rapport d'information fait au nom de la mission d'information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » — Auditions

Par ailleurs, la notion de souveraineté peut varier d’un espace géographique à l’autre. L’Europe se questionne ainsi sur l’émergence d’une troisième voie qui lui serait propre en matière de protection des données personnelles. Avec le RGPD, l’Europe a édité le standard mondial de référence en matière de protection des données. Cela est une très bonne chose. Nous appliquons les règles du RGPD aux personnes et à nos personnels dans le monde entier. Cela montre notre engagement. Cela montre également que le RGPD constitue une opportunité pour nous de gagner la confiance de nos clients, partenaires et utilisateurs.

Compte tenu de la jurisprudence européenne récente, comme l’arrêt Schrems II qui a mis fin au privacy shield, nous avons annoncé, il y a quinze jours, mettre en œuvre une frontière européenne des données. Cela permettra à nos clients européens, conformément aux annonces faites par le commissaire européen, M. Thierry Breton, de traiter et de stocker leurs données en Europe, mais aussi d’en assurer le support à partir des territoires européens – cela est tout à fait nouveau – et donc, si ces clients le souhaitent, d’empêcher tout transfert de données en dehors du territoire européen. Je précise que ce projet ne traite pas de la question de l’extraterritorialité du droit, et notamment du droit américain en Europe. À ce sujet en revanche, nous avons aujourd'hui franchi un nouveau cap sous la forme du partenariat proposé par Orange et Capgemini, qui consiste en la création d’un cloud de confiance qui permettra l’immunité aux lois extraterritoriales, d’où qu’elles proviennent.

M. Philippe Latombe, rapporteur. Vous avez expliqué la nouvelle architecture juridique présidant à la création de Bleu : la société sera opérée par Orange et un de ses partenaires, qui seront majoritaires au capital. Microsoft sera, lui, fournisseur de licence.

M. Jean-Renaud Roy. Oui, nous concluons un accord commercial pour lequel nous fournirons la licence d’utilisation des technologies Microsoft.

M. Philippe Latombe, rapporteur. Cela signifie que cette solution permet de s’affranchir juridiquement de l’extraterritorialité du droit américain, car vous êtes fournisseur de licence.

M. Jean-Renaud Roy. Absolument.

M. Philippe Latombe, rapporteur. A contrario, cela montre que le Health Data Hub – qui fait écho à l’ensemble des débats tenus sur l’extraterritorialité américaine dans le cas de l’utilisation de votre cloud Microsoft Azure et de l’ensemble des clouds américains – est bien soumis à l’extraterritorialité américaine.

M. Jean-Renaud Roy. Nous n’avons jamais dit que nous ne l’étions pas. Nous sommes tout à fait soumis à l’extraterritorialité américaine.

M. Philippe Latombe, rapporteur. Je pose la question car il a été affirmé à plusieurs reprises, et notamment par la directrice du Health Data Hub, que nous disposions des moyens juridiques pour sécuriser l’ensemble du processus. Elle a affirmé qu’en stockant les données en Europe, en les opérant avec des clés sécurisées et en obtenant des garanties juridiques supplémentaires, nous nous affranchissions de tout risque d’extraterritorialité du droit américain. Je préfère donc que l’on précise les choses, d’autant que nous avons eu à ce sujet des opinions très divergentes : IBM nous a expliqué que puisque IBM France était une société par actions simplifiée française, elle n’était pas soumise au Cloud Act et à toute l’extraterritorialité du droit. La seule solution juridique valide que vous ayez trouvée aujourd'hui pour répondre au Cloud Act et à l’invalidation du privacy shield est donc d’opérer sous forme de licence ?

M. Jean-Renaud Roy. Non. Quand Mme Stéphanie Combes explique que la mise en œuvre de l’hébergement du Health Data Hub par Microsoft est garantie et permet de se soustraire aux lois extraterritoriales et au Cloud Act, c’est aussi car le champ d’application de ces lois extraterritoriales ne correspond pas aux activités du Health Data Hub aujourd'hui. Tout simplement. Les raisons au titre desquelles un juge américain peut lancer un mandat sous Cloud Act ne coïncident pas avec les activités du Health Data Hub.

Il faut savoir de quoi l’on parle, et pourquoi nous avons conclu cet accord avec Orange et Capgemini. Il s’agit, par cet accord, de répondre aux besoins de clients ayant des besoins très spécifiques en matière de résilience, de sécurité, de gestion de données sensibles. Les objectifs de GAIA-X sont la gestion des données sensibles des Européens.

Tout un espace du cloud est, formellement, au titre du droit, éventuellement exposé à une juridiction américaine – mais il n’en fera pas l’objet, car cela ne sert à rien, au titre du Cloud Act, d’aller rechercher une donnée de santé anonymisée, dont on ne sait rien faire et qu’on ne peut pas déchiffrer. Oui, sur le principe, nous sommes exposés à l’extraterritorialité, mais, dans la pratique, cela ne peut arriver.

L’application des lois extraterritoriales américaines ne peut pas nous viser pour plusieurs raisons. Tout d’abord, certains éléments nous font dire que la décision Schrems II ne s’appliquera pas au Health Data Hub. Ce point est très important. Ensuite, chaque loi extraterritoriale dispose d’un champ d’application propre : celui-ci permet au juge américain de se saisir d’un mandat en poursuivant un objectif. Rien ne concerne aujourd'hui le Health Data Hub dans les champs d’application des trois types de mandats existant et ouvrant la possibilité à la justice américaine de saisir des données par un exercice extraterritorial de ses fonctions (Cloud Act, Foreign Intelligence Surveillance Act, Executive Order 12333). Cela est notre point de vue. De fait, Mme Stéphanie Combes a raison en affirmant que le Health Data Hub n’est pas concerné par le Cloud Act.

