginons qu’une volonté politique forte émerge pour privilégier les solutions françaises et européennes : selon vous, quels éléments devraient être modifiés dans les pratiques comme dans la législation ? Nous avons évoqué la labellisation SecNumCloud.

Existe-t-il d’autres leviers pour favoriser les solutions françaises et européennes ?

M. Edward Jossa. L’article L. 2153-1 du code de la commande publique prévoit le principe d’égalité de traitement des opérateurs économiques issus de l’Union européenne avec ceux issus d’États faisant partie de l’accord de marchés publics de l’Organisation mondiale du commerce (OMC). Le principe du code de la commande publique est l’égalité de traitement entre Européens et les nombreux non-Européens signataires de cet accord. À ma connaissance, cet accord n’inclut pas la Chine, mais inclut le Japon, la Corée du Sud et les États-Unis. La direction des affaires juridiques de Bercy ainsi que la direction générale des entreprises sont les acteurs les plus qualifiés pour évoquer ces sujets. Une réflexion est en cours vis-à-vis des pays non-membres de l’accord. Il est néanmoins difficile de prendre des mesures discriminatoires. L’application des règles du code de la commande publique est, en ce sens,

un élément stabilisateur. Nous essayons d’inclure, quand cela est possible, des clauses conformes au code de la commande publique qui permettent d’intervenir – cela est le cas, par exemple, dans le domaine des véhicules. Mais ces clauses doivent être proportionnées à l’enjeu. Nous essayons également de développer des clauses d’audit social. Nous disposons de clauses sociales internes à la France, et nous réfléchissons à des clauses sur la bonne application du droit du travail du pays d’origine. Dans un certain nombre de marchés, nous avons ajouté des clauses selon lesquelles le fournisseur doit apporter un audit de la conformité de ses pratiques par rapport au droit du travail. Cela est particulièrement important dans des secteurs comme le textile, mais d’autres sujets majeurs peuvent apparaître. Une prise de conscience collective émerge sur ces sujets.

Mme Pierrette Vidal. Certains clients ont des idées bien arrêtées sur les solutions qu’ils souhaitent acquérir. Cela n’est pas parce qu’ils souhaitent acheter AWS ou Microsoft, mais parce qu’ils disposent de personnels habitués et formés à travailler sur ces interfaces. Les ministères souffrent d’un manque de personnels et sous-traitent de plus en plus ; ils ont besoin d’être opérationnels rapidement.

À titre d’exemple, nous avons remporté l’année dernière le marché interministériel du stockage : nous avons pour cela proposé plusieurs solutions. À l’usage, nous constatons que 80% à 85% des personnes n’achètent que la solution dont ils disposaient déjà depuis deux ou trois ans. Ils affirment n’avoir ni les moyens, ni le temps, ni les personnels formés pour changer de solution. Cela constitue un vrai problème.

M. Philippe Latombe, rapporteur. Cela expliquerait en effet la volonté d’utiliser des systèmes préexistants intégrés. Avez-vous des remarques complémentaires à apporter sur tous les sujets que nous avons évoqués ?

Mme Pierrette Vidal. La souveraineté passe par deux axes : l’amélioration et l’accélération, certes, mais aussi l’indépendance. Il n’est pas normal que nous ne disposions pas de davantage de solutions françaises et européennes. Il faut construire ensemble cette indépendance. S’agissant des PC, nous ne pourrons pas rattraper notre retard : les équipements étrangers fonctionnent très bien et sont d’ailleurs validés par l’Agence nationale de la sécurité des systèmes d'information (ANSSI). En revanche, de plus en plus de clients s’orientent vers des solutions françaises en matière de software. Cela fonctionne très bien. Je citerai les exemples d’Axway, de Tessi, de Doctolib. Il faut continuer à les promouvoir.

SCC est très vigilant à disposer de centres de service en France et à pouvoir contribuer à l’insertion sociale. Cela est d’ailleurs très demandé par le secteur public. Nous essayons de recruter un maximum en insertion sociale et nous ne sommes pas suffisamment aidés pour promouvoir ces emplois.

M. Michel Ferrand. Il me semble important de promouvoir les solutions françaises :

Doctolib en est un exemple, mais il est important de promouvoir également d’autres entreprises, à ce stade moins développées et moins connues. Il faut continuer à les aider, et les aider encore davantage.

D’autre part, il faut s’assurer que les entreprises produisent en France. Des freins linguistiques comme des freins de compétences s’opposent parfois à l’installation des entreprises du secteur informatique en France. Je citerai l’exemple de Cap, qui est installée en Inde, certes pour des raisons de coût, mais aussi pour des raisons de compétences. Nous manquons de compétences en France. Il s’agit d’un choix de technologie, mais aussi du choix de nos ingénieurs de demain.

M. Edward Jossa. La souveraineté se conquiert encore plus qu’elle ne se défend, particulièrement dans le domaine informatique. Des interdépendances considérables existent entre le software, le hardware, le conseil et le logiciel. Cela nécessite une réflexion stratégique fine et poussée sur ces sujets. Il convient de promouvoir des solutions françaises ainsi que de promouvoir des solutions de protection de notre économie. Nous devons mobiliser pour cela tous les ressorts existants. Il faut soutenir les grandes entreprises françaises : vous avez cité Doctolib, Cap et Atos – il est vrai que ces entreprises ont en partie délocalisé leurs emplois, mais c’est aussi de cette manière qu’elles ont pu grossir et garantir leur croissance. Il est indispensable que nous disposions d’un certain nombre de grands champions français et européens et que nous soutenions leurs activités.

M. Philippe Latombe, rapporteur. Je vous remercie du temps que vous nous avez consacré et des éléments que vous avez bien voulu partager avec nous.

Audition de M. Nadi Bou Hanna, directeur interministériel du numérique, et de M. Michel Grévoul, directeur des achats de l’État

(21 janvier 2021)

Présidence de M. Philippe Latombe, Rapporteur.

M. Philippe Latombe, rapporteur. Bonjour à tous. Notre mission d’information poursuit ses travaux avec l’audition de la direction des achats de l’État (DAE) et de la direction interministérielle du numérique (DINUM).

Notre objectif est d’échanger avec vous sur la façon dont la commande publique peut être mise au service de la transformation numérique de nos administrations et de la construction d’une souveraineté numérique nationale ou européenne.

Nous recevons ce matin M. Nadi Bou Hanna, directeur interministériel du numérique et M. Michel Grévoul, directeur des achats de l’État.

J’aimerais d’abord que vous nous fassiez part de ce que recouvre, selon vous, la notion de souveraineté numérique. Ce concept fait l’objet d’une attention croissante de la part des pouvoirs publics, notamment depuis la crise sanitaire. Nous avons, au cours de nos auditions, eu l’occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d’une forme d’autonomie stratégique ou décisionnelle. Je suis intéressé par le regard que vous portez sur ce concept et la façon dont il peut, selon vous, se traduire concrètement au sein de l’action publique.

En second lieu, je souhaiterais échanger avec vous sur le contenu de la commande publique française et ses liens avec la promotion de notre souveraineté numérique. J’aimerais notamment savoir si l’État privilégie ou non, lorsque cela est possible, l’acquisition de matériels, de logiciels, de services numériques français ou européens. Je suis intéressé à connaître sur ce point votre analyse des forces et faiblesses de l’offre numérique française et européenne, et la façon de remédier à nos éventuelles carences.

Enfin, j’aimerais vous interroger sur la transformation numérique des acteurs publics, et plus particulièrement de l’État, puisque la DINUM et la DAE participent pleinement à ce processus d’ampleur. Je souhaiterais que vous nous présentiez la stratégie de l’État dans ce domaine, ainsi qu’un point d’étape sur la numérisation de nos administrations. Enfin, dans un contexte marqué par la recrudescence des cyberattaques en 2020, j’aimerais recueillir votre avis sur le niveau actuel de diffusion d’une culture de la cyberprotection au sein de la sphère publique.

Je vous cède maintenant la parole pour un propos liminaire d’environ dix minutes chacun, puis nous engagerons le dialogue sur la base des éléments que vous nous aurez apportés.

M. Nadi Bou Hanna, directeur interministériel du numérique. Je commencerai par vous présenter le système d’information et les actions numériques de l’État.

Le système d’information de l’État repose sur le principe de subsidiarité. Chaque ministre, appuyé par sa direction du numérique, en est responsable sur son périmètre. La direction interministérielle du numérique (DINUM), placée sous l’autorité de la ministre de la transformation et de la fonction publiques, Mme Amélie de Montchalin, assure la cohérence

d’ensemble, le portage stratégique en matière de numérique ainsi que l’animation de cette équipe. Nous jouons donc un rôle de capitaine d’équipe. Nous intervenons auprès du gouvernement pour le conseiller, pour assurer une coordination fonctionnelle des directions du numérique, pour partager les bonnes pratiques et pour contrôler l’exécution des grands projets informatiques. Ma direction intervient également en soutien à l’innovation, en appui et en animation des acteurs de la GovTech. Enfin, la politique de la donnée est un axe de force très important de notre activité, qui conditionne la maturation des politiques publiques ; la DINUM apporte un appui aux administrations sur la gestion de ce trésor.

La DINUM assure également un rôle de création et d’exploitation de solutions. La résilience de l’État dans le domaine du numérique est directement portée par ma direction, avec l’appui des autres directions du numérique. Cette résilience repose sur le réseau interministériel de l’État, mais aussi sur la mise à disposition de solutions numériques pour assurer la continuité du service public, même quand les agents travaillent à distance.

La DINUM a lancé en 2019 un programme d’accélération de la transformation numérique de l’État, nommé Tech.gouv. Ce programme vise à développer la simplification et l’inclusion numérique, l’attractivité de l’État (notamment comme employeur des profils du numérique), ainsi qu’à renforcer les alliances avec la société civile et les acteurs industriels.

Ce programme a récemment donné lieu à la mise en place d’un sac à dos numérique pour les agents publics afin d’assurer la continuité d’exercice de leurs missions, ainsi qu’à la création d’un lab GovTech, prenant la forme d’un guichet d’échanges entre les acteurs français et européens et les porteurs de projets au sein de l’État. Nous avons également travaillé sur le développement de l’identité numérique, notamment au travers du dispositif France Connect, qui contribue à créer une réelle souveraineté de l’État en la matière. Nous avons enfin mis sur pied l’observatoire de la dématérialisation.

Pour conclure, ma direction est en charge de piloter une partie du plan de relance. Cette enveloppe de 500 millions d’euros doit servir à soutenir les projets de l’État en s’appuyant autant que possible sur l’écosystème numérique français et européen.

M. Michel Grévoul, directeur des achats de l’État. La direction des achats de l’État (DAE) définit la politique des achats de l’État, hors marchés de défense et de sécurité.

S’agissant de la stratégie numérique, celle-ci est décidée par la DINUM ; la DAE met en œuvre et porte les marchés interministériels afférents au numérique. Néanmoins, de nombreux marchés demeurent traités en ministériel et n’ont pas recours aux marchés interministériels portés par la DAE.

La DAE poursuit cinq objectifs majeurs : tout d’abord, réaliser des économies d’achat et contribuer aux économies budgétaires liées aux achats de l’État ; faciliter l’accès des petites et moyennes entreprises (PME) aux marchés publics ; favoriser les achats d’innovation ; enfin, prévoir le recours aux dispositions sociales et environnementales dans les marchés publics.

À ce titre, la DAE est amenée à conclure des marchés interministériels. Pour cela, elle établit une programmation pluriannuelle des achats de l’État, disponible sur le site Internet de la DAE. Nous sommes le seul État européen à publier en ligne l’intégralité des projets d’achat des ministères à un horizon de quatre ans. Cette transparence constitue un moyen d’inciter les entreprises à s’inscrire sur notre plateforme dématérialisée des achats, nommée Place, sur laquelle sont publiées tous les marchés ministériels ainsi que les marchés interministériels portés par la DAE.

Je présenterai notre actualité en 2020 et 2021. La DAE a essentiellement été mobilisée pour répondre à la crise sanitaire, qui a eu des impacts numériques et généraux. La DAE a

porté des marchés pour les masques non sanitaires, c’est-à-dire les masques textiles lavables.

Les achats sanitaires relèvent directement du ministère de la santé et de Santé publique France.

L’achat de masques non sanitaires participe à renforcer les dimensions de l’État protecteur (pour venir en aide aux personnes précaires) et de l’État employeur (pour protéger ses agents).

La crise a causé des pénuries de matériel numérique. La fabrication de beaucoup de ces matériels ayant lieu en Asie, la fermeture d’usines a causé la rupture de plusieurs composants. Nous avons proposé à la DINUM de constituer un stock d’ordinateurs beaucoup plus important qu’à l’habitude, afin de limiter les risques de rupture d’approvisionnement du fait de la forte demande mondiale.

L’année 2021 marque le renouvellement d’un accord cadre interministériel sur les logiciels libres. Cela recouvre deux marchés interministériels : un marché de support et un marché d’expertise, qui seront lancés par la DAE.

Nous avons par ailleurs déjà lancé un marché de cloud cercle 3, comprenant les données non sensibles, en co-prescription avec la DINUM et l’UGAP. L’objectif est de faciliter la consommation de services de cloud public pour l’ensemble des acheteurs publics.

Parmi les titulaires du marché, plusieurs sont français : OVH, Outscale, Orange business services.

Nous travaillons également, en partenariat avec la DINUM et l’Institut du numérique responsable, à la production d’un guide pratique pour un achat numérique responsable. Ce guide vise à la prise en compte des aspects environnementaux et sociaux dans l’achat de matériels et de services informatiques.

Nous mettons également en œuvre un accord-cadre interministériel d’assistance à maîtrise d’œuvre, qui vise à répondre aux besoins des bénéficiaires en matière de mise en œuvre des prestations intellectuelles informatiques. Cet accord-cadre a été conçu de manière à permettre à des PME de répondre aux marchés.

S’agissant de la souveraineté numérique, nous insérons des clauses strictes de conformité au règlement général sur la protection des données (RGPD) dans l’ensemble de nos marchés. Les acheteurs veillent donc à ce que les entreprises s’engagent à ce sujet.

Par ailleurs, tous les acheteurs respectent la politique de sécurité des systèmes d’information de l’État. Cela ouvre notamment la possibilité à certains marchés de bénéficier du label SecNumCloud.

Nous sommes enfin très attentifs aux clauses de réversibilité dans nos marchés interministériels, notamment quand celles-ci concernent les données.

M. Nadi Bou Hanna. Si vous me le permettez, M. le président, je complèterai mon propos par une définition de la souveraineté numérique. Il me semble que cette notion n’est pas définie dans les textes. Je m’appuie sur trois principes pour la définir.

Tout d’abord, le principe de liberté : il s’agit de la liberté de choisir ses fournisseurs, mais aussi de définir une stratégie puis d’en changer. D’une certaine manière, il s’agit de la liberté de choisir ses dépendances : de qui acceptons-nous de dépendre ?

Le second principe est celui de la maîtrise. Nous ne pouvons pas envisager de souveraineté numérique si l’État ne dispose pas des expertises qui permettent d’évaluer les

risques et les solutions ainsi que d’internaliser certaines fonctions. La souveraineté numérique n’est pas possible si une partie des fonctions les plus critiques ne sont pas internalisées.

Enfin, le principe de réversibilité : il s’agit de la possibilité de mettre fin à des projets, de changer de prestataire, sans se retrouver de fait pris dans une chaîne de dépendances sur laquelle nous n’avons plus de pouvoir.

Pour ma part, je n’aime pas recourir au concept de l’alignement des intérêts des parties prenantes. Cette notion est subjective et fluctuante dans le temps. L’on ne peut par conséquent pas baser une stratégie de souveraineté numérique sur un alignement ponctuel des intérêts.

Enfin, il me semble que la souveraineté numérique n’est pas un sujet de texte : ce sujet est avant tout présent dans les têtes. Certains porteurs de projets au sein de l’État font part d’une forme de fatalisme et de résignation. Ils tendent à considérer que le corpus de textes et de réglementations en vigueur – le code des marchés publics, notamment – se focalise uniquement sur la concurrence et briderait ainsi la prise en compte de tout autre enjeu, notamment économique ou d’influence. Je combats au quotidien cette posture. La souveraineté numérique suppose de responsabiliser collectivement les acteurs, afin de donner corps aux trois concepts de liberté, de maîtrise et de réversibilité qui sont au cœur de l’intérêt de l’État.

M. Philippe Latombe, rapporteur. Merci.

Nous avons précédemment auditionné l’UGAP et SCC. Ils constatent, au sein des administrations centrales et plus encore des collectivités locales, un manque de compétence et d’expertise qui rend possible l’adoption de solutions intégrées et globales, proposées par de grands acteurs.

Vous avez évoqué la réversibilité. Le Health Data Hub en est un bon exemple. Il a été demandé à l’UGAP de passer un marché avec Microsoft, sans effectuer de mise en concurrence. L’UGAP a exécuté l’ordre de commande reçu. Suite à la décision du Conseil d’État, la réversibilité a ensuite été annoncée à deux ans. Est-ce une vraie réversibilité quand elle intervient après deux ans ?

D’une façon plus générale, le code des marchés publics est perçu par l’essentiel des acteurs comme étant assez bridant. Quels sont les points qui, selon vous, pourraient faire évoluer l’acculturation des acteurs et des décideurs de la commande publique ? Quels sont les leviers à activer pour révéler les opportunités laissées ouvertes par le code de la commande publique pour favoriser d’autres types d’entreprises ?

M. Nadi Bou Hanna. Nous sommes obligés d’appliquer le principe de réalité et de composer avec les solutions présentes. De réels déséquilibres existent. Par exemple, deux systèmes d'exploitation (OS) dominent outrageusement le marché des smartphones – ils sont tous deux portés par des éditeurs américains. Le marché de la microinformatique et de la bureautique est également dominé à plus de 90% par un acteur, Microsoft. Le marché de la recherche sur Internet est dominé par un seul acteur, Google. Cela est la réalité.

Mon rôle au sein de l’État est de garantir que des solutions alternatives puissent émerger et se développer. Je prendrai l’exemple du moteur de recherches. Avec l’accord du gouvernement, j’ai mis en place une règle par défaut qui veut que l’ensemble des agents de l’État soient équipés, sur leur ordinateur et leur smartphone professionnels, d’un moteur de recherches alternatif, en l’occurrence Qwant, car celui-ci garantit mieux que les autres l’anonymat des recherches des agents publics et une certaine forme de neutralité du web.

Nous appliquons la même logique s’agissant des solutions de continuité de service.

L’État a déployé, en partenariat avec une start-up franco-britannique, une solution de messagerie instantanée sécurisée, dont le code est ouvert, et nommée Tchap. Cette solution est utilisée par plus de 200 000 agents.

Nous poursuivons la même logique s’agissant des outils de visioconférence. Nous avons recours à des plateformes alternatives, soit commerciales, soit open-source, qui fonctionnent bien.

Nous travaillons également avec des PME françaises s’agissant des outils collaboratifs.

Deux projets, Osmose et Resana, ont été lancés pendant la crise sanitaire et sont aujourd’hui utilisés au quotidien par plus de 100 000 agents publics. Le rôle de ma direction est de faire émerger des solutions et de les partager largement au sein des agents.

Cela n’est donc pas une fatalité – il n’existe pas uniquement les suites très intégrées, portées par de grands éditeurs américains, que vous mentionniez. L’usage de solutions alternatives nécessite certes davantage d’énergie, car il faut intégrer ensemble ces briques, mais il est possible. Et si cela est possible, nous le faisons.

M. Michel Grévoul. Depuis un an, l’urgence générée par la crise a constitué un formidable vecteur d’acceptation et d’accélération de l’usage de nouveaux outils de communication au sein de l’État. Les agents utilisent la messagerie sécurisée Tchap, ont recours à des solutions de visioconférence comme Jitsi ou à la solution interne Visiby ou Open Videopresence d’Orange.

S’agissant de la commande publique, nous souhaitons encourager les réponses des entreprises françaises et européennes à nos marchés. Nous avons ainsi largement insisté sur la possibilité ouverte aux entreprises de constituer des groupements pour y répondre. Nous constatons que des PME se regroupent, non seulement dans le secteur du numérique mais aussi des fournitures ou des travaux. Cette possibilité constitue donc un moyen pour des PME innovantes d’accéder à nos marchés.

Je répondrai à votre question portant sur le code de la commande publique et l’achat de prestations ou de matériels informatiques et numériques. L’État exploite pleinement les possibilités données par le code de la commande publique. Nous systématisons notamment le sourcing, qui consiste à opérer une veille sur les fournisseurs avant le lancement des marchés, maximisant ainsi les chances de recevoir un nombre important de réponses. Nous nous efforçons également de proposer des cahiers des charges les plus ouverts possibles, permettant à des variantes, différentes de notre offre de base, d’émerger. Nous espérons ainsi faciliter l’accès à nos marchés à des entreprises proposant des solutions disruptives et innovantes.

Nous avons par ailleurs mis en place un guichet unique des achats de l’État, accessible sur le site Internet de la DAE. Toute entreprise peut nous contacter via ce site. Nous identifions alors si les solutions proposées par cette entreprise sont innovantes ou standard, et nous l’orientons vers un acheteur spécialisé sur son segment de marché.

Vous nous avez interrogé sur l’opportunité de développer un droit de préférence pour les entreprises nationales du secteur du numérique. En l’état actuel du droit de la commande publique, qui se place en conformité avec les directives européennes, il n’est pas possible d’accorder une préférence à une entreprise sur la base de sa nationalité – excepté pour les marchés de défense et de sécurité. Un Small Business Act à la française n’est donc pas possible. Contrairement aux États-Unis, nous n’avons pas fait évoluer les règles de

l’Organisation mondiale du commerce (OMC) et nous ne pouvons pas réserver de marchés à des PME nationales.

M. Philippe Latombe, rapporteur. Cela fait effectivement partie des questions qui nous sont souvent adressées. L’article 2153-1 du code de la commande publique impose l’égalité de traitement entre les entreprises européennes et avec les entreprises liées par les accords extra-européens conclus dans le cadre de l’OMC. La Chine n’est pas partie à un tel accord au sein de l’OMC. En revanche, cela soulève la question du traitement des entreprises américaines. Certaines entreprises américaines créent des filiales dans des pays européens dans lesquels la pression fiscale est faible. Elles participent alors aux marchés publics européens, mais sans même contribuer à l’impôt au même titre que les autres. L’opinion publique et les entreprises sont de plus en plus sensibles à ces questions et l’idée d’un Small Business Act à l’européenne émerge.

L’UGAP a expliqué vouloir favoriser les PME, les startups et les très petites entreprises (TPE) françaises, mais vouloir également vérifier d’abord que celles-ci étaient suffisamment solides. Or, comment est-il possible de s’assurer que celles-ci sont suffisamment solides si elles ne peuvent pas bénéficier de la commande publique, qui leur permet de faire grossir leurs activités et d’atteindre une taille critique ? Pour l’acheteur, comment assurer la sécurité et la robustesse des solutions, et faire confiance à des TPE et PME à la structure financière parfois fragile ? Dans le même temps, les PME regrettent des délais longs de paiement de la commande publique, qui génèrent des problèmes de trésorerie. Existe-t-il des solutions pour concilier ces éléments ?

M. Michel Grévoul. Je répondrai à votre interrogation sur les délais de paiement. Je m’inscris totalement en faux contre les insinuations de retard de paiement de l’État. Le délai normal maximal de paiement est de 30 jours ; le délai moyen de paiement de l’État est inférieur à 20 jours. Je ne crois pas que la crainte d’un retard de paiement constitue aujourd’hui un frein pour les entreprises qui souhaitent répondre aux marchés publics.

M. Nadi Bou Hanna. Je m’inscris en faux contre le dogme selon lequel une entreprise doit être suffisamment solide pour accéder aux marchés publics. Cette approche est héritée des années 1990 et 2000, qui se caractérisaient par les grands projets, longs et onéreux. Les projets qui réussissent aujourd’hui, aussi bien au sein de l’État que des collectivités territoriales, sont des projets courts, qui mobilisent environ cinq personnes pour construire des solutions. Le succès des startups est significatif à ce sujet. Il faut d’abord commencer par prouver l’intérêt d’un produit avant d’atteindre une taille critique. Nous développons cette approche au sein du guichet GovTech et du programme Tech.gouv grâce à une mission nommée LABEL. Cette mission doit permettre d’identifier des solutions prometteuses, dont la plupart sont portées par des PME, et de déterminer si celles-ci sont capables de se conformer aux exigences de l’État.

Il ne s’agit pas d’exigences de volumétrie ; mais bien de localisation d’hébergement ou d’interopérabilité des solutions.

Le code de la commande publique ouvre de nombreuses possibilités pour privilégier des solutions de cette nature. Un prescripteur peut, par exemple, choisir de monter un plateau de projet intégré, réunissant la maîtrise d’ouvrage, les développeurs, les designers de l’expérience utilisateur (UX). Cela constitue un choix stratégique visant à favoriser la réussite des projets. Mécaniquement, les acteurs de proximité seront privilégiés vis-à-vis des acteurs offshore. Si le prescripteur impose que le support d’une solution et la conduite du projet se déroulent en français, il oriente le positionnement des entreprises qui soumettront une offre.

Lorsqu’un prescripteur impose une interopérabilité et une conformité à des référentiels mis en place en interministériel en France, il privilégie les acteurs qui ont fait l’effort de s’intéresser

aux marchés publics en France. Cela ne constitue donc pas la chasse gardée des grands groupes internationaux.

Nous constatons que beaucoup de PME saisissent l’opportunité de répondre aux marchés publics numériques portés par l’État en direct ou en regroupement. Ma direction a mis en place un marché transverse portant sur les besoins de coaching de l’ensemble des ministères sur les projets agiles. Nous avons fait le choix de privilégier les regroupements de PME et nous l’avons explicitement exprimé dans le cahier des charges. Il s’agit d’un choix stratégique du porteur de projet. Ces possibilités-là existent, mais il faut s’assurer qu’elles soient connues et utilisées.

De la même manière, l’achat innovant ouvre la possibilité aux porteurs de projet de retenir en direct une solution car ils sont intimement convaincus qu’elle est la meilleure solution pour répondre à un besoin innovant. Les possibilités existent, il faut simplement s’en saisir.

M. Philippe Latombe, rapporteur. Ma question porte sur le plan de transformation numérique de la commande publique, engagé pour la période 2017 – 2022. Pouvez-vous nous en présenter un point d’avancement ?

M. Michel Grévoul. Le plan de transformation numérique de la commande publique est porté spécifiquement par la direction des affaires juridiques (DAJ) de Bercy et par l’Agence pour l'informatique financière de l’État (AIFE). Ce plan vise à accroître l’efficacité de la commande publique par la dématérialisation et la numérisation. Les collectivités locales en font également partie ; la DAE y contribue mais elle n’est donc pas la seule associée.

Notre contribution porte essentiellement sur la programmation des achats et le sourcing. Nous mettons à disposition notre expérience en la matière, car l’État s’est doté d’un système d’information des achats complet. Il permet de suivre la commande publique d’un bout à l’autre de la chaîne : dès le sourcing en amont jusqu’à la passation des marchés puis au suivi de leur exécution. Le fait qu’un nombre croissant d’entités publiques se dote d’un système d’information des achats unifié permettra d’améliorer la qualité des achats.

S’agissant des outils numériques (postes de travail, ordinateurs, logiciels), la volonté de moderniser les outils et d’assurer leur résilience et leur sécurité s’est accélérée du fait de la crise. Nous sommes très sensibles à ces enjeux et nous avons travaillé avec l’Agence nationale de la sécurité des systèmes d'information (ANSSI) afin d’intégrer dans nos marchés des clauses concernant la cybersécurité.

Je reviendrai sur les marchés inférieurs à 100 000 euros pour lesquels il est prévu de pouvoir recourir à une solution innovante par une procédure de gré-à-gré et sans mise en concurrence. Cette latitude donnée aux acheteurs est très intéressante car elle leur permet de rapidement acheter un outil afin de procéder à une expérimentation. Mais l’acheteur doit être certain qu’il achète une vraie innovation. La DAE a ainsi créé un outil interne, diffusé au sein de l’État, l’Innov’score, qui permet grâce à un questionnaire à choix multiple de qualifier le degré d’innovation d’une solution. De la même manière, il est important que la hiérarchie reconnaisse un véritable droit à l’erreur à l’acheteur. Il est nécessaire que l’écosystème dans lequel il travaille accepte le risque de défaillance de fonctionnement ; car le risque fait partie intégrante de l’innovation. L’acceptation de la prise de risque inhérente à l’innovation ne relève pas d’une modification de texte ou de réglementation, mais d’un travail culturel. Les responsables de programme doivent reconnaître une prise de risque acceptable dans la mise en place d’une innovation.

Nous incitons les acheteurs qui doivent passer un marché, une fois le sourcing réalisé, à se poser la question suivante : plutôt que de lancer un marché avec des solutions standards, pourquoi ne pas réserver un lot de ce marché à une solution innovante ? Pour que cela soit possible, l’acheteur doit s’interroger sur son besoin bien en amont, c’est-à-dire six mois à un an avant le lancement du marché, de manière à disposer du temps nécessaire pour procéder à un test sur ces solutions. En ce sens, le décret du 24 décembre 2018 vise à faciliter, pour les marchés innovants inférieurs à 100 000 euros, un accès rapide à ces solutions.

Il existe également un autre outil très intéressant, utilisé par la DINUM aussi bien que par la DAE : il s’agit des appels à compétences, ou request for information (RFI). Ils permettent de conduire un sourcing de la manière la plus efficace possible. Pour cela, nous définissons un besoin et nous le portons à la connaissance de tous via nos outils d’information (Place ainsi que notre plateforme spécialisée sur les appels à compétences). L’écosystème s’agite alors pour satisfaire notre recherche. Cette procédure permet, avant de lancer un marché, de donner à voir les possibilités existantes, y compris les plus innovantes. Cela évite aux acheteurs de rédiger des cahiers des charges trop fermés.

M. Nadi Bou Hanna. Vous m’excuserez d’être un peu plus sévère que Michel Grévoul vis-à-vis du code des marchés publics. Ce dispositif repose sur un système de défiance. Au lieu de responsabiliser les porteurs de projets, il met en place un système de contrôle a priori plutôt que de transparence et de contrôle a posteriori. Cela était parfaitement justifié à l’époque où un certain nombre d’abus ont été détectés. Aujourd’hui, il construit une incitation au risque zéro. Michel Grévoul a très bien exprimé cette idée. L’État a consacré le droit à l’erreur pour les citoyens par la loi pour un État au service d'une société de confiance (ESSOC) ; il faut se permettre l’équivalent pour les porteurs de projets et les acheteurs. Il faut se permettre de prendre des risques en matière d’achats. Dans les années 1990, l’on disait qu’un bon directeur des systèmes d’information ne faisait jamais d’erreur quand il choisissait IBM pour ses grands projets. Un credo similaire existe encore aujourd’hui.

La politique du risque zéro nous conduit à des situations incompréhensibles. Vous évoquiez tout à l’heure l’expertise mobilisable des collectivités territoriales en matière informatique. Ma direction anime un dispositif de coopération avec les collectivités territoriales. Nous aimerions, autant que possible, partager avec elles des solutions développées ou achetées par l’État. Les juristes spécialisés au sein de l’État nous expliquent que cela pourrait être contraire au droit de la concurrence et pourrait mettre l’État en grave difficulté. Il faut absolument résoudre ces situations pour que l’intelligence des achats et l’intelligence des porteurs de projets priment au-delà du strict respect du droit et de l’interprétation du niveau de risque qui en découle.

Je souhaite aborder un autre point qui me paraît constituer un levier important pour développer les coopérations et la souveraineté numériques : il s’agit du logiciel libre.

M. Philippe Latombe, rapporteur. Je voulais effectivement vous interroger à ce sujet. Dans son rapport, Éric Bothorel avait justement proposé la création d’une mission sur le logiciel libre au sein de la DINUM.

Je souhaite également revenir sur les données. Vous avez évoqué ce « trésor » que représentent les données au sein de l’administration. Comment envisagez-vous leur stockage, leur valorisation et leur utilisation dans les conditions les plus respectueuses possibles de la souveraineté ?

M. Nadi Bou Hanna. Depuis le 23 décembre 2020 et la remise du rapport d’Éric Bothorel, je passe une partie importante de mes journées à construire la mise en œuvre de ses

recommandations, qui me paraissent essentielles pour l’État. Une grande partie d’entre elles, d’ailleurs, dépasse le strict champ de la donnée ou des codes sources. C’est le cas des compétences de l’État en matière de numérique : cette question entre en résonance directe avec le programme Tech.gouv et constitue un coup de projecteur important sur nos actions.

Je reviendrai aux données et aux codes sources. Ces deux notions cousines se traitent de manière différente.

Il est évident que le partage de la donnée entre les administrations contribuerait directement à la simplification des démarches pour les citoyens. Il s’agit du principe du « dites-le nous une fois » : si la donnée existe dans la sphère fiscale, il est absurde que l’État la demande à nouveau dans la sphère sociale, alors que la donnée est facilement partageable. Le premier champ essentiel concerne donc la circulation de la donnée au sein de l’État. En plus de simplifier la vie des Français, cette circulation permettrait de construire des politiques publiques proactives. Pourquoi demander à un citoyen de conduire une démarche, alors que l’État sait, par exemple, qu’il est bénéficiaire par défaut d’une prestation sociale ? Une nouvelle politique publique plus motrice pourrait donc se construire en partageant mieux la donnée au sein de l’État.

La donnée prend également beaucoup de valeur quand elle est partagée avec l’écosystème qui gravite autour de l’État : la société civile, les entreprises du numérique ou les individus. Pendant la crise sanitaire, on a constaté que la transparence des données en matière de contamination était essentielle. L’État publie les données de contaminations et les rend largement partageables afin que de nouveaux services puissent éventuellement se développer à l’initiative de la société civile. La mise à disposition des données permet ainsi leur valorisation.

L’approche du logiciel libre se développe depuis plusieurs décennies déjà. Dans certains champs, il est devenu la référence : c’est le cas des OS des infrastructures ou de l’hébergement du web. Ce levier favorise le partage. J’expliquais tout à l’heure qu’il était extrêmement compliqué, du point de vue du droit, de partager des solutions entre l’État et les collectivités territoriales. En revanche, il est très simple de le faire avec des logiciels libres. Si l’État produit un logiciel libre et qu’il choisit de reverser le code qui a été élaboré par ses services en open source pour que d’autres puissent s’en servir à nouveau (des collectivités territoriales ou bien des entreprises) et qu’ils enrichissent ce socle, alors tout le monde est gagnant. Le logiciel libre revêt donc un potentiel important. Il ne faut pas pour autant être naïf : des enjeux économiques majeurs existent en la matière. Des sociétés ont fondé leur modèle économique sur les services existants autour du logiciel libre. Au début des années 2000, certains pouvaient encore avoir l’illusion que le logiciel libre était gratuit. Ce n’est pas le cas. En revanche, il permet potentiellement de partager. Et ce partage a beaucoup de valeur.

Si le logiciel libre permet de partager, des solutions propriétaires le peuvent également, à la condition qu’elles se conforment aux bonnes pratiques édictées par l’État. Il s’agit en particulier de la mise à disposition d’interfaces de programmation d’application (API), qui permettent de consommer directement les données dans les logiciels ou de déclencher des transactions et offrent l’interopérabilité des solutions. Plusieurs leviers rendent donc possible la transformation numérique : ces leviers s’appuient aussi bien sur l’écosystème du logiciel libre, que l’État a tout intérêt à soutenir, que sur l’écosystème des éditeurs privés, qui ont adopté un autre modèle économique mais qui sont également en mesure de proposer des solutions extrêmement attractives et très ouvertes.

M. Philippe Latombe, rapporteur. Vous avez tous les deux fait part de la nécessité, pour les acheteurs, de prendre des risques. À cet égard, comment percevez-vous l’émergence

de nouveaux outils numériques, comme la blockchain, et leur utilisation ? Faut-il que ces outils connaissent un temps d’acculturation long dans les sphères privées avant que le public ne s’en saisisse ? La sphère publique peut-elle au contraire s’en emparer dans leur phase émergente et en expérimenter les usages ? Comment l’État gère-t-il l’expérimentation et quel est le niveau de prise de risque acceptable selon vous ?

M. Nadi Bou Hanna. S’agissant des technologies non matures, l’État a intérêt à tester des cas d’usage le plus tôt possible plutôt que de laisser le marché se structurer, ce qui se fait souvent au détriment des écosystèmes français. Mais cela ne concerne pas seulement le soutien aux filières. Cela recouvre un enjeu de maturation des pratiques au sein de l’État au bon moment. Nous ne pouvons pas perpétuer un modèle dans lequel l’État s’approprie, avec cinq ou dix ans de retard, des technologies que des entreprises privées ou d’autres États ont testées.

Je ne vous donnerai malheureusement pas beaucoup d’éléments positifs au sujet de la blockchain. L’État se situe sur un tiers de confiance par défaut et l’émergence de tiers de confiance externes ne s’est pas avéré judicieux jusqu’à présent. Nous n’avons pas développé beaucoup de cas d’usage intéressants sur la blockchain, et elle n’est par conséquent pas la technologie la plus portée.

En revanche, ma direction a fortement soutenu le développement de l’intelligence artificielle. Nous avons monté, notamment avec le soutien du Programme d'investissements d'avenir (PIA), un dispositif de financement des projets conduits par les ministères en la matière. Il s’agit souvent de projets exploratoires, conduits en liaison directe avec quelques entreprises expertes en la matière. Un certain nombre de ces expérimentations ont montré l’intérêt de les faire passer à l’échelle. Le sujet de la data science entre en résonance directe avec le sujet de la donnée – il en est une composante essentielle. L’intelligence artificielle se développe véritablement aujourd’hui au sein de l’État. La direction générale des Finances publiques (DGFiP), les douanes, Pôle Emploi, les acteurs de la sphère sociale sont, par exemple, en train de constituer des lacs de données (data lakes), c’est-à-dire des entrepôts de données, et d’y embarquer des solutions qui leur permettront d’exploiter ces données afin de prendre de meilleures décisions. Fondamentalement, l’État poursuit une politique d’innovation car celle-ci permet d’améliorer son fonctionnement et d’éclairer la prise de décision publique. Ma direction est évidemment motrice en la matière.