J’illustrerai mon propos par des exemples. Le Cloud Act nécessite que les données soient hébergées par Microsoft, qu’elles soient en notre possession, sous notre garde et notre contrôle. Les données du Health Data Hub ne sont pas en notre possession : elles sont sous notre garde, mais pas sous notre contrôle. De plus, elles sont chiffrées. En outre, pour être exposé au Cloud Act, il faut que le mandat spécifique concerne une personne visée par une enquête criminelle. Je ne vois pas comment un mandat – qui doit concerner une personne donnée, pour un crime donné – pourrait être édité au titre du Cloud Act afin d’accéder à des données anonymisées. Il faudrait, pour reconstituer ces données, disposer des bases de données originales et déchiffrées de la Caisse nationale de l’assurance maladie (CNAM) et du Health Data Hub. La reconstitution est donc très compliquée. Le Health Data Hub rassemble donc des données de santé qui n’entrent pas dans le champ d’une enquête criminelle du Cloud Act.

L’article 702 du Foreign Intelligence Surveillance Act (FISA) permet la surveillance ciblée d’une personne étrangère, à l’extérieur des États-Unis. Cela est important : cette définition a l’air très offensive et problématique en matière de souveraineté – je peux le comprendre. La cible du FISA est la surveillance d’un agent d’une puissance étrangère qui n’est pas un allié des États-Unis. La France est un allié des États-Unis et le Health Data Hub n’est pas un agent d’une puissance étrangère, tel que le définit le droit américain. L’article 702 du FISA cible le terrorisme (terrorisme international, activité clandestine de renseignement, prolifération d’armes). Le Health Data Hub ne sert à rien de tout cela. Il ne rentre donc pas dans le champ d’application de l’article 702 du FISA.

Le décret présidentiel Executive Order 12333 permet d’exiger la transmission de données en dehors des États-Unis et peut conférer à une autorité américaine le pouvoir de mener des activités de renseignement. Je comprends que cela puisse soulever beaucoup de questions. Il faut tout de même reconnaître la transparence des États-Unis dans l’exercice de ces activités de renseignement : ces dispositions sont prévues dans leur droit. Un fondement légal est nécessaire pour qu’une entreprise, dans notre cas Microsoft ou même le Health Data Hub, soit sommée de fournir des renseignements. Ce décret présidentiel vise à l’acquisition de renseignements importants pour la détection d’activités terroristes internationales, de prolifération d’armes de destruction massive et d’espionnage menées par des puissances étrangères de manière offensive contre les États-Unis. Franchement, les données contenues dans le Health Data Hub n’ont absolument rien à voir avec le champ d’application de ces trois lois extraterritoriales.

Enfin, nous pensons que la décision Schrems II ne s’applique pas au Health Data Hub. Le Conseil d’État a affirmé que la manière dont Microsoft a hébergé le Health Data Hub ne contrevenait absolument pas au RGPD même dans le cadre de la jurisprudence Schrems II. En fait, la décision Schrems II concerne le transfert de données d’une entreprise au sein de cette même entreprise, entre une filiale en Europe et une filiale aux États-Unis. Microsoft n’est que le pourvoyeur de la plateforme technologique d’hébergement du Health Data Hub. Le Health Data Hub a été construit par-dessus, comme une plateforme programmable totalement indépendante. Le Health Data Hub n’a pas d’entité juridique aux États-Unis, donc le Health Data Hub n’a pas à transférer de données vers les États-Unis. De fait, la décision Schrems II ne s’applique pas à notre cas et n’a pas de conséquence directe sur le fait que le Health Data Hub héberge ses données sur le cloud Microsoft en France.

M. Philippe Latombe, rapporteur. Je me permets une remarque un peu acide. Vous avez insisté sur le fait que chaque activité extraterritoriale américaine repose sur une base juridique. Rappelons-nous les écoutes massives opérées par la National Security Agency (NSA) et notamment la mise sur écoute de la chancelière allemande. L’Allemagne était pourtant une alliée des États-Unis. Cela génère des questions dans l’esprit de tout le monde. Ces questions ne sont peut-être pas réelles mais elles sont au moins légitimes.

M. Jean-Renaud Roy. Absolument.

M. Philippe Latombe, rapporteur. S’agissant de Schrems II, le Conseil d’État a également intégré à sa décision le fait que le gouvernement l’avait très rapidement informé que le Health Data Hub allait quitter le cloud Microsoft. C’est une des raisons pour lesquelles le Conseil d’État a rendu une décision dans ce sens-là. Le principe était bien la sortie du cloud Microsoft. Cela a été confirmé il y a quelques jours par le gouvernement – à l’inverse de ce qu’avait affirmé Mme Stéphanie Combes, en audition publique ici-même. Selon Mme Stéphanie Combes, le courrier fourni par le ministre de la santé au Conseil d’État et la prise de position de Cédric O devant les sénateurs n’allaient pas dans le sens de la sortie du cloud Microsoft – cela n’est pas vrai, et cela a été clarifié depuis.

Même si selon vous, Schrems II ne s’applique pas au Health Data Hub, un embarras persiste. Comment appliquer Schrems II pour respecter le droit européen et assurer la sécurité des données vis-à-vis du droit extraterritorial ? En quoi Bleu répond-il à cette question et les précédentes solutions n’y répondaient pas ?

M. Jean-Renaud Roy. Encore une fois, nous n’avons jamais affirmé ne pas être soumis aux lois extraterritoriales. Nous sommes une entreprise de droit américain, nous sommes soumis à la législation américaine. Je n’ai aucun problème avec cela et je suis totalement ouvert à ce sujet.

Nous mettons en œuvre des dispositions pour répondre aux exigences de la législation américaine et aux besoins de nos clients. Le Cloud Act a été émis suite à une contestation de la part de Microsoft d’une demande – qui ne nous semblait pas légitime – des autorités américaines d’accéder à des données situées dans un data center en Irlande. Nous sommes allées jusqu’à la Cour suprême pour cela. Nous savons donc aussi rejeter ce qui est illégal et défendre nos entreprises.