La composante « transformation numérique de l’État » du plan de relance prévoit d’ailleurs une enveloppe dédiée aux technologies non matures. Celle-ci permet un soutien direct et une prise en charge à 100%, dans une enveloppe limitée, des projets et des prototypes qui s’appuieraient sur des technologies non matures.

M. Philippe Latombe, rapporteur. Je vous interroge à ce sujet car le recours à Palantir pour aider l’État dans une partie très régalienne de ses missions a déclenché une grande polémique. Le fait que Palantir s’intègre maintenant dans GAIA-X alimente également un débat d’actualité très fort. Par ma question sur les besoins de l’État en technologies non matures, je cherchais à savoir dans quelle mesure des joueurs français ou européens auraient pu se substituer à ces sociétés étrangères.

M. Nadi Bou Hanna. À ma connaissance, Palantir n’est pas utilisé par l’État. Je n’ai évidemment pas visibilité sur l’ensemble des projets, mais s’il l’est, cela est à titre marginal.

L’État a bien veillé à se doter de capacités en propre ou en appui d’entreprises européennes pour maîtriser sa donnée et essayer d’en définir les trajectoires. Je ne suis pas pleinement compétent en la matière et le mieux, à ce sujet, serait d’interroger les ministères sociaux ainsi que le ministère de l’intérieur.

M. Philippe Latombe, rapporteur. Nous ne manquerons pas de le faire. À ce stade, souhaitez-vous aborder des points nouveaux ou approfondir certains éléments évoqués précédemment ?

M. Michel Grévoul. Il est nécessaire d’encourager les acheteurs à adopter des comportements innovants. Pour cela, ils doivent être sécurisés dans leur position. Ils doivent donc pouvoir prendre des risques sans en être inquiétés par leur hiérarchie. Je rejoins les propos tenus par M. Nadi Bou Hanna : l’objectif de l’État est d’acheter des choses utiles pour l’État et pour les utilisateurs, que ceux-ci soient l’ensemble de la population, une population ciblée ou les agents. Parfois, il est nécessaire de tester une innovation pour savoir si elle est vraiment utile. Si la hiérarchie n’autorise pas cette prise de risque, de nombreux acheteurs craindront d’expérimenter la nouveauté et n’achèteront pas de produits innovants. Ce problème ne se réglera pas par l’évolution des lois ou des textes, mais par un travail quotidien au sein des directions des achats et de la DINUM, autorité prescriptrice. Ce travail doit porter sur l’évolution des pratiques des donneurs d’ordre, compétents en matière d’achats de services et de fournitures informatiques et numériques pour l’État.

M. Philippe Latombe, rapporteur. Je poserai une dernière question d’ordre juridique.

Quelle vision portez-vous sur l’arrêt Schrems II de la Cour de Justice de l'Union Européenne (CJUE) et sur la décision du Conseil d’État concernant le Health Data Hub ? Cette décision demande la réversibilité et requiert un fournisseur européen à horizon de deux ans. En vérité, le Conseil d’État n’avait pas prévu ce délai de deux ans, c’est le ministère de la santé qui l’a demandé. Quelle vision avez-vous de ces deux décisions de justice et quelles conséquences en tirez-vous ?

M. Nadi Bou Hanna. Permettez-moi, avant de répondre à cette question, de revenir sur votre précédente demande.

Nous ne pouvons pas envisager de souveraineté numérique si nous ne sommes pas en mesure d’internaliser des compétences stratégiques au sein de l’État. Nous avons peu évoqué cet enjeu jusqu’à présent. La souveraineté repose sur la maîtrise et la compréhension des enjeux, des architectures, des grands projets. La Cour des comptes s’en est émue dans un rapport extrêmement bien documenté et retraçant les trajectoires de ces dernières années. Je constate que 90% à 95% de la maîtrise des grands projets ou des technologies est aujourd’hui externalisée. Les couches d’externalisation s’empilent : elles impliquent des grands cabinets de conseil, l’assistance à maîtrise d’ouvrage, l’entreprise de maîtrise d’œuvre, l’opérateur externe… Au final, l’ordonnateur ne dispose pas d’une vue d’ensemble et ne maîtrise pas le dispositif. Il perd la main. Aucune forme de souveraineté numérique ne peut alors se développer.

Évidemment, je ne défends pas l’idée qu’il faudrait absolument tout internaliser au sein de l’État. Cela serait absurde et non réaliste. Mais cela rejoint les enjeux actuels de la transformation de l’informatique. Les systèmes d’information, dans les années 1980 et 1990, étaient perçus comme des centres de coûts : ils étaient une commodité. Aujourd’hui, ils sont plutôt des leviers de transformation. Si aucun investissement n’est opéré dans ces leviers de transformation, ils resteront lettre morte.

J’en reviens à votre question d’ordre juridique. L’arrêt Schrems II est un arrêt stratégique, et il rejoint directement les réflexions conduites au sein de l’État. Nous sommes en train, depuis plusieurs mois déjà, de définir une nouvelle doctrine du cloud au sein de l’État.

Ces travaux devraient aboutir dans les prochaines semaines. Cette doctrine du cloud vise à définir les règles du jeu pour l’État. Le cadre européen définit un cadre auquel l’on ne peut pas déroger. Pour autant, chacun des porteurs de projets et des États membres peut définir sa

doctrine, c’est-à-dire la manière dont il s’approprie ce cadre réglementaire et dont il l’incarne dans une stratégie. Cette doctrine du cloud aura justement vocation à garantir que l’hébergement des données – qu’il s’agisse des données des citoyens ou des données liées à l’activité essentielle des agents publics – ne pourra pas être localisé sur des plateformes faibles d’un point de vue de la sécurité, non conformes au RGPD ou qui ne garantissent pas leur étanchéité aux réglementations extra-européennes. Nous sommes donc en train d’inaugurer une nouvelle ère au sein du cloud de l’État. Celle-ci ne consiste pas simplement à nous assurer que des offres émergent, mais plutôt à nous assurer que les administrations s’en saisissent, qu’elles l’utilisent à bon escient, et que cela change la manière de concevoir et de produire des applications.

Vous avez évoqué le Health Data Hub. Comme je l’ai expliqué tout à l’heure, nous sommes confrontés à la réalité du marché. Le projet du Health Data Hub revêt un enjeu politique majeur et affichait un échéancier non négociable. Lorsque ce projet a été lancé, la seule plateforme qui était techniquement compatible avec l’ambition du projet, tel que cela a été analysé par le ministère de la santé, était celle de Microsoft. Depuis, des travaux ont été conduits. Nous avons notamment vu des hébergeurs agréés SecNumCloud mettre à niveau leurs plateformes. Nous assistons donc à un travail de mise à niveau des plateformes pour se conformer au besoin du client. Sur un projet de cette nature, nous n’allons pas dégrader ni le besoin client, ni la promesse politique. Les équipes techniques sont bien obligées de trouver les solutions techniques adéquates pour donner corps à cette promesse. Nous voulons envoyer au marché, et notamment aux hébergeurs européens, le signal suivant : à partir du moment où les règles du jeu seront bien déterminées, et que le marché sera réellement ouvert, les hébergeurs devront probablement travailler pour monter à niveau sur quelques fonctions, et alors être capables d’être compétitifs vis-à-vis des plateformes pour répondre à un projet d’envergure comme celui du Health Data Hub. Il n’y a pas de dogme s’agissant du Health Data Hub – il y a simplement un constat de réalité. Le souhait de l’ensemble des parties est que de nouvelles offres d’hébergement puissent émerger, qui remontent les couches, c’est-à-dire qui ne se contentent pas du niveau le plus bas (l’infrastructure) mais qui soient capables de remonter au niveau de la plateforme et des services à valeur ajoutée. Du côté du Health Data Hub, des ajustements doivent également être faits pour ouvrir davantage le champ de la concurrence. Nous y travaillons actuellement. Ma direction intervient en soutien du ministère de la santé pour définir une trajectoire de réelle mise en concurrence de la plateforme. Je ne peux pour l’instant pas vous dire si cela pourra se faire à un horizon de 18 mois, de 24 mois, ou plus. La réalité technique et la maturité des offres montreront, in fine, si ce plan de migration était réaliste.

M. Philippe Latombe, rapporteur. Merci du temps que vous nous avez consacré et des propos très éclairants que vous avez partagés avec nous. Nous sommes très impatients de prendre connaissance de la doctrine du cloud de l’État dès qu’elle sera achevée, car cela concerne directement les enjeux de notre mission d’information. Nous aurons peut-être alors l’occasion de vous auditionner à nouveau à ce sujet.

Audition commune de M. Stéphane de la Rosa, professeur de droit public à l’Université Paris-Est Créteil, de Me Thierry Dal Farra, avocat associé du cabinet UGGC Avocats, et de M. François Benchendikh, maître de conférence en droit public à Sciences Po Lille

(28 janvier 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Notre mission d’information achève aujourd’hui son cycle d’auditions consacrées à la commande publique par une table ronde rassemblant plusieurs juristes. Nous avons entendu ces dernières semaines des acteurs privés et publics. Il nous semble aujourd’hui important de parcourir le champ des possibles, l’objectif étant de mieux protéger et promouvoir la souveraineté numérique aux niveaux national et européen.

M. Philippe Latombe, rapporteur. J’évoquerai en introduction trois sujets.

Premièrement, je souhaiterais que vous présentiez brièvement le droit de la commande publique et ses principales évolutions ces dernières années. Un certain nombre d’initiatives ont été prises pour moderniser la commande publique. Je pense, à la fois, au plan de transformation numérique engagé pour la période 2017-2022, à la loi d’accélération et de simplification de l’action publique du 7 décembre 2020 (loi ASAP), et aux mesures prises pour encourager le recours à davantage de solutions innovantes. Quel regard portez-vous sur ces éléments ? En second lieu, quelles sont, selon vous, les évolutions envisageables ou souhaitables du droit de la commande publique, afin de promouvoir, par son truchement, notre souveraineté numérique ? J’aimerais en particulier savoir s’il existe déjà des outils permettant de favoriser l’achat par des acteurs publics de matériels et de logiciels souverains. Si tel n’est pas le cas, quelles devraient être les caractéristiques d’un nouveau régime juridique allant dans ce sens, en conformité avec le droit européen ? Nous sommes ouverts à toutes vos propositions à cet égard. Enfin, j’aimerais que vous vous exprimiez plus globalement quant à l’influence des règles actuelles de la commande publique sur la capacité des acheteurs publics à prendre des risques dans leurs pratiques d’achats. La semaine dernière, si le directeur interministériel du numérique, M. Nadi Bou Hanna, nous a indiqué que le code de la commande publique pouvait être « désincitatif », la direction des achats de l’État ne semblait pas tout à fait en accord. Partagez-vous ce constat ? Des modifications sont-elles envisageables pour lever les obstacles qui semblent exister sur ce sujet ?

Pr Stéphane de La Rosa, professeur de droit public à l’Université Paris-Est Créteil. Les enjeux de souveraineté numérique nous obligent à réfléchir à l’adéquation des outils actuels de commande publique au besoin d’autonomie stratégique en matière de commande publique et de souveraineté. Ces enjeux croisent bien entendu l’évolution du droit de la commande publique, dans une perspective à la fois nationale et européenne.

L’articulation entre le droit de la commande publique et les activités numériques est essentielle. Le numérique est omniprésent dans de nombreux marchés publics de fourniture de matériels informatiques, de logiciels et de systèmes d’information. Nous saisissons également le numérique comme lot ou comme composante de marchés globaux. Nous le trouvons enfin dans nos contrats de concessions pour les transports ou la mobilité. L’omniprésence du numérique permet de prendre conscience de notre situation de forte dépendance vis-à-vis des géants du numérique ou d’États tiers. Cette dépendance s’illustre dans la rédaction de certains avis de marché. Par exemple, nous observons sur la base en ligne des avis de marché européens que des acheteurs demandent des solutions uniquement Microsoft ou bien des logiciels précis.

La rédaction d’avis de marché peut poser des problèmes de spécifications techniques ou même de rupture d’égalité.

Nous avons également pu observer cette dépendance dans le Health Data Hub, le grand contrat par lequel le ministère de la Santé a confié à Microsoft, sans véritable appel d’offres, le soin de stocker des données de santé, le risque étant que ces données soient transférées aux États-Unis. Cela s’est fait en méconnaissance de la jurisprudence Schrems de la Cour de justice, qui a indiqué qu’il n’existait pas de sécurité totale des données pour les usagers européens, si celles-ci sont transférées aux États-Unis.

Afin de limiter la situation de dépendance, réelle, vis-à-vis des grands acteurs du numérique, il existe déjà un certain nombre d’outils, mais ils sont sans doute mal ou insuffisamment exploités. Premièrement, les acheteurs publics pourraient être accompagnés dans la rédaction des clauses d’appel d’offres et des spécifications techniques. Ce travail devrait être mené pour tous les marchés numériques ou informatiques. Il serait également souhaitable d’affiner la rédaction des conditions d’exécution du marché. Par exemple, aux termes de l’article L. 2112-4 du code de la commande publique, l’acheteur peut exiger une localisation de tout ou partie du marché sur le territoire des États de l’Union européenne, afin de prendre en compte, notamment la sécurité des informations ou des approvisionnements.

Ces outils sont peut-être mal connus, mais ils existent et peuvent guider une approche plus fine des acheteurs publics en matière de souveraineté numérique. Il existe également des outils de droit permettant de défendre une préférence communautaire pour certains achats. Ils se limitent aux secteurs en réseaux, c’est-à-dire les marchés d’infrastructures dans les domaines de l’eau, de l’énergie et des transports. Les marchés sont conclus par des entités adjudicatrices.

Il est possible, sur le fondement du droit européen, de faire valoir un droit de préférence pour les offres européennes en excluant des offres qui ne seraient pas composées à plus de 50 % de produits ou de services européens. Ce système est intéressant, mais il ne peut être mis en œuvre que si le soumissionnaire, issu d’un État tiers, n’est pas partie à l’accord sur les marchés publics de l’OMC ou n’est pas partie à un accord bilatéral qu’aurait conclu l’Union européenne et qui donnerait un droit similaire d’accès préférentiel au marché.

Si ces outils existent, force est de reconnaître qu’ils demeurent assez limités. Cela incite les législateurs nationaux, dont la France, à s’engager dans l’élaboration de solutions strictement nationales, afin de privilégier les opérateurs internes du numérique. Tel est le cas de la loi ASAP du 7 décembre 2020 qui prévoit un mécanisme de relèvement des seuils à 100 000 euros jusqu’en 2022, ainsi que des dispenses de publicité et de mise en concurrence.

Justifiées par un motif d’intérêt général, ces dispositions permettent d’attribuer directement le marché et de favoriser ainsi certains opérateurs. Ces mesures sont intéressantes, car elles sont rapidement applicables par les acheteurs. Suivant ce dispositif, il est possible de privilégier un opérateur européen du numérique. Néanmoins, je ne suis pas tout à fait certain qu’il soit conforme au droit européen de la commande publique. L’interprétation que la Cour de justice fait du principe de transparence implique des mesures de publicité et de mise en concurrence pour des marchés qui présentent un intérêt transfrontalier certain. Par exemple, s’agissant d’un marché de 100 000 euros localisé à Lille ou à Strasbourg, je ne sais pas si ce dispositif passerait avec succès le filtre de la jurisprudence européenne. Cela montre qu’on se situe à la limite de ce qu’on peut faire par rapport au droit européen avec des réponses qui seraient strictement nationales en la matière.

À partir de ces observations, il est nécessaire de mieux penser à l’échelle européenne un système de priorité en faveur d’opérateurs européens dans les marchés publics, en particulier dans le numérique. Comment et par quelles voies ? Tout d’abord, il convient d’engager une réflexion sur les conséquences de l’appartenance à l’accord sur les marchés

publics (AMP) conclu dans le cadre de l’OMC. Je rappelle que les règles de calcul des seuils sont issues de l’AMP, qui est révisé tous les deux ans par référence à la valeur des droits de tirage spéciaux. Ces variations de seuils sont ensuite reprises par la Commission, puis reprises par les États membres pour le calcul de leurs seuils de passation. Il s’agit donc bien d’un instrument qui nous lie quant à ces questions de seuils. Il nous lie également concernant la clause d’exigence de la nation la plus favorisée, qui suppose, en application de l’accord, que nous donnions la même préférence aux opérateurs français, européens ou tiers, dès lors qu’on a conclu l’AMP ou un accord bilatéral reprenant des stipulations identiques. Engager une réflexion sur l’AMP me semble d’autant plus nécessaire que l’administration Biden vient de réactiver le Buy American Act qui prévoit un système de préférence aux entreprises américaines sous les seuils issus de l’AMP. Il permet également un achat préférentiel de biens à plus de 50 % d’origine américaine. Le Buy American Act pourrait également se déployer sous les seuils formalisés issus de l’AMP. Dans sa présentation du décret présidentiel diffusée sur le site de la Maison-Blanche depuis le 25 janvier, la nouvelle administration américaine indique clairement qu’elle souhaite réengager une négociation relative à l’AMP sur la question de la préférence interne. Ce champ doit donc être investi par le législateur français et par les institutions européennes.

La deuxième voie concerne l’extension du régime de préférence des produits à plus de 50 % d’origine européenne, que j’ai présenté dans mon rapport. Pourquoi ne pas étendre ce dispositif à l’ensemble des marchés publics au lieu de le limiter aux secteurs en réseaux ? Cette voie ne pourra être suivie qu’en concordance avec une révision de l’AMP.

En troisième lieu, la Commission a conçu des systèmes de réciprocité par rapport aux États tiers. Une proposition a été émise en 2012, une deuxième en 2016. Un livre blanc est paru sur les distorsions de concurrence étrangère. Aucun texte précis ne détermine aujourd’hui si nous pourrions fermer nos marchés en cas de concurrence déloyale d’États tiers. Ce thème pourrait être approfondi.

En ce qui concerne les marchés innovants, le système de 2018 pourrait être une bonne solution, mais les acheteurs ne se le sont pas pleinement approprié, certains craignant la requalification des marchés innovants en marchés classiques de la commande publique, avec le risque de contentieux que cela entraînerait. En tout cas, une réflexion devra être menée sur l’usage de ce dispositif avec le partenariat d’innovation issu des directives et qui peut également permettre des marchés innovants. Le dispositif pourrait éviter un effet de dispersion.

M. François Benchendikh, maître de conférences en droit public à Sciences Po Lille. La situation venant d’être décrite à l’échelle européenne, je porterai mon analyse au niveau national. Le droit de la commande publique se trouve formalisé dans un code établi en avril 2019, qui soulève certaines questions concernant les outils informatiques. Le droit de la commande publique a été longtemps instable. Plusieurs codes se sont succédé, en 2001, en 2004, puis en 2006, ce qui illustre le caractère difficile à appréhender de ce droit. Lorsque nous discutons avec des chefs d’entreprise, certains disent même qu’ils ne souhaitent plus répondre à un appel d’offres, car le coût de compréhension de la matière juridique, le temps que cela représente, rapportés à la faible chance d’obtenir l’offre, peuvent s’avérer dissuasifs. Il est important de garder à l’esprit que ce droit est susceptible d’évoluer souvent.

La seconde caractéristique de ce droit est d’être paradoxal. D’un côté, il énonce des principes fondamentaux rappelés à la fois par la jurisprudence de la Cour de justice, par le Conseil d’État et par le Conseil constitutionnel. Ce sont notamment les principes d’efficacité de la commande publique, de la protection et de la bonne utilisation de la donnée publique.

Les notions de transparence et d’égalité de traitement sont également défendues. De l’autre,

le droit de la commande publique énonce des éléments d’une grande précision concernant les délais ou les seuils qu’il est indispensable de connaître, lorsqu’on répond à un appel d’offres.

L’écart des grands principes aux détails concrets requiert une attention particulière.

Un premier élément essentiel est l’information des agents publics et des entreprises innovantes. Leurs capacités à concevoir et à structurer un cahier des charges, à rédiger des clauses, à déposer une offre en relation avec l’objectif du marché, sont déterminantes.

Lorsqu’une commune de 5 000 habitants cherche à se doter d’un outil informatique innovant, la difficulté est de trouver des agents publics capables de formaliser l’offre.

L’accompagnement des maîtres d’ouvrage publics est donc une caractéristique importante.

Les observatoires régionaux de la commande publique sont des structures intéressantes. Ils peuvent à la fois accompagner les collectivités et faire office de cellules de réflexion. Les chambres des métiers et les chambres de commerce et d’industrie peuvent également mener des travaux sur le sujet. L’enjeu est la capacité à intervenir au sein du territoire.

Le deuxième élément important est la capacité des services de l’État. Depuis quelques années, ils sont structurés en de nouvelles directions, telles que la direction interministérielle du numérique (DINUM). L’État est détenteur d’une expertise poussée qui doit être sollicitée vis-à-vis des marchés publics.

En troisième lieu, il convient de détailler la relation entre la souveraineté numérique et la notion d’économie circulaire. Il est très important de pouvoir innover sur les territoires à ce niveau. Par exemple, l’hôpital de Metz conduit une réflexion sur la chaleur numérique. On peut également s’intéresser au recyclage des appareils électroniques. La capacité à localiser des entreprises innovantes sur le territoire national me semble déterminante.

Les différents plans de l’État, tels que le plan quantique annoncé par le chef de l’État ou le plan France très haut débit, offrent la possibilité d’obtenir des budgets significatifs pour avancer sur ces questions. Enfin, les centres de données (data centers) publics, qui permettent de localiser une information numérique sur le territoire national ou européen, sont un moyen pour les entreprises françaises ou européennes d’obtenir des marchés. Pour des raisons de sécurité publique, la maîtrise du stockage par les services de l’État, les universités et les établissements publics hospitaliers, est fondamentale. Il est important de pouvoir exiger que les données demeurent sur le territoire national ou européen.

Enfin, le Buy European Act est un enjeu crucial qui doit être appréhendé avec l’AMP au sein de l’OMC. L’alternative est soit de fermer quelques portes aux entreprises américaines et chinoises, soit de se montrer plus diplomate et d’inviter les États tiers à accueillir favorablement les outils numériques européens et nationaux.

Me Thierry Dal Farra, avocat associé du cabinet UGGC Avocats. Je souscris pleinement à l’analyse juridique et aux préconisations qui viennent d’être formulées.

J’exposerai pour ma part le point de vue du praticien. J’ai accompagné des maîtres d’ouvrage informatique importants, notamment le projet Chorus, le projet d’opérateur national de paye, l’informatisation de l’AP-HP et les systèmes d’information clinique. J’accompagne aujourd’hui l’agence du numérique en santé. Mon point de vue est plutôt celui des grands maîtres d’ouvrage informatiques.

L’objectif de souveraineté numérique soulève deux grandes questions. La première, d’ordre économique, consiste à se demander comment l’achat public peut contribuer à l’émergence d’une offre économique orientée vers l’autosuffisance et qui permette aux acheteurs publics, lorsqu’ils lancent de grands projets informatiques, d’accéder à une offre française ou européenne crédible face à celle des grands opérateurs ou éditeurs américains.

L’achat public peut aider à atteindre l’objectif économique d’autosuffisance, mais de manière assez limitée, car comme l’a rappelé le Pr Stéphane de La Rosa, les politiques de préférence nationale se heurteront au droit européen et pourront difficilement faire obstacle au choix de l’offre économiquement la plus avantageuse. Un acheteur public souhaite d’abord acquérir le meilleur système. L’acheteur public fait une politique de la demande. Or, aucune politique de la demande ne peut remplacer une politique de l’offre. En économie, c’est plutôt l’offre qui crée la demande. L’acheteur public émettra bien entendu des besoins, mais il ne peut pas les formuler trop à l’avance à l’égard de certains opérateurs, car cela constituerait une sorte de favoritisme par détention d’informations privilégiées. Il s’agit d’une politique de demande émise 52 jours avant le dépôt des offres.

Dans l’affaire Chorus, l’État a voulu acquérir un logiciel qui traduisait la LOLF (loi organique relative aux lois de finances) pour la gestion des fonds publics. Le ministère des Finances voulait absolument un marché à l’éditeur, et pas un marché où il y ait des prestations d’intégration qui rendraient le dispositif difficilement maintenable. Par conséquent, nous nous sommes demandé comment faire pour contacter les grands éditeurs afin de les inviter à réfléchir aux besoins. J’ai eu l’idée de faire publier sur le site internet du ministère une espèce de politique d’orientation précisant nos besoins et notre volonté d’obtenir un marché à l’éditeur. Il s’agissait bien entendu d’une information un peu privilégiée sur les intentions d’achat. Les modalités de publicité se sont avérées quelque peu empiriques. Une nouvelle fois, c’est une politique de la demande, ce n’est pas une politique de l’offre. Il n’y a pas de politique de la demande qui puisse suppléer une politique de l’offre.

L’autre objectif de la souveraineté numérique est plus juridique. Il s’agit d’une approche complémentaire qui consiste à contribuer à l’indépendance, à la sécurité des traitements, à la protection des données et des intérêts essentiels de l’État et des Français. Or, sur ce point, les leviers ne se situent pas au stade de la passation, mais au stade de l’exécution.

Les potentialités sont bien plus nombreuses dans les clauses d’exécution que dans les procédures de passation.

Des mesures comme le Buy European Act pourront s’avérer utiles, mais elles ne résoudront pas tout. Les mesures telles que l’assouplissement des procédures de passation, le relèvement des seuils et le motif d’intérêt général supposent que les acheteurs publics s’approprient ces outils. Or, la mise en œuvre des possibilités du code de la commande publique suscite des craintes, en particulier le délit de favoritisme. Par conséquent, alors même que ce n’est pas obligatoire, les acheteurs ont tendance à mener des appels d’offres ouverts. Il est sans doute nécessaire d’éduquer les acheteurs publics dans ce domaine. Par ailleurs, le sourcing, qui permet aux opérateurs informatiques de présenter leurs savoir-faire, devrait être davantage encouragé. Un autre levier important est l’allotissement, qui permet de confier aux entreprises de petite taille et aux opérateurs une partie des programmes. La difficulté est qu’en ce cas, l’interface doit être réalisée par la maîtrise d’ouvrage informatique. Or, les interfaces peuvent devenir très difficiles à gérer lorsque les deux prestataires sont en retard et se rejettent la faute mutuellement. Cela met même certains programmes à l’arrêt.

Il existe des solutions d’accompagnement pour faire émerger une offre, mais elles sont limitées. Si l’on examine maintenant l’aspect plus juridique de la souveraineté numérique, c’est-à-dire le respect des intérêts essentiels, des données sensibles ou la sécurité du traitement informatique, les leviers sont nombreux. Tout d’abord, les contraintes sont mieux admises en droit si elles sont légitimes. Comme cela a été rappelé, des dispositions du code de la commande publique permettent de protéger la sécurité informatique, de maintenir le traitement et le stockage des données sur place. D’une certaine manière, ces mesures peuvent même être « trop » efficaces. Par exemple, il est loisible aujourd’hui à un grand acheteur public d’exiger

des modalités d’accès aux codes sources et de maîtrise de ceux-ci, d’interdire le transfert des données numériques, de multiplier les clauses relatives à l’intégrité et à la confidentialité des données et même d’exiger des stipulations particulières relatives aux licences. Les géants américains proposent des offres très formatées, les contrats de licence sont très souvent imposés ou très faiblement négociables. Si vous considérez les stipulations du dossier de consultation des entreprises, le cahier des clauses administratives particulières (CCAP) ou le cahier des clauses techniques particulières (CCTP) l’emportent nécessairement sur toutes les offres des candidats, alors vous pouvez éliminer ces offres. Or, il est évident que les contrats de licence des géants ne sont pas fondamentalement négociables. Comment s’en sort-on aujourd’hui ? Les acheteurs publics ferment les yeux et l’on adopte la clause du CCAP relative à la hiérarchie des documents contractuels. Il y a d’abord le cahier des charges de l’administration, puis l’offre vient à la fin de la liste. Ainsi, l’offre du candidat ne l’emporte pas sur les besoins de l’administration. Le problème est que cette « rustine » cache en réalité un risque de non-conformité des offres. La clause n’est pas conçue pour couvrir la non-conformité, elle a vocation à traiter des incompatibilités tout à fait ponctuelles qui pourraient exister entre les stipulations de contrats très complexes. Face à un acheteur public qui peut imposer des clauses de propriété intellectuelle, de sécurité informatique, de stockage de données ou de non-transfert aux opérateurs économiques dans les appels d’offres au titre des contraintes d’exécution, de nombreux opérateurs n’accepteront jamais de négocier leur licence ou de renoncer à la possibilité de transférer des données aux États-Unis, lorsque le Patriot Act exige de la société mère le transfert des données détenues par les sociétés filiales. Par conséquent, si nous allons au bout de l’analyse, l’offre est irrecevable.

Des services de l’État ont été confrontés à ce problème. On leur a expliqué que dans un certain nombre de situations, les données fiscales devaient pouvoir être transmises à la maison mère parce que l’administration américaine le demandait. C’était cela ou ne pas avoir de prestataire. Les clauses existent aujourd’hui. Nous avons les moyens de la souveraineté numérique au stade des contraintes que nous pouvons imposer en termes d’exécution. Si nous le faisons, nous pourrons déclarer non-conformes aux besoins du pouvoir adjudicateurs les offres qui se présenteront, mais en ce cas, nous ne trouverons plus personne.

La Cour de justice a invalidé la décision de la Commission européenne qui estimait que les Américains respectaient rigoureusement la protection des données. Un arrêt du Conseil d’État belge a rappelé que les pouvoirs adjudicateurs n’étaient pas tenus de se soumettre au dispositif du RGPD, en ses articles 45 et 46, pour accepter le transfert des données : ce dernier peut être refusé. Nous avons aujourd’hui les moyens de la souveraineté numérique nationale en termes d’exécution. Nous pouvons faire respecter l’indépendance, la sécurité, l’intégrité et le non-transfert des données. Néanmoins, les pouvoirs adjudicateurs sont réticents à utiliser ces dispositifs, car ils n’ont alors plus d’offres. Dans les grands appels d’offres dont j’ai suivi la passation, on compte finalement peu d’offres crédibles. Par exemple, s’agissant du marché pour l’opérateur national de paye, un marché de 350 millions d’euros, nous avions au bout du compte une seule offre convenable. Il n’est pas rare qu’une seule offre soit crédible sur les grands marchés et elle n’est pas forcément nationale. Enfin, s’agissant du Buy European Act, une condition préalable sera de définir ce qu’est un opérateur économique national ou européen. Dès lors que des sociétés filiales sont admises à opérer librement en Europe et sur le territoire national, il est délicat de déterminer les opérateurs étrangers. Quels critères utilisera-t-on : la localisation du siège qui peut évoluer ? la détention du capital, qui peut être placé en bourse ? la nationalité des dirigeants, parmi lesquels on trouve toujours des Français ?

Il est très difficile de décréter aujourd’hui quelles entreprises sont françaises. En somme, les enjeux et leviers de la souveraineté numérique sont dans l’exécution, mais nous devons être attentifs à défendre une politique de l’offre afin que les acheteurs publics trouvent des opérateurs qui présentent des offres crédibles.

M. Philippe Latombe, rapporteur. La CNIL a indiqué récemment qu’il n’était pas possible de recourir à des opérateurs concernant la partie RGPD, même s’ils étaient régulièrement domiciliés en Irlande. L’ensemble des GAFA sont localisés en Irlande et y ont un siège régulier, ce qui fait d’eux des acteurs européens. Dans ces conditions, comment les exclure ou prévoir de les intégrer différemment dans l’ensemble du champ légal de la commande publique ? Quels critères pourrait-on utiliser ? Par ailleurs, la localisation des serveurs est également un enjeu important, qu’il s’agisse du Health Data Hub ou de BPIfrance.

Des acteurs disent avoir utilisé le cloud de Microsoft Azure ou d’AWS, qui donnent satisfaction. Ils invoquent l’absence de risque au motif que les clés de chiffrement sont chez nous et les serveurs localisés en Europe. S’il y a risque, comment s’en prémunir ? Les opérateurs peuvent-ils être écartés à ce titre ? Les acteurs du numérique sont très intéressés par ces sujets.

Pr Stéphane de La Rosa. Ces questions sont complexes, car elles se situent au croisement de deux logiques. La première est la liberté d’établissement et la caractérisation de l’établissement en droit européen. À ce sujet, les jurisprudences diffèrent selon les champs considérés. La deuxième est la logique propre à la commande publique. Les entreprises qui soumissionnent à des contrats de marché, informatiques ou autres, sont considérées comme des opérateurs économiques. Or, la notion d’opérateur économique est extrêmement large.

N’importe quelle entité qui peut produire une offre et soumissionner à un contrat, sans être nécessairement une entreprise, est un opérateur économique. Par conséquent, toute entité publique ou privée, dès lors qu’elle est apte à faire une offre, peut se porter candidate indépendamment de sa localisation ou de son établissement. Ces critères n’apparaissent pas dans la définition des parties à un contrat de commande publique.

La nationalité des opérateurs des sociétés et de leurs filiales est une question également complexe. La jurisprudence a admis un certain nombre d’hypothèses de transfert de sièges sociaux et d’implantation de filiales par rapport à des sociétés mères. L’interface par rapport à la commande publique s’effectue essentiellement selon les conditions d’aptitude. Un acheteur peut invoquer les obligations d’enregistrement au registre du commerce et quant à l’immatriculation sociale et fiscale.

La question de l’abus de droit doit également être examinée avec attention. Face à certains montages fiscaux élaborés par les GAFA, la Cour européenne a ouvert la voie à des localisations qui seraient constitutives d’abus de droit, au terme du droit européen et du droit interne, en tant qu’elles visent à contourner les règlementations existantes. La qualification d’abus de droit devrait être mieux exploitée en matière de commande publique.

Enfin, la localisation et les transferts de données nous ramènent à une problématique de « bouclier ». Le risque est le transfert des données européennes aux États-Unis. La jurisprudence Schrems a donné lieu à plusieurs arrêts, dont le dernier de juillet 2020. Nous sommes confrontés à un enjeu de reconnaissance mutuelle : dans quelle mesure peut-on admettre qu’on a un système de protection à peu près équivalent chez des États tiers, en particulier aux États-Unis ? La question est très difficile, car par application du Cloud Act aux États-Unis, les renseignements américains exerceront toujours un contrôle sur les données qui doivent être transmises par les grandes entreprises. La Commission a soulevé récemment les autres questions de la cybersécurité et de la cyberdéfense. La révision des directives de cybersécurité des données et de cyberdéfense est différente du Digital Act. Elle constitue à mon avis un élément de réponse sur lequel le législateur français devrait prendre position.

M. François Benchendikh. C’est sans doute un vœu pieux de déterminer la qualification des entreprises, compte tenu de leur facilité à se déplacer sur le territoire de l’Union ou même mondialement. La notion d’entreprise locale ne comporte pas celle de

nationalité. Ainsi, une entreprise locale étrangère demeurerait une entreprise locale. Nous voyons cela illustré notamment dans un texte de 2017 sur les territoires ultramarins. Il est dit que l’on souhaite pouvoir privilégier une entreprise locale dans un appel d’offres. La commande publique peut faire office de levier pour permettre à certains territoires de bénéficier d’un achat public.

Je crois que l’intérêt général pourrait également être mobilisé dans ce cadre, bien qu’il ne soit pas en harmonie avec la directive européenne. Enfin, le centre de données (data center) public est un peu un serpent de mer. On s’est aperçu que des données de santé des collectivités étaient hébergées dans un État étranger. Les collectivités n’ont pas des informations suffisamment précises leur permettant d’avoir accès aux données. Je suis personnellement convaincu qu’il est nécessaire de développer un centre de données (data center) public. Une entité publique devrait être propriétaire des données. Ce peut être un syndicat mixte ou une structure juridique particulière, mais l’intérêt de ce système est que les données ne bougent pas après l’appel d’offres. Même si le gestionnaire est une entreprise informatique classique, les données demeureront localisées.

M. Philippe Latombe, rapporteur. Le logiciel libre est reconnu aujourd’hui comme pouvant être intégré dans des appels d’offres. Constitue-t-il une solution pour vous et si oui, comment concevez-vous sa mise en œuvre ? Le logiciel libre doit-il être privilégié comme le demandent un certain nombre d’acteurs du numérique, notamment français ? Comment percevez-vous son efficacité ?

Me Thierry Dal Farra. Un arrêt du Conseil d’État du 30 septembre 2011 redresse l’opinion d’un juge des référés précontractuels sur le fait qu’il est loisible à un pouvoir adjudicateur d’encourager des solutions de recours à des logiciels libres. La perspective est intéressante, mais soulève un certain nombre de difficultés. S’agissant de projets sensibles et de grande envergure, une solution à partir de logiciels libres n’offre pas de garanties de montée en version ou de mise à jour. En outre, quand vous téléchargez le logiciel libre, vous êtes tenus par la licence qui l’accompagne sans discussion possible. Celle-ci est rédigée en langue étrangère, les juridictions prévues sont également étrangères. Enfin, les responsabilités sont diluées : le logiciel étant libre, il n’est à personne et l’on ne trouve pas d’interlocuteur.

L’utilisation du logiciel libre est envisageable pour des prestations standards à faible degré de sensibilité et pour autant qu’on puisse respecter les stipulations de la licence, mais ce point doit être examiné. Du point de vue du praticien, le logiciel libre n’est pas le remède miracle, notamment pour les grands projets sensibles, pour lesquels la souveraineté numérique est un enjeu essentiel.

Pr Stéphane de La Rosa. Je partage cette analyse. Il convient d’envisager l’usage du logiciel libre selon la taille, le montant du marché et le type de contrat, marché ou concession.

Depuis quelques années, on observe quelques velléités contentieuses d’organismes représentant les logiciels libres qui viennent contester des appels d’offres au motif que les spécifications techniques désignent nommément un logiciel ou un exploitant plutôt qu’un autre, et méconnaissent par conséquent le principe d’égalité. Dans certains cas, il leur est donné raison. L’enjeu est que les spécifications techniques soient rédigées en termes strictement fonctionnels sans cibler un système d’exploitation ou un logiciel en particulier. Ce sont des organismes proches du logiciel libre qui ont déposé des recours concernant le Health Data Hub. Un référé du Conseil d’État du 13 octobre 2020 a enjoint de prendre des garanties supplémentaires face aux risque de transfert de certaines données.

Au-delà de l’aspect contentieux, s’agissant de la mise en œuvre, il est souhaitable de conduire une analyse fine de l’articulation entre les logiciels, les systèmes d’exploitation, l’obligation pour un système d’accueillir différents types de logiciels qui ne soient pas

incompatibles. De ce point de vue, le Digital Act obligerait les grands systèmes d’exploitation à accueillir des logiciels d’autres éditeurs.