M. Philippe Latombe, rapporteur. Quand avez-vous commencé à travailler avec le Health Data Hub ? Votre collaboration n’a pas été scellée au terme d’un appel d’offres mais par un contrat. Avez-vous commencé à travailler avec le Health Data Hub préalablement à la signature de ce contrat, notamment pour la constitution de l’architecture de la plateforme ?

M. Jean-Renaud Roy. Non. Nous avons pris les premiers contacts avec le Health Data Hub au moment du rendu des travaux de la mission de préfiguration. Si ma mémoire est bonne, cela a eu lieu en octobre 2018.

Je sais d’où vient cette question. J’ai vu sur les réseaux sociaux que certaines personnes avaient consulté les registres de la Haute autorité pour la transparence de la vie publique (HATVP), où les personnes comme moi doivent répertorier leurs rencontres avec les représentants de l'État et des autorités publiques. Si l’on regarde bien le registre de la HATVP, il me semble que nous sommes la seule entreprise à avoir déclaré avoir rencontré le cabinet ministériel et le Health Data Hub après la mission de préfiguration. Je vous invite à le vérifier.

M. Philippe Latombe, rapporteur. Très bien. Il n’y a pas de critique de ma part à ce sujet. Je souhaitais simplement poser les faits.

Dans votre propos liminaire, vous avez affirmé que la souveraineté n’était pas l’apanage des sociétés privées – et a fortiori américaines – et qu’il appartenait plutôt à la puissance publique de la définir. La souveraineté est-elle un argument commercial en ce moment ? Votre site Internet propose un chapitre entier sur la souveraineté des données sur Azure et Azure Stack.

M. Jean-Renaud Roy. Nous définissons les offres souveraines en fonction des besoins exprimés par nos clients et du cadre réglementaire en vigueur, là où nous vendons le produit. L’Europe porte une attention toute particulière à sa souveraineté. Elle édicte des lois en matière de protection des données personnelles et de cybersécurité. Il est évident que la souveraineté fait partie des solutions qu’un acteur de notre taille est obligé d’appréhender, y compris d’un point de vue commercial, car nous répondons aux besoins de nos clients. Les besoins évoluent.

À l’époque, l’on ne parlait que du logiciel et l’on avait l’habitude de dire qu’il existait sept couches d’abstraction de souveraineté : le hardware, le language machine, le software, le système d’exploitation, le logiciel, etc. Il est normal que les pays qui ne maîtrisent pas l’ensemble de ces technologies portent une attention aigüe à la souveraineté. C’est le cas également des États-Unis, car le hardware et les puces électroniques sont construits en Asie.

Avec la crise sanitaire, les technologies cloud ont connu un très grand essor car elles ont permis la résilience des populations et de l’économie. Il est normal que l’attention aux questions de souveraineté porte aujourd'hui davantage sur ces technologies. Peut-être que demain, l’attention à la souveraineté portera sur l’informatique quantique.

M. Philippe Latombe, rapporteur. Le mot souveraineté, aujourd'hui utilisé dans beaucoup de sujets différents (souveraineté industrielle, souveraineté des médicaments, par exemple), n’est-il pas devenu essentiellement un argument marketing ? Y’a-t-il, de la part de vos clients, de vrais intérêts et besoins en matière de souveraineté, accompagnés de demandes précises à ce sujet ?

M. Jean-Renaud Roy. La création de Bleu est le résultat d’un dialogue avec nos clients, qui ont exprimé des besoins très spécifiques en matière de souveraineté, de sécurité et de résilience. Il existe un marché important pour le cloud souverain. Il ne s’agit pas seulement d’un argument marketing. Bleu met en place des solutions techniques. Certes, la labellisation en cloud de confiance répond à certains impératifs juridiques, mais nous menons surtout un important travail d’ingénierie. Nous créons quelque chose de complètement nouveau, qui demande beaucoup d’investissements. Nous ne le ferions pas, s’il s’agissait seulement de développer un argument marketing. Nous le faisons car notre offre répond à un besoin.

Vous avez récemment reçu en audition les représentants du Club informatique des grandes entreprises françaises (Cigref). Ils ont exprimé leurs besoins en matière de souveraineté. Leur souveraineté ne se définit pas comme l’exclusion des technologies non européennes ou non françaises, mais comme la possibilité d’utiliser des technologies extérieures (notamment américaines) en toute compatibilité avec la protection des données, le droit européen, les valeurs européennes. C’est ce que nous sommes en train de faire.

M. Philippe Latombe, rapporteur. Le gouvernement a récemment communiqué sur deux thèmes et je voudrais recueillir votre opinion à cet égard. Des communications ont été faites suite au rapport présenté par M. Éric Bothorel sur les logiciels libres. Quelle est votre opinion à ce sujet ? L’Éducation nationale dit promouvoir les logiciels libres, mais en même temps travaille notamment avec vous. Jusqu’où peut-on aller en matière de logiciel libre ? Comment analysez-vous la trajectoire du gouvernement sur ce sujet ?

L'État a mis en place une stratégie cloud pour les administrations centrales. Qu’en est-il des collectivités territoriales, par exemple pour les smart cities ? Certaines de vos solutions pourraient-elles répondre aux besoins définis par l'État dans sa stratégie cloud en la matière ?

M. Jean-Renaud Roy. Si le cloud de Microsoft répond aujourd'hui aux besoins de l'État, c’est parce que le cloud est une plateforme agnostique sur laquelle il est possible de faire ce que l’on veut (utiliser de l’open source, des logiciels propriétaires, ou développer ses propres logiciels).

Nous sommes capables, si l'État le souhaite, de répondre à l’ensemble des besoins énoncés dans sa stratégie cloud. Mais l'État peut aussi développer ses propres solutions à partir d’un cloud public comme le nôtre. Le cloud public est important : il permet des effets d’échelle très importants et une élasticité à la demande, notamment en matière de puissance. Les choix sont ouverts. La France offre, grâce à son écosystème, le plus grand nombre d’offres et d’approches du cloud.

La marketplace de Microsoft accueille également les éditeurs de logiciel de tierces parties, et notamment des éditeurs français. Cela permet de projeter cette offre dans le cloud et à l’étranger. Nous accueillons donc tout un écosystème à l’intérieur de la marketplace de notre cloud Azure.

M. Philippe Latombe, rapporteur. Et le logiciel libre ?

M. Jean-Renaud Roy. Microsoft est aujourd'hui le premier contributeur mondial dans le logiciel libre. À l’échelle mondiale, près de la moitié des machines virtuelles installées dans notre cloud sont open source. Comme vous le savez, nous avons racheté GitHub, entreprise de développement de logiciels open source. Nous avons également rejoint la fondation Linux.

Microsoft a souvent été vu comme le grand détracteur de l’open source et du logiciel libre. Les dirigeants de Microsoft ont récemment reconnu que cette position constituait une erreur stratégique. Aujourd'hui, Microsoft considère que ses clients choisiront le mode d’utilisation qui leur conviendra le mieux, open source ou non – c’est le mode de distribution qui fait la différence.

M. Philippe Latombe, rapporteur. Je dresserai un parallèle avec la barre de recherche Google sur les téléphones portables. Il a fallu légiférer pour exiger que la barre de recherche Google ne soit pas systématiquement imposée aux consommateurs dans les téléphones. S’agissant du hardware, un certain nombre de PC sont systématiquement proposés avec Microsoft. Cela est-il le fait de partenariats mondiaux ou cela est-il décidé par région ? Une réglementation similaire à celle visant la barre de recherches Google vous poserait-elle problème ? Ces demandes de dissocier le hardware de l’exploitation sont portées par un certain nombre d’associations de consommateurs et d’usagers du numérique.

Mme Corinne Caillaud. Vous l’avez vous-même souligné : dans nos systèmes, les consommateurs ont le choix. Nous avons la volonté de proposer un choix pour l’installation du système d’exploitation. Les choix proposés se nouent sur la base de partenariats de développement. Il est clair que nous proposons et proposerons de façon constante ces choix. Il est possible aujourd’hui d’installer tout un choix de moteurs de recherches. Il s’agit de la même dynamique que l’open source. Nous souhaitons proposer une plateforme et la palette la plus large possible de propositions de solutions, afin de satisfaire les exigences des clients finaux.

M. Jean-Renaud Roy. Il est tout à fait possible de télécharger les distributions Linux avec Windows 10 et de les faire tourner de manière native. Cela progresse, et nous sommes les seuls à le faire. À travers nos ordinateurs, nous sommes donc aujourd'hui l’un des premiers vecteurs de diffusion de l’open source dans le monde.

M. Philippe Latombe, rapporteur. Merci de le préciser. Il s’agissait d’une question et non d’une critique.

Je souhaiterais maintenant aborder le sujet de la formation. Comment Microsoft se positionne-t-il en ce qui concerne la formation au numérique ? Je pense à la fois aux formations internes et externes.

Mme Corinne Caillaud. La formation et le développement des compétences numériques sont un des piliers majeurs et essentiels de Microsoft en France. Nous avons créé en 2018 les écoles IA, avec l’objectif de former 1 000 apprenants d’ici 2022. Nous disposons de 25 écoles IA et 16 sont en cours. Deux écoles cloud sont également en construction.

Nous sommes parti d’un double constat : il existe un vrai besoin en Intelligence artificielle et nous nous heurtons à l’absence de profils dits intermédiaires, notamment de techniciens. Cette formation est gratuite pour les demandeurs d’emploi et permet de devenir développeur en Intelligence artificielle.

Simplon est l’opérateur de cette formation depuis sa création. La pédagogie de Simplon est très active et axée sur les projets. Nous souhaitions une formation relativement courte et très orientée sur la demande, sur le marché de l’emploi. C’est une formation intensive de sept mois, suivis d’un an en alternance en entreprise. Ce partenariat inclut également Pôle Emploi, les régions et les entreprises. De nombreuses entreprises partenaires participent en intégrant ces écoles dans un cursus professionnel.

En 2019, la première formation était à 80% féminine. En 2020, elle incluait les intelligences atypiques avec une dizaine de profils Asperger.

Ces formations sont professionnalisantes : elles peuvent obtenir un titre de finalité professionnelle « développeur en Intelligence artificielle » avec un équivalent à bac+3.

Nous lançons cette année le programme des écoles cloud : nous accueillons deux promotions pilotes, toujours en partenariat avec Simplon, avec l’objectif de les former aux compétences de développeur technique et d’administrateur cloud.

M. Philippe Latombe, rapporteur. Ressentez-vous un changement dans l’intérêt des jeunes pour ce type de formation ? La féminisation des formations fonctionne-t-elle ?

Mme Corinne Caillaud. Nous évoluons dans la bonne direction. Mais il y a un énorme travail à faire en amont. Une fois que ces jeunes femmes ont postulé et intégré ces formations, le taux de réussite, de participation et d’engouement est extrêmement élevé. Mais il faut aller chercher ces jeunes femmes.

Les profils de techniciens manquent de femmes. Notre objectif est de sensibiliser les jeunes. Nous nous sommes ainsi appuyés sur l’association Unis-Cités pour lancer la mission « jeunes citoyens du numérique », qui a sensibilisé 19 000 jeunes aux compétences et aux formations numériques depuis 2018. Cet enjeu est critique pour les emplois du futur.

M. Jean-Renaud Roy. Nous avons été tant surpris par le succès de l’école IA que nous n’arrivons pas à répondre à la demande. L’État devrait aider les opérateurs comme Simplon à étendre ces formations.