M. François Benchendikh. Les éléments essentiels pour l’État ou les collectivités, lorsqu’ils s’engagent dans une relation contractuelle, sont les clauses du contrat. Elles peuvent notamment garantir les conditions d’utilisation, les conditions d’accès ou la capacité à se doter d’une hotline. Or, un logiciel libre ne permet pas ces garanties. L’élément fondamental lorsque l’État souhaite lancer un marché est la détermination préalable des besoins. C’est ce travail qui permettra à l’acheteur public de structurer le cahier des charges et de choisir l’entreprise la plus à même de répondre.

M. Philippe Latombe, rapporteur. Dans vos propos liminaires, vous avez tous évoqué l’éducation des acheteurs publics. Lorsque nous avons interrogé l’UGAP, la semaine dernière, ses représentants nous ont indiqué que leur activité de veille vis-à-vis des nouvelles solutions était très limitée. Avec des acheteurs qui ne sont pas parfaitement préparés, d’un côté, et une cellule de veille qui n’est pas à même de proposer des solutions très innovantes, de l’autre, on a tendance à adopter les mêmes solutions, le plus souvent intégrées et provenant des GAFA. Ce sont Microsoft 365 pour la gestion des mails, intégrant Azure, ou bien AWS pour BPI en ce qui concerne le prêt garanti par l’État (PGE). Comment inciter les acheteurs publics à prendre des risques, et dans quelles limites ? Comment procéder pour les éduquer ?

Pourrait-on aller au-delà des observatoires ?

Me Thierry Dal Farra. En tant que praticien, je crois qu’il convient de distinguer la maîtrise des besoins et la maîtrise des procédures. S’agissant de la maîtrise des besoins, il existe en droit de la commande publique l’obligation de déterminer le besoin en amont de toute procédure de mise en concurrence. Cela suppose que l’acheteur public est omniscient.

Or, vous ne pouvez commander que ce que vous connaissez. Nous sommes une nouvelle fois face à la logique de la demande qui est un peu antiéconomique, puisqu’en principe, c’est l’offre qui crée la demande. Si vous ne savez pas ce qui existe, vous ne pouvez pas le commander.

Nous sommes donc face à un véritable problème, spécifiquement dans le domaine informatique, de non-maîtrise par les acheteurs publics de leurs propres besoins. Ils ne les maîtrisent pas parce qu’ils ne savent pas ce qui existe et ne savent pas quoi commander.

Il existe un certain nombre de techniques qui fonctionnement plus ou moins bien, telles que la méthode agile. Je considère qu’elles sont peu efficaces, car elles conduisent à contractualiser à nouveau après la passation du contrat. Elles peuvent également conduire à des contentieux d’exécution sans fin. Une technique permettant d’améliorer la maîtrise par les acheteurs publics de leurs propres besoins en matière d’informatique est d’encourager le sourcing, c’est-à-dire de permettre à des opérateurs économiques, en les encadrant davantage et sans favoritisme, de proposer des solutions qu’ils ont conçues. À un moment donné, lorsque la discussion s’arrête, on lance la procédure dans le respect du principe d’égalité. Quoi qu’il en soit, il est très important que les acheteurs publics maîtrisent mieux leurs besoins. La prise de risque n’est pas tolérable sur ce point, car faute de maîtrise, ce qu’ils commandent ne correspond pas à ce qu’ils obtiendront. Ils devront alors changer les besoins en cours d’exécution du contrat lorsqu’ils s’apercevront que ce qu’ils ont commandé ne correspond pas à la totalité de leurs besoins.

Le deuxième problème est la maîtrise des procédures. Prendre des risques est difficile lorsque toute la matière est pénalement sanctionnée. Quand vous examinez les arrêts de la Cour de cassation en matière de favoritisme, la moindre irrégularité est constitutive d’une infraction. Alors même qu’aux termes de l’article 432-14 du code pénal, le délit est constitué par le fait d’avoir procuré ou tenté de procurer un avantage à autrui par violation des règles garantissant l’égalité et la liberté d’accès aux contrats de la commande publique, la Cour de

cassation a complètement « écrasé » la première condition sur la tentative ou l’octroi d’un avantage injustifié. Elle considère que toute violation des règles de passation induit obligatoirement un avantage injustifié. L’écrasement de la première condition entraîne un élargissement du champ du délit. De fait, la moindre irrégularité peut conduire au délit de favoritisme. J’ai soulevé une question prioritaire de constitutionnalité concernant l’écrasement de la condition tenant à l’avantage injustifié, mais il est peu concevable qu’un acheteur public prenne un risque, alors qu’on lui explique que, s’il commet la moindre irrégularité, il risque de tomber sous l’accusation de favoritisme.

Même dans les marchés à procédure adaptée, les acheteurs ne bénéficient pas de la liberté que le code leur octroie. Alors qu’ils pourraient rencontrer les opérateurs, afin d’éviter les risques, ils font de l’appel d’offres ouvert, car c’est la voie la plus commode. Quant à l’UGAP, elle fonctionne bien pour les fournitures standards, mais elle n’est pas le bon instrument pour les solutions innovantes, car ils ne connaissent pas forcément tous les besoins de leurs clients. À mon sens, la meilleure perspective pour maîtriser les besoins consiste à encourager une meilleure connaissance de l’offre par le sourcing.

Pr Stéphane de La Rosa. En ce qui concerne l’accompagnement des acheteurs, les formations proposées dans les universités demeurent très juridiques. Il s’agit de formations classiques en droit des contrats. Il me semble que la technique de l’acheteur public est insuffisamment investie. Il est important que la formation des futurs juristes en commande publique ne se limite pas aux aspects juridiques et contentieux. Cette évolution est d’autant plus nécessaire que lorsque nous examinons nos voisins, l’approche est différente. Par exemple, aux États-Unis, les juristes en commande publique sont formés de manière beaucoup plus concrète.

La question du sourcing est essentielle. Les acheteurs publics sont toujours réticents à en faire usage. Il y a dix ans, on attribuait le contrat à la personne qui avait défini le besoin.

Cette technique a été condamnée par la Cour de justice. La compréhension du sourcing doit être affinée. La mise en place d’un portail public d’accès à l’offre existante serait un moyen d’approfondir les connaissances des acheteurs dans ce domaine. Le travail sur ce point est insuffisant, tant en France qu’au niveau de la Commission ou des autres institutions européennes. Si la Commission produit régulièrement des communications un peu techniques sur les bonnes pratiques observées ici ou là, elle ne propose pas de portail global de l’offre européenne d’entreprises numériques. Un travail pourrait être conduit pour développer la connaissance de l’offre, détaillant notamment les systèmes d’exploitation ou les aspects relatifs à la cybersécurité.

Enfin, la question des marchés de R&D sur les solutions innovantes doit être approfondie. En l’état actuel du droit, les marchés de R&D échappent au code. On peut attribuer un marché de R&D sans s’y soumettre. Le problème est que ces marchés doivent être uniquement à des fins d’établissement de prototypes. En d’autres termes, ils ne peuvent pas avoir de prolongement industriel. Quel est l’intérêt pour un opérateur de développer ce type de marché s’il ne peut pas l’exploiter d’un point de vue commercial ? L’outil est sans doute intéressant, mais il doit évoluer afin de donner une viabilité économique réelle aux projets financés en R&D.

François Benchendikh. Un autre élément important est le cadre d’emploi. Une personne qui détient des connaissances assez poussées en informatique, si elle souhaite une rémunération attractive, aura tendance à rejoindre le privé plutôt qu’une collectivité ou l’État.

L’enjeu pour l’acheteur public est de compter chez lui un ingénieur informatique qui privilégierait une carrière publique. La difficulté à faire émerger des projets est cependant fondamentale : des collectivités ou certains services de l’État ne savent pas ce qu’ils

souhaiteraient, parce qu’ils ne peuvent connaître avec précision leurs besoins. Certains pourront solliciter un bureau d’études, mais la démarche demeure compliquée. Sur les marchés téléphoniques, par exemple, les collectivités dépensent des sommes colossales parce que les offres ne leur sont pas adaptées.

En ce qui concerne l’élaboration du portail, les données sont disponibles. Avec l’aide des chambres consulaires et de certains syndicats patronaux, le portail pourrait faciliter largement les projets et permettre l’avènement du sourcing.

M. Philippe Latombe, rapporteur. Y a-t-il des sujets que nous n’aurions pas encore abordés ? Souhaitez-vous encore apporter d’autres précisions ?

Pr Stéphane de La Rosa. À titre conclusif, il me semble que votre mission appelle une clarification de la notion de souveraineté numérique. Le volet interne et stratégique consiste à privilégier les entreprises françaises afin de compter des champions nationaux. Le volet externe consiste à organiser une défense efficace contre des comportements prédateurs ou des pratiques déloyales. La question de la souveraineté se pose aussi dans un cadre européen, dans la mesure où les normes sont aussi européennes. Ces aspects doivent être pensés ensemble, afin d’obtenir une compréhension fine de la souveraineté numérique et de ne pas en faire un « attrape-tout ».

Deuxièmement, il est important d’adopter une nouvelle position par rapport à l’accord sur les marchés publics. Les calculs des seuils nous viennent de l’AMP, ainsi que les clauses de non-discrimination par rapport aux États tiers. En outre, dans la hiérarchie des normes européennes, l’AMP prévaut sur les directives européennes. Or, on est confronté à une tendance à questionner le contenu de l’AMP, en particulier aux États-Unis. Il serait donc important que la France tienne un discours clair sur l’AMP. Doit-on le renégocier, émettre des réserves ? Si ce travail n’est pas effectué, la souveraineté numérique ne sera pas bien définie sur le plan technique et juridique. Enfin, une réflexion doit être menée sur les grands financements publics. Il convient d’envisager l’évolution du droit des aides d’État en ce qui concerne le financement de projets innovants. Ces approches doivent s’inscrire dans une perspective plus large qui est le marché numérique et la réorientation de la politique industrielle européenne.

M. Philippe Latombe, rapporteur. Nous avons commencé notre mission par un travail de définition de la souveraineté numérique afin d’éviter les acceptions trop générales.

Selon vous, une réflexion est-elle en cours sur l’AMP à l’heure actuelle ?

Pr Stéphane de La Rosa. Comme l’atteste le décret de Joseph Biden publié depuis quelques jours, la réflexion est engagée aux États-Unis. L’administration américaine vise un repositionnement de l’AMP afin de proposer un système d’offre. S’agissant de la Commission, je ne peux vous répondre avec précision. Quoi qu’il en soit, les mécanismes de préférence et de Buy European Act me semblent indissociables d’une réflexion sur le texte.

Me Thierry Dal Farra. Je souscris à ce qui vient d’être dit : il n’y aura pas d’évolution significative sans un accompagnement européen. Il est très important de développer une politique de l’offre à laquelle l’acheteur public puisse contribuer, car, afin d’acheter européen, encore faut-il qu'une offre européenne existe. De même, afin d’acheter français, l’offre économique la plus avantageuse doit être l’offre nationale. Nous avons aujourd’hui les moyens d’exclure du champ les géants américains en alléguant des clauses incompatibles avec leurs politiques de groupe. Mais si nous n’avons pas entre temps contribué à l’élaboration d’une offre alternative, nous n’aurons personne. En somme, le risque est soit de n’avoir que des offres irrégulières, soit de ne pas avoir d’offres. Les grands acheteurs publics français que je

connais ont pour objectif premier de satisfaire les besoins et d’assurer le bon fonctionnement des services publics. Ils sont par conséquent portés à choisir l’offre la plus efficace.

Au-delà des aides d’État, plusieurs pistes peuvent être proposées pour développer la politique d’offre numérique. La première est le sourcing qui permettrait une meilleure connaissance des solutions innovantes françaises. La deuxième est l’élaboration de participations de l’État à des entreprises. L’État pourrait être présent le temps de créer l’offre et ressortir ensuite. Il aurait alors contribué à bâtir une filière. Cela s’est fait dans le domaine de l’énergie dans les années 1970. Pourquoi ne pas l’envisager dans les années 2020 pour le numérique ? L’importance de l’enjeu le justifie.

M. François Benchendikh. Il est nécessaire de développer une recherche publique fondamentale sur la question numérique. Elle pourrait contribuer à l’émergence d’entreprises et d’acteurs qui en bénéficieraient. Un autre élément important est la place et le rôle des services de l’État, qu’il s’agisse de l’agence du numérique ou de la DINUM. Chaque direction peut permettre de trouver des solutions.

Audition commune de Mme Laure Bédier, conseiller d’État, directrice des affaires juridiques au ministère de l’Économie et des Finances, agent judiciaire de l’État, et de M. Benoît Dingremont, administrateur civil au ministère de l’Économie et des Finances

(28 janvier 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Notre mission d’information achève aujourd’hui son cycle d’auditions consacrées à la commande publique. À cette étape de nos réflexions, il nous semble important de faire le point sur le champ des possibles dans ce domaine, dans l’objectif de protéger et de promouvoir notre souveraineté numérique aux niveaux national et européen.

M. Philippe Latombe, rapporteur. Je souhaiterais évoquer trois sujets. Tout d’abord, pourriez-vous nous présenter à grands traits un état des lieux du droit de la commande publique et ses principales évolutions ces dernières années ? Un certain nombre d’initiatives ont été prises pour moderniser la commande publique. Je pense à la fois au plan de transformation numérique engagé pour la période 2017-2022, à la loi d’accélération et de simplification de l’action publique du 7 décembre 2020 (loi ASAP), et aux mesures pour encourager le recours à davantage de solutions innovantes, via l’expérimentation d’un dispositif dédié depuis 2018.

J’aimerais connaître votre regard sur ces éléments et prendre connaissance à cette occasion des travaux de l’observatoire économique de la commande publique qui pourrait éclairer notre démarche. En second lieu, quelles sont, selon vous, les évolutions envisageables ou souhaitables du droit de la commande publique afin de promouvoir par son truchement notre souveraineté numérique ? J’aimerais en particulier savoir s’il existe déjà des outils permettant de favoriser l’achat par des acteurs publics de matériel et de logiciels souverains. Si tel n’est pas le cas, quelles devraient être les caractéristiques d’un nouveau régime juridique allant dans ce sens, en conformité avec le droit européen ? Nous sommes ouverts à toutes vos propositions sur ce sujet. Elles nous permettront notamment de faire le lien avec l’audition précédente, au cours de laquelle des professionnels du droit ont émis quelques suggestions. Enfin, j’aimerais vous interroger plus globalement quant à l’influence des règles actuelles de la commande publique sur la capacité des acheteurs publics à prendre des risques dans leurs pratiques d’achats. La semaine dernière, si M. Nadi Bou Hanna, directeur interministériel du numérique, nous a indiqué que le code de la commande publique pouvait être « désincitatif » sur ce point, la direction des achats de l’État ne semblait pas tout à fait en accord. Quelle est votre position à cet égard ? Des modifications sont-elles envisageables pour lever les obstacles qui semblent exister sur ce sujet ?

Mme Laure Bédier, conseiller d’État, directrice des affaires juridiques au ministère de l’Économie et des Finances, agent judiciaire de l’État. La direction des affaires juridiques se compose de quatre sous-directions, dont la sous-direction du droit de la commande publique, représentée par M. Benoît Dingremont aujourd’hui. Cette sous-direction est en charge de l’élaboration du droit de la commande publique et de la norme. Elle propose également du conseil aux acheteurs, elle élabore à leur attention des fiches de doctrine. Elle s’occupe également du recensement des statistiques de la commande publique et elle publie des guides. Cette dernière activité s’exerce dans le cadre de l’observatoire économique de la commande publique (OECP), qui a remplacé en 2016 l’observatoire économique de l’achat public. L’objectif était d’aller au-delà des marchés publics et d’intégrer les concessions.

L’observatoire économique de la commande publique est organisé autour d’une assemblée

plénière qui décide de ses travaux et qui rassemble les parties prenantes de la commande publique, c’est-à-dire, à la fois, des acheteurs et des opérateurs économiques. L’assemblée plénière n’a pu se tenir cette année, mais cela n’a pas empêché l’observatoire économique de la commande publique de publier deux guides qui ont été largement téléchargés par les acheteurs et par les entreprises. Le premier guide porte sur l’accès des TPE/PME à la commande publique. Le deuxième concerne l’achat innovant. Pour 2020, nous avons publié un document sur la sous-traitance qui n’est pas sans lien avec vos travaux. En 2021, nous travaillerons sur les concessions et sur leurs aspects statistiques. Les États membres sont obligés d’adresser tous les trois ans un rapport à la Commission sur la règlementation et son application en matière de commande publique. La sous-direction du droit de la commande publique suit enfin les questions relatives à la transition numérique de la commande publique.

La deuxième sous-direction qui compose notre direction est la sous-direction du droit privé et du droit pénal, qui exerce des missions de conseil et d’expertise dans ces secteurs et qui gère les dossiers de l’agent judiciaire de l’État. Ce dernier a le monopole de la défense des intérêts de l’État, lorsqu’il s’agit d’intérêts financiers, à la fois en demande et en défense, devant les juridictions judiciaires. Nous comptons environ 11 000 dossiers. La sous-direction du droit public et du droit européen international donne des conseils dans ces domaines. Enfin, la sous-direction du droit des régulations économiques traite du droit financier, du droit des assurances, du droit des entreprises et donne des conseils dans le domaine du numérique pour la protection des données personnelles. Je précise que nous sommes une direction de conseil et non une direction opérationnelle. Nous n’effectuons donc pas d’achats. C’est la direction des achats de l’État (DAE) qui exerce la pratique des achats publics.

Voici maintenant quelques chiffres concernant la commande publique. En 2019, nous avons enregistré 170 000 marchés pour un montant d’un peu plus de 110 milliards d’euros.

Les PME représentent plus de 60 % du total en nombre et 30 % en montant. La répartition entre fournitures et travaux est variable. Par exemple, l’État et les établissements hospitaliers ont beaucoup plus de fournitures. Ces dernières représentent près de 50 % du montant. À l’inverse, les collectivités territoriales dépensent davantage en travaux. Plus de 20 % des marchés sont supérieurs au seuil européen et ils représentent un montant très important.

Les marchés numériques au sens large représentent un montant de 5,3 milliards d’euros, qui se répartit en 2 milliards d’euros pour l’État, dont 500 millions d’euros pour les armées, et 500 millions d’euros pour les collectivités territoriales. Les autres acheteurs, qui représentent environ 3 milliards d’euros, sont essentiellement les opérateurs de réseaux.

L’acteur le plus important sur ce marché est la SNCF, qui représente 800 millions d’euros, EDF représentant 700 millions d’euros.

S’agissant de la souveraineté numérique nationale et européenne, notre droit est assez contraint, car, si l’on excepte les marchés de défense et de sécurité, pour lesquels nous pouvons faire valoir une préférence européenne, les outils permettant de défendre la préférence sont très limités. Je les cite rapidement pour les écarter, car ils ne sont pas applicables aux marchés informatiques. Le premier est la possibilité de déroger aux procédures de publicité et de mise en concurrence en cas de menace grave. Nous ne nous inscrivons évidemment pas dans ce cadre. Le deuxième est l’article 52 du Traité sur le fonctionnement de l’Union européenne (TFUE) qui permet de déroger, pour des raisons d’ordre public et de sécurité publique, à un certain nombre de principes européens, notamment la liberté d’établissement. Le problème est qu’un argument économique n’est pas suffisant pour déroger aux principes applicables au sein de l’Union européenne. Néanmoins, cet article peut être une piste de développement d’autres outils. L’État a engagé des réflexions sur l’instauration d’un cloud souverain sur la base de l’article 52. Pour le reste, nous sommes très encadrés par l’accord sur les marchés publics

(AMP), parce que contrairement aux États-Unis qui ont négocié un Buy American Act, l’Union européenne n’a pas négocié ce dispositif et ne peut défendre une préférence européenne.

Il existe néanmoins au sein des directives deux articles qui nous permettent de restreindre un peu l’accès des pays tiers aux marchés européens. Le premier est l’article 85 de la directive de 2014, qui a été transposé à l’article L. 2153-2 du code de la commande publique.

Il permet d’écarter les offres qui se composent à plus de 50 % de produits provenant d’États tiers à l’Union européenne. Les États tiers sont les États qui n’ont pas signé l’AMP ou qui n’ont pas signé de traités commerciaux bilatéraux avec l’Union européenne. Cet article n’est pas d’application aisée. Tout d’abord, il ne s’applique qu’aux opérateurs de réseaux, c’est-à-dire aux domaines de l’eau, de l’énergie et des transports. Ensuite, il ne s’applique qu’aux marchés de fournitures. Si le marché est à la fois un marché de services et de fournitures, l’article 85 n’est pas applicable. En outre, il est complexe à mettre en œuvre, car il est très difficile de déterminer l’origine du produit, qui diffère selon les États de l’Union européenne.

Il suffit donc d’entrer dans un pays peu regardant pour être considéré comme européen à plus de 50 %. Nous avons tenté de clarifier la situation en publiant récemment une fiche sur l’application de l’article 85.

Par ailleurs, nous avons interprété a contrario l’article 25 de la directive pour introduire dans la code de la commande publique l’article L. 2153-1, qui permet d’écarter une offre d’une entreprise issue d’un État tiers. Cet article n’est pas simple à appliquer non plus, notamment parce qu’il est difficile de déterminer le champ exact couvert par l’accord sur les marchés publics et les traités bilatéraux. S’agissant de l’accord sur les marchés publics, chaque pays peut émettre ce que l’on appelle une offre de couverture : il n’adhère pas à l’ensemble de l’AMP, mais il choisit les secteurs pour lesquels il adhère. Il est par conséquent compliqué de savoir ce qui est couvert par l’accord. Par ailleurs, cet article ne s’applique qu’aux offres provenant d’entreprises situées dans des États tiers et ne s’applique donc pas lorsqu’il existe une filiale en France ou en Europe. Or, l’entreprise soumissionnaire compte très souvent un établissement en France ou en Europe. Elle ne peut donc être écartée au seul motif qu’elle appartient à un groupe étranger. Le pourcentage de marchés publics attribués à des entreprises étrangères est très faible, de l’ordre de 2 à 3 %, ce qui est assez contre-intuitif, mais dans de nombreux cas, elles comptent des filiales françaises. La dernière fragilité de ce dispositif est qu’il s’agit d’une interprétation a contrario dans le domaine des négociations commerciales, qui est un domaine exclusif de la Commission.

Dans le groupe de travail « marchés publics », nous tentons d’obtenir de l’Union européenne des avancées sur ces sujets et en particulier une modification des directives, et ce, à plusieurs fins. Premièrement, nous souhaiterions clarifier ce qui peut être fait dans le cadre de l’article 25 de la directive 2014, tel que transposé. Il serait souhaitable que l’Union européenne puisse aider ses membres à déterminer la liste des pays et des produits couverts par les accords commerciaux, afin de savoir avec précision dans quels cas une offre d’État tiers peut être écartée. Un autre objectif est de clarifier l’application de l’article 85 qui comporte la notion de produit d’origine et d’étendre cet article à l’ensemble des acteurs, au-delà des opérateurs de réseaux. L’enjeu est de travailler dans le cadre des directives, parce que s’engager dans une renégociation de l’accord sur les marchés publics semble très compliqué.

La France est assez isolée sur ce sujet complexe. Il est plus efficace d’utiliser l’ensemble des possibilités offertes par les directives pour favoriser les offres européennes dans les secteurs stratégiques.

Cela étant, en dehors de cette action, le code de la commande publique comporte des outils qui nous permettent de tenter de privilégier l’offre européenne. Comme nous le rappelons souvent dans les fiches que nous publions, le sourcing est un élément essentiel. Il

est très important de connaître l’offre nationale pour pouvoir adapter la demande en conséquence. L’allotissement permet aux petites entreprises nationales d’accéder aux marchés publics. Il est par ailleurs important de choisir des critères qui ne soient pas seulement liés aux prix, mais qui concernent également la qualité. Par exemple, on parle souvent du critère environnemental. Les critères doivent être pondérés de manière à ce que le prix ne soit pas le seul élément pris en compte dans la sélection. Il est également possible d’établir des clauses d’exécution sur la sécurité et l’intégrité des données. On recommande également de porter une grande attention à l’application du RGPD. Il n’est pas possible de rejeter une candidature au seul motif que l’entreprise est soumise au Cloud Act américain. En d’autres termes, le droit de la commande publique ne permet pas de rejeter une candidature parce qu’une entreprise pourrait ne pas respecter les règles nationales et européennes. Nous pouvons toutefois maximiser les chances des entreprises européennes en rappelant la nécessité de respecter le RGPD. Par exemple, lorsque des données présentent un caractère sensible, on peut exiger leur stockage en Europe et interdire le contrôle des données depuis un groupe installé hors du territoire européen. On peut également prévoir de sanctionner la transmission des données à caractère personnel, y compris si elle est censée s’effectuer en application d’une législation étrangère. On peut enfin faire de toutes ces garanties un critère de classement.

Nous sommes en train de mener un travail sur les cahiers des clauses administratives générales (CCAG). Bien que ces documents ne soient pas obligatoires, les acheteurs y recourent très fréquemment. Dans une révision assez générale de ces CCAG, qui seront publiés au mois d’avril, un certain nombre de travaux ont porté sur la protection des données personnelles. Nous proposons d’insérer dans l’ensemble des CCAG des dispositions rappelant les règles du RGPD. Nous proposons en outre de prévoir une obligation de déclaration informant l’acheteur en cas de recours à un sous-traitant pour la mise en œuvre du traitement de données. Nous proposons aussi une obligation d’informer l’acheteur de toutes les mesures lui permettant de s’opposer à des transmissions de données qui seraient contraires à la réglementation européenne. Nous proposons enfin de prévoir des pénalités en cas de violation de la protection des données. La révision des CCAG vise en somme à renforcer la protection des données personnelles.

Vous avez évoqué les achats innovants. Il s’agit d’une expérimentation qui date de décembre 2018, permettant de dispenser de publicité de mise en concurrence les achats de produits innovants au-dessous de 100 000 euros jusqu’au 24 décembre 2021. Nous devrions obtenir un bilan de cette expérimentation au mois de juin. Au 1er janvier, 174 marchés ont été déclarés auprès de l’OECP pour un total de 11 millions d’euros, très probablement sous-estimé. De manière générale, les acheteurs déclarent assez peu leur marché à l’OECP et les achats innovants sont compliqués à déclarer. Les premiers résultats fournissent néanmoins un bon aperçu du dispositif. Il est utilisé principalement, à près de 60 %, pour les marchés de services. La moitié de ces marchés portent sur des montants supérieurs à 75 000 euros et les marchés informatiques ne représentent qu’un tiers de ces marchés innovants. De nombreux marchés concernent l’achat responsable, c’est-à-dire l’innovation sociale et environnementale, ainsi que l’économie circulaire.

Afin de favoriser le recours à ce dispositif, nous avons publié un guide définissant un faisceau d’indices qui permettent de qualifier un achat d’innovant. Le principal frein au recours à ce dispositif est l’incertitude autour de la notion d’achat innovant. Il importe de savoir si l’on se trouve dans un cadre qui permet de se dispenser de publicité et de mise en concurrence. Il n’est pas certain que ce soit suffisant, mais c’est tout ce que nous avons pu faire à notre niveau. Le guide ayant été largement téléchargé, nous espérons qu’il aura aidé les acheteurs à s’emparer de ce dispositif, même si les chiffres que je cite sont, pour l’heure, un peu décevants.

Dans la réglementation nationale récente, la loi ASAP a été adoptée dans un objectif de simplification des procédures et de soutien à l’économie. La mesure phare, qui n’est pas forcément très applicable aux marchés numériques, est la dispense de publicité et de mise en concurrence pour les marchés de travaux, en-dessous de 100 000 euros, jusqu’au 31 décembre 2022. La loi pérennise aussi un certain nombre de mesures prises pendant l’état d’urgence sanitaire. Elle rappelle notamment que les entreprises en redressement judiciaire bénéficiant d’un plan de redressement peuvent soumissionner aux marchés publics. Le Conseil d’État l’avait dit, mais cette possibilité demeure peu connue des acheteurs. Des dispositions permettent également de réserver, pour les marchés globaux, des parts aux TPE/PME.

Une autre mesure, qui a été très mal comprise, permet, pour un motif d’intérêt général, de se dispenser de recourir à la publicité et à la mise en concurrence. Elle a été mal comprise tout d’abord parce qu’elle ne s’applique qu’en-dessous des seuils européens. Au-dessus de ces seuils, on s’inscrit, par définition, dans le cadre des règles européennes de publicité et de mise en concurrence. L’idée n’est pas de permettre à un acheteur considérant qu’il a un motif d’intérêt général de se dispenser des formalités de publicité et de mise en concurrence. La disposition vise plutôt à fournir une base législative à des mesures règlementaires de dérogation de publicité et de mise en concurrence qui seront prises par décret en Conseil d’État, avec un contrôle strict de ce dernier. Par exemple, si l’on pérennise la disposition de l’achat innovant afin de soutenir l’écosystème des start-up nationales, l’intérêt général du soutien aux start-up permettra de justifier la dérogation au seuil de publicité et de mise en concurrence. La mesure doit s’appliquer à des secteurs très précis, de manière limitée et sous le contrôle du Conseil d’État. Par conséquent, le champ d’application de cette mesure demeure très limité.

Le plan de transformation numérique de la commande publique court sur cinq ans, de 2018 à 2022. Il associe la direction des affaires juridiques, la direction des achats de l’État et l’agence pour l’informatique financière de l’État. Il a bénéficié d’un soutien du fonds de transition numérique de l’action publique. L’objectif du plan est de dématérialiser, de bout en bout, les différentes étapes de la commande publique. Nous avons conduit une dématérialisation de la passation des marchés publics en octobre 2018. Il s’agissait d’une obligation européenne, que nous avons appliquée en dessous des seuils européens. Le projet est de dématérialiser la suite de la chaîne de la commande publique, et notamment l’exécution des marchés publics. Afin d’atteindre cet objectif ambitieux, nous essayons de développer l’interopérabilité entre les systèmes d’information, et surtout la création de briques en open source qui pourront être implémentées sur les plateformes des acheteurs, qu’on appelle les profils d’acheteurs. Le projet se construit autour de la plateforme d’achat de l’État. On y associe un certain nombre d’importantes plateformes d’acheteurs, Maximilien pour l’Ile-de-France et Mégalis pour la Bretagne. L’enjeu est de faire croître à une taille critique les plateformes qui utilisent ces briques en open source, afin qu’elles puissent se diffuser vers l’ensemble des acheteurs publics.

Jusqu’en 2020, nous avons surtout travaillé sur le socle du projet, c’est-à-dire le cadre commun d’urbanisation et la cartographie des SI. Le projet n’est donc pas encore très visible de l’extérieur. À compter de l’année prochaine, nous pourrons offrir des services permettant de favoriser la dématérialisation, tels que la signature électronique ou la transmission des avis de publicité. Les avis de publicité seront regroupés sur un portail, ce qui permettra aux entreprises de les consulter en un lieu unique. Le projet a pris un peu de retard en raison du COVID, mais il se poursuit et nous devrions pouvoir offrir un certain nombre de briques aux acheteurs en 2022, leur permettant de dématérialiser de bout en bout la commande publique.

J’évoquerai pour terminer la prise de risque que vous avez mentionnée en introduction.

Il est certain que la commande publique est une opération très complexe. Cela ne tient pas au droit national, mais au droit européen. Lors de la transposition des directives, nous avons donc tenté de porter le souci de simplification au niveau européen. Nous continuerons de défendre ce besoin, mais nous sommes très encadrés par le droit européen. Nous avons adopté, au cours des dernières années, plusieurs mesures destinées à favoriser cette simplification. Je ne suis pas certaine que nous puissions aller plus loin. Il convient à présent d’utiliser les outils existants. Il est donc important de bien communiquer sur ce que permet le code de la commande publique.

M. Philippe Latombe, rapporteur. La vision de l’AMP pourrait-elle évoluer avec le décret du président Joseph Biden du 25 janvier, relatif au Buy American Act ? Il y est indiqué que les États-Unis souhaiteraient renégocier l’AMP. N’est-ce pas une opportunité que l’Europe et la France devraient également saisir ? S’agissant des risques, un juriste a expliqué, durant l’audition précédente, que la Cour de cassation retient une jurisprudence peut-être trop stricte, en considérant que la moindre infraction entraîne un délit de favoritisme, sans prendre en compte l’intentionnalité. Il en résulte une approche très prudente des acheteurs publics qui les empêche de prendre des initiatives et de s’orienter vers du sourcing. Partagez-vous cette appréciation ? Des évolutions législatives sont-elles envisageables pour redonner un peu de souplesse à ce dispositif ? Enfin, quand le décret en Conseil d’État auquel vous faisiez allusion pourrait-il paraître ? Son champ d’application s’étendra-t-il aux logiciels et aux infrastructures informatiques-numériques ?

Mme Laure Bédier. Ce n’est pas la direction des affaires juridiques qui mène les négociations au niveau européen, y compris sur les directives que j’ai évoquées. C’est surtout la direction générale du Trésor qui porte ces négociations. Néanmoins, il me semble que la crise sanitaire est une opportunité d’examiner la possibilité d’établir un Buy European Act. Or, il m’a été indiqué que même ces circonstances, qui accroissent la difficulté de ne pas pouvoir favoriser des entreprises nationales pour des raisons de sécurité d’approvisionnement, ne sont pas suffisantes pour faire évoluer les membres de l’Union européenne sur ce sujet et faire avancer la Commission. Je ne sais pas si le décret signé par le président Joseph Biden et le Buy American Act seront un élément suffisant.

Le délit de favoritisme est un véritable problème. La Cour de cassation en fait un délit objectif, ce qui signifie qu’on n’a plus besoin de prouver l’intention de vouloir violer les règles des marchés publics. Ce risque tétanise effectivement les acheteurs. La crainte est peut-être quelque peu infondée dans la mesure où, en pratique, les condamnations pour délit de favoritisme ne sont pas fréquentes. Néanmoins, la conjonction d’une incertitude concernant les modalités d’application, d’une part, et d’une jurisprudence qui caractérise un délit à la moindre infraction aux règles de la commande publique, d’autre part, paralyse les acheteurs.

L’infraction étant assez « politique », commencer à réduire son champ d’application pourrait soulever un certain nombre de difficultés.

M. Philippe Latombe, rapporteur. Comment pourrait-on faire pour lever ce frein ?

Devrait-on réécrire l’article en question ?

Mme Laure Bédier. Oui. On a déjà tenté à plusieurs reprises de réécrire cet article pour tenter de restreindre le délit de favoritisme au délit intentionnel, mais ces tentatives de réforme soulèvent chaque fois une opposition.

Je reviens à la disposition ASAP, car je n’ai pas été parfaitement claire à ce sujet. Elle consistait à introduire la notion d’intérêt général, à côté de celle d’intérêt de l’acheteur, dans la partie législative du code de la commande publique qui énumère les cas dans lesquels on

peut se dispenser de publicité de mise en concurrence. Jusqu’à présent, toutes les dérogations prises par décret pouvaient se justifier par l’intérêt de l’acheteur, mais certaines dispositions étaient assez fragiles. Par exemple, la dispense de publicité et de mise en concurrence pour l’achat de livres scolaires en-dessous de 90 000 euros relève plutôt de l’intérêt général que de l’intérêt de l’acheteur. Notre préoccupation était d’introduire dans la partie législative une disposition qui sécurisât l’ensemble des dérogations actuelles et qui nous permît le cas échéant d’en établir d’autres. Si je reprends l’exemple de l’achat innovant, il relève à la fois de l’intérêt de l’acheteur et de l’intérêt général, l’enjeu étant de favoriser l’innovation en France. À cette fin, nous avons introduit l’intérêt général dans la partie législative du code de la commande publique. S’il n’est pas question de définir la notion d’intérêt général par décret, nous pourrions édicter un décret pour un secteur particulier, souvent pour une durée limitée, et sous le contrôle du Conseil d’État qui jugera du caractère proportionné de l’intérêt général par rapport à la mesure proposée.

M. Philippe Latombe, rapporteur. Pensez-vous qu’en application de cette disposition législative, il faille reprendre le décret sur la partie achat innovant ?

Mme Laure Bédier. Nous dresserons en fin d’année le bilan de ce dispositif. Pour l’instant, les acheteurs sont favorables à sa pérennisation. La disposition législative sur l’intérêt général nous permettra de prendre un décret pérennisant la dispense à 100 000 euros pour l’achat innovant.

M. Benoît Dingremont, sous-directeur en charge de la commande publique au sein du ministère de l’Économie et des Finances. L’accord sur les marchés publics est complexe et il soulève de nombreuses incompréhensions et difficultés de communication.

Vous avez relevé à juste titre les propositions du nouveau président américain. J’ai compris qu’il engageait dès maintenant pour les marchés fédéraux des États-Unis l’application pleine et entière du Buy American Act. On a beaucoup de mal à expliquer pourquoi les Américains, qui sont partie à cet accord, peuvent prendre cette initiative, alors que les Européens ne le peuvent pas. Cela tient en réalité au caractère, non multilatéral, mais plurilatéral de l’AMP.

S’agissant d’un accord multilatéral, les mêmes obligations s’appliquent intégralement à toutes les parties. Dans l’accord plurilatéral, si les principes sont communs à tout le monde, ils s’additionnent d’offres de couverture, correspondant à ce que chaque partie s’engage à ouvrir à la concurrence internationale. Ces offres de couverture ne sont pas rédigées de façon identique, mais les parties considèrent qu’elles sont équivalentes. Dès 1994, les Américains ont placé dans leur offre de couverture une réserve précisant que, dans certains secteurs, il était possible de réserver une partie des marchés américains aux entreprises américaines, et notamment aux PME américaines. C’est ce que le président américain souhaite faire appliquer pleinement, plutôt que de rouvrir des négociations AMP, au cours desquelles les Européens pourraient tenter d’obtenir quelque chose d’équivalent.

En ce qui concerne les CCAG, le Cloud Act permet aux juges américains et à l’administration américaine de demander aux entreprises américaines et aux filiales étrangères de ces entreprises de leur communiquer des données dans un certain nombre d’enquêtes, terroristes ou de sécurité notamment. Par conséquent, des filiales françaises d’entreprises américaines qui seraient titulaires de marchés publics pourraient être réquisitionnées par l’autorité américaine pour fournir ces données, ce qui serait contraire au RGPD.

Comme l’a rappelé Mme Laure Bédier, ce n’est pas parce qu’une entreprise est susceptible de commettre une infraction qu’elle a commis cette infraction et qu’on peut la rejeter au stade de la candidature. En revanche, nous avons proposé dans le CCAG de dire très clairement à tout futur titulaire d’un marché public que, quand bien même il serait soumis par un effet d’extraterritorialité des dispositions américaines à des obligations à ce titre, il ne peut

pas enfreindre le RGPD. Nous rappelons dans les CCAG l’obligation de respecter le RGPD, nous précisons en quoi elle consiste. Nous proposons d’y inscrire que toute demande de communication de données de la part d’une administration étrangère devra faire l’objet d’une déclaration à l’acheteur. Nous proposons également d’assortir le non-respect ou la violation de cette obligation de sanctions. L’objectif est de rappeler à toute entreprise qu’elle sera soumise à des sanctions, si elle viole le RGPD, fût-ce en application d’une autre législation.

M. Philippe Latombe, rapporteur. Comment percevez-vous la décision du Conseil d’État concernant le Health Data Hub et les conséquences qu’elle pourrait avoir sur d’autres marchés de ce type ? Cette ordonnance fait suite à la décision de confier à Microsoft l’élaboration d’une plateforme de santé. Après avis de la CNIL, le Conseil d’État a enjoint l’exécutif à rapatrier les données sur un cloud souverain à échéance de deux ans. L’ordonnance pourrait avoir des impacts dans d’autres domaines, notamment l’Éducation nationale, qui utilise aussi de nombreux logiciels américains.

M. Benoît Dingremont. Je pense que la décision est assez cohérente avec la logique préconisée dans les CCAG. Autant on ne peut pas sélectionner et rejeter une candidature étrangère, autant on peut insérer dans les clauses du marché des règles de sécurité ou d’implantation de données, si l’implantation sur le territoire européen est la seule façon de garantir la sécurité des données et du système.

Mme Laure Bédier. Je n’ai pas examiné en détail la décision du Conseil d’État, mais un élément important est qu’il s’agit de données de santé, particulièrement sensibles. Dans ce cadre, on peut parfaitement demander le stockage des données sur le territoire national ou européen. Il conviendrait d’examiner si cette décision, concernant des données particulièrement sensibles, pourrait être transposée à d’autres données moins sensibles. Je n’en suis pas certaine.

M. Philippe Latombe, rapporteur. L’accord avec le Health Data Hub prévoyait la localisation des données sur le territoire européen, ainsi que le chiffrement de celles-ci. La clé ne devait appartenir qu’au Health Data Hub et l’opérateur de cloud n’y avait pas accès. Pour autant, le Conseil d’État a estimé qu’il existait un risque de transfert des données à l’étranger et qu’à ce titre, il fallait les transférer dans un cloud qui n’était pas soumis au Cloud Act. Nous serions heureux que vous nous communiquiez votre analyse de la décision du Conseil d’État.

Vous avez par ailleurs évoqué la règle des 50 %. Or, on observe des appréciations différentes de ces 50 % en Europe. Par exemple, les Irlandais sont les principaux hébergeurs des GAFA.

Percevez-vous une distorsion de législation ou d’interprétation entre les Irlandais et les Français sur la notion des 50 % ?

Mme Laure Bédier. Je sais que certains pays sont beaucoup plus souples.

M. Philippe Latombe, rapporteur. Ce sont en gros l’Irlande et le Luxembourg.

Mme Laure Bédier. Je ne connais pas leur position exacte concernant le calcul des 50 %.

M. Benoît Dingremont. La règle des 50 % posée à l’article L. 2153-2 du code de la commande publique ne concerne que les marchés de fournitures. Je pense que, s’agissant de l’Irlande, il est surtout fait référence à l’attrait fiscal que ce pays représente pour les services.

Les GAFAM profitent de ces dispositions, mais il me semble que la disposition de l’article 85 de la directive ne pourrait s’appliquer pour un marché de services.

M. Philippe Latombe, rapporteur. Cela est vrai pour les services, mais Apple fournit, par exemple.

M. Benoît Dingremont. Le problème est que la directive ne parle pas d’achats de fournitures dans le cadre d’un marché de services. Je suppose que la plupart des dispositifs sur l’implantation des GAFAM en Irlande concerne davantage les services que l’achat par les personnes publiques d’une fourniture.

M. Philippe Latombe, rapporteur. Lors de la précédente audition, un juriste nous a indiqué que l’utilisation des marchés à procédures adaptées (MAPA) n’était pas aussi aisée qu’il semblait.

Mme Laure Bédier. Je vous répondrai en tant que praticienne. Ayant travaillé auparavant à l’Assistance publique-Hôpitaux de Paris (AP-HP), j’ai observé qu’en-dessous des seuils, les acheteurs avaient tendance à appliquer les procédures formalisées afin d’être certains de ne pas être hors du cadre. La problématique est un peu la même que vis-à-vis du délit de favoritisme. Afin d’être certains que les procédures soient adaptées à l’objet du marché, les acheteurs visent le formalisme maximum.

M. Benoît Dingremont. Un enjeu est de professionnaliser les acheteurs pour leur permettre de comprendre qu’ils peuvent utiliser certaines marges de liberté en toute sécurité juridique. La professionnalisation des acheteurs est prévue dans le plan national d’action sur les achats publics durables (PNAPD), que nous co-animons avec le ministère de la Transition écologique. L’objectif est de proposer aux acheteurs de nouveaux outils et méthodes en matière de critères de choix et de clauses d’exécution, notamment afin de renforcer la qualité environnementale de l’offre. Nous espérons, par ce moyen, valoriser des offres européennes et françaises, peut-être plus chères, mais dont la qualité environnementale sera meilleure. Nous espérons que le PNAPD porte ses fruits auprès des acheteurs, mais l’acte d’achat n’est pas une opération simple.

M. Philippe Latombe, rapporteur. Selon les juristes que nous avons entendus, la formation des acheteurs est très pointue, mais essentiellement juridique. La partie « achats »

est ainsi perçue comme une zone de risque, qui doit être gérée par la maîtrise du contentieux, un peu au détriment de l’achat lui-même, qui devrait intervenir en premier lieu. Pensez-vous que l’on devrait modifier les formations afin de renforcer le volet « achats » par rapport au volet juridique ? Afin d’inciter les acheteurs à faire du sourcing, ils doivent prendre connaissance des besoins, ce qui suppose une connaissance des solutions existantes. Que pensez-vous de la création d’un portail public permettant aux entreprises de communiquer l’état d’avancement de leurs produits ? Devrait-il être hébergé chez vous, éventuellement relayé par des CCI au niveau local ? Ce dispositif pourrait-il permettre à l’ensemble des acteurs d’obtenir une vision complète des solutions ?

Mme Laure Bédier. La conception d’un portail de sourcing est une action prévue dans le plan de transformation numérique de la commande publique. L’ensemble des entreprises pourront y présenter leur offre. Par ailleurs, la DAE mène une action spécifique en matière d’innovation.

M. Benoît Dingremont. La DAE travaille à la fois sur la professionnalisation des acheteurs et sur le sourcing. Elle a déjà mis en place, il y a quelques années, un portail pour les acheteurs de l’État. Elle participe en outre à l’élaboration du PNAPD qui comporte un volet formation. L’offre de formation juridique à l’achat public est effectivement très importante.

Nous tenterons de développer dans le plan les aspects environnementaux et économiques de l’achat public.

Mme Laure Bédier. Je suivi d’accord avec le constat que les acheteurs sont bien formés au droit de la commande publique, mais pas forcément aux aspects opérationnels et à la connaissance de l’offre. Ils sont parfois trop « juristes » et pas assez « acheteurs ».

M. Philippe Latombe, rapporteur. La semaine dernière, nous avons auditionné l’UGAP. Ses représentants ont indiqué qu’ils proposent dans leur catalogue ce qui correspond aux besoins, mais qu’ils ne jouent pas de rôle de conseil. Or, la phase de définition des besoins, en amont des marchés publics, est très importante, car elle permet de simplifier le processus par l’achat de solutions totalement intégrées. L’allotissement n’est pas la solution la plus efficace pour parvenir à cet objectif. Selon un avocat que nous avons auditionné, il devient rapidement ingérable, faute d’une direction des systèmes d’information (DSI) capable de déterminer l’allotissement optimal. Enfin, nous manquons de professionnels de l’informatique dans le secteur public, car ils préfèrent, en général, rejoindre le privé pour une question de rémunération. Il en résulte une simplification dans les besoins, dès le début. Comment pourrait-on traiter cette difficulté ?

Mme Laure Bédier. Comme nous l’avons dit, les personnes formées en droit et non au segment d’achat sont tentées d’adopter les solutions les plus simples « sur étagère », sans vraiment réfléchir à leurs besoins, alors que cette étape est indispensable pour promouvoir la souveraineté. Il est à la fois nécessaire de bien connaître le secteur et d’être capable de définir les besoins avec précision. L’enjeu est d’identifier des acheteurs ayant une bonne connaissance du secteur au-delà des compétences juridiques.

M. Philippe Latombe, rapporteur. La définition des besoins ne se fait pas au niveau des acheteurs.

Mme Laure Bédier. L’acheteur joue néanmoins un rôle de conseil. Il doit pouvoir aider le prescripteur à définir ses besoins avec précision.

M. Benoît Dingremont. Nous pouvons identifier certaines évolutions positives, notamment dans le sourcing, qui est proche de la définition des besoins. À partir du moment où l’acheteur d’intéresse au sourcing, cela signifie qu’il pense à une nouvelle façon de définir ses besoins au lieu de réitérer le même achat ou d’adopter des solutions intégrées globales.

Cinq ans auparavant, lorsque nous parlions de sourcing dans une enceinte publique, la réticence était vive et nombre d’acheteurs demandaient s’ils avaient le droit d’y recourir. La situation a beaucoup évolué depuis lors. Aujourd’hui, tous les acheteurs disent pratiquer le sourcing, même si cela se fait de façon plus ou moins approfondie. Quoi qu’il en soit, le terme n’est plus tabou et la situation évolue.

M. Philippe Latombe, rapporteur. Y a-t-il d’autres sujets que nous n’avons pas évoqués et que vous souhaiteriez porter à notre connaissance ?

Mme Laure Bédier. Je souhaite simplement redire que nous sommes très encadrés par le droit européen. La formation des acheteurs à l’utilisation des différents outils de la commande publique est une perspective intéressante qui devrait permettre d’orienter l’attention vers les offres européennes.

Audition commune de Mme Servane Augier, directrice générale déléguée de 3DS OUTSCALE, M. Michel Paulin, directeur général d’OVHcloud, et Mme Karine Picard, directrice générale d’Oracle France

(9 février 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, rapporteur. Nous démarrons aujourd’hui un cycle d’auditions consacrées au cloud et à la protection des données. Nous recevrons jeudi prochain les représentants d’Hexatrust, du Club des Présidents de sécurité et de sûreté des entreprises (CDSE) et du Club des juristes, avant d’échanger la semaine suivante avec l’ensemble des acteurs du numérique en santé. Pour lancer ce cycle, nous recevons aujourd’hui plusieurs entreprises importantes dans le domaine du cloud. Participent à cette table ronde numérique Mme Servane Augier, directrice générale déléguée de 3DS OUTSCALE, M. Michel Paulin, directeur général d’OVHcloud et Mme Karine Picard, directrice générale d’Oracle France.

En introduction, nous souhaiterions vous entendre sur trois sujets. Comment, en tant qu’entreprise privée spécialisée dans le domaine du cloud, percevez-vous la montée en puissance du thème de la souveraineté numérique dans le débat public ? Sur ce premier sujet, je résumerai mon propos en deux courtes questions. Comment appréhendez-vous la notion de souveraineté numérique française ou européenne ? Et de quelle façon pouvez-vous participer à sa protection/promotion en tant qu’entreprise privée ?

J’aimerais également que vous nous décriviez votre vision de l’état actuel du marché mondial du cloud, qui est dominé par quelques géants du numérique, parmi lesquels Google, Microsoft et Amazon. Je souhaiterais que vous nous rappeliez quels en sont les différents segments et la place des acteurs européens. Je suis également intéressé par votre regard sur les pratiques des entreprises du secteur public vis-à-vis du recours à des solutions cloud et sur les principales tendances qui pourraient émerger sur ce marché, dans les prochaines années.

J’aimerais enfin savoir ce que vous pensez du cadre juridique européen actuel, entourant la question des données, avec le Règlement général sur la protection des données (RGPD), et du cadre futur, avec ,outre le Digital Services Act (DSA) et le Digital Market Act (DMA), une proposition de règlement de la Commission européenne concernant la gouvernance des données, appelé également Data Government Act. Selon vous, le bon équilibre a-t-il été trouvé entre la nécessité de soutenir l’innovation, la donnée étant devenue le « nouveau pétrole de l’économie numérique », et la protection nécessaire des données des utilisateurs et de la souveraineté des États et de l’Union européenne ? En outre, comment peut-on assurer un niveau maximal de sécurité pour les données dans un contexte de sophistication de la menace cyber ?

Mme Servane Augier, directrice générale déléguée de 3DS OUTSCALE. 3DS OUTSCALE est le cloud provider de Dassault Systèmes. Notre entreprise a 10 ans. Elle regroupe 160 collaborateurs. C’est la filiale d’un très grand groupe, puisque Dassault Systèmes vient d’annoncer un chiffre d’affaires de plus de 4,5 milliards d’euros pour 2020.

Nous sommes éditeurs de notre propre solution d’orchestration de cloud, ce qui est important par rapport aux différents sujets que nous aborderons et par rapport à la maîtrise que l’on peut avoir de son avenir dans le cloud. Nous sommes particulièrement positionnés sur le domaine de la confiance, voire de l’hyper-confiance, avec des solutions très industrialisées depuis le départ. Nous sommes un acteur du BtoB.

Nous avons, dès le départ, fait le choix d’avoir une activité complètement programmatique, accessible par API (pour Application Programming Interface dans le jargon de notre secteur d’activité), très processée et industrielle, avec l’ensemble de nos offres au périmètre Iso 27 001 depuis 2014. Nous avons également très tôt fait le pari du plus haut niveau de certification. Cela nous paraît le meilleur moyen pour gagner la confiance des clients et faire en sorte qu’ils fassent le pas de migrer vers le cloud (à la fois les clients privés et les administrations). Nous avons eu le plaisir d’être les premiers fournisseurs d’infrastructures réseau service à obtenir la qualification SecNumCloud, qui correspond au référentiel de l’agence nationale de la sécurité des systèmes d’information (ANSSI). Nous avons été récemment rejoints par nos amis d’OVH. Nous avons passé la certification « hébergeur de données de santé » qui permet de nous tourner vers le secteur de la donnée de santé qui pèse lourd dans le registre des données sensibles.

S’agissant de la définition de la souveraineté du cloud et du retour du terme de souveraineté par rapport aux activités numériques, nous le vivons avec beaucoup d’intérêt et de satisfaction. En effet, nous sommes sur ce créneau depuis le départ. J’ai oublié de préciser que nous sommes également présents aux États-Unis et en Asie, au Japon notamment, en mode multi-local. C’est-à-dire que, quelle que soit la région où nous sommes présents, nous garantissons à nos clients la souveraineté de leur relation avec nous.

Pour nous, la souveraineté du cloud est la garantie que les données seront stockées en France pour la souveraineté française, qu’elles seront également opérées en France, et qu’il n’y aura pas d’aller-retour de la donnée vers des serveurs sans que nous sachions où et à quel moment. Il s’agit d’un contrat signé avec les entreprises en droit français, ce qui est très important pour la vie de la relation contractuelle avec nos clients, avec un support de proximité 24/7 qui est opéré en anglais et en français. La relation de proximité est assurée par des équipes basées en France. Dans le contexte réglementaire actuel, la souveraineté s’entend du fait de n’être absolument pas soumis à des réglementations extra-européennes. J’entends par là que l’on ne peut pas prétendre être souverain si l’on est soumis au Cloud Act.

Aujourd’hui, après avoir été pas mal galvaudé, voire un peu tabou pendant quelques temps, le mot revient fortement. Après la promulgation du Cloud Act en 2018 et après que le confinement a révélé que la France et l’Europe étaient dépendantes de beaucoup de continents sur de nombreux sujets, dont le numérique, il est très important et très agréable, pour nous qui apportons des solutions souveraines, de voir que le sujet revient sur le devant de la scène et que les entreprises et les administrations se mobilisent pour essayer de faire en sorte que les offres souveraines existent et perdurent.

Nous travaillons, notamment avec M. Michel Paulin, au sein du Comité stratégique de filière, pour pousser ces notions de souveraineté et pour faire en sorte que la filière puisse avancer. Dans le cadre de ce Comité stratégique de filière, nous avons signé un contrat avec les ministères. Nous attendons des engagements forts de l’État sur le fait de réglementer la nécessité d’utiliser un cloud de confiance pour les données sensibles pour les administrations et les opérateurs d’importance vitale (OIV). Il est nécessaire d’impulser un mouvement fort pour les administrations et les grandes entreprises d’importance vitale en France. Il y a deux volets. Le premier est le fait de réglementer les choses. La bonne nouvelle est que le Cigref a réalisé une étude récemment. Les membres du Cigref sont prêts à accepter une réglementation supplémentaire parce que les enjeux leur paraissent primordiaux. Le deuxième volet concerne la mise en place d’un label permettant de définir ce qu’est un cloud de confiance. Aujourd’hui, le référentiel SecNumCloud porte essentiellement sur les critères techniques. Il en va de même pour le référentiel HDS pour l’hébergement de données de santé.

Ces référentiels, labels, ou qualifications n’emportent jamais cette logique que son détenteur

n'est pas soumis à des lois extra-européennes. Cela manque dans le paysage. Il faudra y travailler rapidement. Il faut pouvoir dire : « Nous, qui répondons aux critères que je vous ai donnés tout à l’heure, nous pouvons l’exposer publiquement, parce qu’une entité publique nous donne le droit de le faire ». Il sera également très important, dans le cadre de Gaia-X, qui créera des standards à l’échelle européenne, de faire ressortir, au sein des offres qui vont adopter des standards techniques, celles qui sont de confiance au sens où elles garantissent la souveraineté.

Mme Karine Picard, directrice générale d’Oracle France. La société Oracle est une société américaine, dont le siège est à Austin au Texas, qui est implantée en France depuis trente ans. Je suis la partie hors France de ce débat. Oracle fait partie des cinq grandes sociétés qui fournissent des clouds dans le monde. Vous avez cité les trois premières qui ont une énorme part de marché. Depuis plus de trente ans, nous fournissons des solutions à la fois à l’État, puisque nous sommes présents dans tous les ministères régaliens : la santé, l’armée, le ministère de la Défense, de l’Industrie, de l’Économie. Nous connaissons les enjeux en termes de sécurité au niveau de l’État, mais aussi dans les grandes entreprises françaises, et depuis peu, dans tout ce qui est Next 40.

Aujourd’hui, Oracle fait face à une montée de la souveraineté, pas uniquement en France. Nous le constatons depuis cinq ans dans plusieurs pays, même en Angleterre. Même s’il est extrêmement proche des États-Unis, ce pays est très souverain en ce qui concerne ses données. Nous observons une même émergence en Allemagne, en France, dans les pays du Nord, au Moyen-Orient. Cette résurgence de la souveraineté n'est pas nouvelle. Depuis de nombreuses années, en tant qu’éditeurs américains, nous avons pris conscience de cette demande et nous y avons travaillé sur deux angles. Le premier est d’être capable de fournir des offres de cloud public, les données étant hébergées en Europe au départ, en respectant tout ce qui est RGPD. Le deuxième est la volonté d’investir pour disposer de centre de sonnées (data centers) présents dans les pays. Nous aurons un data center en France, dans les mois qui viennent, à Marseille. Cette demande de stocker les données, au-delà de la signature de contrats avec une société française, s'est accélérée ces dernières années. C’est pour cela que nous investissons en Suède et en Italie.

Nous ressentons véritablement cette résurgence de la souveraineté. En revanche, cela n’a pas empêché les grandes entreprises françaises d’adopter le cloud depuis huit-dix ans.

43 % des sociétés du CAC40 utilisent déjà des solutions Oracle cloud ou autres, et un peu plus de la moitié, en termes de technologies ou d’infrastructures. Les grandes entreprises publiques, pour un certain nombre de leurs processus métiers (finance, RH, marketing, recrutement, infrastructures), utilisent les entreprises qui respectent les règles de souveraineté. Il s’agit aujourd’hui d’une accélération. Comme Mme Servane Augier le disait, il est vrai qu’avec le Covid, la demande du cloud est accrue, ce qui génère un volume plus élevé de données, de transactions, de points d’entrée. Cela a découvert des brèches de sécurité potentielles dans certains systèmes. Certaines entreprises se sont aperçues qu’elles n'étaient pas très bien équipées en termes de cyber sécurité. Nous observons, de la part des entreprises, une demande accrue de consommation du cloud, dans tous les domaines, ainsi qu’une demande accrue de respect d’un certain nombre de critères de sécurité.

Nous sommes aussi certifiés sur les données de santé aujourd’hui. Nous travaillons avec l’ANSSI pour être certifiés SecNumCloud. Nous espérons être un acteur américain qui pourra entrer dans les critères de ce qu’est un cloud de confiance. La notion de Cloud Act est assez déterminante. Il est important de savoir que le fait qu’un éditeur soit national ne signifie pas qu’il respecte les critères de sécurité. Des investissements doivent être réalisés dans la manière dont sont construits les clouds, dans la manière dont on peut contrôler l’ensemble de

la chaîne du cloud (depuis la création de la machine, de la puce, de la base de données, des transferts de la donnée, du data center). Ce contrôle de la chaîne complète de la donnée est extrêmement important pour assurer la meilleure sécurité. Devant cette demande de souveraineté de nos clients et en particulier des gouvernements, nous avons travaillé sur de nouvelles offres de cloud, que l’on appelle des clouds régionaux, qui permettent aux gouvernements ou aux entreprises de disposer, derrière leur pare-feu, de tous les avantages du cloud public, en termes de consommation de services, d’innovations, mais aussi de protection des données. Ainsi, pour répondre à votre question, en tant qu’acteur du cloud et en tant qu’acteur américain, cela fait plusieurs années que nous travaillons à comprendre les besoins des entreprises privées et publiques en France et en Europe, et de répondre à leurs attentes.

Nous sommes membres de Gaia-X depuis le premier jour, puisque nous pensons qu’il faut un cadre qui définisse les critères de sécurité que chaque entreprise doit respecter pour être considérée comme un cloud de confiance. Aujourd’hui, la crise l’a révélé, mais c’est une évidence : tous les secteurs de l’informatique ne sont pas présents en Europe. Nous avons la chance d’avoir en France des fournisseurs de cloud qui sont des opérateurs de clouds puissants. Cependant, un certain nombre d’opérateurs métiers n’existent pas. Il est important de pouvoir créer une interopérabilité des clouds pour les entreprises et pour le Gouvernement, parce que l’ensemble des fournisseurs de services n’existe pas aujourd’hui en Europe. Il faut mettre cette structure en place pour garantir la sécurité des données. Voilà ce que je peux dire en tant qu’Oracle France aujourd’hui, avec ses 1 300 employés sur le territoire, qui n’ont qu’un objectif : servir et protéger l’ensemble des clients français.

M. Michel Paulin, directeur général d’OVHcloud. OVHcloud est un opérateur de clouds. Nous sommes classés, par les analystes, comme faisant partie des dix plus grands mondiaux, même si, bien entendu, nous sommes plus petits à l’échelle des hyperscalers. Nous nous adressons aujourd’hui à tout type de clients. Historiquement, nos clients étaient plutôt des sociétés Tech, ce que nous appelons dans le jargon les digital natives. Depuis quelques années, nous avons l’ambition de nous tourner aussi vers le marché des grandes entreprises, des grandes administrations, des collectivités publiques ou privées.

Quels sont les grands principes d’OVHcloud aujourd’hui ? Le premier est que nous défendons un cloud de confiance, par définition technique et par définition légale, dans le sens où techniquement, nous sommes un grand supporter de l’open source. Nous travaillons sur des solutions interopérables, ouvertes, réversibles. L’interopérabilité est clé. Pour cela, il faut garantir que les API soient documentées, ouvertes, qu’il s’agisse des API au-dessus ou en dessous. Il faut faire en sorte que l’ensemble des solutions logicielles soient réversibles. Nous avons aussi une longue tradition d’intégration avec un modèle. Nous construisons nous même nos serveurs. Cela donne une totale traçabilité en France, à partir de composants qui sont achetés à travers le monde. Nous avons aussi la volonté de travailler avec un écosystème. Cet écosystème sera un moyen pour dynamiser la filière européenne et la filière française. Nous investissons massivement. Nous sommes 2 300 aujourd’hui à travers le monde. Nous investissons dans nos 32 data centers. Nous venons d’ouvrir un data center en Asie, à Singapour, et un autre, à Sydney. Nous investissons dans la Recherche et Développement.

Nous avons, comme l’a mentionné Servane Augier, reçu de nombreuses certifications dont tout récemment SecNumCloud, mais également les certifications HDS, Iso 27 001. Nous sommes convaincus qu’OVHcloud a les moyens de proposer des solutions alternatives autour du cloud de confiance.

Qu’est que la souveraineté ? Pour nous, la souveraineté n’est pas le nationalisme, le patriotisme, le protectionnisme, mais la capacité pour des États, pour des entreprises, pour des individus, de pouvoir choisir. À la fois en termes légaux, techniques, et de pratiques

concurrentielles, certains acteurs ont tendance à créer des monopoles fermés, qui bloquent les clients dans des systèmes. C’est l’inverse de ce que nous pensons être la souveraineté.

Ensuite, nous distinguons la souveraineté des données et la souveraineté des technologies. Cette dernière consiste à se demander si, aujourd’hui, les technologies sont sur des R&D européennes ou françaises. Nous essayons toujours de les défendre, puisque nous sommes une société française et européenne et que nous pensons que les valeurs européennes sont exemplaires, à travers nos choix pour nos partenaires. Mais cela n'est pas exclusif.

L’Europe n’a pas la totalité des technologies disponibles dans le domaine du hardware, par exemple. Nous pensons qu’il faut que des acteurs comme nous, nous associions à des acteurs pour proposer des solutions. Même si nous essayons de favoriser et de privilégier les technologies européennes, force est de constater que la souveraineté européenne ne peut pas être exclusive.

En revanche, sur la partie relative à la donnée, l’Europe est en avance, à travers le RGPD, à travers Schrems II. Nous pensons qu’à ce niveau, il n’y a pas de compromis à faire.

Ces sujets sont, pour les domaines européens, des prérequis absolus sur la notion de souveraineté et de confiance. Nous militons depuis de nombreuses années, à travers le comité stratégique de filière (CSF). Nous sommes convaincus qu’il est important de les mettre en avant pour deux raisons. La première est que les entreprises le demandent. Nous le constatons.

Comme Servane Augier l’a mentionné, le Cigref a réalisé un sondage auprès des grandes entreprises, lequel a démontré que la notion de souveraineté était une demande de leur part. Il y a des enjeux technologiques, géopolitiques, financiers, un manque de liberté de choix en raison d’un certain nombre de pratiques techniques ou commerciales qui enferment les personnes. Le cloud ne doit pas devenir une prison. Il existe une vraie demande des grandes entreprises de garantir la souveraineté. La deuxième raison est la prise de conscience par les citoyens. Nous avons mené un sondage représentatif de citoyens avec l’IFOP pour leur demander ce qu’ils pensaient de la souveraineté des données. 69 % des Français estiment que c’est important. 2 % font confiance aux fournisseurs de clouds étrangers. Ils sont extrêmement attentifs sur les domaines de la santé, des données financières, des données publiques. Ils estiment que les données doivent être en France ou en Europe et qu’il doit y avoir une garantie que les acteurs ne puissent pas faire circuler ces données ou métadonnées. Ce sujet ne concerne pas uniquement les acteurs. Nous voyons bien que les clients et les citoyens sont également concernés par ces sujets de confiance. D’une certaine façon, tous les débats passés sur la localisation des données, leur traitement, leurs flux, et l’impact de Schrems II démontrent que ces sujets sont d’actualité et impactent les vies des entreprises et des citoyens.

Quels sont les modèles sur lesquels nous nous basons ? Le premier est qu’il est nécessaire de clarifier l’ambition d’un cloud de confiance. Nous sommes très fiers d’avoir la qualification SecNumCloud. C’est un gage technique. En revanche, il est très important que nous soyons capables de créer, pour les entreprises et pour les citoyens, des certifications qui garantissent, au-delà des sujets techniques de sécurité, la souveraineté. Où sont les données ?

Comment sont-elles transférées ? Quelle est la juridiction ?

Il convient d’être extrêmement précis sur quatre éléments :

– Les données et les métadonnées sont-elles situées dans les data centers en Europe ?

– Sont-elles accessibles par des législations de pays hors de l’Union européenne (ce qui est interdit par Schrems II) ?

– Le fournisseur cloud est-il soumis à la juridiction de l’Europe et exempté des droits extraterritoriaux (en particulier le fameux Cloud Act) ?

– La politique du fournisseur Cloud Act répond-elle aux demandes d’autorisation des pays tiers conformes au RGPD ?

Ces quatre critères sont extrêmement importants et doivent être ajoutés à toutes les notions de certifications, de labels, pour apporter de la confiance et de la crédibilité à la souveraineté. Par exemple, nous recommandons que le référentiel HDS inclue ces critères. Ce ne sont pas uniquement des critères techniques, mais des critères qui permettront de rétablir la confiance auprès des citoyens et des entreprises. Avec Servane Augier, nous militons pour créer un label Open Trusted Cloud. L’État, la Commission européenne devront définir les critères, qui sont très importants pour aider les entreprises à obtenir une clarification et que cela soit labélisé.

Un autre élément important concerne la nécessité d’avoir une clarification à travers l’ensemble de l’écosystème, en particulier avec les éditeurs de logiciels, les fournisseurs de SaaS. Il est utile d’avoir une totale transparence. Celle-ci est un des engagements forts de Gaia-X. Lorsqu’un éditeur de logiciel est en mode SaaS, il doit indiquer quel est aujourd’hui l’hébergeur de cloud dans lequel il met sa solution, où sont les données et les métadonnées, quelles sont les conditions juridiques qui protègent ou non. Il est important que l’ensemble de la filière digitale soit transparente et fournisse les garanties à l’ensemble des utilisateurs finaux, les citoyens ou les entreprises. La sensibilisation sur ces sujets nous semble très importante.

Les prises de parole de la CNIL et des différentes CNIL européennes prouvent qu’il n’y a pas cette transparence, aujourd’hui, dans un certain nombre de cas. Dans le cadre de la filière, dans le cadre de Gaia-X, mais également dans le cadre du développement de nos propres solutions, nous serons très vigilants pour proposer à nos clients, à l’ensemble des administrations, une transparence totale sur les conditions d’accès et de protection des données. Tel est notre positionnement.

Avec d’autres acteurs de la filière, OVHcloud continuera à demander à l’État d’être exemplaire. L’État n'est pas exemplaire aujourd’hui. Les collectivités locales ne le sont pas, parfois par ignorance. Il y a besoin d’ouverture. Sur l’UGAP, un certain nombre de critères (où sont les données ? comment sont traitées les données ?) n’apparaissent pas comme des critères de choix pour les collectivités locales, pour les administrations, pour les entités publiques. Nous pensons qu’il est indispensable, de la même façon qu’il existe une traçabilité sur l’alimentation, l’environnement, de donner la visibilité complète, à travers un portail. Il est nécessaire de clarifier dans quelles conditions les logiciels sont hébergés. Après, les clients choisiront en toute connaissance de cause. Aujourd’hui, l’État n'est pas exemplaire. Les conditions d’attribution par les collectivités locales ne sont pas totalement transparentes et ne suffisent pas. Il est important que l’État clarifie sa stratégie et définisse sa doctrine, qu’il clarifie les conditions d’accès des citoyens aux données et fasse évoluer la réglementation.

Nous appelons de nos vœux, à travers le CSF, une loi permettant de clarifier les conditions d’accès aux données sensibles pour les entreprises et les citoyens, une modification des notions de certification pour y ajouter les sujets autour du droit et de la conformité au RGPD.

En dernier lieu, il est très important que l’État soutienne ceux qui, aujourd’hui, respectent les règles. Nous ne cherchons pas des subventions, mais nous cherchons des commandes, comme le font tous les autres. Comme l’a dit Karine Picard, la souveraineté est un sujet qui apparaît partout dans le monde, au Japon, en Inde, en Russie, en Chine bien entendu, aux États-Unis. Tous les acteurs continentaux aident leur filière à respecter les législations locales à travers des commandes. Aujourd’hui, 70 %, voire plus, du total des investissements de technologie de l’information (IT) passent par des acteurs qui ne sont pas européens. C’est 90 % dans certains domaines.

Il est regrettable que l’Europe ne se dote pas d’une filière tout autant aidée que les autres régions, qui aident par la commande publique. C’est d’autant plus important dans le cadre de la crise Covid. Nous avons fait face. Nous avons été capables de répondre à l’enjeu de la digitalisation des entreprises. Le cloud que nous représentons, avec Servane Augier, en Europe, a tenu, a été capable de répondre à la demande. Nous avons participé à l’effort de solidarité demandé par le Gouvernement, avec notre initiative Open Solidarity. Nous avons embauché en France pour pouvoir construire plus de serveurs, développer notre activité.

L’État doit être exemplaire dans sa politique, comme les collectivités locales. Il doit montrer l’exemple. Dans de nombreux cas, il ne l’a pas fait. Je ne vais pas entrer dans les polémiques.

Tel n'est pas le sujet. Les collectivités locales doivent obtenir la visibilité complète de la localisation des données, de leur traitement. OVHcloud investit massivement, notamment à travers l’ouverture de deux data centers en France qui répondent à la demande de l’État de créer un cloud certifié SecNumCloud 100 % français, pour des usines françaises. L’offre est là. Passons maintenant des paroles aux actes.

M. Philippe Latombe, rapporteur. Même si vous ne souhaitez pas entrer dans les polémiques, je me permets de poser des questions sur l’exemplarité de l’État. Nous avons auditionné l’UGAP, et un certain nombre de personnes, qui nous ont expliqué qu’il manquait des solutions françaises ou européennes aussi simples que celles proposées par les Américains, et notamment par Amazon (AWS) ou Microsoft, raison pour laquelle ils avaient choisi ces clouds. L’absence d’exemplarité de l’État est-elle liée à une incapacité à trouver des solutions simples ou à construire des solutions avec des acteurs français ? Ou l’idée est-elle de délibérément choisir des solutions toutes faites parce que les compétences n’existent pas en interne, au sein de l’État, ou au sein des entreprises publiques, pour agréger des solutions différentes et en faire un ensemble ? Par exemple, pour le prêt garanti par l’État (PGE), BPI est passé sur AWS, et sur Azure pour la gestion des mails, par souci de simplicité. Cette même remarque a été faite et le sera certainement de nouveau lors des auditions sur les données de santé avec le Health Data Hub (HDH) et d’autres acteurs dans une semaine. S’agit-il d’un manque de services liés au cloud qui induit ce choix ou d’une absence de volonté ?

Mme Servane Augier. La réponse n'est pas simple. Il y a beaucoup de nuances de gris dans ce débat. Aujourd’hui, toutes les solutions existent en Europe, mais elles sont très atomisées. On compte de nombreux éditeurs différents, de fournisseurs différents. Chez OUTSCALE, nous travaillons sur la mise en place d’un écosystème de confiance qui permette d’agréger, dans une marketplace, l’ensemble des solutions. OVH aussi a lancé une marketplace. Orange vient d’annoncer le lancement d’une marketplace. Il existe un besoin de regrouper les solutions qui, sinon, ne sont pas accessibles de la même manière que sur le portail AWS. Effectivement, il existe, d’un côté, une solution plus compacte et plus facile d’accès.

Cette solution AWS s’est aussi construite parce que les États-Unis ont adressé des commandes à AWS, qui a pu développer sa R&D, construire ses offres pour répondre aux besoins. La question est de savoir si, en France, on veut se donner les moyens d’aller vers des solutions qui ne sont pas complètement finies, sur lesquelles il faudra travailler un peu, mais qui doivent permettre de renforcer la filière souveraine, ou si la simplicité et la rapidité prévalent. Cela peut être le cas dans certains domaines, mais il faut afficher très clairement que l’on considère un critère de choix autre que la souveraineté.

Cependant, ce choix n'est pas toujours réalisé après avoir effectué un réel examen de ce qui est accessible sur le marché. Des décisions sont prises de manière un peu hâtive, alors qu’il existe des solutions, quasiment aussi rapides, avec des acteurs français. Pendant la crise du Covid, nous avions un programme de solidarité Act For Life. Un de nos partenaires a monté en deux jours le site de la réserve civique sur notre cloud. De nombreux sites se sont

montés très vite sur des clouds souverains pendant la période. Pourquoi n’a-t-il pas été possible de monter celui du prêt garanti aux entreprises (PGE) sur un cloud français ? Je ne sais pas le dire. Sur le dossier du Health data Hub (HDH), qui est beaucoup plus complexe en termes de services utilisés, le critère de rapidité de mise en œuvre a prévalu. En revanche, sur un site internet, je m’interroge un peu.

Je crois qu’il y a des changements d’état d’esprit à générer. L’idée préconçue que cela sera de toute façon plus facile avec les Américains sur tous les sujets cloud, est fausse. Il faut se dire qu’une offre performante existe. Quand le sujet doit être souverain, il faut que l’administration prenne une décision souveraine. Quand cela n'est pas le cas, quand la priorité est l’agilité apportée par des services qui existent pour le moment uniquement chez d’autres fournisseurs, il faut y aller. Ce n'est pas du protectionnisme. Il ne s’agit pas de ralentir l’économie, mais de faire des choix en conscience et de privilégier des solutions souveraines pour les données sensibles.

Mme Karine Picard. Je suis tout à fait d’accord. La force des acteurs américains est d’offrir un tout : l’infrastructure, la plateforme et le SaaS. Cela permet à certaines entreprises de rationaliser leur schéma directeur, de prévoir les intégrations, de faciliter la construction et le move to cloud d’un certain nombre de processus. Au départ, les entreprises privées ont fait des choix de cloud département par département. La présence de multiples acteurs cloud à l’intérieur d’une entreprise peut engendrer des problématiques de sécurité, de transmission de données, des problèmes légaux. Il existe un besoin de rationaliser, en termes tant de sécurité des données, de souveraineté, que de flux entre les différents départements des entreprises. Peu d’acteurs en Europe peuvent fournir ce type d’offre, cette gamme de services pour les entreprises privées. Il faudra que l’Europe décide d’investir pour créer l’« Airbus de la technologie » avec des sociétés capables de fournir un plus grand nombre de services.