Des besoins ont surgi, notamment en matière de transformation numérique des entreprises. L’objectif est de former une population capable de manier la data, d’entraîner à la data, de faire de l’Intelligence artificielle. Cela ouvre les perspectives pour les entreprises qui ne savent pas comment amorcer leur transformation numérique : des personnes très bien formées pourront répondre à leurs besoins. L’enjeu est de « matcher » ces personnes avec les entreprises, les plus matures comme les moins matures.

M. Philippe Latombe, rapporteur. La formation délivrée par Simplon est-elle agnostique ?

M. Jean-Renaud Roy. Tout à fait.

M. Philippe Latombe, rapporteur. D’autres formations non agnostiques connaissent-elles, elles aussi, une forte demande ? Des certifications pour les informaticiens existaient par le passé.

M. Jean-Renaud Roy. Elles existent toujours.

M. Philippe Latombe, rapporteur. Ces formations continuent-elles à attirer du public, ou y’a-t-il eu un déport des apprenants de ces formations vers les nouvelles formations délivrées par Simplon ?

M. Jean-Renaud Roy. Les deux cohabitent, car elles ne s’adressent pas au même public.

Il faut bien connaître le secteur pour se renseigner sur les formations Microsoft : elles visent des personnes ayant une appétence sérieuse sur ces sujets, qui savent déjà coder et veulent passer une certification pour se professionnaliser. Elles couvrent de très hauts degrés de technicité. Ces certifications sont liées à des technologies (pas seulement les technologies Microsoft).

Les écoles IA s’adressent à des personnes en recherche d’emploi, en reconversion professionnelle, qui ont des compétences en mathématiques et une appétence pour le code, mais qui ne sont pas déjà formées à ces sujets. En revanche, les deux nouvelles écoles cloud recrutent à niveau bac.

M. Philippe Latombe, rapporteur. Souhaitez-vous aborder un sujet dont nous n’avons pas discuté jusqu’à présent ?

Mme Corinne Caillaud. À mes yeux, nous avons couvert l’essentiel des sujets que nous souhaitions vous présenter.

M. Philippe Latombe, rapporteur. Je vous poserai une dernière question. Quelle sera la place du numérique dans nos économies à moyen et long termes, et comment Microsoft se positionne-t-il ?

M. Jean-Renaud Roy. Le numérique n’est pas porté seulement par ceux qui le fabriquent et produisent des technologies. Nous allons par exemple développer une grande plateforme pour un constructeur automobile à partir du cloud de Microsoft. Ce constructeur utilisera cette plateforme pour rationaliser sa logistique, agencer ses relations avec ses fournisseurs, ses sous-traitants, ses concessionnaires. Il disposera donc d’une plateforme qui lui appartient et qu’il continuera de développer : il construira pour cela des compétences, notamment en matière de langages, de logiciels, de frameworks. Il continuera à proposer un service approfondi, agrémenté et mis à jour. Il va donc lui-même devenir une partie de l’offre du cloud : il deviendra un cloud provider.

Notre entreprise propose des moyens de production du numérique. À l’avenir, ces moyens de production du numérique pénétreront des industries qui ne sont pas numériques au départ, mais qui le deviendront, dans leurs modèles d’affaires et leurs manières d’opérer leur logistique, leurs circuits de vente, jusqu’à leur sécurité.

Audition, ouverte à la presse, de M. Arnaud Castaignet, directeur de la communication et des affaires publiques de Skeleton Technologies, ancien directeur des relations publiques du programme e-Residency du gouvernement estonien (1er juin 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. M. Arnaud Castaignet est directeur de la communication et des affaires publiques de Skeleton Technologies, et ancien directeur des relations publiques du programme e-Residency du gouvernement estonien.

La création de la société Skeleton Technologies, spécialisée dans la fabrication de supercondensateurs, remonte à 2009. Si la technologie que cette entreprise a mise au point permet de stocker de l’énergie plus efficacement qu’une batterie classique, il convient de noter que les supercondensateurs se chargent et se déchargent aussi plus rapidement. Principalement utilisés à ce jour dans les batteries de voitures électriques, et devenus une référence dans l’industrie automobile, ces supercondensateurs marquent l’une des avancées technologiques majeures de ces vingt dernières années. L’entreprise Skeleton Technologies a connu une croissance exponentielle. Son chiffre d’affaires a triplé en 2019. Elle a enregistré plus de 100 millions d’euros de commandes.

M. Philippe Latombe, rapporteur. Je souhaiterais aborder trois sujets à titre liminaire.

Le premier n’est autre que votre conception de la notion de souveraineté numérique, question rituelle de nos auditions, procédant de la grande diversité de définitions données à ce concept. Comment l’appréhendez-vous ? Comment peut-elle se traduire concrètement en termes de politique publique ?

J’aimerais également qu’en tant qu’ancien directeur des relations publiques du programme e-Residency, vous nous parliez des politiques numériques menées en Estonie. Quelles raisons attribuez-vous à l’avance estonienne dans le domaine du numérique ? Comment jugez-vous l’action de l’Union européenne dans ce secteur ? Les vingt-sept États membres défendent parfois des positions différentes en la matière. L’Union européenne vous semble-t-elle capable de jouer un rôle de levier de souveraineté numérique pour les États somme toute assez divers qui la composent ?

J’aimerais enfin vous interroger sur vos fonctions actuelles au sein de la société Skeleton Technologies. Si les supercondensateurs sont pour l’heure surtout utilisés dans l’industrie automobile, il ne subsiste aucun doute qu’ils joueront à l’avenir un rôle stratégique majeur, à l’instar des semi-conducteurs. L’Europe vous semble-t-elle en mesure de prendre le virage technologique des supercondensateurs ? Les autres grandes puissances mondiales, dont les États-Unis et la Chine, ont-elles déjà pris de l’avance dans ce domaine ?

M. Arnaud Castaignet, directeur de la communication et des affaires publiques de Skeleton Technologies, ancien directeur des relations publiques du programme e-Residency du gouvernement estonien. J’occupe, dans l’entreprise estonienne Skeleton Technologies, le poste de directeur de la communication et des affaires publiques. Auparavant, j’ai travaillé pour le gouvernement estonien en lien avec le programme e-Residency. Avant cela, j’ai été chargé de communication numérique à l’Élysée sous la présidence de M. François Hollande. J’ai donc évolué à la fois dans le secteur privé et dans le secteur public, en France comme en Estonie.

J’en ai tiré le constat qu’il n’existe pas, en matière de numérique, un seul modèle qui vaille. Chaque pays peut s’inspirer des autres, mais aussi s’avérer pour eux source d’inspiration. Ce que je dirai du modèle estonien du numérique n’implique pas que je l’estime supérieur au modèle français. De fait, il se heurte à des limites. La France comme l’Union européenne n’en gagneraient pas moins à s’en inspirer.

La question, fort intéressante, de la souveraineté numérique ne s’envisage pas de la même manière d’un pays à l’autre. La France reste sans doute le pays d’Europe à y avoir le plus réfléchi. Longtemps envisagée sous le seul angle du protectionnisme, cette question englobe désormais un champ beaucoup plus large. La meilleure définition, à mon sens, de la souveraineté numérique assimile cette notion à la capacité d’effectuer des choix en toute liberté. Je considère donc la souveraineté numérique synonyme d’autonomie stratégique, ce qui ne signifie pas qu’il faille à tout prix privilégier des solutions numériques françaises ou européennes. La coopération avec le reste du monde n’est pas à écarter a priori, à condition d’en décider librement et en toute connaissance de cause.

L’actualité de cette question s’explique par l’émergence de puissantes entreprises du numérique comme Google, Amazon, Facebook, Apple et Microsoft (les GAFAM). La notion de souveraineté numérique recoupe désormais de plus en plus celle de souveraineté industrielle, très liée à ces enjeux technologiques du futur, qui mêlent la science à l’innovation, tels que la 5G, la 6G (cinquième et sixième générations des standards pour la téléphonie mobile), l’ordinateur quantique ou les nouvelles solutions de stockage d’énergie. À très long terme, la question de la souveraineté numérique cédera toutefois la place aux débats sur l’autonomie stratégique, notion qui recoupe d’ailleurs celle d’indépendance industrielle.

Pourquoi l’Estonie constitue-t-elle un modèle intéressant en matière de numérique ? L’Américain Andrew Keen, dans son livre How to fix the future, identifie plusieurs modèles numériques étatiques différents de par le monde : le modèle chinois, le modèle russe, le modèle occidental, commun à la plupart des démocraties avancées, et enfin, le modèle estonien. Unique en son genre, ce modèle n’a été appliqué que dans un seul pays. Compte tenu des valeurs qui ont contribué à son émergence, il mériterait néanmoins de devenir plus influent à l’échelle européenne. Il repose en effet sur des principes apparentés à ceux de la France et de l’Europe, justifiant de s’y intéresser.

Le développement de la société numérique estonienne ne repose pas autant qu’on pourrait le penser sur des avancées technologiques. Le modèle numérique estonien mérite donc moins l’attention en raison de la technologie qui le soutient que du fait de la confiance sur laquelle il se fonde. Cette confiance, établie et à établir, entre l’administration et les citoyens, découle de la transparence, notamment de l’infrastructure, qu’il convient, il est vrai, d’attribuer à la technologie mise en œuvre. C’est cette transparence qui constitue la clé de compréhension du modèle numérique estonien.

Le développement continu du modèle numérique estonien a débuté voici une vingtaine d’années. Le lancement du premier programme numérique Tiigrihüpe ou Tiger Leap date de 1996. Ce programme avait pour objectif de raccorder toutes les écoles et les lycées du pays à Internet par l’achat d’ordinateurs et l’enseignement, aux élèves comme aux professeurs, du maniement des solutions numériques. À partir de là, chaque année, de nouveaux pans de l’administration se sont numérisés. L’Estonie a retrouvé son indépendance en 1991. Elle a dès lors dû construire ex nihilo toute son administration et n’a donc pas eu à numériser une structure déjà existante. Les services publics ont vu le jour sous une forme numérique au fur et à mesure de leur naissance, ce qui explique que le modèle de l’infrastructure numérique estonienne ne soit pas forcément transposable tel quel partout dans le monde.

En 2000 a été créé un dispositif de déclaration et de paiement d’impôts en ligne. En 2001 a été mise en place une infrastructure, baptisée X-Road, essentielle à l’accès et à l’interopérabilité des données. L’année 2002 a coïncidé avec l’apparition de la carte d’identité numérique, reposant sur une technologie relativement simple, puisqu’une puce y autorise l’accès à un portail unique groupant l’ensemble des services publics. La même année a été proposée la signature numérique puis, en 2005, le vote en ligne. En 2010, ce sont les ordonnances médicales qui sont devenues disponibles en ligne. L’énumération pourrait encore se poursuivre.

La volonté de développer des services publics numériques fait l’objet d’un large consensus politique en Estonie. Pour cette raison, les plans d’action établis sur dix ans ne varient pas selon l’alternance des partis au pouvoir. Comme dans n’importe quel pays, le lancement d’un service public sous sa forme numérique ne signifie pas que l’ensemble de la population y adhère tout de suite. Seuls 5 % des électeurs ont voté en ligne lors de la première élection où cela leur était possible en 2007. En 2019, la proportion des citoyens à exprimer leur suffrage sous forme numérique était toutefois passée à 47 %.

Certains Estoniens continuent à effectuer leurs démarches comme avant l’ère numérique. Rien ne les oblige à recourir aux nouvelles technologies. Seulement, les démarches en ligne leur apparaissent plus faciles et pratiques, ce qui compte énormément à leurs yeux. Le lancement du dispositif de vote électronique n’avait pas pour objectif que 100 % des citoyens y recourent. Il visait uniquement à proposer aux électeurs une solution la plus facile possible d’utilisation.