Aujourd’hui, en tant qu’acteur américain, Oracle est positionné sur Cercle 3. Nous faisons partie des éditeurs qui peuvent proposer des solutions de confiance pour un certain nombre de collectivités et d’acteurs publics. Le Cercle 2 est un autre niveau de sensibilité. Que fera le Gouvernement au niveau du Cercle 2 ? Se rapprochera-t-il de Gaia-X ? Quels seront les critères établis ? Étant donné la sensibilité des données, nous ne nous positionnerons jamais, en tant qu’acteur américain, sur Cercle 1. En tant qu’acteur extraterritorial (hors France ou hors Europe), il est important de se positionner sur les niveaux de sensibilité qui sont appropriés par rapport aux demandes des gouvernements.

Lorsque le niveau de sensibilité des données est moindre, il est nécessaire de regarder quelle est la meilleure solution, pour le département, à l’instant T, ce qui est le plus rapide à mettre en place. Vous le disiez, M. Michel Paulin, la transparence et la compétitivité sont très importantes. L’État doit avoir le choix de faire jouer la concurrence. Il ne doit pas se retrouver pieds et mains liés à un ou deux vendeurs, peut-être souverains, mais qui ne feront pas jouer la concurrence et dont les prix ne seront pas en phase avec ce que l’État peut investir et avec les réductions de coût qui seront nécessaires dans les années à venir. Comment les fournisseurs souverains permettent-ils de garantir cette compétitivité des prix pour l’État, en termes d’investissement ?

M. Michel Paulin. Je ne suis pas tout à fait d’accord. À ma connaissance, avec OUTSCALE, nous sommes largement moins chers que tous les hyperscalers. Vous pouvez regarder tous les benchmarks publics : nous sommes beaucoup moins chers. La notion de compétitivité en termes des prix/performance n'est pas un argument opposable aujourd’hui.

C’est plutôt l’inverse. Le Cigref se plaint de la position dominante de certains des acteurs qui profitent de leur position dominante pour imposer leur cloud. Les acteurs de SaaS en particulier imposent le stade en dessous pour pouvoir justifier de l’évolution technologique et

l’augmentation des prix. Aujourd’hui, un certain nombre de clients se retrouvent, avec des hyperscalers, dans des situations où leurs coûts augmentent fortement. De plus, ces clouds sont fermés, sans API et ne sont ni transparents ni réversibles. Nous sommes dans une double problématique. De notre côté, nous travaillons pour fournir des solutions souveraines, avec des API ouvertes, de l’open source, avec des prix largement plus compétitifs que la majorité des hyperscalers. Nous nous sommes toujours engagés dans la filière à maintenir nos prix à un niveau compétitif, quelles que soient les contraintes posées par l’État.

Le deuxième point que je souhaitais évoquer est cette notion de simplicité. Nous n’avons pas la prétention de dire que l’on pourra couvrir tous les besoins de tous les acteurs.

D’ailleurs, quel opérateur peut le prétendre ? Même AWS ne dispose pas de solution collaborative, qui est pourtant un besoin extrêmement important. Cela prouve que le leader mondial n’est pas en mesure de proposer l’ensemble des solutions. En revanche, il est vrai que les hyperscalers ont une gamme plus large. Ils sont partis plus tôt, ils ont été financés par leur pays. Ils ont bénéficié d’un soutien très puissant de leur écosystème régional. L’Europe n’a pas pu mettre en œuvre un tel soutien. Cette simplicité présente un certain nombre d’inconvénients. La solution est bien souvent monolithique, horizontalement ou verticalement.

En effet, à l'horizontale, vous n’avez pas le choix sur les sous-ensembles, vous êtes obligés de tout prendre. À la verticale, il est obligatoire de prendre l’ensemble du cloud. Le multi-cloud est impossible. Aujourd’hui, beaucoup de grands comptes ont l’impression d’être pris dans un étau dans lequel ils sont enfermés d’un point de vue contractuel. Le Cigref a désigné les lauréats des mauvaises pratiques concurrentielles dans le domaine de la technologie de l’information (IT). Ces solutions sont apparemment plus simples, mais il faut en comprendre les conséquences.

Nous souhaitons que l’écosystème d’OVHcloud, avec des partenaires (qu’ils soient des éditeurs américains ou européens), puisse fournir l’essentiel des besoins des entreprises dans le domaine du IaaS et du PaaS. Aujourd’hui, oui, nous pensons que nous pouvons répondre à l’essentiel des besoins. Notre croissance le prouve. Nous ne sommes pas un acteur en difficulté. Nous sommes profitables, nous investissons, nous recrutons. Cela montre que nos solutions répondent à une grande partie des besoins des petites et grandes entreprises aujourd’hui. Servane Augier le prouve également à travers l’écosystème qu’elle a monté. Certains sont d’ailleurs communs.

Nous sommes dans des solutions complètement différentes de la philosophie des hyperscalers. Il s’agit de solutions ouvertes, réversibles, multi-cloud, hybrid-cloud. Le client garde la maîtrise de la solution. Ces solutions sont peut-être un peu plus complexes à mettre en œuvre, nous en convenons. C’est pour cette raison que nous travaillons sur des labels, sur des intégrations, sur des marketplaces intégrées afin de faciliter, pour l’utilisateur final, l’usage de ces solutions. Nous avons annoncé des intégrations de solutions. Paradoxalement, nous avons signé un accord avec Google Cloud, dans lequel nous avons garanti la souveraineté des données de manière très stricte (le disconnect) et nous intégrons des technologies dans un control panel qui fait que, pour le client, l’utilisation de ces technologies sera extrêmement simple. Nous fournissons beaucoup d’efforts pour simplifier en gardant, contrairement à certains acteurs, les API ouvertes à la fois à l'horizontale et à la verticale.

Le fait de dire que les acteurs ne sont pas capables de répondre à l’ensemble des demandes est une facilité intellectuelle. Bien souvent d’ailleurs, il n’y a pas d’appel d’offres.

L’effort d’analyse n’a pas été fait. Aujourd’hui, sur un sujet comme le web, sur lequel nous sommes numéro 1 français, nous avons des choses à faire valoir. Nous ne sommes pas numéro 1 par hasard. Nous sommes un des hébergeurs les plus puissants sur les grands et les petits sites. Sur ce sujet, nos arguments sont nombreux et prouvent que nous possédons les

solutions. Faut-il encore être consultés et pouvoir répondre de manière équitable et sans exclusivité. Il faut qu’il y ait de la concurrence, de l’innovation. C’est important. Vous connaissez nos positions publiques sur un certain nombre de sujets : nous attendons l’appel d’offres et nous y répondrons.

M. Philippe Latombe, rapporteur. Vous avez évoqué la transparence et la réversibilité. Les providers de cloud sont-ils nombreux à ne pas proposer la réversibilité ou à mettre des freins à la réversibilité ?

M. Michel Paulin. C’est sûr. Ce n’est pas moi qui le dis, c’est Gartner.

M. le président Philippe Latombe. Ces freins sont-ils financiers ou technologiques ?

M. Michel Paulin. Ils sont de trois ordres. Le premier est technique. C’est par exemple le fait de ne pas avoir d’API documentés pour être capable de faire de la réversibilité, d’avoir des systèmes monolithiques dans lesquels vous mettez plein de modules liés par essence, où il est difficile de délier le stockage du compute, délier l’IaaS du SaaS ou du PaaS.

Par exemple, il n'est pas possible de ne pas avoir Azure sur Office 365.

Le deuxième aspect est financier. Cela a été mentionné par Gartner, par IDC, par Forester. Comment les données sont-elles facturées quand on sort du système (l’in and out dans la bande passante) ? Certains acteurs font payer très cher la sortie des données de leur environnement. Notre politique tarifaire est que le prix de la bande passante dans les data centers en entrée ou en sortie est compris dans le forfait. C’est pour cette raison que nous sommes massivement moins chers que les autres.

Enfin, le troisième sujet est légal. Si vous voulez avoir accès à un certain nombre de niveaux de licences, vous êtes obligés de choisir un cloud en dessous. Je ne suis pas le seul à le dire. La Chambre des Représentants américaine a estimé qu’un certain nombre de pratiques commerciales de certains acteurs aux États-Unis mettaient en danger la concurrence et l’innovation.

La réversibilité est un des principes fondamentaux de Gaia-X. Nous sommes très heureux de voir que, malgré le scepticisme de départ, de nombreux acteurs se sont engagés sur ce principe. À nous maintenant, en tant que membres du conseil d’administration de Gaia-X, d’être vigilants pour que les critères déterminants du label Gaia-X soient scrupuleusement respectés. Il faut que personne ne se réfère à Gaia-X sans respecter ces critères. Les critères les plus importants sont la réversibilité réelle, la transparence complète de bout en bout, horizontale et verticale, le fait de favoriser l’interopérabilité. Le multi-cloud est la solution pour les clients. Il garantit une compétition saine. Les systèmes de lock up juridique, tarifaire ou technique doivent être évités. Nous poussons beaucoup dans le domaine du public cloud pour avoir un acteur majeur dans l’open source. Nous continuons à investir massivement.

Nous venons de réaliser deux acquisitions en nous engageant à redistribuer dans le domaine de l’open source les technologies que nous développons pour pouvoir proposer des distributions accessibles à tous avec des API documentés qui garantissent les principes fondateurs de Gaia-X.

M. Philippe Latombe, rapporteur. Souhaitez-vous que le législateur, français ou européen, légifère sur les ventes liées (cloud + licence), comme cela a pu arriver dans d’autres domaines ? Faut-il légiférer sur les vouchers que proposent certains clouds au début de la création d’une start-up pour les faire travailler directement sur leur environnement ? Ce point

a été remonté il y a quinze jours. Cette pratique commerciale des vouchers biaise la concurrence. Souhaitez-vous que le législateur, français ou européen, légifère sur ce sujet ?

Mme Servane Augier. La législation à l’échelle européenne sur les ventes liées me paraît absolument indispensable. Le rôle du droit de la concurrence est de s’assurer que la concurrence reste saine. Sur des domaines aussi monopolistiques qu’Office 365 avec Azure, il est indispensable que l’Europe s’en saisisse et légifère.

S’agissant des vouchers et des welcome kits, je ne pense pas qu’il faille légiférer pour les empêcher. Toutefois, nous remarquons qu’un certain nombre de start-up viennent chez nous dans un deuxième temps. Elles utilisent ce welcome kit. On ne va pas leur reprocher d’utiliser ce qu’on met à leur disposition, mais elles se rendent vite compte du risque important de perte de maîtrise. En effet, quand on utilise la panoplie des services de nos concurrents, on ne maîtrise plus l’infrastructure technique et le SI qu’on est en train de déployer. Les start-up viennent ensuite chez nous parce que nos API sont compatibles avec ceux d’AWS en l’occurrence. La migration est très facile et elles trouvent chez nous cette interopérabilité et cette capacité à rester en maîtrise complète de leur système d’information.

Lorsque l’on finance une start-up, on devrait s’assurer qu’on la finance en lui mettant à disposition des solutions souveraines. Il convient de travailler pour faire en sorte que les financements embarquent un welcome kit souverain. Si l’on finance, autant le faire en fournissant un service qui fera également du bien à l’État.

M. Michel Paulin. Les ventes liées et les ventes forcées sont du domaine de la concurrence. Je ne sais pas s’il faut légiférer, mais ces pratiques devraient être dénoncées.

Elles ne sont pas saines. La législation concerne plutôt la protection des données sensibles. La législation devrait imposer la transparence pour qu’il y ait une liberté de choix de bout en bout et imposer des critères de réversibilité. Il faut éviter de lier systématiquement un éditeur de logiciel SaaS avec un cloud imposé dans lequel vous n’avez pas le choix. La législation semble nécessaire puisque certains acteurs ne le respectent pas.

Je ne sais pas s’il faut légiférer pour empêcher les vouchers pour les start-up.

Certaines pratiques incluent des notions d’exclusivité dans le temps, ce qui entraîne comme l’a dit Gilles Babinet, le « syndrome de l’héroïne ». Une fois qu’une start-up a commencé à mettre le doigt dedans et qu’elle est liée à un fournisseur par un contrat d’exclusivité pour quatre ou cinq ans, il est très difficile de revenir. Le coût pour en sortir est élevé. Nous voyons effectivement un certain nombre de start-up revenir en disant que les notions d’adhérence et de lock up sont dangereuses pour elles. Elles veulent des stratégies multi-cloud et reviennent vers des acteurs comme OUTSCALE ou nous-mêmes. Cette notion d’exclusivité à long terme, associée à ce voucher, n'est pas saine en matière de compétitivité. Même si au début, ce dispositif donne des capacités de développement, il n’est pas pérenne.

Il est nécessaire de clarifier ces règles du jeu. L’État doit participer à cette pédagogie. Les élus doivent s’intéresser à ces sujets. Il faut comprendre que ces sujets sont complexes : l’IaaS, le PaaS, le SaaS… Nous sommes assez mauvais dans la pédagogie et d’autres ne font pas l’effort. Nous devons le faire auprès des citoyens, des représentants de la nation. L’État doit participer à la clarification pour donner tous les éléments. Mon message n'est pas de dire que nous voulons de l’exclusivité, du protectionnisme. Nous voulons au contraire un cloud ouvert, réversible, transparent, qui donnera les garanties légales, techniques et financières à l’ensemble des acteurs pour pouvoir protéger leurs données dans le cadre européen, en dehors des solutions extraterritoriales. Il ne s’agit pas de choisir un acteur dans chaque pays qui deviendra l’acteur référent et qui aura le monopole. Si aujourd’hui les hommes politiques ne décident pas de protéger, il y aura de facto des monopoles extrêmement

puissants, avec des acteurs qui sont aidés. Dans certains domaines, l’informatique ou le digital, il n’y a plus qu’un ou deux acteurs au niveau mondial. Prenez le search ou les grands domaines digitaux autour des réseaux sociaux.

Le cloud doit rester un secteur concurrentiel et ouvert et qui respecte les valeurs européennes de protection des données. Le cadre juridique que nous demandons est exactement celui-là. Le risque est de voir une prédominance d’un certain nombre d’acteurs qui vont préempter un marché extrêmement intéressant, d’un point de vue financier, le fameux « pétrole du 21ème siècle ». Mais il y a des enjeux éthiques. Où sont les données de santé ?

Comment sont-elles traitées ? Qui a le droit d’en faire quoi ? La régulation de ces données doit être à l’agenda des représentants européens et français. C’est également un enjeu géopolitique.

Nous l’avons vu pendant la crise. Comment s’effectueront les allocations des ressources digitales pendant des crises de cette nature ? C’est devenu une question géopolitique. Le fait que la présidence américaine ait décidé de supprimer TikTok prouve l’existence de ces enjeux.

Le Cigref a clairement dit que les grandes entreprises étaient inquiètes des décisions d’arbitrage qui seraient prises sur les composants, les logiciels, les bandes passantes, sur les sujets d’allocations des ressources, dans des situations de pénurie ou de crise. Il est important que l’Europe se saisisse de ce sujet et garantisse une ouverture et une compétitivité de l’ensemble du marché, plutôt que de le refermer avec quelques acteurs, et fasse en sorte qu’il y ait une indépendance, une souveraineté, une possibilité de choisir. Sur ces sujets, nous militons avec OUTSCALE ou avec des acteurs en Allemagne, en Italie, en Espagne, avec lesquels nous avons monté des partenariats.

Mme Karine Picard. Nous militons pour les mêmes choses. Nous militons pour la transparence depuis toujours. Pour cette raison, nous n’émergeons nos solutions que sur des clouds sur lesquels nous pouvons garantir l’intégralité, la sécurité, la localisation des données et qui les opère. Je suis d’accord avec vous. Nous nous battons contre d’autres vendeurs qui hébergent chez Google, Amazon, et autres, sans avoir la garantie de la chaîne complète de la sécurité de la donnée. Leurs clients ne peuvent pas choisir avec qui ils veulent travailler.

L’ouverture, la transparence, la réversibilité sont des sujets sur lesquels nous travaillons, depuis toujours, en tant qu’opérateur de cloud. C’est de cette façon que nous nous sommes différenciés d’Amazon, Google, etc. De plus, nous travaillons depuis toujours sur du BtoB.

Les données de nos clients n’appartiennent qu’à nos clients. En aucun cas, nous ne ferons du business sur la donnée. Il y a une différence entre les providers de cloud qui font du BtoC et ceux qui font du BtoB. C’est aussi un élément de pédagogie envers les citoyens, qui ne comprennent pas forcément toutes ces subtilités.

M. Philippe Latombe, rapporteur. D’un point de vue juridique, Schrems II a constitué une vraie rupture. Quelle analyse en faites-vous ? Quelles sont les conséquences de Schrems II qui nécessitent des clarifications ? Comment peut-on se prémunir de l’extraterritorialité, notamment américaine ? Y a-t-il des mesures juridiques à prendre pour donner un cadre plus clair, puisque SecNumCloud ne garantit pas l’absence d’extraterritorialité ? Que faut-il faire juridiquement pour clarifier les choses ?

Mme Servane Augier. Dans les discussions à la direction générale des entreprises (DGE), avec le Comité stratégique de filière, nous avons travaillé sur l’éventuel renforcement de la loi de blocage qui viendrait en contrepoids du Cloud Act, et qui viendrait flécher la donnée sensible vers des clouds de confiance. Nous appelons à la création d’un label permettant de clarifier le paysage et d’adresser des messages clairs aux futurs clients. La souveraineté est la capacité à choisir. Cependant, pour choisir de manière éclairée, il est utile d’avoir des panneaux explicatifs. Les acteurs ne peuvent pas dresser eux-mêmes les panneaux, au risque d’être juges et parties. Ce que nous décrétons est moins fort que ce que quelqu’un

peut nous attribuer comme mérite. C’est pourquoi nous sommes très enclins à passer des certifications. Nous pensons que la confiance se prouve. Je souhaite que l’État mette en place un système permettant de savoir quels labels garantissent le respect des critères de non-soumission à des réglementations extra-européennes.

M. Michel Paulin. Je suis tout à fait d’accord. Je pense que l’on commence tout juste à s’apercevoir des conséquences de Schrems II. Ses implications sont extrêmement fortes. Schrems II interdit l’export de toutes données et de métadonnées en dehors de la Communauté européenne. Cela met, de manière indirecte, beaucoup de solutions dans l’illégalité complète.

Avec la filière, nous sommes très à l’aise : avec nous, le client choisit la localisation de ses données et nous garantissons l’absence de transferts de données et de métadonnées. De plus, nous n’accédons pas aux données du client, puisqu’aucune des données ne transite. Nous sommes confiants sur le fait d’être totalement conformes à l’ensemble des recommandations Schrems II.

Aujourd’hui, certains clients ont des logiciels avec la paie de leurs salariés qui sont hébergés aux États-Unis, avec des métadonnées qui circulent aux États-Unis. Il s’agit parfois de leur base client, avec les noms, les emails, les numéros de téléphone. Et même si ces données sont hébergées dans un data center quelque part en Europe, il arrive souvent qu’elles transitent. Il ne serait pas étonnant que certains acteurs lancent des class actions visant les acteurs qui ne seront pas capables de respecter Schrems II. Des directeurs juridiques d’entreprise viennent nous voir en nous demandant s’ils sont exposés. En général, la réponse est : « Oui, vous êtes exposés. Il existe un vrai enjeu pour la protection des données de vos salariés, de vos clients ». Ils découvrent avec surprise qu’ils sont très exposés, car ils n’avaient pas été très attentifs lors des appels d’offres sur ces sujets.

Schrems II est en train de radicalement changer les modèles. Cette exigence sera de plus en plus présente. C’est pourquoi les labels sont très importants. Il faut passer de labels uniquement techniques à des labels qui permettront de gérer le problème de la sécurité et le problème légal. Certains hyperscalers disent qu’il suffit d’encrypter les données. Tout le monde sait que le chiffrement peut se casser. Certains pays exigent que toutes les clés utilisées par les fournisseurs soient hébergées sur place. Cela prouve bien que le sujet n’est pas uniquement technique. Il doit être légal. Je souscris tout à fait à la recommandation de Servane Augier sur le fait que la labellisation HDS doit inclure un certain nombre de garanties légales sur le stockage et l’utilisation des données. Il faut garantir qu’elle est conforme à Schrems II.

Le législateur et la force publique doivent intervenir. Ils doivent être capables de garantir la légalité dans le cadre de Schrems II.

Mme Karine Picard. Du fait de l’endroit où nous localisons nos données et de l’absence de transfert de données entre les data centers à l’extérieur de l’Europe, nous respectons Schrems II. Les investissements massifs que nous effectuons en Europe sur les data centers sont aussi en précaution de la régularisation. Contractuellement, nous devons protéger nos clients et respecter Schrems II. Plusieurs acteurs vont se retrouver dans l’illégalité aujourd’hui. Les investissements massifs en Europe sont la garantie que nous respectons les lois.

M. Michel Paulin. Je me permets de « challenger » cette affirmation. L’une des implications de Schrems II est que le fournisseur de cloud est exclusivement soumis à la juridiction de l’Union européenne, à l’article 48 du RGPD. Or le Cloud Act, dans la juridiction, impose aux acteurs américains de fournir des données sur injonction. C’est cadré, mais selon

moi, il existe un enjeu. Dès qu’un acteur est soumis au Cloud Act, il est exposé à ne pas être conforme à Schrems II.

Mme Servane Augier. C’est mon point de vue également. Au-delà des efforts fournis par Oracle, dans la mesure où il n’y a pas d’accord entre les États-Unis et la France ou l’Europe, il existe une incompatibilité. Vous êtes dans un corner. Pour les acteurs américains présents en France et en Europe, le RGPD, Schrems II et le Cloud Act donnent des injonctions contradictoires.

Mme Karine Picard. Il faudra faire appel au pragmatisme économique, si on ne veut pas que toutes les entreprises européennes se retrouvent dans l’illégalité.

Mme Servane Augier. Bien sûr. J’évoquais l’aspect juridique.

M. Philippe Latombe, rapporteur. Schrems II a invalidé le transfert, mais maintient les clauses contractuelles. Les entreprises comprennent-elles les implications ?

Sont-elles en capacité de négocier ces points ? Faut-il intervenir, et, si oui, comment, sur les clauses contractuelles ?

Mme Servane Augier. Je vois se multiplier les webinaires à destination des clients pour leur parler des conséquences de Schrems II, de ces clauses contractuelles. Il existe une difficulté de compréhension. La première intervention serait de créer un vademecum à l’intention des entreprises françaises sur ce qui fonctionne, sur les aspects où la prudence est de mise, sur les contrats à revisiter. Aujourd’hui, tout le monde improvise. En fonction de la sagacité des data protection officers dans les entreprises, certains sujets seront soulevés ou non. Un petit guide à l’attention des entreprises sur les points de vigilance serait pertinent.

Nous entendons parler d’amendes qui peuvent être considérables. Il ne faut pas punir l’économie française avec ces difficultés contractuelles.

M. Michel Paulin. Tout à fait. Il n’existe pas de jurisprudence aujourd’hui. Il y a le droit et l’utilisation du droit. Tout ce qui permettra d’éclairer les décideurs sera intéressant.

Je pense que ce sujet dépasse les clients. Notre sondage est très clair. Les citoyens demandent de la transparence sur les sujets de santé. Il faut clarifier la législation en ces domaines.

Le cloud de confiance tel que nous le concevons est une des solutions pour la souveraineté, mais aussi pour répondre aux exigences éthiques. Il convient de continuer la pédagogie. Ces secteurs sont parfois un peu complexes. Les entreprises ne sont pas forcément des spécialistes. Il faut éclairer, faire de la pédagogie, ouvrir les boîtes noires lorsque cela est nécessaire. Les clients doivent utiliser l’arrêt Schrems II pour retrouver une capacité de choix, de liberté. Le cloud de confiance facilite l’innovation et la compétition. Ce n’est pas un cloud fermé. L’argument qui consiste à dire que ce que nous proposons bloquera l’économie est faux. Nous demandons une régulation équitable, qui permette d’éviter que certains acteurs préemptent les marchés. De plus, notre cloud garantit aux citoyens une protection des données qui est légitime, mais qui est minoritaire dans le monde. Le RGPD est une pratique européenne, et non mondiale. Dans certains pays, on observe une mutualisation forcenée de la donnée pour imposer, contrôler, voire réprimer.

Mme Karine Picard. Il est nécessaire de clarifier Schrems II, car les éditeurs ou les entreprises n’en comprennent pas les conséquences. Nous sommes conformes au RGPD, qui est clair, mais il faudra apporter de la clarté juridique sur Schrems II pour que nous puissions nous positionner. Le flou pour les entreprises, en période de Covid, n’est pas opportun. Elles doivent investir dix fois plus rapidement pour s’adapter et faire face à la crise.

Le flou autour des contrats qu’elles auront le droit de conclure et des risques qui existent

retardera les entreprises dans leur choix et donc dans leur transformation digitale, ce qui n'est dans l’intérêt de personne. Cette clarté est extrêmement importante. Il faut laisser la possibilité aux entreprises de choisir les solutions les plus sûres et les plus pertinentes par rapport à leur métier et à leurs besoins. La clarté est indispensable, étant donné la situation actuelle. Les entreprises n’ont pas arrêté leurs investissements digitaux. Il convient de les accompagner au mieux dans la clarté.

M. Philippe Latombe, rapporteur. Je vous pose la question d’un collègue qui souhaite revenir sur la formation des acteurs. Comment pouvons-nous former les acheteurs pour combattre cette forme d’autocensure des directions des systèmes d’information (DSI) quant à l’achat de solutions sortant des habitudes ? Il a été indiqué dans une des auditions précédentes que les acheteurs publics sont plutôt des spécialistes juridiques, des spécialistes du contentieux des marchés publics que des acheteurs de solutions, avec une fibre technologique. Auriez-vous des propositions pour faire en sorte que les marchés soient mieux définis et que les acheteurs soient plus informés des solutions existantes ?

Mme Servane Augier. Il serait important que la doctrine de l’État soit plus claire et qu’elle soit descendue dans les administrations déconcentrées et dans les collectivités territoriales. L’UGAP a fait un travail formidable pour mettre en place un marché de référencement qui apporte des outils. Parmi ces derniers, tous les cloud providers sont référencés, les cloud providers français, les cloud providers américains. Il n’existe pas de mode d’emploi pour l’accompagner, de doctrine de l’État disant : « nous vous donnons des outils, parce que vous avez besoin de choix, d’agilité dans votre transformation cloud en région. Nous vous recommandons de faire tel ou tel choix en fonction de tel ou tel critère ». Il faut clarifier, prendre parti et dire : « Nous, en tant qu’État, recommandons que les données de santé locales, que les données financières, que les données des citoyens restent sur des clouds de confiance. Cela signifie de faire appel à tel ou tel fournisseur pour tel usage. Vous pouvez choisir plus largement pour telle autre typologie d’usage. »

En parallèle, les acteurs s’engagent, notamment à travers Gaia-X, à favoriser l’interopérabilité et le multi-cloud. Nous ne souhaitons pénaliser ni bloquer personne.

Cependant, dans certains domaines, il est essentiel de respecter ces sujets de souveraineté.

Pour ce faire, il est important que les acteurs du cloud soient interopérables. En effet, il faut qu’une entreprise puisse choisir un cloud dans un cas et un cloud différent dans un autre cas, sans que cela ne soit compliqué. Il convient que l’État s’exprime clairement sur la doctrine et donne des consignes. Je suis en train de prononcer des mots tabous, mais il est regrettable que les marchés arrivent jusqu’aux acteurs locaux sans mode d’emploi. Il est étonnant de référencer pour le cloud de l’État tous les acteurs américains pendant que M. Bruno Lemaire évoque la nécessité de créer une offre souveraine. Cela génère des interrogations. Il faut expliquer ce que l’État a voulu faire en référençant tous les acteurs, tout en poussant les offres souveraines. Il est utile de clarifier les consignes.

Mme Karine Picard. Je suis tout à fait d’accord avec vous. Nous faisons partie de Cercle 3. Nous garantissons un certain nombre d’éléments, en termes de réversibilité, d’ouverture, de localisation des data centers, de sécurité, de points techniques. Pourtant, nous nous retrouvons en compétition avec des acteurs américains qui ne respectent pas ces éléments. Nous sommes assimilés à eux. Les raccourcis effectués, de par ce manque de clarté, pénalisent à la fois les acteurs souverains français, mais aussi les acteurs étrangers américains qui respectent ces règles à 100% et qui sont entrés dans le marché Cercle 3. Plus personne ne comprend rien. Cet élément de clarté est extrêmement important nous nous aussi. Il arrive que nous soyons emmenés sur des appels d’offres pour, au final, nous rendre compte que nous ne

pouvons pas le remporter en raison de notre nationalité. Les vendeurs ont besoin de clarté pour savoir quels types d’appels d’offres sont ouverts ou non.

M. Michel Paulin. Je suis à 100 % d’accord avec vous. Il faut faire preuve de pédagogie auprès des acheteurs, les former. Il est vraiment très compliqué de comprendre les implications de Schrems II. Il faut former l’ensemble de l’écosystème. Il est nécessaire que l’UGAP aille plus loin dans la transparence des critères de choix. La localisation des données doit être un critère, indépendamment de la nationalité de l’opérateur. Le fait qu’un certain nombre des données de santé soient à Amsterdam n’est pas forcément un problème, mais nous devons le savoir. Il faut qu’ensuite les décideurs prennent les bonnes dispositions.

De la même façon, les critères de certification technique ou légale doivent être des indicateurs accessibles à l’acheteur. Il est utile d’avoir des recommandations par rapport à un certain nombre de sujets. Il est clair qu’il n’est pas toujours indispensable que les données ne transitent pas. Certaines ne sont pas considérées comme sensibles. En revanche, sur certaines données, il est impératif, même dans le cadre du Cercle 3, que le discriminant soit fait sur des acteurs complètement ouverts et transparents sur certains principes. Il faut cette clarté de bout en bout. Cela doit être un critère de choix. Cela ne peut pas être uniquement nice to have. Cela doit être une obligation. L’État et les marchés publics doivent donner des règles, et donner les moyens aux acheteurs de prendre des décisions. Sinon, ce qui prévaudra sera, soit une nationalité unique des acteurs, soit un obscurantisme des conditions du process, qui entraînera la réflexion : « C’est plus simple avec l’acteur qui remporte tout », first takes all et c’est terminé. Ce sera un monopole de fait.

Il faut faire de la pédagogie et imposer. Pour l’UGAP par exemple, les appels d’offres publics doivent être très clairs sur les conditions d’attribution sur l’ensemble de la chaîne. Certains appels d’offres intégrateurs produisent des sites web. Il convient de savoir où sont hébergés ces sites web, comment, où sont les données, comment elles transitent. Ces informations doivent apparaître de manière claire, pour que le cahier des charges donne de la visibilité. Une fois que tout cela est décrit et certifié, chacun décide en toute connaissance de cause. En revanche, sur un certain nombre de données sensibles, considérées par l’État comme stratégiques et devant être gérées par des opérateurs souverains, il convient de voter une loi.

Les données des OIV, des grands acteurs doivent rester dans des conditions de souveraineté totale.

M. Philippe Latombe, rapporteur. Souhaiteriez-vous évoquer des sujets que nous n’avons pas abordés ?

Mme Servane Augier. Pour encourager cette filière souveraine, il conviendrait de traiter le sujet avec les écoles. Les ingénieurs qui arrivent sur le marché veulent travailler avec ce qu’ils ont utilisé à l’école. Il est important que les solutions souveraines soient accessibles et disponibles dans les écoles. C’est un axe de travail. L’État a mis en place des plans d’accélération, des appels à manifestation d’intérêt (AMI). Il existe une vraie motivation pour que la filière se développe. Par ailleurs, il conviendrait de traiter des sujets de fiscalité.

Le FCTVA est une première bonne nouvelle pour les collectivités territoriales qui pourront avoir le même niveau de TVA qu’elles soient en OPEX ou en CAPEX sur ces sujets. Des dispositifs de fiscalité pourraient être mis en place, avec des politiques de suramortissements, pour encourager les investissements des sociétés qui paient leurs impôts en France.

M. Philippe Latombe, rapporteur. Nous avons décidé d’ouvrir une séquence sur la formation fin mars/début avril. Le sujet de la formation primaire jusqu’aux grandes écoles sera abordé. Nous sommes preneurs de vos propositions sur les différentes thématiques que

nous évoquerons au sein de la mission. N’hésitez pas à continuer à contribuer par des écrits que nous annexerons au rapport.

Mme Karine Picard. En tant qu’acteurs américains, notre puissance d’investissements nous a permis, pendant la crise, de mettre à disposition d’un certain nombre de gouvernements des solutions pour « monitorer » ce qui se passait sur les traitements du Covid, sur les vaccins. Ces solutions ont été proposées aux gouvernements européens. Du fait de ce manque de clarté sur les données de santé, le Gouvernement français ne pouvait pas prendre ce type de solutions. Cette absence de clarté a empêché certains gouvernements de bénéficier d’innovations qui pouvaient aider à améliorer les process, le pilotage des données en période de crise. Cette clarté est indispensable, car nous apportons le niveau de sécurité nécessaire à un cloud de confiance. Nous faisons les investissements nécessaires.

Vous parlez d’aider les entreprises françaises et européennes. Le sujet du cloud est un sujet d’investissement en continu. Cela nécessite d’avoir les fonds pour répondre à la créativité des attaques aujourd’hui. Cette notion d’investissement est essentielle. Aujourd’hui, nous essayons de montrer à nos clients que la souveraineté et la sécurité sont indissociables, même pour un acteur américain. La notion d’investissement n’est pas qu’un élément légal.

Derrière la capacité à sécuriser les données, les besoins d’investissement sont gigantesques. Il faut que l’État et l’Europe prennent conscience des investissements nécessaires pour offrir la meilleure sécurité du cloud aux citoyens et aux entreprises.

Mme Servane Augier. Nous n’avons pas abordé les sujets de cyber sécurité. Il est très intéressant que vous receviez Hexatrust jeudi prochain.

M. Michel Paulin. Des actions concrètes peuvent être mises en place, par l’exécutif ou le législateur, autour de la souveraineté des données, pour rendre le process plus transparent. L’idée est d’éditer des règles qui aideront, à la fois, les acheteurs et les citoyens, pour garantir la souveraineté des données sensibles. La notion de régulation et le fait d’ériger des lois ne sont pas tabous, même si, bien souvent, on oppose loi et business. Toutes les autres régions le font. Nous savons que les États-Unis ont régulé un certain nombre de leurs données sensibles. Et je ne parle pas des Chinois qui ne travaillent qu’avec des acteurs 100 % chinois.

Des acteurs mettent en place des mécanismes pour protéger leurs données et leur industrie.

La notion d’investissement est importante. Le marché européen est le premier marché mondial. Il existe des opérateurs européens qui ont la capacité de répondre dans de nombreux domaines. Il faut choisir ses batailles. Pour certaines d’entre elles, il vaut mieux faire des alliances ouvertes, conformes aux règles de l’Europe sur la protection des données.

Pour d’autres domaines – la sécurité, l’intelligence artificielle, le big data – l’Europe a des solutions extrêmement innovantes. Il faut les aider, comme le font les autres régions, qui sont capables de créer des écosystèmes aux États-Unis, en Inde, en Russie, au Japon, en Corée, en Chine, pour faire émerger les acteurs qui auront la taille suffisante pour les investissements nécessaires. Il existe un écosystème à travers la filière française et européenne. L’État doit aider par le cadre législatif, mais aussi, comme dans les autres régions, par la commande publique et par les investissements, à faire émerger ses champions.

Audition commune, ouverte à la presse, de M. Jean-Noël de Galzain, président d’HEXATRUST, M. Stéphane Volant, président du Club des directeurs de la sécurité et de la sûreté des entreprises (CDSE), et de Mme Florence G’Sell, professeure de droit à l’université de Lorraine, membre du Club des juristes

(11 février 2021)

Présidence de M. Jean-Luc Warsmann, président, puis de M. Philippe Latombe, rapporteur.

M. le président Jean-Luc Warsmann. Nous recevons aujourd’hui les représentants de HEXATRUST et du Club des Directeurs de Sécurité et de Sûreté des Entreprises (CDSE), ainsi que Mme le Pr Florence G’Sell, professeur de droit à l’université de Lorraine, qui est également contributrice régulière au sein du Club des Juristes.

L’audition de ce jour prend appui sur le manifeste intitulé « Cinq vœux pour une autonomie stratégique européenne » du mois de septembre 2020. Cette réflexion sur les enjeux et les conditions d’une souveraineté numérique, intéresse directement nos travaux. C’est la raison pour laquelle nous souhaitions échanger avec ces auteurs et ces contributeurs.

M. Philippe Latombe, rapporteur. J’aimerais tout d’abord que vous nous présentiez le contenu de votre manifeste, « Pour une autonomie stratégique européenne » et ses différents axes. Je pense notamment au soutien des PME françaises de confiance via l’instauration d’une proportion d’achats fléchés, et au soutien des investissements des entreprises dans les équipements numériques, qui ont déjà fait l’objet de plusieurs échanges au cours de nos travaux.

Ensuite, j’aimerais connaître votre point de vue sur le cloud et sa sécurisation. C’est l’objet même de l’existence du groupement HEXATRUST. Dressant le constat d’une hausse de la dépendance des entreprises à leur fournisseur de service cloud, le groupement promeut le recours à des prestataires de confiance et a récemment développé un label, le SecNumCloud, pour orienter les acheteurs. Ce label a dernièrement été obtenu par Outscale et OVHcloud.

Selon vous, comment les pouvoirs publics peuvent-ils encourager davantage la diffusion d’une véritable culture de la cybersécurité chez les acteurs à la fois publics et privés ? Cela nous permettra d’échanger sur vos propositions concernant le sujet Cyber. Le CDSE pourra également nous dire un mot sur la perception des entreprises et leur adaptation à ces risques croissants.