Le modèle numérique estonien repose pour une part essentielle sur la notion de redevabilité mutuelle. Il s’agit là d’un élément clé de la confiance réciproque entre l’administration et les citoyens. Chaque interaction d’un citoyen estonien avec un service public implique l’usage d’une identité numérique unique, ce qui facilite la traque des abus. En contrepartie, tout usager de l’administration peut savoir qui a eu accès à ses données personnelles et à quel moment. La transparence s’exerce dans les deux sens. Constitue-t-elle un prérequis à la confiance ou en est-elle le fruit ? La question apparaît sujette à débat. En tout cas, l’enjeu des données personnelles ne porte pas, en Estonie, sur leur protection, entendue comme l’interdiction de les communiquer d’une administration à une autre, mais sur leur intégrité, à savoir l’usage qui leur est réservé.

En résumé, le modèle numérique estonien s’inscrit moins dans l’histoire des évolutions technologiques qu’il ne résulte de la construction d’une confiance réciproque entre l’administration et les administrés. L’infrastructure numérique mise en place n’a servi qu’à consolider cette confiance.

Pourquoi l’Estonie a-t-elle développé un modèle numérique innovant ? Pourquoi l’État a-t-il favorisé l’épanouissement d’une culture numérique et d’innovation à l’échelle du pays entier ? Le gouvernement estonien souhaitait avant tout créer puis fertiliser un écosystème favorable à l’émergence d’entreprises innovantes. L’Estonie est surtout connue pour son administration numérique et ses start-up, dont certaines se classent aujourd’hui parmi les plus importantes entreprises du pays. Le logiciel Skype a été en partie développé par un Estonien. Nous pourrions citer d’autres exemples de réussite plus récents, tels que Bolt, une entreprise de transport avec chauffeur sur le modèle d’Uber, TransferWise ou encore TomTom MyDrive. L’écosystème des start-up estoniennes a souvent manifesté la volonté de rendre à l’Estonie ce que le pays lui avait apporté. D’anciens employés ont ainsi créé leur propre entreprise, trouvant des financements auprès de créateurs de sociétés ayant vendu la leur. L’écosystème estonien des start-up apparaît comme l’un des plus dynamiques d’Europe.

C’est d’ailleurs pour favoriser sa croissance que l’Estonie a lancé en 2014 le programme e-Residency. D’une grande simplicité, il offre une identité numérique estonienne à des ressortissants étrangers, à la fois dans une optique de soft power et, de manière plus pragmatique, pour favoriser la création d’entreprises en Estonie par des personnes qui, sans y vivre, ressentent le besoin et l’envie de bénéficier des services publics estoniens numérisés.

Les activités de Skeleton Technologies s’articulaient initialement autour du nanomatériau mis au point par ses créateurs, le graphène courbé (ou curved graphene). L’entreprise fabrique à partir de ce nanomatériau des supercondensateurs, parfois appelés ultracondensateurs. Ces dispositifs de stockage d’énergie s’apparentent assez aux batteries électriques, dont ils se distinguent toutefois par leur densité de puissance, souvent plus de soixante fois supérieure. Les supercondensateurs se heurtent toutefois à la limite de leur densité d’énergie, moindre que celle des batteries électriques. Les supercondensateurs sont donc souvent utilisés en complément de celles-ci, sans s’y substituer. Ils présentent l’avantage de ne pas comporter de lithium ni de cobalt ou autre métal rare toxique. Leur durée de vie dépasse en outre les quinze ans. Cette technologie, mise au point voici plusieurs décennies, n’a réussi à atteindre de performances notables que ces dernières années, notamment grâce aux avancées dans le champ des nanomatériaux.

La principale entreprise au monde à fabriquer des supercondensateurs se situe aux États-Unis et se nomme Maxwell Technologies. Tesla l’a rachetée voici un peu plus d’un an. Skeleton technologies, qui domine le marché européen des supercondensateurs, a donc pour principal concurrent Tesla. Au fur et à mesure des innovations qu’elle mettra au point, notre société produira des solutions aux propriétés de plus en plus proches de celles des batteries, notamment en lithium. Notre technologie est utilisée dans le secteur automobile et des transports au sens large (tramway, train ou bus) mais aussi dans le champ des énergies renouvelables, puisqu’elle offre une solution au problème posé par l’intermittence de ces énergies.

En termes de capital, notre entreprise se classe au deuxième rang, après Bolt, des sociétés ayant leur siège en Estonie. Nous avons en effet levé plus de 150 millions d’euros de fonds. L’intégralité de notre chaîne de production et de valeur se situe en Europe. Skeleton Technologies illustre le prochain défi qui se pose à l’Estonie : permettre, hors du domaine des logiciels, l’émergence de géants des nouvelles technologies à l’impact industriel suffisant pour créer des emplois à tous les niveaux de compétences. L’Estonie doit relever l’enjeu de créer des synergies entre ces sociétés en croissance et d’autres entreprises européennes plus traditionnelles.

La principale difficulté à laquelle se confronte l’Europe a trait à la réussite de son pari sur les technologies de demain, telles que les microprocesseurs, l’informatique quantique et l’Intelligence artificielle, mais surtout à sa capacité, par sa quête de souveraineté numérique et d’autonomie stratégique, d’initier des synergies entre les start-up et les secteurs qui constituent ses points forts, comme la santé, la mobilité, l’urbanisme et l’agriculture. De ces synergies émergeront les géants de l’innovation de demain, à même de soutenir la croissance de notre économie.

M. Philippe Latombe, rapporteur. Pourriez-vous préciser, à l’intention de nos auditeurs, en quoi consiste le programme e-Residency ? À quelle stratégie obéissait son lancement ?