Enfin, je voudrais revenir sur les différentes initiatives européennes touchant directement ces questions. Je souhaiterais vous interroger sur votre perception des différents projets en cours. Je pense notamment aux directives DSA (Digital Services Act) et DMA (Digital Market Act). Je souhaite aussi vous entendre, d’une part, sur le Data Governance Act, et, d’autre part, sur la stratégie de cybersécurité présentée par la Commission européenne en fin d’année dernière. Ces projets vous paraissent-ils adaptés aux défis qui s’annoncent pour les prochaines années ?

M. Stéphane Volant, président du Club des directeurs de la sécurité et de la sûreté des entreprises (CDSE). Je trouve intéressant de partir du besoin du client et de l’utilisateur.

Ces derniers sont souvent oubliés sur ce sujet, sur lequel on nous vend des avions renifleurs et des éléphants blancs, ce qui n’est pas toujours très satisfaisant.

M. Jean-Noël de Galzain. Nous sommes d’accord.

M. Stéphane Volant. M. Jean-Noël de Galzain sourit, mais il voit bien, au sein de la filière des industries de sécurité où nous siégeons tous les deux, qu’il s’agit de notre obsession.

N’y voyez rien d’autre qu’une taquinerie, mais je vous invite à noter que nous échangeons sur Zoom. Même à l’Assemblée nationale, nous utilisons une application qui n’est pas entièrement française ni souveraine. Je vous rassure, vous n’êtes pas les seuls.

M. Philippe Latombe, rapporteur. Nous allons implémenter Tixeo dans les jours qui viennent, à la suite de remontées indiquant que Zoom n’était pas idéal.

M. Stéphane Volant. Je ne me plains pas. Nous avons juste mis en copie de nos échanges New York et Washington, mais nous ne traiterons pas de secrets d’État.

M. Philippe Latombe, rapporteur. Vous oubliez Pékin.

M. Stéphane Volant. Sachant que même les ministres de la Défense européens en Conseil de Défense ont des intrus dans leurs applications, nous pouvons imaginer qu’il reste un bout de chemin à faire. Il est formidable que vous implémentiez Tixeo.

Comme vous l’aurez noté pendant la période de confinement, en tant que père de famille ou en tant qu’utilisateur particulier, il n’existe aucune application française ni européenne capable d’offrir en masse, aux Français, de quoi échanger gratuitement et de manière simple sur les réseaux. Les applications existent – Tixeo en est une –, mais elles sont rares. Certaines sont payantes et surtout extrêmement malcommodes. Le confinement a montré que l’outil domestique n’existait pas.

Je travaillais encore récemment dans l’une des plus grandes entreprises nationales. La plupart des entreprises n’utilisent pas de solution française ni de solution européenne. Le marché des solutions françaises ou européennes des entreprises représenterait 10 % à 15 % des entreprises à l’heure actuelle. La raison n’est pas que les entreprises ne sont pas patriotes, surtout lorsqu’il s’agit d’entreprises publiques ou de défense. Ce n’est pas non plus parce qu’elles refusent de travailler avec des solutions françaises. Il y a deux raisons possibles : soit les solutions françaises sont inaccessibles et non compétitives, soit elles n’offrent pas les mêmes fonctionnalités ni la même ergonomie que les solutions internationales.

Je parle des entreprises françaises, mais je pourrais parler de l’État et des collectivités territoriales, qui se sont fait rappeler à l’ordre par la Commission nationale de l’informatique et des libertés (CNIL) encore récemment. La CNIL leur reprochait de mettre les données de santé des Français sur des solutions et des clouds qui n’étaient pas nationaux.

On nous parle de Campus Numérique à grands frais à La Défense. Je note que beaucoup de mètres carrés, d’inox et de verre lui sont consacrés, mais je ne sais pas si, à ce prix au mètre carré, nous verrons beaucoup de monde y prendre part.

On nous parle de GAIA-X, avec plein de GAFAM inside. En effet, à l’intérieur de GAIA-X, nous trouvons déjà des briques de Microsoft. C’est à croire que l’objet n’est déjà pas souverain, mais nous attendons de voir.

On nous parle d’un grand plan quantique national. En tant qu’utilisateur, je me réjouissais de ce plan, car je pensais que nous étions précurseurs sur le quantique, qui ne fait pas beaucoup parler de lui. En m’intéressant ce matin aux statistiques, j’ai découvert que la Chine avait déposé l’année dernière 1 157 brevets en matière de quantique, que les USA en

avaient déposé 363, la Grande-Bretagne 29, l’Allemagne 23 et la France 9. C’est dire notre retard, y compris sur ce sujet.

On nous parle de millions là où il faudrait des milliards.

On nous parle de demain, là où il faudrait parler d’aujourd’hui, voire d’hier.

Et on nous dit qu’Orange et Atos sont des chantres de la souveraineté, alors qu’ils ont des partenariats stratégiques avec Microsoft et communiquent à grands frais pour s’en vanter.

Bref, si je m’adresse à vous en tant qu’utilisateur, je pense qu’il va falloir un jour nous dire la vérité. Il va falloir cesser d’envisager de ne passer que par la contrainte pour que les particuliers comme les entreprises utilisent des solutions qui ne fonctionneraient pas sans cette contrainte. Les grandes entreprises, qui sont parfois gorgées d’argent public et de subventions, n’ont pas montré, ces dernières années, toute la force qu’elles auraient pu posséder. Nous attendons qu’elles laissent un peu la place aux PME et aux PMI, ainsi qu’aux start-up. C’est probablement chez ces dernières que nous trouverons le Mark Zuckerberg français. M. Jean-Noël de Galzain ne ressemble pas à Mark Zuckerberg, mais il en est un. Il est à la tête d’une association qui regroupe des start-up et de talentueux personnages. Il convient de nous poser les bonnes questions d’urgence et d’y apporter les bonnes réponses.

Les personnes qui se trouvent autour de la table sont capables de vous énoncer les critères de souveraineté à retenir. C’est la première chose à faire. Quels seront les critères qui permettront d’estampiller une solution « souveraine » et comment les rendre visibles auprès du grand public, comme des industriels ? Comment imposer ces critères dans les appels d’offres ? J’ai connu auparavant de grandes entreprises qui n’avaient pas d’autre choix que de passer par des solutions étrangères, parce que celles-ci étaient moins chères et plus performantes. Si l’on imagine que les solutions françaises de demain se montreront aussi performantes que les solutions étrangères, comment les imposer dans les appels d’offres ?

Vous noterez qu’il existe un organisme pour les personnes radicalisées dans les entreprises, le SNEAS (Service national des enquêtes administratives de sécurité). Quand vous embauchez quelqu’un, ou que vous faites la promotion d’emplois sensibles auprès de personnes au profil ou au comportement curieux, vous avez la possibilité d’interroger ce service, qui vous donne un go ou un no go. Il vous permet d’avancer officiellement les raisons pour lesquelles vous n’avez pas retenu une candidature ou accordé une promotion, y compris devant les Prud’hommes. Il serait judicieux, pour les produits numériques, de se doter d’un service analogue permettant de ne pas retenir, en appel d’offres, des solutions un peu plus concurrentielles que les françaises.

Comment surveiller ces critères de souveraineté sur la durée ? Aujourd’hui, de formidables petites sociétés sont souveraines pendant deux ans. Et puis, un grand État étranger s’aperçoit qu’il faut absolument entrer dans leur capital et elles ne le sont plus. Je l’ai vécu pendant le confinement. Le ministère de l’Intérieur m’a demandé d’utiliser une solution ;

quelques semaines plus tard, le Secrétariat général de la défense et de la Sécurité nationale (SGDSN) m’a annoncé que le capital avait changé et qu’il ne fallait plus l’utiliser.

Dans la plateforme que nous partageons avec HEXATRUST et le Club des Juristes, nous avons émis un grand nombre de propositions.

Tout d’abord, il faut définitivement soutenir la R&D, non seulement celle des grands, mais aussi celle des PME et celle des start-up. Il nous faut également écouter les utilisateurs, qui ne veulent pas qu’on les contraigne à prendre des solutions souveraines exorbitantes et

malcommodes, au motif qu’elles sont souveraines. Le coût de la souveraineté représente un supplément de 10 % à 15 %. C’est une assurance, mais nous ne pourrons pas aller au-delà.

Encore faut-il que nous nous saisissions de la question des critères de la souveraineté et que les entreprises soient assurées, pour 15 % de plus, de ne pas se faire piller leurs données et de pouvoir parler à leurs clients en toute tranquillité.

Nous disposons aujourd’hui d’un outil formidable, qui est la filière des industries de sécurité – comme vous le savez, l’industrie française est organisée en filières. À l’intérieur de cette filière, se trouvent des acteurs de taille importante, moyenne et petite, ainsi que les utilisateurs. C’est une grande première. Donnons sa chance à cette filière. Si nous respectons les équilibres grands/moyens/petits/utilisateurs, nous devrions obtenir des solutions pratiques et souveraines nationales.

Enfin, l’année 2021 sera décisive. Beaucoup de choses ont été dites depuis des décennies en matière de souveraineté numérique. Nous arrivons au bout d’un cycle. Si les grands projets menés avec le Campus de la Cybersécurité et avec GAIA-X n’aboutissent pas rapidement, les utilisateurs n’y croiront plus. La France et l’Europe devront alors peut-être faire le deuil de cette souveraineté-là et passer à autre chose, en admettant qu’elles n’ont pas réussi, avec leurs moyens propres, à s’adresser à ce marché crucial pour nos industries et nos familles – lorsque nous emmenons l’ordinateur chez nous pour travailler avec un logiciel, le travail et la famille sont interconnectés.

Je vous demande pardon pour mon impertinence, mais l’utilisateur est lassé de se faire « raconter des fariboles ». On nous promet la souveraineté pour demain. On nous promet des solutions françaises pour demain. Cela fait des années que c’est pour demain. Quand nous entendons dire que ces solutions, qui ne sont pas retenues parce qu’elles ne sont pas au niveau, devraient nous être imposées par la loi, nous faisons des bonds, chez les industriels comme les particuliers.

M. Jean-Noël de Galzain, président d’HEXATRUST. Je suis ravi d’être auditionné avec M. Stéphane Volant et avec le CDSE. En effet, nous considérons aussi que, pour rebâtir cette souveraineté et changer notre modèle, qui appauvrit visiblement cette souveraineté, il convient de commencer par associer les utilisateurs, qui sont les bénéficiaires, aux innovateurs, qui inventent des produits, des services et des modèles nouveaux. Telle est la thèse qui nous a conduits à rédiger ce manifeste. Nous assistons à une répétition de l’histoire, qui consiste à réutiliser en permanence des organismes et des organisations déjà existantes et à utiliser un modèle arrêté entre les grandes organisations et l’État. Ce modèle est à bout de souffle. Nous proposons un modèle de reconstruction différent, dans un domaine qui nous a échappé.

Je suis à la tête d’une organisation, HEXATRUST, qui regroupe un certain nombre d’organisations, telles que des start-up, des PME et des ETI spécialisées dans la cybersécurité, le cloud de confiance et la mise en œuvre d’un environnement numérique de confiance. C’est sur cette base que j’avais lancé le forum international de la cybercriminalité à Lille, il y a deux ans.

En matière de numérique, nous sommes aujourd’hui ballottés entre deux mondes, pour reprendre la formule d’Eric Schmidt, le patron de Google à l’époque. Nous sommes ballottés entre un monde numérique chinois organisé au bénéfice des organisations gouvernementales et du système chinois, et le reste du monde emmené par les Américains. Une opportunité historique se présente à nous, celle de créer le numérique de confiance, c’est-à-dire un environnement numérique éthique, protecteur des données personnelles, et garantissant les critères de liberté, d’autonomie et donc de souveraineté.

Ce numérique doit s’imposer dans un environnement qui n’est pas le nôtre, puisque nous utilisons un numérique essentiellement américain, en tant qu’alliés des États-Unis. Les clouds sont presque tous américains et les moteurs de recherche Internet sont tous américains.

Cet environnement est certes hostile au départ, mais, à terme, le numérique de confiance, qui sera un numérique RGPD respectant toutes les réglementations européennes et nos règles démocratiques, intéressera le monde entier et comptera beaucoup plus d’utilisateurs que les GAFAM d’aujourd’hui, si nous sommes capables de tenir sur ce registre et de le mettre en œuvre.

Le deuxième aspect s’appuie sur un constat. Certes, nous avons perdu la bataille des GAFAM. Le monde de la technologie de l’information (IT) compte aujourd’hui un grand nombre de start-up et d’entreprises ayant quantité d’utilisateurs présents sur les réseaux sociaux. Nous avons des difficultés à maîtriser ces derniers, qui bousculent nos règles et influent même sur nos processus démocratiques. Je pense que cette bataille n’est pas le combat du moment. La bataille que nous devons mener est celle de l’industrie 4.0, c’est-à-dire de l’industrie du futur, mais aussi celle de la modernisation de nos gouvernements, de nos hôpitaux et de nos systèmes de santé – demain, la santé sera numérique. La bataille concerne aussi la modernisation de nos villes avec l’émergence des Smart Cities et des Smart territoires, et tout ce qui permettra l’accès pour tous au numérique et la mise en place de l’Internet des objets.

Pour tous ces aspects, qui n’en sont qu’à leurs prémices, nous avons besoin de plateformes et de systèmes numériques qui soient, à la fois, fiables, robustes et dans lesquels la protection des données est essentielle. Il s’agit de l’actif du futur et de ce qui va venir alimenter les algorithmes d’intelligence artificielle qui nous permettront d’augmenter le bonheur et l’utilité du numérique dans nos vies. La bataille se situe sur ce terrain.

Tout notre enjeu, en tant que professionnels de la cybersécurité, professionnels de l’Internet de confiance, mais aussi PME, start-up ou ETI françaises, luxembourgeoises ou allemandes, est de faire en sorte que ce numérique voie le jour.

Pour ce faire, il est essentiel de mettre en place une stratégie d’exécution. En effet, l’une des raisons essentielles pour lesquelles nous sommes perdants dans la bataille numérique 1.0 (ou numérique des pionniers) est que nous n’y avons pas cru. Nous n’avons pas vu venir le changement. Nous avons considéré l’IT et le numérique comme relevant des start-up, de l’innovation, de préoccupations lointaines et annexes. Ce domaine est en réalité devenu une industrie dans laquelle des pays, tels que les États-Unis et la Chine, se sont mobilisés et ont investi massivement, en utilisant leurs organismes publics et leurs ministères de la Défense.

Ces pays ont également recouru à une forme de protectionnisme et de soutien auprès de leurs start-up en leur apportant des financements et des commandes, dès le départ, afin de les massifier et d’en faire des géants mondiaux. Ces financements ont été relayés par une bourse alimentée par des fonds de pension. Ces derniers ont les moyens de financer les phases ultérieures de croissance de ces start-up et de ces PME.

Il est ainsi essentiel de massifier et de fluidifier le marché européen, afin que nos entreprises, nos PME et nos start-up puissent avoir accès plus rapidement au marché des utilisateurs. Sur tous les marchés et les domaines sensibles, nous devons prêter une attention particulière aux solutions dans lesquelles nous hébergeons des données, des systèmes et des applications, ainsi qu’aux solutions de contrôle et de protection que nous mettons en place.

Nous devons vérifier que les solutions utilisées dans ces domaines sont certifiées par les organismes européens.

Dans notre manifeste, nous avons énoncé cinq grandes mesures.

La première est de mener un plan d’équipement massif dans un certain nombre de domaines, qui ont été oubliés dans la transformation numérique. La pandémie que nous traversons met en lumière le fossé qui existe entre les privilégiés du numérique et un certain nombre de PME, ETI, artisans, professions libérales, commerçants, mais aussi tout un nombre d’organisations publiques de santé et de collectivités locales, qui ne sont pas équipés comme il se doit. Nous pensons qu’il faut mettre en place des plans d’équipement, voire utiliser des fonds structurels pour permettre à des groupements d’utilisateurs de bénéficier d’une aide à l’équipement de produits numériques, de cybersécurité et d’hébergement.

La deuxième mesure consiste à flécher au maximum tout argent public dépensé dans les relances, dans les plans stratégiques européens ou dans les plans d’équipement, afin que cet argent revienne en priorité à nos entreprises et à nos industries. Il doit permettre aux PME, start-up et ETI de se transformer en entreprises de taille intermédiaire et en futures grandes entreprises, en industrie de la cybersécurité, du cloud et du numérique. Nous pensons qu’il faut flécher une grosse partie de ces investissements vers les PME, comme cela a été fait après la Seconde Guerre Mondiale aux États-Unis, avec le Small Business Act. Il nous faudrait un Buy European Act. Nous allons travailler avec l’association France Digitale pour avancer sur ces sujets. C’est aujourd’hui qu’il faut le faire, compte tenu de tout l’investissement prévu dans la modernisation et la transformation digitale.

Le troisième aspect est de construire une Europe de la Cybersécurité. Nous avons besoin d’aborder le sujet à l’échelle européenne. Il est plus que jamais intéressant de construire un territoire numérique de confiance capable de fédérer l’ensemble des Européens. Il sera plus difficile de fédérer les Européens dans la vraie vie, parce que nos pays ont tous une souveraineté très importante. Mais en matière de numérique, il n’existe pas de souveraineté dans nos pays. L’Europe n’a pas d’existence propre dans le monde du numérique. C’est le moment ou jamais de réunir les Européens sur un sujet essentiel, qui est le numérique de confiance.

Nous pensons qu’il est urgent d’avoir une stratégie au niveau européen, de nous doter d’un ministère de l’industrie européen. Il s’agit d’investir massivement dans des solutions de financement en Europe pour permettre à nos entreprises et à nos industries de se développer.

Il s’agit aussi d’encourager GAIA-X à faire émerger des start-up, des innovateurs, des PME et des projets de recherche, qui permettront de faire jaillir autre chose que des GAFAM, c’est-à-dire de nouvelles organisations basées sur ce numérique de confiance.

La quatrième mesure est de financer les ETI, les PME et les start-up de croissance. Cet aspect est essentiel. Arrêtons de croire que nous allons changer le monde en investissant de l’argent dans les grandes entreprises. Si nous réservons de l’argent aux PME, start-up et ETI, et si leurs propositions de valeur séduit les utilisateurs, alors nous parviendrons à attirer les grands intégrateurs, les grands financeurs et les grandes banques. Le cercle vertueux fonctionnera, puisque nous créerons de nouveaux besoins et de nouveaux marchés. À cette création de valeur, succède un ruissellement. Nous avons pris ce ruissellement à l’envers. Il doit commencer par les petits, qui seront ensuite aidés par les grands pour passer à l’échelle supérieure. Le fait de financer les PME et les ETI implique de mettre des moyens à la Banque européenne d’investissement, afin que nous y ayons accès.

S’agissant d’une PME comme Wallix, la société que je dirige, la Banque européenne d’investissement propose de l’aide, ce qui est un point positif. Mais quand nous demandons cette aide, nous nous trouvons avec des taux de prêts allant de 13 % à 17 % par an. C’est prohibitif. Ainsi, les solutions de financement existent, mais elles sont inaccessibles aux PME et aux ETI. Il faut par conséquent changer les mentalités. Aujourd’hui, une entreprise comme Thales peut emprunter à 1 % ou à 3 %. Nous devons être en mesure de le faire également. Il

faut de grands fonds d’investissement permettant aux investisseurs qui sortent au fur et à mesure de nos entreprises de ne pas avoir à revendre systématiquement l’entreprise à un fonds américain ou à un grand industriel américain, qui pourra, quant à lui, payer la juste valeur pour les entrepreneurs.

À noter que la revente de la société Alcide, une pépite de la cybersécurité, a été annoncée hier pour 98 millions de dollars. Nous ne pouvons pas acheter ces entreprises en Europe si nous n’avons pas les solutions de financement pour le faire.

Enfin, le cinquième aspect concerne l’assurance. Les réglementations ont permis de faire émerger le RGPD. Nous sommes en train de mettre en place NIS 2, qui viendra moderniser la directive NIS (Network and Information Security) pour l’étendre à d’autres entreprises. Le Règlement général sur la protection des données est structurant pour l’Europe et pour notre démocratie. Le problème est que beaucoup de gens ne sont pas en mesure de se défendre ou de mettre en application cette protection des données dans leur organisation. Par conséquent, il faut étendre la responsabilité civile à la cybersécurité et à la protection des données, afin que même les plus petites organisations, les entrepreneurs individuels et les TPE, puissent avoir accès à la protection des données et à la protection cyber.

Pr Florence G’Sell, professeure de droit à l’université de Lorraine. Sur la question de la souveraineté numérique, je souhaite partir d’un exemple tout récent. Il s’agit tout simplement du bras de fer qui se joue actuellement entre Twitter et le gouvernement indien.

Le gouvernement indien affronte aujourd’hui une forte contestation en raison d’une réforme agricole. Des mouvements de protestation se sont déroulés à New Delhi, où les paysans sont descendus dans la rue. Dans ce contexte, le gouvernement indien a demandé à Twitter de suspendre ou de bloquer des comptes de personnes appelant à la sédition. Twitter a obtempéré jusqu’à un certain point, tout en refusant de suspendre les comptes de certaines personnes considérées comme des journalistes, des activistes ou assumant des responsabilités politiques. Cela donne lieu à un bras de fer entre le gouvernement indien et Twitter. Ce dernier argue que ses conditions d’utilisation doivent être appliquées en l’état, et considère que sa démarche est conforme au droit indien. De son côté, le gouvernement souligne qu’il dispose de texte permettant de jeter en prison les représentants de Twitter présents sur le sol national s’ils ne respectent pas ses demandes et ses règles.

Cette affaire exprime bien la manière dont nous pouvons envisager la question de la souveraineté numérique, à travers l’idée d’un bras de fer entre les États et les plateformes.

Même si des règles juridiques s’appliquent au monde virtuel et aux plateformes, celles-ci ont acquis une telle force de frappe et une telle indépendance qu’elles sont en mesure de faire ce qu’elles veulent, de fonctionner en se référant d’abord à leurs conditions d’utilisation. Ces plateformes s’appuient aussi sur le fait qu’elles sont implantées aux États-Unis et qu’elles se conforment avant tout à la législation américaine.

Cela représente aujourd’hui une vraie difficulté, qui relève du cœur de ce que nous appelons la souveraineté. Dans notre République, la souveraineté est celle du peuple, mais nous l’exerçons au travers de nos représentants et elle est incarnée par l’État. Cette affirmation de l’autorité de l’État pose un problème dans le monde virtuel, a fortiori face à des plateformes de cette taille et donc de cette puissance.

Le volet de la souveraineté comprend bien évidemment d’autres aspects. Qui dit souveraineté dit aussi indépendance, c’est-à-dire indépendance technologique. Nous avons pris conscience, à la faveur de la crise sanitaire, de notre dépendance à des technologies principalement américaines – nous sommes aujourd’hui sur Zoom et j’enseigne avec ces outils

depuis presque un an maintenant. De fait, nous avons en permanence le sentiment de buter sur cette dépendance technologique pour un grand nombre de sujets, en particulier la question du stockage des données.

On nous dit que les grands fournisseurs, comme Amazon, Microsoft et Google, sont ceux qui présentent les meilleurs services au moindre coût. Ce volet, un peu moins juridique, de la souveraineté numérique englobe l’idée de la data sovereignty, ou souveraineté des data, dont nous parlons beaucoup dans la littérature académique. Est-ce une bonne ou une mauvaise chose, une bonne ou une mauvaise stratégie ?

Enfin, la souveraineté est aussi celle du peuple. Dans l’univers numérique, le peuple a son mot à dire. Parfois, nous utilisons ce terme pour dire que nous avons tous, en tant que citoyens, le droit de reprendre la main, de ne pas nous faire imposer par les plateformes des conditions d’utilisation, des algorithmes ou des collectes de nos données que nous ne souhaitons pas. Là encore, nous pourrions imaginer l’existence de nouveaux droits fondamentaux en ligne, qui refléteraient ceux dont nous disposons dans le monde réel.

M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur un sujet que vous avez abordé tous les trois : le cloud. Certaines entreprises publiques ou émanations de l’État ont fait le choix d’aller vers des clouds non souverains. Je pense au Health Data Hub (HDH), à BPIfrance, mais aussi, récemment, à Engie ou à la SNCF, qui a décidé de mettre toutes les données de ses gares connectées sur un cloud non souverain. Outre la simplicité d’utilisation des clouds et de l’ensemble des produits qui vont avec, ces entreprises affirment s’être assurées que les serveurs étaient bien localisés en France ou en Europe, que la clé de chiffrement leur appartenait exclusivement et qu’il n’y avait donc pas de souci. Qu’en pensez-vous après le séisme de Schrems II ? La question n’est pas seulement juridique. Est-ce que Schrems II n’entre pas en contradiction avec cette vision ? Est-il suffisant de tout chiffrer chez nous et de localiser les données sur des serveurs européens, voire en France ? Le label SecNumCloud ne devrait-il pas intégrer un volet souveraineté ? Aujourd’hui, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pose des conditions techniques, mais ne parle pas de souveraineté dans son label. Faut-il ajouter un volet de souveraineté comme critère dans le SecNumCloud ou bien faut-il créer un label en plus relatif à la souveraineté ?

M. Stéphane Volant. J’ai été confronté, et les adhérents du CDSE le sont encore, à ce genre de difficulté dans des appels d’offres. La vraie difficulté n’est pas de savoir si ceux qui décident de recourir à des solutions non souveraines sont des naïfs. Avant cela, il faut se préoccuper des critères que la loi impose dans les appels d’offres. Quand vous êtes face à diverses solutions dont aucune ne vous est officiellement interdite, que vous trouvez une solution moins coûteuse et beaucoup plus performante que les autres, et que la plus coûteuse porte un drapeau national, vous n’allez pas pour autant retenir la solution souveraine. Tout d’abord, ce n’est pas votre intérêt. Ensuite, parce que certains règlements d’appel d’offres vous encouragent à vous tourner vers le moins-disant et non vers le mieux-disant.

C’est pour cette raison que l’ANSSI doit précisément lister les critères de souveraineté, afin qu’il soit possible, au moment de l’appel d’offres, de les appréhender comme tels avec un organisme d’État ou un organisme indépendant.

Le fait d’être souverain vous contraint à être raisonnablement plus cher que les autres.

Toutefois, le « raisonnablement » est important. Vous ne pouvez pas, au motif que vous êtes souverain, présenter une offre 50 % ou 60 % plus chère que les autres. Cela doit aussi vous encourager à proposer les mêmes fonctionnalités et la même ergonomie que les solutions de vos concurrents. En effet, si pour un prix identique vous offrez deux fois moins de services et qu’il est trois fois plus difficile d’y accéder, cela ne fonctionnera pas.

Il convient d’aborder le prix de la souveraineté. Des études sont en cours sur ce sujet.

Il faut que nous diffusions davantage l’idée que la souveraineté doit être vécue comme une assurance. Au moment où une personne paie sa police d’assurance, celle-ci paraît toujours très chère, mais le jour où les six étages du dessous sont inondés, la personne est très contente d’avoir payé la police d’assurance. En matière de numérique et de souveraineté, c’est la même chose.

Enfin, je pense qu’il faut disposer d’un outil qui permette, dans les appels d’offres, de contourner un certain nombre de règles imposant de prendre le moins-disant. Je faisais précédemment le parallèle avec le fameux SNEAS, qui permet de contourner le code du travail pour prendre en compte le caractère dangereux de la montée du radicalisme dans les entreprises, et d’avoir un organisme d’État qui s’oppose officiellement à l’embauche ou à la promotion de quelques personnels. La loi et le système sont encore imparfaits, mais c’est un bon début. Il faudrait disposer, au moment des appels d’offres, d’un papier de l’ANSSI ou d’un autre organisme avec la mention suivante : « Vous ne pouvez pas retenir, au nom de la souveraineté nationale et donc de vos intérêts d’entreprise, cette solution-là. Nous vous l’écrivons et vous pouvez produire ce papier dans le cadre des commissions d’appel d’offres ».

En matière de montée de la radicalisation, nous pouvons en effet produire un papier du SNEAS, par exemple aux Prud’hommes. Un tel document sur la souveraineté nous serait d’une énorme utilité. Aujourd’hui, l’ANSSI fait un travail remarquable, mais nous appelle seulement en off pour nous demander d’éviter de choisir une solution. Non seulement ce n’est pas officiel, mais la solution à éviter est souvent moins chère, plus performante et plus facile d’accès. Il va falloir que nous fassions un effort.

Ce point de vue est celui de l’utilisateur. Il est peut-être « proche des pâquerettes », mais il représente la vraie vie d’une commission d’appel d’offres et d’un dirigeant d’entreprise. Celui-ci se soucie bien entendu des intérêts nationaux, mais il est également piloté par son compte d’exploitation et ne dispose pas des outils juridiques lui permettant de répondre à un certain nombre de vos interpellations.

M. Jean-Noël de Galzain. Il règne tout de même une grosse hypocrisie sur les questions de prix et de compétitivité. En effet, sans le niveau d’imposition existant en France pour les entreprises, notamment pour les PME, sans certaines contraintes en matière de réglementations et d’obligations, sans le niveau administratif et l’ensemble des prestations sociales prises en compte dans le calcul d’un prix en France, alors nous sommes effectivement plus compétitifs. Les prix doivent être regardés à la lumière de ce qu’ils incluent. Nous ne pouvons pas continuer à admettre une telle distorsion de concurrence, avec des entreprises qui ne paient pas d’impôts, qui vendent sans TVA ou avec une TVA réduite, et qui ne respectent aucune des réglementations qui leur sont imposées, lorsqu’elles ont une entreprise basée en France. Évidemment, certains acteurs industriels globaux arrivent à utiliser ces mécanismes d’optimisation et échappent ainsi aux réglementations des États. Or les PME, start-up et ETI n’ont aucun moyen d’y échapper. Avez-vous envie d’un monde dans lequel règne l’individualisation des profits au détriment de la collectivité ? Je n’en suis pas certain. Je suis plutôt pour un numérique éthique et durable, dans lequel nous respectons les meilleurs aspects de notre modèle de société.

Concernant votre question même, je crois que nous sommes dans un état d’urgence.

Les monopoles empêchent nos entreprises de se développer et de se battre à armes égales.

Dans cette période de pandémie, où nous devons construire à toute vitesse un environnement numérique fiable, avec des systèmes numériques qui protègent les données et garantissent toutes ces règles, nous sommes dans un moment d’exception. Après l’urgence sanitaire, nous entrons dans une urgence numérique.

Dans ce climat d’urgence numérique, faut-il appliquer le principe de précaution ? Ou plutôt, pourquoi ne pas appliquer le principe de précaution au numérique ? Par conséquent, il convient de se demander si nous devons gagner 1 %, 2 % ou 5 % de fonctionnalités au détriment de toutes les règles de protection des données, de protection de la vie privée et de protection contre les risques liés à l’utilisation de ces données dans des intelligences artificielles qui ne seront pas les nôtres, qui ne respecteront pas nos us culturels, et qui utiliseront du temps de notre vie dans le futur.

Il est important d’introduire des critères de souveraineté dans nos achats. Nous sommes en effet dans une phase de reconstruction. Il est urgent de le faire, parce que c’est la condition sine qua non pour créer un marché européen digne de ce nom. Par ailleurs, en voyageant dans différents pays, avant la pandémie, je me suis rendu compte que certains d’entre eux pratiquaient, dans leurs achats, une primauté des solutions locales. En particulier, lorsque l’argent public est concerné, l’existence de contreparties est vérifiée en matière d’emploi local et de respect des productions locales. Il s’agit de s’assurer que les règles du pays en question sont respectées. Je l’ai vu dans différents territoires, notamment en Asie, en Russie et même aux États-Unis, où il existe une telle primauté sur certains marchés.

Ainsi, pour le cloud gouvernemental américain, des appels d’offres géants ont été lancés. Les acteurs reconnus ont été exclusivement les grands acteurs du cloud américain.

Personne n’a cillé sur le sujet. Aujourd’hui, il faut être conscient de notre responsabilité et faire en sorte d’introduire plus de souveraineté dans nos achats.

Ensuite, les clouds sont capables d’être compétitifs, y compris quand il s’agit de clouds souverains. Pour bien connaître les personnes d’OVH, d’Outscale ou d’autres organisations de cette nature, je sais qu’elles sont capables d’apporter, dans des temps très courts, si l’investissement est présent, des solutions compétitives pour nos organisations. Il faut placer aujourd’hui la souveraineté dans les critères d’achat et dans des clauses administratives générales.

Pour étendre le sujet à la sphère privée, les notions de responsabilité numérique environnementale ou de responsabilité sociétale et environnementale nous incitent à utiliser un numérique soutenable, à moyen et à long terme, lorsque nous achetons des ressources numériques.

Pr Florence G’Sell. Je n’ai pas la compétence me permettant d’identifier les prestataires les plus compétitifs, les plus compétents ou offrant les meilleures garanties. En revanche, je souhaite signaler que depuis l’arrêt Schrems, des recommandations ont été faites.

Elles proviennent notamment du Comité européen de la Protection des Données, qui, à la suite de l’invalidation du Privacy Shield, a fixé une feuille de route pour les questions du choix du prestataire, du traitement des données et de l’exportation éventuelle des données. Parmi les mesures complémentaires que nous pourrions être amenés à prendre, lorsque nous souhaitons transférer des données sur la base de clauses contractuelles types, nous trouvons le chiffrement et le fait de détenir les clés de chiffrement. Cela fait partie des éléments listés, à l’instar de la pseudonymisation, par le Comité européen, dans cette recommandation du mois de novembre.

Il convient effectivement d’intégrer ces recommandations dans les cahiers des charges et dans les choix que nous faisons. Quant à savoir s’il faut privilégier par principe des solutions souveraines, je n’ai pas de position de principe sur le sujet.

M. Philippe Latombe, rapporteur. Pour élargir le sujet du cloud, vous dites qu’il faudrait nous doter d’un Buy European Act, en parallèle du Small Business Act américain.

Qu’est-ce qui permettrait aujourd’hui de le mettre en place ? Doit-on le faire au niveau

européen, ou bien au niveau national, si l’Europe n’y parvient pas dans un premier temps ?

Comment pouvons-nous nous affranchir d’un certain nombre de règles européennes, notamment sur les marchés publics, si nous n’atteignons pas cet objectif global ? Vu le nombre de pays européens et le processus de décision européen, comment procéder ?

M. Stéphane Volant. J’ai un point de désaccord avec mon collègue, M. Jean-Noël de Galzain. Si 10 % à 15 % seulement des entreprises françaises passent par des solutions souveraines, alors que les 85 % restants comptent des entreprises nationales et de défense, ce n’est probablement pas parce que leurs dirigeants n’ont aucune fibre patriotique ni parce qu’ils n’ont l’œil rivé sur leur compte d’exploitation. C’est probablement parce que le prix des solutions françaises est exorbitant, que leurs fonctionnalités ne sont pas encore au niveau et que leur ergonomie est difficile d’accès.

Je rejoins M. Jean-Noël de Galzain sur le fait qu’il faut faire un effort massif pour augmenter les performances des entreprises dans ces domaines. Mais peut-être faut-il également augmenter de manière massive le soutien aux PME, aux PMI et aux start-up qui, dans ce domaine, n’ont peut-être pas eu toutes les chances dont tous les grands industriels français ont bénéficié.

En tout cas, avant de passer par la contrainte, qui pourrait être une directive européenne transposée en droit français, il convient de s’assurer que nous disposons de solutions de qualité suffisante, et que ces lois ne nous feront pas faire un saut en arrière et perdre un avantage technologique que nous pourrions avoir avec une solution étrangère.

Je suis comme nous tous extrêmement soucieux de l’intérêt national et parfaitement conscient des atteintes à notre souveraineté, inhérentes à l’utilisation de ces solutions étrangères. Mais attention à ne pas nous bercer d’illusions. Si le client ne retient pas de solution souveraine et nationale à 85 %, y compris quand il est public ou de défense, ce n’est pas parce qu’il est idiot ou antipatriotique, mais probablement parce qu’il n’y a pas sur étagère de solution concurrentielle dans ce domaine.

M. Jean-Noël de Galzain, sommes-nous en désaccord ?

M. Jean-Noël de Galzain. Il est vrai que nous avons un train de retard. Nous sommes très en retard parce que nous n’avons pas de virtualiseur et très peu de piles logicielles sur nos infrastructures. Nous ne sommes pas non plus présents sur les systèmes.

Dans le domaine du logiciel libre en revanche, nous avons l’opportunité de rattraper notre retard et de mettre en œuvre une pile technologique indépendante qui nous permettrait de retrouver de la souveraineté numérique, au sens technique du terme.

Vous avez évoqué le HDH : certes le HDH a, à court terme, choisi le meilleur d’un point de vue technologique, au détriment de certains critères de souveraineté, mais il a également décidé de mettre en œuvre des solutions de cybersécurité, afin de vérifier les flux et de travailler sur les accès, les identités et le chiffrement en utilisant des solutions souveraines et certifiées. Je peux en témoigner puisqu’il s’agit de l’un de nos clients.

Lorsque nous avons le choix entre différentes solutions, l’alliance entre des solutions numériques de cette nature et des solutions de contrôle et de cybersécurité, qui, elles, s’avèrent certifiées et souveraines, peut déjà permettre la mise en place d’une première solution temporaire. Mais encore faut-il s’autoriser ce balancement, car je connais des entreprises qui sont en phase d’externalisation complète de leurs activités, par exemple en Inde ou au Maroc, et dans le même temps, confient à ce même hébergeur leurs problématiques de cybersécurité.

Il s’agit donc assurément d’entreprises qui, pour le coup, n’auront plus aucun contrôle sur leur souveraineté IT.

Je pense qu’il convient d’aborder la souveraineté dans les achats au niveau européen (Buy European Act) pour une question de taille de marché. En effet, les entreprises américaines sont leaders parce qu’elles sont bien aidées au départ, mais aussi parce qu’elles bénéficient d’un marché intérieur considérable. Nous-mêmes devons a contrario faire certifier nos produits dans plusieurs pays. Un travail est d’ailleurs en cours avec l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), visant à permettre une sorte de reconnaissance mutuelle des différentes certifications nationales en matière de sécurité, afin de faire de nos produits de cybersécurité des produits de confiance, recommandés dans le cadre des directives NIS, du RGPD et autres. Il est en effet essentiel que nous puissions obtenir soit des certifications au niveau européen, soit une reconnaissance mutuelle des certifications nationales. Pour démarrer, nous pourrions commencer par la France et l’Allemagne, puisque nous collaborons beaucoup dans ces domaines. Nous avons besoin d’une taille de marché qui permette à nos entreprises de grandir plus rapidement.

De plus, afin de donner l’exemple, je crois que nous ne devons pas hésiter à commencer au niveau national, comme nous l’avons fait pour la taxe GAFAM. Cet effort de reconstruction doit être initié dès à présent : en effet, au sortir de la crise consécutive à la crise sanitaire, des milliers de milliards d’euros seront investis dans de nouvelles infrastructures, dans la modernisation et dans la transformation digitale, de la sphère privée comme de la sphère publique. Ces investissements concerneront tout le monde, c’est pourquoi il faut, selon moi, réserver une part de l’investissement public à l’émergence d’une industrie européenne, qui crée de l’emploi local, favorise la création de centres de données locaux et nous permet de reprendre la main sur notre destin, en lieu et place du sempiternel argument juridique utilisé pour tenter de surnager dans un monde numérique que nous ne contrôlons pas. Si nous n’avons pas les clefs du numérique, nous continuerons à courir après le numérique de quelqu’un d’autre, qui, au bout d’un moment, utilisera l’intelligence artificielle en tant que service après-vente pour les questions juridiques, tout en continuant à investir dans son avance technologique, face à laquelle nous avons pourtant les moyens d’exister. Dans le domaine de la santé, comme dans les télécoms, l’IT, le numérique ou encore la cybersécurité, nos chercheurs, nos start-up et nos entrepreneurs travaillent pour des entreprises américaines, notamment. Nous disposons donc de tout le potentiel nécessaire.

Il ne manque plus qu’une volonté politique de mise en œuvre, au niveau européen, qui ne devra pas nous empêcher d’être offensifs, comme nous l’avons été à propos de la taxe GAFAM, en prenant des initiatives d’abord en France.

M. Philippe Latombe, rapporteur. Je souhaite revenir quelques instants sur votre propos selon lequel il peut exister des solutions qui, au départ, utilisent par exemple des clouds américains, dont nous n’avons pas pu nous passer, même pour notre solution hybride, puisque nous n’avions pas l’équivalent au niveau européen. Vous avez en effet expliqué que ces derniers peuvent utiliser des solutions de chiffrement souveraines.

Or il nous a été dit, lors des précédentes auditions, qu’il existait un risque assez fort d’addiction à ces produits : comme pour n’importe quelle drogue, les essayer reviendrait à se laisser « embarquer », d’abord parce qu’elles sont plus simples, d’où des développements internes facilités qu’il ne rimerait à rien de modifier par la suite. En outre, pour ceux qui doivent les abandonner, comme tel est le cas du HDH, la réversibilité ne s’avère pas simple, pour des raisons technologiques certes, mais surtout pour des raisons de coûts, car si une bande passante entrante ne revient pas très cher, une bande passante sortante s’avère bien plus coûteuse.

Ce constat relativise-t-il votre précédent propos ? S’agit-il d’une vraie crainte ? Le droit doit-il, en la matière, être moteur ? Devons-nous modifier les règles de concurrence sur cette pratique qui consiste à facturer plus cher les bandes passantes sortantes que les bandes passantes entrantes, en raison de laquelle les entreprises demeurent captives ?

M. Jean-Noël de Galzain. Le projet GAIA-X emporte un travail essentiel sur la réversibilité entre les différents clouds. Un chantier du projet de cybersécurité de la filière des industries de sécurité porte également sur la notion de réversibilité dans le cloud, dans la mesure où, pour l’essentiel, nous sommes actuellement obligés d’héberger des données et applications sur des clouds qui ne sont pas les nôtres, mais dont nous espérons pouvoir sortir.

Nous travaillons donc sur la réversibilité pour des raisons de coûts, mais aussi parce que nous rêvons de pouvoir bénéficier de clouds plus souverains. Il existe effectivement un problème de réversibilité bien connu, c’est pourquoi d’ailleurs la notion d’écosystème revêt également une grande importance, tout comme l’interopérabilité entre les solutions et le fait de donner de la visibilité aux projets de cette nature.

Pour ma part, j’apprécie les travaux du HDH qui mène de grands projets étendards :

nous avons ainsi proposé, dans le cadre du comité stratégique de filière, de mettre à niveau la cybersécurité de tous les établissements hospitaliers de France (CH et CHU), parce qu’il s’agit de projets dans lesquels toute l’industrie entend intervenir, au côté de l’État, pour faire exister les solutions et infrastructures et les mettre en pratique dans le cadre de projets qui feront progresser notre industrie sur un sujet concret. Je ne connais pas tous les détails à propos du HDH et n’entends pas trop m’étendre sur ce sujet qui s’est avéré extrêmement sensible, mais je peux témoigner du fait que le HDH a fait le choix de mêler l’utilisation d’un cloud Azure qui, visiblement, représentait la solution à ses besoins du moment, à des outils de cybersécurité qui permettent de contrôler les accès, d’identifier les utilisateurs qui accèdent à tel ou tel type de données et de tracer l’activité autour des accès internes à ce cloud. Un tel montage ne nous prémunit pas des problématiques juridiques, mais d’un point de vue technologique, il offre tout de même de la visibilité sur les accès aux données stockées dans ce cloud. Or, lorsque nous commencerons à sauvegarder des données publiques dans ce cloud, nous devrons a minima être capables de savoir exactement qui fait quoi et à quel moment, de manière à pouvoir mettre un point d’arrêt aux éventuels accès illégaux ou non appropriés.

Tel est d’ailleurs l’objet du RGPD que de protéger les traitements effectués sur les données et de s’assurer qu’ils sont, au minimum, maîtrisés et anonymisés.

Pr Florence G’Sell. Je souhaite revenir sur le Buy European Act. Si celui-ci doit se faire, ce qui, encore une fois, relève plus d’une question de stratégie que de droit, je considère à titre personnel qu’il repose sur une excellente idée, certes évoquée depuis assez longtemps, à savoir une politique européenne qui réserve aux PME européennes une certaine partie des marchés publics.

En revanche, une telle politique menée au niveau national poserait, selon moi, un certain nombre de difficultés au sein de l’Union européenne. C’est pourquoi, il convient avant tout de parvenir à s’entendre à Bruxelles. Je sais bien que les pays du Nord ne sont pas très favorables à ce type d’initiatives. Nous retomberons probablement sur le même genre de difficultés que celles que nous avons pu rencontrer dans le domaine de la fiscalité, mais il me semble difficile, en l’état de nos textes, d’imaginer mettre en place un texte purement national.

En effet, je ne vois pas bien comment nous pourrions initier un tel bras de fer, même si nous nous contentons par exemple de dire que nous ne voulons pas, en France, dans nos

appels d’offres, d’entreprises ou de filiales d’entreprises américaines. Cela créerait des difficultés à l’échelle intracommunautaire.

M. Philippe Latombe, rapporteur. En fin d’année 2020 est intervenue la sortie de l’Angleterre de l’Union européenne : y voyez-vous une menace ? En effet, nous avons négocié avec les Anglais un certain nombre d’accords commerciaux qui se substitueront à ceux que nous connaissions à l’époque de l’intégration de l’Angleterre dans l’Union européenne, mais comment devons-nous désormais travailler avec eux ? L’Angleterre servira-t-elle de cheval de Troie aux Américains ? Son départ de l’Union européenne offrira-t-il l’opportunité de continuer à exporter notre modèle ? Je rappelle en effet que nous ne serons plus tenus par le RGPD à compter du mois de juin 2021.

Bref, comment fonctionner avec ce voisin très proche, sachant que les Américains sont plus loin et que les Chinois le sont encore davantage ? Si les Anglais adoptent une législation différente de la nôtre, rencontrerons-nous de nouvelles difficultés ? Quel est votre sentiment sur ce point ?

M. Jean-Noël de Galzain. L’Angleterre constitue le plus gros marché d’Europe en matière d’IT : elle représente en effet 15 % à 17 % du marché européen. Il s’agit toutefois d’un marché très libéral, qui a toujours été utilisé par les fournisseurs américains de solutions pour s’installer en Europe. Cela ne changera pas, c’est pourquoi la sortie de l’Angleterre ne modifiera pas fondamentalement le business des acteurs d’HEXATRUST.

En revanche, sur le plan du RGPD, cette sortie aura probablement un effet au sens où nous devrons nous assurer qu’elle ne permet pas de contourner certaines avancées réglementaires, qui s’avèrent absolument essentielles. Notre collaboration avec les Anglais me semble très bonne en matière de sécurité, tout comme sur certains sujets industriels. Nous devons être inclusifs et travailler ensemble au maximum.

Du point de vue économique toutefois, la sortie de l’Angleterre ne changera pas fondamentalement les choses. L’Angleterre restera un marché indépendant et american friendly. Nous sommes présents en Angleterre, le Brexit n’a rien changé à cela.

Pr Florence G’Sell. Nous devons être relativement pragmatiques, au regard des décisions que prendra le Royaume-Uni sur un certain nombre de sujets.

S’agissant des data, la balle est dans leur camp. Si ma mémoire ne me joue pas un tour, en fin d’année, un certain nombre d’éléments de convergence ont tout de même été trouvés autour de la question des data. En outre, l’Union européenne dispose de règles qui conduisent à étudier de manière très pragmatique les garanties offertes par tout pays vers lequel nous serions amenés à transférer des données.

Je pense donc qu’il convient de conserver un tel pragmatisme. S’il s’avère que le Royaume-Uni gomme un certain nombre de ces garanties, il conviendra d’en tenir compte, mais de manière pragmatique, au cas par cas.

M. Philippe Latombe, rapporteur. Souhaitez-vous aborder des sujets qui ne l’ont pas encore été, ni dans les propos liminaires ni dans nos échanges ?

M. Stéphane Volant. Quels seraient les critères de souveraineté qu’il faudrait mettre en exergue pour prétendre être souverain et faire de cette souveraineté une valeur ajoutée, de telle sorte que, sans passer par la contrainte, les solutions définies et validées comme souveraines, en France, par un organisme indépendant, puissent être retenues, parce qu’elles

sont concurrentielles, sur la base de fonctionnalités identiques, souveraines et protectrices, quitte à ce que leurs prix soient légèrement supérieurs ? Bref, pouvez-vous nous éclairer, en droit, sur les conditions de la souveraineté ?

Pr Florence G’Sell. En réalité, tout dépend de ce que vous entendez par souveraineté.

Lorsque vous évoquez la souveraineté, j’entends « souveraineté industrielle ».

M. Stéphane Volant. Vu par l’utilisateur, la souveraineté correspond à un outil qui le met à l’abri de lois et règlements extérieurs, ou encore de poursuites qui ne seraient pas entreprises par l’État français ou par l’Europe et pourraient, de ce fait, être utilisées à des fins de manipulations commerciales, permettant de favoriser un autre pays que le nôtre, voire d’autres entreprises que les nôtres. Mes termes ne sont pas ceux d’un juriste, mais telle est bien l’idée : nous attendons de la souveraineté que les lois françaises et européennes s’appliquent, mais pas les autres, et que, par ailleurs, quelles que soient les conditions du moment, nous puissions continuer à accéder à nos données.

Telle est bien la double dimension de la notion de souveraineté : la protection juridique et du coup, commerciale, et un accès permanent, quelles que soient les conditions du moment.

Pr Florence G’Sell. Votre propos emporte deux aspects. D’abord, nous souhaitons que même les entreprises extérieures à l’Union européenne, à qui nous achetons des services et qui sont installées chez nous via leurs filiales, respectent nos règles, ce qui n’est pas toujours le cas aujourd’hui encore, à bien des égards. Toutefois, certains éléments deviennent de plus en plus clairs dans les règlements européens. Ainsi, toutes les dernières propositions de règlements exigent qu’un représentant légal soit désigné, au sein de l’Union européenne, dès lors que vous offrez vos services sur son territoire. Cela peut sembler une évidence, mais ce n’est pas négligeable, vu que, dès que vous arrivez dans l’espace numérique, l’univers virtuel permet de se promener sur la toile indépendamment des assises et emprises nationales. Par conséquent, le fait de disposer de ces regulatory access points, c’est-à-dire des personnes qui, au sein de l’Union européenne, répondent des actes accomplis par des entreprises dont le siège se situe à l’extérieur, constitue déjà un point majeur.

Ensuite, le deuxième volet de votre propos a trait à ce que nous venons d’évoquer jusqu’à présent, c’est-à-dire au fait d’essayer quand même d’avoir, en tant que prestataires, non pas des entreprises étrangères dont nous avons envie qu’elles respectent nos règles, mais des entreprises établies en France ou en Europe, respectueuses de nos principes et de nos règles. Cette volonté nous amène à nous demander s’il ne faudrait pas réserver une part de la commande publique à ces entreprises, afin de favoriser leur développement, voire s’il ne faudrait pas déployer des stratégies encore plus agressives afin de les aider, par le biais de « bacs à sable réglementaires » par exemple. Il me semble que nous disposons désormais d’outils d’accompagnement des start-up et des PME dans le domaine du numérique plutôt positifs : nous aidons beaucoup le secteur du numérique, même si ce n’est peut-être pas encore suffisant.

Tels sont donc les deux volets que j’identifie dans votre question : d’un côté, soumettre des entreprises étrangères à notre réglementation et, de l’autre, favoriser nos propres entreprises, notamment celles qui sont vertueuses. De fait, je travaille plus sur le premier point, soit la question de la régulation et du respect de nos règles par ces entreprises étrangères, mais l’autre aspect revêt également de l’importance, au travers de la question du cloud souverain et du stockage des data. Nous allons donc développer des solutions de stockage souveraines.

Je souhaite toutefois mettre un bémol sur ces inquiétudes : dans le Cloud Act, nous partons de l’hypothèse qu’une entreprise américaine, qui a le contrôle de données pourtant

stockées en Europe, ne sera sollicitée par les autorités fédérales américaines pour divulguer des data que dans le cadre d’une procédure bien spécifique. Dans la plupart des cas, l’agence fédérale américaine intéressée par ces data devra disposer d’un warrant, qui, par nature, peut être contesté par l’entreprise qui en fait l’objet. Il existe donc tout de même des garanties procédurales. Nous ne sommes pas dans un système où l’administration américaine pourrait venir se servir au prétexte que les données sont hébergées par Microsoft ou par Amazon.

C’est pourquoi, d’ailleurs, nous devons avancer sur les fameux Executive Agreements prévus par le Cloud Act. Pour le coup, le Royaume-Uni l’a fait, et, dès que nous aurons conclu avec les États-Unis un Executive Agreement, comme prévu par le Cloud Act, les fournisseurs de services qui sont destinataires des demandes de communication disposeront déjà de plus de facilités pour s’opposer à celles qui viennent des agences américaines.

Je n’ai pas sous les yeux toutes les données chiffrées relatives à ces demandes de communication. Selon des rumeurs, elles auraient explosé auprès d’Amazon ou de Microsoft, mais je ne dispose pas de chiffres précis. Néanmoins, à l’évidence, pour résoudre ce problème, il est certain qu’il convient d’en passer par un cloud souverain : j’ai par exemple eu l’occasion d’échanger avec la DGFiP qui dispose actuellement de systèmes de stockage très élaborés.

Rien ne nous empêche donc d’avancer maintenant que GAIA-X est en place.

J’ai davantage étudié la question de la régulation des immenses plateformes et entreprises, dont nous avons l’impression qu’elles sont actuellement en train de tout capter, comme en atteste la spectaculaire réussite d’Amazon et son efficacité particulièrement impressionnante. Or nous avons tout de même largement avancé à cet égard au travers des derniers projets de textes, puisque les deux projets de règlements publiés par la Commission avant Noël s’avèrent extrêmement bien pensés et très complets.

Je souhaiterais d’ailleurs faire quelques remarques à leur propos. Tout d’abord, nous avons enfin compris qu’il nous faut réguler de manière asymétrique : le modèle d’affaires des très grandes plateformes s’avère en effet très particulier, au sens où non seulement elles fournissent l’architecture, mais elles interviennent sur celle-ci pour faire concurrence à des vendeurs professionnels (ce qui est le cas d’Amazon qui propose ses propres produits sur sa propre plateforme). Or nous sommes parvenus à aborder la spécificité de ce modèle d’affaires.

Ensuite, il me faut tout de même soulever une difficulté, à savoir la question des moyens humains. J’ai en effet eu la chance de participer à un petit projet de recherche, l’année dernière, au cours duquel nous avons interrogé un grand nombre de start-up du numérique.

Toutes ont exprimé le reproche suivant : que ce soit en France à l’égard de la CNIL ou à l’égard de la Commission européenne, elles attendent trop pour connaître l’interprétation de telle ou telle nouvelle norme, de telle ou telle exigence du RGPD, et obtenir une réponse de la part de leur interlocuteur. Ce reproche pose donc la question des moyens humains et des compétences que peuvent mobiliser les autorités de régulation, au niveau national comme au niveau européen. Il s’avère donc extrêmement positif de disposer désormais de régulations bien pensées, mais encore faut-il les mettre en œuvre dans des délais raisonnables et d’une manière qui sécurise les acteurs.

Par ailleurs, nous avons besoin de préciser très rapidement le contenu des obligations mises en place : le Digital Market Act emporte ainsi des obligations dont il est dit qu’elles seront ultérieurement précisées par la Commission. Il s’agit vraiment d’un important enjeu de sécurité juridique.

La question des acquisitions est également évoquée dans le Digital Market Act. Or, dans le secteur du numérique, le scénario des killer acquisitions s’avère parfaitement connu :

de jeunes pousses innovantes, disruptives et prometteuses, qui fonctionnent bien et font parler

d’elles, sont rachetées à prix d’or par un géant de l’Internet. Il s’agit d’une énorme difficulté, car, bien entendu, de telles offres de rachat mirobolantes s’avèrent particulièrement tentantes.

C’est pourquoi le Digital Market Act emporte, pour toute acquisition de cette nature, une obligation de notification à la Commission. Cependant, aucun mécanisme n’est ensuite prévu, si les seuils du droit antitrust n’ont pas été atteints. Il me semble donc que nous ne sommes pas allés jusqu’au bout de la logique, à moins que la Commission en tienne compte dans la définition des obligations qui pèseront sur les grandes plateformes. Ce problème me semble devoir être étudié, car il est important que nos jeunes pousses les plus prometteuses ne soient pas systématiquement rachetées par des géants technologiques.

Enfin, je souhaite évoquer la question de la coopération à l’échelle européenne. En effet, parce qu’il s’adresse aux très grandes plateformes, le Digital Market Act désigne la Commission en tant qu’autorité de contrôle, tandis que, dans le Digital Services Act, comme dans d’autres textes européens, les autorités nationales, réunies au sein d’un comité européen sur les services numériques, conservent la main. Ce comité de coordination répond bien entendu à d’importants enjeux politiques, mais comment l’articuler avec les autres autorités pour aboutir à un dispositif qui fonctionne mieux et plus vite ? Est-il complètement exclu de constituer une autorité de contrôle numérique à l’échelle européenne ? J’ai en effet le sentiment qu’en matière numérique, il convient de raisonner d’abord à l’échelle européenne.

Pour finir, un programme de commande publique dans le monde numérique s’impose selon moi pour aider nos entreprises, accompagné d’une vraie transformation numérique des administrations.

M. Philippe Latombe, rapporteur. Vous indiquez que les deux prochaines directives européennes n’emportent aucun volet relatif aux acquisitions. À l’inverse, nous avons la capacité de contrôler les acquisitions d’entreprises de défense. Par conséquent, faut-il transposer au numérique les règles appliquées dans le domaine de la défense, soit des critères très précis en termes de capacités technologiques et d’avantages compétitifs, ou bien construire une réglementation plus large qui toucherait toute forme d’entreprise, même en dehors du numérique ? Vous avez déjà fait référence au rachat d’Alcide par un géant américain et des interrogations demeurent à propos du projet de rachat d’ARM par Nvidia, sachant que, pour ces derniers, l’argent n’est pas le nerf de la guerre. Faut-il mettre des barrières et comment ?

M. Stéphane Volant. Parce que je siège au conseil de surveillance de Photonis, je connais bien le dossier. Si je respecte bien entendu les décisions de l’État en matière de souveraineté et l’appelle même, depuis le début de notre échange, à poser des règles, je pense néanmoins que ces règles doivent être, dès le départ, extrêmement claires et listées de manière exhaustive, afin que nul ne puisse les ignorer. En outre, l’autorité chargée de les faire respecter doit vraiment être celle qui les fait respecter. En effet, dans certains dossiers, que vous venez de citer, les règles n’étaient pas très précises au départ, elles pouvaient être interprétées de manière différente et les autorités chargées de les faire respecter n’ont pas toujours été celles qui les ont fait respecter in fine.

En matière numérique, j’appelle donc de mes vœux de vrais critères de souveraineté, même si, pour le moment, je ne sais ni où ni ce qu’ils sont. Ces critères doivent être listés de manière exhaustive et une unique autorité doit être, à la fois au début et en cours de process, chargée de les faire respecter. Nul ne doit pouvoir ignorer leur existence et une seule autorité doit être fondée à les faire appliquer. En effet, comme l’indiquait le Commissaire général au Plan, François Bayrou, « trop de souveraineté tue la souveraineté ». Nous ne sommes pas un village gaulois, nous appartenons à l’Europe, nous commerçons avec des étrangers et devons donc veiller à faire strictement respecter ce qui est un bien commun et que nous n’avons pas envie de voir dégrader par d’autres.

M. Jean-Noël de Galzain. Pour moi, ce n’est pas en contraignant très fortement les fonds d’investissement ou autres que nous réussirons à régler ces problématiques de souveraineté. Ce n’est pas non plus en essayant de brider des velléités capitalistiques autour de start-up, PME ou ETI. Il existe en effet des investisseurs financiers et industriels qui ont envie de réaliser, tandis que d’autres mettent plus de temps ou n’en ont pas envie. Telle est la liberté de chacun : d’ailleurs, tous les exemples d’interventionnisme auprès de start-up ou PME ont peu ou prou abouti à des faillites, voire à la décrépitude des entreprises retenues contre leur gré. Je ne crois donc pas à ce principe.

En revanche, il me paraît urgent de considérer le fait qu’un certain nombre d’entrepreneurs ne sont pas attirés par l’idée de devenir milliardaires à tout prix. D’aucuns associent le profil du patron à la volonté de « s’en mettre plein les poches », mais il faut avoir à l’esprit qu’un certain nombre d’entrepreneurs sont séduits par l’idée de créer des géants mondiaux comme Schneider Electric, Alstom et d’autres sociétés françaises qui ont fantastiquement bien réussi. Or, pour y parvenir, ils ont besoin d’un certain nombre d’instruments qui fonctionnent, à savoir des solutions de sortie pour les investisseurs, c’est-à-dire des solutions permettant de réaliser, sans avoir à revendre là où les capitaux sont les plus nombreux, là où ils s’achètent le plus cher.

Par conséquent, un important travail reste à accomplir afin que les bourses européennes reprennent de la valeur et que les marchés financiers soient alimentés par des capitaux autour de belles histoires industrielles européennes. Le Nasdaq ne constitue pas l’unique modèle ; il faudrait que nous disposions d’un Nasdaq européen. De belles histoires peuvent se réaliser en Europe : des entreprises de cybersécurité, des entreprises numériques, des entreprises spécialisées dans les nouvelles industries pourraient y trouver des débouchés. Enfin, il convient de proposer des instruments capitalistiques permettant de réaliser des acquisitions dans de telles entreprises stratégiques. Il est ainsi tout à fait possible, à l’échelon européen, de mettre en place des poches de financement dédiées, dans un environnement de partenariat stratégique entre le privé et le public.

Pour finir, après avoir entendu la définition juridique de la notion de souveraineté, je préciserai que le numérique recouvre à la fois le cloud, la cybersécurité, les technologies quantiques, l’intelligence artificielle et la robotique, soit des sujets qui ont trait à l’indépendance de la France. Qui aurait pu imaginer la pandémie que nous connaissons aujourd’hui et notre actuelle dépendance aux vaccins ? Quel juriste ou politique aurait pu l’anticiper ? Nous sommes dans un tel état de dépendance qu’il est urgent de mettre en place nos propres territoires numériques, afin de bénéficier d’une vraie autonomie dans un certain nombre de domaines, dont le numérique sera à la fois le moteur et le garant. Il s’agit d’une urgence au service de notre autonomie stratégique. Je mets donc volontairement de côté les problématiques de nationalités, dans ma définition de la souveraineté.

Pr Florence G’Sell. Je suis très sensible à ce que vient de dire M. Jean-Noël de Galzain : effectivement, nous n’allons pas nous mettre à empêcher les entrepreneurs de vendre leurs biens. Je m’étonne cependant que le Digital Market Act impose une forme de notification de toute opération de concentration dans le secteur des services numériques, sans que nous en tirions grand-chose, ce qui pose un problème de cohérence, tandis que nous nous apprêtons à adopter un texte qui prévoit tout de même de contraindre les géants du numérique à céder une partie de leur activité, s’ils ne respectent pas leurs obligations.

Il s’agit donc pour moi d’un sujet à suivre. Nous avons prévu une notification, la Commission va donc surveiller, mais faut-il en complément étendre des règles déjà existantes par exemple dans la loi PACTE, s’agissant des industries stratégiques ? Je demeure partagée.

M. Stéphane Volant. La souveraineté numérique doit devenir un avantage concurrentiel pour les solutions françaises et européennes. Or un avantage concurrentiel ne se décrète pas. Nul ne peut légiférer sur un avantage concurrentiel : il se gagne.

Nous mettre dans les conditions de faire gagner les solutions françaises, parce qu’elles ont des critères de souveraineté, qui, dès lors, apparaissent comme un avantage concurrentiel, correspond en réalité à ce que nous recherchons tous. Pour ce faire, le meilleur des moyens demeure un législateur qui, comme vous l’avez fait aujourd’hui, écoute les utilisateurs et les industriels (grands, petits et moyens), et s’appuie sur des expertises juridiques.

Comme vous l’aurez constaté, nous sommes plutôt d’accord sur ce point : nos propos de ce jour constituent presque un « prêt à voter ». Je voudrais donc, en guise de conclusion, vous remercier de nous avoir réunis tous les trois, car il est rare que nous ayons l’occasion d’intervenir ensemble. Au nom de quelques-uns des grands utilisateurs de solutions numériques, je vous remercie d’avoir mis ces questions en lumière. Mettez-nous maintenant en position de gagner notre avantage concurrentiel ; la filière des industries de sécurité s’avère prête à remporter ce pari. La France a quelques atouts, mais il ne faut pas traîner, car nous sommes, à date, encore très en retard.

M. Philippe Latombe, rapporteur. J’ai bien entendu l’urgence que vous exprimez.

Échanger avec vous sur ce sujet était très intéressant. Nous avons besoin de vos retours et ne pourrons rien faire contre vous, c’est aussi pourquoi ces auditions sont diffusées, voire ouvertes à la presse, lorsqu’elles sont publiques.

Je vous invite à nous envoyer des contributions, si vous affinez vos réflexions, afin que nous puissions les intégrer au fur et à mesure. Si, au cours d’une audition, vous repérez un propos sur lequel vous souhaitez réagir, parce qu’il s’agit d’une mauvaise idée, ou insister, parce qu’il s’agit d’une bonne idée à creuser, n’hésitez surtout pas, car nous avons besoin de vos réactions. Notre mission se prolonge durant un an, afin que, sur ce temps long, nous soyons en mesure de ne pas commettre d’erreur, l’urgence du sujet nécessitant de notre part une très grande précision.

M. Jean-Noël de Galzain. Il nous faut toutefois réagir d’ici la fin de l’année 2021.

M. Philippe Latombe, rapporteur. Notre mission a débuté en juillet 2020 et doit rendre son rapport en juin 2021

M. Jean-Noël de Galzain. Nous pourrions, si vous le souhaitez, revenir sur vos travaux dans la configuration de ce jour. Nous vous enverrons le Manifeste. Nous sommes un pays d’entrepreneurs et vous devez savoir que, pendant la crise, les entrepreneurs se mobilisent pour tenir leur moral et celui de leurs employés, mais aussi tenter de faire grandir leurs entreprises dans un environnement difficile.

Les entrepreneurs ont vraiment besoin d’être encouragés dans l’idée qu’il est encore possible de rêver et de réussir dans notre pays et sur notre continent, sans avoir à aller chercher « le gros chèque » ailleurs. L’éducation, l’enseignement supérieur, nos aînés, comme les utilisateurs sont tous mobilisés en faveur de la création de valeur et capables des plus grands exploits, mais il convient tout de même de se poser la question de l’exécution : pour une fois, faites les choses avec nous ! Permettez-nous de rêver au fait qu’il est possible, dans ce pays et sur le continent européen, de créer un nouvel Airbus dans le domaine du numérique ou de la cybersécurité ! Telle est la volonté des entrepreneurs du regroupement HEXATRUST.

M. Philippe Latombe, rapporteur. Je vois bien que les entrepreneurs font tout leur possible pour aider l’ensemble des citoyens à surmonter la crise. Notamment dans le domaine

du numérique, nombre d’initiatives ont vu le jour, au titre desquelles nous devrons remercier l’ensemble des écosystèmes. Si notre mission peut, à sa mesure, vous aider, elle le fera avec le plus grand des plaisirs.

Audition, ouverte à la presse, de Mme Stéphanie Combes, directrice du groupement d’intérêt public Plateforme nationale d’accès aux données de santé (Health Data Hub)

(18 février 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. L’audition de ce jour s’inscrit dans notre cycle consacré à la souveraineté numérique et au numérique en santé. La structure Health Data Hub vise à faciliter l’accès à l’ensemble des données de santé, afin de promouvoir la recherche et l’innovation dans ce domaine. Son régime juridique s’appuie sur une base législative : il est défini à l’article 41 de la loi du 24 juillet 2019 portant sur l’organisation et la transformation du système de santé. La création officielle du Health Data Hub est intervenue le 30 novembre 2019. Elle s’inscrit dans le cadre du plan sur l’intelligence artificielle que le Président de la République a lancé en 2018 ainsi que dans une stratégie globale de numérisation accélérée de notre système de santé.

Ce dossier est un concentré des sujets qui intéressent notre mission d’information. Il interroge notre capacité à procéder à des choix opérationnels qui garantissent à la fois la protection des données de nos concitoyens et un niveau le plus élevé possible de performance.

Il s’agit de numériser rapidement notre système de santé pour gagner en maturité sur certaines technologies clés pour l’avenir de la protection en santé de nos concitoyens et de rendre un service d’une qualité toujours croissante. Nous avons également – et l’actualité de ces derniers jours nous le rappelle à nouveau – le devoir d’assurer la plus haute sécurité possible de nos systèmes d’information contre les cyberattaques. Nous nous réjouissons donc, Mme Stéphanie Combes, de pouvoir échanger avec vous sur ces différents sujets.

M. Philippe Latombe, rapporteur. Je vous remercie d’avoir accepté d’échanger avec nous. Je souhaite vous interroger sur trois points en particulier.

J’aimerais d’abord que vous nous présentiez le Health Data Hub : son organisation, son fonctionnement, les principaux choix techniques opérés et son actualité pour l’année 2021.

Il me semble important de donner le maximum de publicité à cette plateforme qui constitue un outil de pointe pour soutenir la recherche et l’innovation en santé.

Je souhaiterais également savoir comment l’action du Health Data Hub s’articule avec les autres hubs de données de santé en cours de constitution – le Ouest Data Hub par exemple, dont nous auditionnerons les représentants plus tard ce jour. Il s’agit pour nous de comprendre comment le Health Data Hub s’intègre dans l’écosystème du numérique en santé.

Le second sujet que je souhaite aborder avec vous a trait au cœur des travaux de notre mission d’information : la souveraineté numérique dans le domaine de la santé. Comment percevez-vous cet enjeu et comment l’avez-vous intégré à vos choix opérationnels ? La décision de recourir à Microsoft pour héberger les données de santé recueillies par le Health Data Hub a fait l’objet de critiques et d’un recours devant le Conseil d’État. Le ministre des solidarités et de la santé, M. Olivier Véran, s’est finalement engagé à ce que le transfert du Health Data Hub vers un autre hébergeur que Microsoft intervienne dans un délai compris entre douze et dix-huit mois. Je souhaiterais donc bénéficier d’un point d’étape de votre part à ce sujet. Cela constituera également l’occasion d’échanger sur l’initiative européenne GAIA-X.

Enfin, et M. le président l’a souligné, l’actualité récente est marquée par des cyberattaques contre les systèmes d’information des établissements de santé. Face à la sophistication de la menace cyber, comment est-il possible, selon vous, de garantir un niveau de protection maximale à nos infrastructures numériques, en particulier dans le domaine de la santé ?

Mme Stéphanie Combes, directrice du groupement d’intérêt public Plateforme nationale d’accès aux données de santé (Health Data Hub). Le projet du Health Data Hub a trouvé ses racines dans les travaux sur l’intelligence artificielle rendus par M. Cédric Villani en 2018. Il y faisait la promotion des plateformes de partage de données dans différents secteurs – la santé constituant un secteur prioritaire à ce sujet. Une mission de préfiguration et d’expertise a alors été commandée par la ministre de la santé de l’époque, Mme Agnès Buzyn.

J’étais rapporteur de cette mission de préfiguration, dont le rapport a été rendu à la fin de l’année 2018. L’année 2019 a été consacrée à la préfiguration de cette structure, par des travaux législatifs et d’infrastructures technologiques. La structure a été créée à la fin de l’année 2019 et fonctionne maintenant depuis un peu plus d’un an.

Ce projet s’inscrit dans une démarche large portée par le ministère de la santé. La feuille de route du numérique en santé est particulièrement ambitieuse. Le Health Data Hub est l’une des trois plateformes numériques qui doivent être bien articulées : une plateforme pour les citoyens, proposant des applications pour les aider dans leurs soins ; une plateforme pour les professionnels de santé, prévoyant des outils pour les accompagner dans leurs activités ; et, enfin, le Health Data Hub qui s’apparente à une plateforme de recherche et développement.

La structure Health Data Hub regroupe 56 parties prenantes, réparties en neuf collèges – ce hub doit représenter l’ensemble de l’écosystème des données de santé, qui est extrêmement vaste. L’État, bien sûr, y est présent : onze directions de l'État sont parties prenantes ; parmi elles, une direction du ministère de la santé et une direction du ministère de la recherche siègent au conseil d’administration. La Caisse nationale de l'assurance maladie (CNAM) est également un partenaire clé du projet. Les autres collèges sont formés par les organismes d’assurance maladie complémentaire ; les établissements de recherche et d’enseignement ; les établissements de santé ; les représentants des professionnels de santé et des usagers ; les agences, opérateurs et autorités publiques indépendantes ; et, enfin, les industriels. L’assemblée générale réunit l’ensemble de ces parties prenantes ; le conseil d’administration, quant à lui, réunit un représentant de chacun des collèges, à l’exception de l'État qui en a deux. Le financement du Health Data Hub est majoritairement public : la structure bénéficie de vingt millions d’euros par an, dont une moitié provient de l’objectif national de dépenses d'assurance maladie (ONDAM) et l’autre moitié du fonds de transformation de l’action publique, un outil de financement de l’innovation.

Le Health Data Hub doit fournir un accès simplifié aux données de santé en France pour améliorer la qualité des soins et l’accompagnement des patients. La plateforme s’adresse aux acteurs qui animent des projets de recherche et poursuivent une finalité d’intérêt public ;

ceux-ci doivent soumettre un dossier pour accéder aux données de santé. La mission du Health Data Hub s’articule autour de quatre missions principales. Tout d’abord, la plateforme est un guichet unique. L’institut national des données de santé (INDS), créé par la loi de 2016, jouait déjà ce rôle : un porteur de projet devait monter un dossier de demande pour accéder aux données de santé ; celui-ci était soumis à la Commission nationale de l'informatique et des libertés (CNIL), seule autorité compétente pour autoriser un traitement de données ; enfin, le porteur de projet déposait son dossier à l’INDS.

Nous avons cherché à élargir les missions de ce guichet. En effet, une fois que la CNIL avait autorisé le traitement de données, le porteur de projet pouvait rencontrer des difficultés d’accès aux données car celles-ci pouvaient être éparpillées ou bien impossibles à traiter en raison de problèmes technologiques. Par le Health Data Hub, nous souhaitons apporter un service jusqu’à la réalisation de l’étude. La plateforme sécurisée donne accès à un espace projet, où nous versons les données autorisées dans le cadre des projets et les utilisateurs pourront les traiter avec des logiciels de programmation à l’état de l’art. L’utilisateur n’a accès ni aux données des autres utilisateurs, ni à davantage de données que nécessaire pour son projet. De la même manière, il ne peut pas sortir les données de l’espace projet et toutes ses activités sont tracées. Mais cela n’est pas une obligation : le Health Data Hub n’est pas une plateforme unique. Si certains acteurs disposent déjà de plateformes technologiques au bon niveau de sécurité, alors il n’est pas besoin de passer par le Health Data Hub. Cependant, la mission de préfiguration a montré que beaucoup d’acteurs ne disposent pas de telles plateformes et il est très coûteux de mettre sur pied une infrastructure dotée des bons niveaux de sécurité et des fonctionnalités adéquates.

La plateforme technologique met à la disposition de ses utilisateurs un catalogue de données. La loi a élargi le système national des données de santé (SNDS) à l’ensemble des données associées à un remboursement de l’assurance maladie. Il est évident que toutes ces données ne seront pas versées à la plateforme technologique du hub – cela n’est ni viable ni souhaitable techniquement, financièrement et scientifiquement. Nous nous posons plutôt la question suivante : quelles données du patrimoine de données de santé français sont intéressantes pour la communauté scientifique et de l’innovation ? Un comité stratégique, piloté par l'État, élaborera une priorisation de ces données. Suite à cette priorisation, une liste des bases du catalogue sera établie : elle sera prise par arrêté après avis de la CNIL et sera mise à jour régulièrement.

La dernière mission du Health Data Hub est une mission d’animation. Beaucoup d’initiatives existent sur le territoire et il est important de les agréger afin de générer un impact à l’échelle européenne et internationale. Il faut, pour y arriver, connecter entre elles les initiatives existant dans les différents établissements de santé – cela permettra d’atteindre une masse critique. Le Health Data Hub poursuit cet objectif.

Le SNDS, créé en 2016, est la base des feuilles de soin pseudonymisées pour servir à des fins de recherche. Il constitue une base unique en son genre au niveau international, car la centralisation du système de santé français permet d’obtenir la consommation de soins de l’ensemble de la population. Cela est extrêmement intéressant pour la recherche. Néanmoins, il s’agit d’une base médico-administrative : elle ne comprend, par exemple, ni résultats d’analyses, ni scanners. Il est donc intéressant d’associer cette base avec d’autres.

C’est ce qu’a fait la loi sur l’organisation et la transformation du système de santé en 2019 : cette loi a créé le hub et a élargi le SNDS. Le SNDS constitue un système de base, qui regroupe des données de registre, des cohortes de recherche, des entrepôts de données hospitalières et la base de l’Assurance maladie. Le catalogue du hub présentera une sous-catégorie, constituée par les données du SNDS, dont les bases seront chaînées avec celles de l’Assurance maladie pour élargir la capacité à les réutiliser. Cela est fait en partenariat avec les gestionnaires de bases de données : une convention est signée qui fixe les modalités et les règles de partage. Ainsi, nous discutons aujourd'hui avec un grand nombre d’acteurs pour concevoir ce catalogue – il ne s’agit pas du tout d’un mécanisme d’aspiration des données, comme cela a pu être dit.

Une première version du catalogue a pris forme dans l’entrepôt COVID, autorisé par l’arrêté du 21 avril 2020. Il rend disponible la base du SNDS fast-track avec les données de

l’Assurance maladie issues du programme de médicalisation des systèmes d'information (PMSI) et les données de Santé publique France. Les données du système de vaccins y seront également bientôt disponibles.

Que nous manque-t-il pour mettre en œuvre ce catalogue, qui constitue l’ambition clé du Health Data Hub ? Un décret est toujours manquant – sa publication est attendue au mois de février ou de mars 2021. Le comité stratégique doit également se réunir, afin de définir la liste des bases du catalogue, qui sera prise par arrêté après avis de la CNIL. Il est essentiel de pouvoir poser tous ces jalons avant le milieu de l’année 2021. Le Health Data Hub a été lancé en 2019 ; nous ne pouvons pas nous permettre d’accumuler du retard dans la mise en place du catalogue.

L’accès aux données du catalogue ne se fait pas du tout en open data – les règles habituelles s’y appliquent. En revanche, le caractère centralisé des données facilite les temps d’accès, l’accès à des logiciels métier adaptés – notamment en cas d’usage pour l’intelligence artificielle – et les chaînages. Ainsi, le Health Data Hub ne va pas remplacer les autres initiatives, notamment les plateformes locales déjà existantes. Par exemple, l’entrepôt de l’Assistance publique-Hôpitaux de Paris (AP-HP) n’a pas besoin du Health Data Hub pour conduire la plupart de ses projets. Mais le Health Data Hub pourrait l’intéresser pour certains d’entre eux – ainsi, nous travaillons actuellement avec l’AP-HP sur une dizaine de projets, ce qui prouve bien nos intérêts communs et complémentaires.

Le Health Data Hub permettra en premier lieu le croisement des sources. Un projet s’appuyant sur les données d’un établissement de santé est intéressant, mais il lui manque les données de santé de ville et peut-être les données des autres établissements de santé. Le chaînage entre les données de l’Assurance maladie et celles de l’établissement de santé permettra d’adopter une approche en parcours de soins et de conduire des projets qu’il n’est pas possible de concevoir autrement. Aujourd'hui, un chaînage, c’est-à-dire un croisement de sources de données, peut durer trois à quatre ans en France. L’ambition du Health Data Hub est de réduire ce délai à six ou neuf mois.

L’autre intérêt du hub réside dans ses capacités élastiques de calcul et de stockage – c’est la raison pour laquelle nous avons choisi une infrastructure cloud. À titre d’exemple, une clinicienne de l’AP-HP développe un projet d’aide au dépistage du cancer de la prostate qui mobilise le traitement de 10 000 imageries par résonance magnétique (IRM) par l’utilisation du deep learning. Elle travaille actuellement avec plusieurs établissements de santé mais aucun d’entre eux ne peut réunir au même endroit les 10 000 IRM et ne dispose des capacités de calcul et de stockage suffisantes pour appliquer les algorithmes – c’est pourquoi elle a eu recours aux services du hub.

Nous avons eu l’occasion de poser quelques jalons en 2020. Nous avons tout d’abord mis en production une plateforme pour des projets liés au COVID et avons procédé à sa mise à jour en fin d’année. Nous avons également conduit un second appel à projets au terme duquel nous avons sélectionné dix nouveaux projets sur le thème de l’intelligence artificielle et de la santé. Nous accompagnons aujourd’hui quarante projets : parmi eux, trente sont des projets pilotes et dix sont des projets liés au COVID – huit d’entre eux ont déjà reçu une autorisation de la CNIL et les deux derniers sont en attente de la recevoir. Nous animons des discussions avec les partenaires du catalogue ainsi que des actions de fédération de l’écosystème : un colloque, un data challenge, une winter school à laquelle 400 personnes se sont inscrites. Le hub rassemble aujourd'hui une cinquantaine de collaborateurs et nous formons l’ambition d’être soixante-dix en 2021. Enfin, nous sommes impliqués dans les travaux européens – j’y reviendrai.

Nous avons cinq priorités en 2021 :

– continuer la mise en place de la structure créée il y a un an ;

– industrialiser l’accompagnement des projets de bout en bout ;

– mettre en place des partenariats stratégiques et les développer, par exemple avec la CNAM, l’Institut national de la santé et de la recherche médicale (Inserm) et les établissements de santé ;

– associer le grand public au dispositif, en particulier compte tenu de la sensibilité des données ;

– enfin, développer l’infrastructure technologique.

Comment accéder aux données présentes dans le hub ? La réglementation française est très précise à ce sujet. Les porteurs de projets doivent constituer un dossier de demande d’autorisation d’accès aux données auprès de la CNIL. En la matière, le hub fait office de simple guichet administratif : le porteur de projet dépose son dossier au hub, qui le transmet à un comité éthique et scientifique national, qui vérifiera la solidité du projet tant du point de vue de la finalité poursuivie que de la méthodologie. Ce comité sera composé d’experts de très haut niveau, reliés à des experts extérieurs spécialistes de sujets très pointus. Si le comité accorde un avis favorable au dossier, le hub le transmettra à la CNIL. La CNIL est la seule autorité en mesure de délivrer ou non une autorisation de traitement de données. Le porteur de projet pourra ensuite s’adresser au hub en sa qualité de gestionnaire d’infrastructure afin qu’il mette à disposition les données, mais cela n’est pas obligatoire. Le porteur de projet doit être transparent sur l’objet de son étude, qui doit être décrite sur le site Internet du Health Data Hub et figurer au répertoire public disponible en ligne, ainsi que partager une partie des résultats de sa recherche.

Vous m’avez interrogée sur les articulations du Health Data Hub avec les initiatives locales, et en particulier avec le Ouest Data Hub. Nous conduisons un projet pilote avec le groupement de coopération sanitaire des hôpitaux universitaires du Grand Ouest (HUGO) qui porte le projet du Ouest Data Hub. Le Pr Marc Cuggia, impliqué dans ce projet, a participé à la mission de préfiguration du Health Data Hub. La convergence entre les initiatives a donc été imaginée dès le départ. Il n’est absolument pas dans l’intérêt du Health Data Hub de remplacer les initiatives locales : au contraire, il faut bien plus d’entrepôts de données hospitalières qu’il n’en existe aujourd’hui. Nous souhaitons permettre le passage à l’échelle par le développement de projets d’envergure nationale et le croisement des données.

Le projet que nous conduisons avec HUGO s’appelle Hugo-Share. Il vise à analyser les trajectoires médicamenteuses de 420 000 patients afin de comprendre et d’éviter les accidents iatrogéniques en ville et à l’hôpital et afin d’améliorer les parcours de soins des patients les plus fragiles, notamment les personnes âgées. Le Health Data Hub cofinance le projet et accueille la base chaînée au sein de la plateforme. La base clinique, elle, est fournie par le Ouest Data Hub et ses six établissements partenaires. Nous menons d’autres partenariats de ce type avec d’autres acteurs : par exemple, avec la Fédération nationale des centres de lutte contre le cancer (Unicancer) afin de mutualiser les données et de construire une base oncologique d’envergure, dans le respect de la réglementation et du droit des patients.

Vous m’avez également interrogée sur les raisons d’être et le rôle de la direction citoyenne. Son rôle s’articule autour de l’obligation légale du hub : informer les patients, promouvoir et faciliter leurs droits. La direction citoyenne ne remplace pas la direction

juridique. Nous identifions un enjeu à « embarquer » avec nous la société civile : il ne s’agit pas seulement d’informer les citoyens, mais de faire d’eux des partenaires du dispositif.

Cette direction anime quatre actions. La première consiste à étudier, consulter et concerter avec la société civile : nous constituons des groupes de travail afin de comprendre les attentes de la société civile et de recueillir sa perception du partage des données de santé.

Nous sommes très impliqués dans l’action conjointe de la Commission européenne afin de mettre en place un espace commun de données de santé : le hub est l’autorité française compétente pour coordonner le travail des acteurs français sur le sujet. Ainsi, nous sommes chargés d’un lot de travaux relatif à l’infrastructure (cela concerne GAIA-X) ainsi que d’un lot de travaux sur l’engagement. Dans ce dernier lot de travaux, nous mettons en place une e-consultation pour nous adresser très largement à la société civile.

Nous cherchons également à mettre en place des partenariats concrets : par exemple, les associations de patients peuvent être autorisées à traiter des données. Nous avons ainsi conduit un premier partenariat avec France Asso Santé autour de l’étude intitulée « Vivre COVID », afin d’étudier comment les patients chroniques vivaient le premier confinement.

Dans ce cas de figure, le hub apporte son appui à l’association de patients qui réalise l’étude et apporte ses données. Nous étudions actuellement comment le hub pourrait faire des requêtes au nom des citoyens ou des associations, quand ceux-ci ne sont pas en mesure de le faire eux-mêmes.

Il est également essentiel d’informer et de vulgariser, car la donnée de santé est particulièrement abstraite et complexe. Nous mettons en place des baromètres pour évaluer la connaissance ainsi que des outils de communication les plus vulgarisés possibles. Nous avons déjà produit deux vidéos et rédigé une note d’engagement avec un groupe de travail de patients. Nous souhaitons construire un contenu facile à lire et à comprendre sur le site Internet, afin de le rendre accessible au plus grand nombre de personnes. Cela pose évidemment de nombreuses questions sur l’exercice des droits, et ouvre également un chantier technologique sur la mise en œuvre des droits.

La direction citoyenne recouvre enfin une dimension de formation. Nous sommes actuellement en discussion avec l’Éducation nationale afin de mettre en place des outils de vulgarisation.

La fin de ma présentation porte sur le sujet qui, je pense, vous intéresse principalement : la sécurité et la souveraineté de la plateforme technologique. Je souhaite revenir sur les étapes qui nous ont amenées à choisir Microsoft et vous détailler où nous nous situons aujourd'hui au regard des décisions prises.

À l’été 2018, la ministre de la santé confie à la direction de la recherche, des études, de l'évaluation et des statistiques (DRESS) la feuille de route élaborée lors de la mission de préfiguration. À cette occasion, nous avons rencontré énormément d’acteurs : principalement des industriels français et des acteurs du monde de la recherche. Nous avons ensuite élargi notre champ, puisque nous nous sommes rendus compte que nos exigences étaient assez élevées. La première de nos exigences était la sécurité – cela n’a pas été tout de suite compris dans les débats qui ont eu lieu l’année dernière. D’aucuns pensent que nous avons choisi Microsoft en raison de ses capacités de machine learning ; en réalité, nous avons choisi Microsoft pour les services managés de sécurité. Il est extrêmement important de comprendre cela. Il n’existe aucun niveau équivalent dans l’industrie française en matière de services managés de cybersécurité, de ségrégation des droits, de gestion des droits, de traçabilité totale des activités de la plateforme. Or c’est cela que nous recherchions spécifiquement. Nous n’avons pas décidé nous-même de ces exigences de sécurité. Celles-ci sont réglementaires :

elles sont issues du référentiel de sécurité du Système national des données de santé, qui est très peu connu du grand public. La plupart des gens connaissent la certification des hébergeurs de données de santé (HDS), qui n’est pas obligatoire dans notre cas, mais bienvenue. C’est bien le référentiel de sécurité du SNDS qui est « incontournable » et qui constitue une exigence légale.

Nous avions également des exigences de performance : comme il ressort des exemples que j’ai précédemment donnés, nous souhaitons pouvoir croiser beaucoup de données et faire tourner du deep learning sur des IRM en masse, par exemple. Nous devons donc avoir une capacité à scaler, c’est-à-dire disposer d’une infrastructure capable de changer de taille en fonction des projets. C’est ce que le cloud nous permet de faire.

Enfin, nous posions une exigence de délai. Ce projet ne peut pas attendre : nous devons développer les usages numériques en santé et la crise a conduit, je crois, à une prise de conscience générale à ce sujet.

Nous avons ainsi choisi la solution de Microsoft, qui était la seule à répondre à toutes ces exigences. Il faut bien comprendre que notre plateforme n’est pas confiée à Microsoft :

nous avons choisi le logiciel Azure de Microsoft, et Microsoft est, à ce titre, l’un de nos partenaires technologiques. Nous travaillons avec une dizaine de partenaires technologiques :

la start-up française de cybersécurité Wallix, par exemple, nous fournit le bastion. Le Health Data Hub est souvent résumé à Microsoft ; mais nous n’avons pas demandé à Microsoft de construire une plateforme pour répondre à nos besoins. Microsoft est l’un de nos partenaires technologiques. L’un de nos plus gros partenaires technologiques est, d’ailleurs, la société française Open, qui est notre intégrateur.

Nous avons, dès le départ, posé la réversibilité de la plateforme comme l’une de nos exigences. Cela aurait été le cas même si nous n’avions pas eu recours à Microsoft. La réversibilité est indispensable. Dans tous les cas, il ne faut pas se retrouver piéger dans une solution technologique. Nous développons la plateforme en infrastructure as Code, c’est-à-dire programmable : nous essayons de disposer de scripts et de faire le moins d’actions manuelles possible. Nous pourrons alors, le moment venu, réutiliser les programmes informatiques : nous devrons alors les reparamétrer en partie, évidemment, mais une grande partie du travail sera réutilisable – c’est ce que l’on appelle la réversibilité.

Qu’avons-nous réalisé en faveur de la réversibilité, hormis cette automatisation ? Nous avons conduit deux études de réversibilité à ce jour. Cette exigence de réversibilité est inscrite dans la feuille de route et partagée par tous les acteurs partenaires du groupement d’intérêt public. À la fin de l’année 2019, nous avons publié notre première étude qui comparait l’acteur français OVH avec Microsoft et identifiait un écart important entre les deux. En juin 2020, nous avons mis à jour cette étude avec la direction interministérielle du numérique (DINUM).

Nous avons alors identifié les quatorze besoins indispensables de la plateforme. Pour le moment, OVH n’en couvre que cinq. Ceci étant dit, nous n’avons aucun doute sur le fait que les acteurs français ont mis au point des feuilles de route très ambitieuses et vont progressivement réduire cet écart.

La souveraineté est un objectif pour chacun d’entre nous. Nous devons, nous, combiner cet objectif avec d’autres : ainsi, notre objectif prioritaire est de servir les patients. Les mesures de sécurité que nous avons mises en place ont été approuvées. Le débat ouvert aujourd'hui sur la souveraineté de la plateforme ne concerne donc pas la sécurité. Les données sont pseudonymisées et chiffrées. Nous avons recours à énormément de services de cybersécurité.

Nous avons fait réaliser plusieurs audits par des prestataires d'audit de la sécurité des systèmes d'information (PASSI) qualifiés par l’ANSSI. Un audit de l’ANSSI est actuellement en cours.

Nous avons reçu un avis de la DINUM, un considérant du Conseil d’État dans son ordonnance a souligné le haut niveau de sécurité de la plateforme. La CNIL a déjà autorisé huit projets. Il est maintenant clair que la plateforme a atteint un très haut niveau de sécurité. Cela n’empêche cependant pas de poursuivre un objectif de souveraineté ; la difficulté est de savoir quels objectifs se cachent derrière la notion de souveraineté. Cela n’est pas clair pour l’instant.

Nous identifions actuellement des financements dans le cadre de France Relance, et menons des discussions avancées avec l’ANSSI pour construire une plateforme souveraine qui pourrait être la cible de la migration que vous évoquiez. Nous sommes très impliqués dans l’action conjointe de la Commission européenne, qui a été lancée le 1er février et devrait durer deux ans. Le lot de travaux concernant l’infrastructure pourrait faire le lien avec GAIA-X.

L’initiative French Gaia-X Hub, quant à elle, a été lancée il y a quelques semaines : elle met en place des groupes de travail thématiques et nous participons notamment au groupe de travail des « utilisateurs santé ». Nous souhaitons travailler collectivement à construire une solution plus souveraine, tout en gardant en tête que le Health Data Hub n’est pas nécessairement la seule dimension d’un espace commun de données de santé à l’échelle européenne.

Par ailleurs, et pendant ce temps, nous continuons nos échanges très réguliers avec les différents acteurs de la filière. Nous avons récemment conduit un premier échange au sujet de la solution Anthos avec OVH et Google. Nous continuons donc évidemment à suivre l’évolution du marché.

M. Philippe Latombe, rapporteur. Vous avez souligné, à la fin de votre intervention, le haut niveau de sécurité du dispositif et indiqué que la souveraineté était une autre question.

Vous avez alors fait remarquer que la définition de la souveraineté n’était pas claire. Que signifie, selon vous, la souveraineté ?

Mme Stéphanie Combes. Je ne suis pas compétente moi-même pour la définir, mais les discussions que nous avons pu avoir au sujet du Health Data Hub font ressortir un enjeu d’autonomie stratégique. Il s’agit de savoir si l’on est en situation de dépendance et si nous pouvons nous assurer que les données puissent être à tout moment récupérées. Cette notion recouvre également un enjeu lié aux lois extraterritoriales, s’agissant des hébergeurs de cloud américains. La question des lois extraterritoriales est assez technique – plusieurs sont mises en avant, dont le Cloud Act américain – et il convient d’étudier le sujet de manière assez fine.

Ces lois s’appliquent dans certains contextes, qui ne sont pas forcément valables pour tous les hébergements de toutes les données personnelles. Dans le cas du hub, les données sont pseudonymisées.

Se posent également des questions de filières. Nous pourrions souhaiter soutenir le plus possible les acteurs de la filière française – d’autant plus que le projet est porté par l'État. Cela crée des injonctions parfois contradictoires : l’État porte un projet, donc il ne souhaite travailler qu’avec des acteurs français ; en même temps, l’État nous demande d’être rapides et d’avoir des résultats concrets.

Il faut vraiment traiter cette question de la souveraineté – mais je ne pense pas être la personne pour le faire. Ma crainte serait qu’elle ne soit pas complètement traitée, c’est-à-dire que l’on n’atteigne pas une définition conceptuelle claire, et que cela ait un impact non maîtrisé sur l’écosystème. On parle de loi extraterritoriale – mais parle-t-on des actionnaires étrangers ?

Tous ces critères doivent être élaborés et partagés, et nous devons nous mettre d’accord sur la cible. Sinon, nous allons mettre en place des critères extrêmement restrictifs et nous allons supprimer des usages.

J’ai une seconde crainte. J’entends beaucoup parler du cloud et de Microsoft, mais je n’entends pas beaucoup parler de la souveraineté des usages numériques de santé. Dans certains autres pays, et notamment aux États-Unis, ces questions avancent très vite. En mai 2018, le dispositif médical pour les examens de fond d’œil était le premier dispositif médical intégrant l’intelligence artificielle à être autorisé par la Food and drug administration (FDA).

Cela a constitué une très belle avancée et depuis, une trentaine d’autres dispositifs médicaux ont été autorisés par la FDA. Nous téléchargerons bientôt toutes ces applications sur nos téléphones, car elles proposeront des usages de santé extrêmement intéressants et performants ; mais elles n’auront pas été construites grâce à des données de patients français et l’on ne saura même pas si elles ont été développées dans le respect du Règlement général sur la protection des données (RGPD). Il faut donc garder en tête les questions sur la souveraineté des usages, afin de ne pas nous retrouver dans cinq ans à discuter de ces mêmes sujets car nous aurons pris du retard par rapport à d’autres acteurs. Il faut donc procéder à des arbitrages en ayant bien en tête tous les enjeux ayant cours au même moment. Cela n’est pas simple.

M. Philippe Latombe, rapporteur. Les critiques ne portent pas sur le fond du projet du Health Data Hub ni sur les objectifs qu’il poursuit. Elles visent, de façon très claire, l’hébergement dans le cloud d’Azure de Microsoft. Ces critiques sont présentes quasiment depuis le lancement du projet. Comment les appréhendez-vous et comment les intégrez-vous à votre démarche ? Vous avez insisté sur le fait que Health Data Hub devait être développé rapidement. Ces critiques ne constituent-elles justement pas un frein à son développement ?

Je pense notamment à la procédure lancée devant le Conseil d’État, à la réticence de la CNAM quant au transfert de ses données, à l’expression permanente de critiques de la part de l’écosystème, à l’intervention du secrétaire d’État chargé du numérique devant le Sénat pour évoquer la réversibilité. Quels sentiments ces critiques suscitent-elles chez vous ?

Mme Stéphanie Combes. Il faut prendre les critiques de manière précise. Quand j’ai commencé à conduire le projet, on a critiqué sa lenteur annoncée, en prédisant que le Health Data Hub connaîtrait le même destin que le dossier médical partagé (DMP). Si j’avais choisi une solution qui n’aurait pas aujourd'hui permis au projet d’aboutir, je serais également critiquée. En tant que chef de projet d’un projet d’État, je suis assez à l’aise avec l’idée d’être critiquée. On ne va pas encore assez vite, je vous l’accorde – mais nous n’aurions même pas encore esquissé le début d’une plateforme si nous avions opté pour une autre solution.

Il faut donc prendre les critiques, étudier où elles prennent leurs sources et les traiter.

Certaines critiques relèvent d’un problème de compréhension technologique – il faut donc faire de la vulgarisation. Il est vrai que l'État et les activités publiques sont moins à l’aise avec les solutions de cloud que le secteur privé. La DINUM travaille sur ces sujets, notamment en élaborant une stratégie cloud souveraine. Nous nous inscrivons dans cette dynamique.

Le conseil de la CNAM ne représente pas à lui seul l’ensemble de la CNAM. Le conseil de la CNAM ne s’est pas exprimé seulement sur Microsoft : il a également critiqué le décret, qu’il a jugé incompréhensible. Il faut étudier l’origine du problème et le traiter. La mise en place des dispositifs de cloud relève de la conduite du changement ; ce projet est très différent des choix opérés par l’Assurance maladie depuis des dizaines d’années. Nous devons donc accompagner ce mouvement.

Les critiques proviennent souvent de l’écosystème du numérique français. Les acteurs du numérique français trouvent injuste que nous ayons opté pour Microsoft comme opérateur d’un projet public. Je comprends cette critique, mais si nous avions opté pour un autre partenaire que Microsoft, certains autres acteurs encore auraient été mécontents. On ne pourra

jamais satisfaire tous les prestataires industriels. Nous sommes confrontés au jeu de la construction et de la sélection des partenaires technologiques.

Une autre critique provient du monde hospitalier, qui me semble pouvoir être traitée par la preuve. Le secteur hospitalier craint que le Health Data Hub cherche à remplacer ses activités. Il est intéressant, à ce sujet, d’étudier l’historique des critiques formulées par l’association InterHop et de savoir qui a fondé cette association. Il s’agit de deux anciens personnels de l’entrepôt de données de santé de l’AP-HP : leur propos premier était d’affirmer qu’il n’était pas besoin de mettre au point le Health Data Hub car la solution de l’AP-HP existait déjà. Nous sommes parfaitement d’accord avec l’idée selon laquelle il ne faut pas centraliser et il ne faut pas tuer les activités locales : nous n’allons pas remplacer le travail de l’Assurance maladie, ni celui de l’entrepôt de données de l’AP-HP. Ils fournissent un travail énorme, que nous respectons et que nous voulons soutenir. L’association InterHop utilise aujourd'hui l’argument du logiciel libre. Nous n’avons pour le moment pas bien compris quels éléments ils ont versé en open source.

Il faut donc identifier chaque source de critique, étudier comment la traiter et apporter tous les éléments de preuves qui nous sont demandés. C’est de cette manière que nous pourrons conduire l’innovation : à ce titre, le Health Data Hub est loin d’être le premier projet à souffrir la critique.

M. Philippe Latombe, rapporteur. N’avez-vous pas l’impression que les critiques, qui sont apparues dès le début du projet, entravent vos activités – qu’elles sont en quelque sorte devenues un boulet ? J’en veux pour preuve la réversibilité, qui a été l’une des conséquences de ces critiques.

Mme Stéphanie Combes. Non, la réversibilité a été identifiée dès le premier jour.

M. Philippe Latombe, rapporteur. Je l’ai bien compris. Cette réversibilité, cependant, est aujourd'hui prévue à deux ans.

Mme Stéphanie Combes. Le courrier du ministre diffusé dans la presse ne mentionne pas la migration, mais l’annulation du risque extraterritorial. Nous travaillons, ensuite, dans un objectif de souveraineté, car cet objectif est poursuivi par l’ensemble des services de l'État.

Il faut étudier les sujets précisément. Vous pouvez, si vous voulez, évoquer un boulet : je préfère parler d’agilité. Si l’on avait procédé différemment, aucun projet n’aurait été conduit sur le hub aujourd'hui et aucun d’entre eux ne produirait des résultats dès cette année. Disposer d’une cible industrielle conforme à d’autres ambitions que celles d’abord exprimées par la ministre, auxquelles je souscris entièrement, d’avoir des résultats rapides représente une progression et ouvre de nouveaux chantiers. Il s’agit d’un projet extrêmement ambitieux, il est donc normal que nous ayons plusieurs étapes de réalisation – cette étape d’infrastructure souveraine en fait partie.

M. Philippe Latombe, rapporteur. Pensez-vous que le projet aurait été mené plus rapidement sans ces critiques de départ ?

Mme Stéphanie Combes. Non. Cela n’a pas de lien avec la question de la parution du décret. L’impact de la crise sanitaire sur le ministère suffirait à l’expliquer. En revanche, le ministère a été très réactif sur l’arrêté qui nous a permis de préfigurer le catalogue avec les données du COVID. Je ne crois donc pas que nous aurions pu faire plus vite en procédant différemment.

L’étude de réversibilité conduite l’été dernier avec la DINUM montre qu’OVH, le leader français dans le domaine, ne satisfait toujours pas nos prérequis. Nous serions donc encore aujourd'hui en train de construire une solution.

M. Philippe Latombe, rapporteur. Je voudrais que les choses soient claires.

Comment s’est déroulé le processus de sélection au tout départ ? Avez-vous lancé un appel d’offres ? Si oui, quels en étaient les critères ? Quelles entreprises ont été autorisées à y répondre ? Beaucoup de critiques portent également sur la phase de démarrage du projet.

Mme Stéphanie Combes. Il n’y a pas eu d’appel d’offres. Nous avons recours aux services de l’union des groupements d'achats publics (UGAP). Tout comme la centrale d'achat de l'informatique hospitalière (CAIH) ou le réseau des acheteurs hospitaliers (Resah), l’UGAP est une centrale d’achat mise en œuvre pour faciliter l’achat public. Ces structures mettent elles-mêmes en concurrence les acteurs, conçoivent un catalogue dans lequel nous pouvons choisir. Il ne s’agit donc pas d’un contournement du code des marchés publics. La mise en concurrence a été faite, mais non ciblée sur notre projet. Nous nous appuyons donc sur l’UGAP. Nous sommes aujourd'hui une petite structure de 50 personnes, qui n’est pas en capacité de porter un marché de 200 millions d’euros.

Le ministère de la santé a élaboré à l’époque les prérequis : ceux-ci relèvent à la fois du juridique et de la cybersécurité. Nous avons rencontré les industriels et les avons interrogés, à chaque fois, sur le référentiel de sécurité du SNDS, qui est différent de la certification HDS.

Le prérequis HDS était également important pour nous : nous n’envisagions pas de sélectionner une structure qui ne soit pas certifiée HDS. Enfin, les prérequis demandés concernaient les fonctionnalités, puisque nous souhaitions mettre en place une plateforme dotée de capacités de calcul et de stockage élastiques. Un document, résumant tous ces prérequis, a été rendu public sur le site de la direction de la recherche, des études, de l’évaluation et des statistiques (DRESS).

Nous avons par ailleurs conduit des échanges bilatéraux avec tous les industriels de l’écosystème français déjà évoqués – Atos, Thales, OutScale, CASD, TeraLab – pour étudier leurs offres. La première étude de réversibilité cote la présence, ou non, des certifications ou des fonctionnalités chez chacun des acteurs. Ces résultats auraient pu être « challengés » par les acteurs, mais cela n’a pas été fait – et pour cause, seul Microsoft était habilité HDS à l’époque. Cela est vrai et vous pouvez le vérifier. Nous avons donc conduit la comparaison, puis nous avons vérifié qu’Open, notre intégrateur, et Microsoft étaient tous deux disponibles au catalogue de l’UGAP. Cette manière de procéder est légale, et plus encore, elle est recommandée par la DINUM. Le mécanisme de centrales d’achat a été mis en place pour faciliter l’achat public.

M. Philippe Latombe, rapporteur. Nous avons auditionné l’UGAP et la DINUM. La DINUM nous a expliqué que les achats étaient aussi guidés par le besoin de facilité : les administrations achètent des solutions totalement intégrées car elles n’ont pas les moyens d’intégrer ensemble des blocs différents pour constituer une solution complète. Ce souci de facilité et de rapidité explique-t-il que vous ayez également choisi Microsoft ?

Mme Stéphanie Combes. Je ne parlerais pas de simplicité – je ne dirais pas que notre chantier d’infrastructure est simple. Nous avons choisi une solution qui répondait à notre demande, alors que les acteurs français ne proposaient pas les fonctionnalités dont nous avions besoin. Il aurait fallu construire ces fonctionnalités et cela aurait pris un certain temps. Encore aujourd’hui, OVH n’a pas développé toutes ces fonctionnalités.

M. Philippe Latombe, rapporteur. On aurait pu envisager un consortium : plusieurs acteurs auraient pu travailler ensemble pour apporter ces différentes fonctionnalités.

Mme Stéphanie Combes. Si nous avions publié un marché public, Microsoft y aurait répondu. On ne peut pas choisir de travailler avec un acteur français car on a envie de soutenir son développement industriel, si un autre acteur répond à notre demande, dispose de toutes les certifications requises et mène une activité sur le sol de l’Union européenne. On ne peut pas interdire à des acteurs internationaux de fournir des services. Si demain il existe une nouvelle certification, que Microsoft ne la vérifie pas et qu’OVH la vérifie, alors les choses seront différentes. À l’époque, si nous avions publié un marché, Microsoft l’aurait remporté. Il a même été proposé, pour apaiser le débat, de publier un marché a posteriori : c’est à nouveau Microsoft qui aurait été choisi et cela n’aurait fait que jeter de l’huile sur le feu. Il nous manque, collectivement, un benchmark du niveau de maturité des solutions de cloud françaises endossé par l'État. Il faudrait que ce benchmark soit conduit par le ministère de l’industrie ou bien par la DINUM. Cela nous permettrait d’attester collectivement du fait que des acteurs français sont très forts dans tel domaine, et plus faibles dans d’autres. Cela traduirait la réalité du terrain.

M. Philippe Latombe, rapporteur. Je peux le comprendre, et je n’ai pas de critique à y apporter. Je reviens sur ma question du boulet. Les critiques initiales ont marqué le Health Data Hub du sceau d’une réelle difficulté. On évoque aujourd'hui le hub bien davantage pour ces critiques que pour ses succès. Il a été annoncé qu’il faudra migrer vers une solution souveraine et que cela prendra deux ans. Cela donne l’impression qu’une décision prise nous lie pendant des années et que la réversibilité n’est pas si simple que cela à mettre en œuvre.

Cette situation jette l’opprobre sur le projet.

Mme Stéphanie Combes. Pour mettre en œuvre la réversibilité, il faut que la cible soit prête. La cible n’est pas prête pour le moment, il faut donc prendre le temps de la construire.

Cela n’est pas la faute du hub. De notre côté, la migration nous prendra quelques mois. La CNIL en avait parfaitement conscience. Tout le monde est d’accord sur le fait qu’il est souhaitable que l’hébergement soit souverain – il faut se donner les moyens d’y arriver, et pour cela, il faut donc le temps à l’industrie de développer la solution cible. Cela explique la durée de deux ans.

Nous avons, par ailleurs, en France, un problème avec le numérique. Par faute de compréhension de ses enjeux très techniques et de manque d’ingénieurs dans les administrations, tout le monde donne son avis sur des sujets d’une complexité très importante.

Nous ne pouvons pas remettre en cause des choix technologiques : nous avons travaillé à l’infrastructure technologique sécurisée avec le haut fonctionnaire de défense et de sécurité du ministère de la santé et avec l’ANSSI, qui est la plus haute autorité en la matière en France.

Nous avons collectivement besoin d’éduquer les Français sur cette composante numérique qui va être de plus en plus présente dans nos vies, afin de conduire des débats moins passionnels et plus objectifs. Cela rejoint la question de la souveraineté que vous me posiez plus tôt : tout le monde parle de la souveraineté numérique, mais sa définition n’existe pas. Cela est un vrai problème.

Il est vrai que depuis sa création, la communication du hub tournait surtout autour de la plateforme technologique et de ses critiques. Nous commençons cependant maintenant à produire des résultats ; cela est de nature à davantage montrer la finalité du Health Data Hub.

L’intérêt de notre action et ses vrais usages seront bientôt visibles : le développement des outils à destination des professionnels et des patients, la recherche médicale, les outils de prédiction des ré-hospitalisations. Mais notre action appartient à la recherche, cela prend donc du temps.

M. Philippe Latombe, rapporteur. S’agissant des coûts, il nous a été expliqué que des différences tarifaires assez fortes peuvent exister entre les différents fournisseurs.

Comment se situe Microsoft en la matière ? Était-il significativement moins cher que les autres fournisseurs, de manière à « acheter le marché » ? Ou était-il au contraire plus cher car il se savait être le seul fournisseur à répondre au cahier des charges ?

Ensuite, Microsoft vous a-t-il imposé de négocier toutes les conditions générales d’utilisation et les conditions particulières au sein du contrat ?

Enfin, il nous a été dit que l’envoi des données sur le cloud de Microsoft était relativement peu cher, mais que la sortie était extraordinairement chère. Avez-vous pris en compte ce critère et si oui, avez-vous pu le négocier ?

Mme Stéphanie Combes. S’agissant des coûts, la centrale d’achat met en compétition les acteurs en intégrant un critère de coût. Nous avons comparé le coût entre OVH et Microsoft lors de notre première étude de réversibilité. La comparaison a montré qu’il était beaucoup moins cher de construire l’infrastructure Microsoft – car elle est tout intégrée – mais qu’à l’usage, elle est un peu plus chère.

Nous avons évidemment également étudié les conditions de sortie des données. Cet argument était très valide, il y a quelques années, mais il l’est beaucoup moins aujourd'hui.

Les acteurs ne sont plus dans la logique de capter les utilisateurs par le coût de sortie des données, car les utilisateurs y sont désormais vigilants. Les acteurs américains vont plutôt développer des services de plus en plus intelligents, ergonomiques, de haut niveau, pour capter l’utilisateur car ils n’ont pas d’équivalents. Ainsi, nous n’utilisons ainsi pas d’outils intégrés de machine learning, nous mettons à disposition des outils très standard de data science en open source comme R et Python.

Nous avons en effet négocié plusieurs avenants aux clauses de contrat ; cela s’est fait au fur et à mesure de nos discussions notamment avec la CNIL. Nous en avons négocié trois au total et nous continuerons d’en négocier si cela est nécessaire.

M. Éric Bothorel. Notre mission sur la souveraineté numérique fonctionne sur Zoom et je constate que la totalité de nos données n’est pas chiffrée.

Je me souviens des débats ayant eu lieu au printemps sur l’application StopCovid, aujourd'hui Tous anti-Covid. Les choix opérés sont systématiquement critiqués. Cela est probablement le cas pour de bonnes raisons, car des subtilités technologiques vont parfois à l’encontre de notre autonomie stratégique.

Il était question tout à l’heure de chiffrement. Qui stocke les clés de chiffrement ? Cela constitue une garantie de la protection des données stockées sur le Health Data Hub.

Le Health Data Hub fait-il l’objet de cyberattaques actuellement ? Si oui, connaît-on la nature et l’origine de ces tentatives ? Je souhaiterais savoir comment le Health Data Hub s’organise pour faire face à la sphère cybercriminelle qui pourrait être tentée d’accéder à ses données et quelles sont les mesures déployées pour l’en empêcher.

Mme Stéphanie Combes. Les données sont toutes chiffrées, à la fois lorsqu’elles sont stockées et lorsqu’elles se déplacent. Les clés sont stockées dans des modules numériques appelés hardware security modules (HSM), qui constituent le plus haut niveau de sécurité internationale. Nous créons des clés dites maîtresses à l’extérieur de la plateforme dans un HSM maîtrisé par le ministère. Elles sont ensuite envoyées à l’intérieur de HSM de Microsoft,

car la clé doit se trouver à l’intérieur de la plateforme pour y chiffrer et déchiffrer les données.

Le HSM ne nécessite aucune intervention d’un administrateur de Microsoft ni même du hub :

cela constitue une norme de sécurité internationale. Le fait que nous possédions les clés maîtresses nous permet, si nous le souhaitions, de révoquer les clés en cas d’accident majeur et donc de supprimer les données (qui ne sont que des copies, puisqu’il s’agit de données de recherche). Les avenants au contrat prévoient bien que Microsoft ne cherchera jamais à contourner ce chiffrement ou à récupérer des clés de chiffrement pour les confier à un tiers.

Le Health Data Hub n’a pas aujourd'hui fait l’objet de cyberattaques. Cela constitue d’ailleurs l’un des indicateurs de notre stratégie pluriannuelle de transparence envers notre assemblée générale. Si nous sommes informés d’une cyberattaque, les analystes de mon équipe RSSI examinent si nous sommes concernés et instruisent la cyberattaque. Nous organisons par ailleurs des « attaques » de manière volontaire pour tester la plateforme : nous en avons déjà mené deux et un troisième audit est actuellement en cours avec l’ANSSI.