M. Arnaud Castaignet Ce programme, unique au monde lorsqu’il a vu le jour, en 2014, propose à des non-résidents de disposer d’une identité numérique estonienne et de ses avantages. Il présente surtout l’intérêt, pour ceux qui y adhèrent, de pouvoir créer en quelques minutes une entreprise, dès lors gérable entièrement en ligne. L’État estonien y trouve comme intérêt de faire connaître l’Estonie et son modèle numérique auprès du plus grand nombre, tout en offrant des opportunités aux entreprises locales de services à d’autres sociétés.

Dans la pratique, tout entrepreneur, indépendamment de sa nationalité ou de son lieu de résidence, peut bénéficier des services numérisés de l’administration estonienne en devenant e-résident en Estonie. La société qu’il crée est européenne. Le programme a rencontré un certain succès, même s’il se heurte à des limites. On dénombre à ce jour plus de 70 000 e-résident estoniens, principalement originaires de pays n’appartenant pas à l’Union européenne comme l’Ukraine, la Turquie ou la Russie, mais aussi d’Allemagne ou de France. Dans ces derniers cas, ces e-résidents voyagent en général sans cesse, partout dans le monde, d’où la nécessité pour eux de pouvoir gérer leur société entièrement à distance.

Il convient de relativiser les avantages de nature fiscale que l’Estonie a retirés de ce programme. En réalité, les entrepreneurs e-résidents continuent de payer leurs impôts sur le revenu à leur pays de résidence fiscale. Quant à l’impôt sur les sociétés, il est acquitté sur le lieu de la création de valeur, c’est-à-dire, dans la plupart des cas, hors du territoire estonien. L’argument fiscal n’apparaît pas non plus comme le plus convaincant du point de vue des entrepreneurs. En revanche, diriger une entreprise européenne comporte des avantages de taille pour des non-Européens. Ce programme a permis à l’Estonie de soutenir l’émergence d’entreprises spécialisées dans les services aux e-résidents, tels que la comptabilité, la prospection de clients ou le secrétariat en ligne. Au final, c’est tout un écosystème d’entreprises qui a vu le jour grâce au programme e-Residency.

L’Estonie compte 1,3 million d’habitants. Les sociétés du pays peineraient à se développer uniquement dans les limites physiques du territoire, ce qui explique leur volonté de nouer des relations d’affaires avec des entreprises internationales.

Au fil du temps, le programme e-Residency a gagné en importance en tant qu’outil de soft power au service de la diplomatie estonienne. L’Estonie développe de plus en plus ses activités de conseil aux autres États désireux d’étendre et de consolider leur infrastructure numérique afin d’attirer les entrepreneurs internationaux.

M. Philippe Latombe, rapporteur. D’autres États ont-ils tenté de copier le modèle estonien ? Y sont-ils parvenus ? Certains pays y ont-ils apporté des modifications ou des innovations ? Les États qui se sont inspirés de l’Estonie partageaient-ils comme point commun leur petite taille ? Ont-ils dû, eux aussi, créer leur administration ex nihilo ? Existe-t-il un exemple d’administration préexistante qui aurait développé un programme similaire ?

M. Arnaud Castaignet. Pour l’instant, ce sont plutôt de petits États ou des États émergents qui ont copié le programme e-Residency, comme la Lituanie, cette année. L’Ukraine a annoncé son intention de l’imiter, ainsi que Dubaï. Pourquoi le programme estonien e-Residency reste-t-il indéniablement plus populaire que ces autres versions ? D’abord, parce qu’il n’aurait pas vu le jour sans l’existence préalable d’une administration entièrement numérique. L’autorisation, pour un entrepreneur étranger, de créer une entreprise en ligne ne présente pas d’intérêt sans la possibilité d’en assurer la gestion en ligne également.

Le lancement du programme e-Residency remonte toutefois à 2014 et la technologie qu’utilise l’administration estonienne date de 2002. Les pays qui lanceront des programmes semblables dans un avenir proche en profiteront sans doute pour corriger certains défauts. Ni la Lituanie ni l’Ukraine, me semble-t-il, ne prévoient de passer par une carte d’identité numérique. L’identité numérique ne requiert pas forcément de support physique, comme l’illustre celle développée par FranceConnect. Seule une ambassade estonienne est habilitée à délivrer la carte d’identité indispensable aux e-résidents, en recueillant pour ce faire leurs empreintes digitales, or l’Estonie ne compte qu’une trentaine d’ambassades à travers le monde, dont une seule en Afrique. Il apparaît donc difficile aux habitants de ce continent de souscrire au programme e-Residency. Les pays qui adapteront ce programme, sans pour autant en modifier les principes, privilégieront, à mon avis, le recours à une identité numérique dématérialisée.

M. Philippe Latombe, rapporteur. Comment jugez-vous le niveau de numérisation de l’administration française ? Comment évaluez-vous l’écart entre l’Estonie et la France ?

M. Arnaud Castaignet. Tout dépend de l’angle sous lequel on aborde la question. L’administration française se révèle beaucoup plus avancée que l’Estonie en matière de données ouvertes. L’Estonie ne considère pas ce sujet comme une priorité, à la différence de la France, comme l’a montré la gestion de la crise sanitaire dans notre pays. Les données publiques y sont présentées en toute transparence, de manière à ce que des experts en analyse de données puissent les réutiliser. Certains dispositifs français gagneraient à s’étendre à l’échelle européenne. Je serais ravi que l’Estonie s’en inspire.

Notre pays paraît moins avancé en ce qui concerne l’interopérabilité des données, pourtant essentielle en Estonie, où toute donnée transmise à une administration doit pouvoir être exploitée par une autre. La France accuse un retard dans ce domaine.

Les interactions avec l’administration, plus faciles en Estonie, passent par un seul et même portail « eesti.ee » permettant de se connecter à l’ensemble des services publics à l’aide de deux codes PIN et d’une carte d’identité numérique. Les citoyens estoniens utilisent ce portail aussi bien pour voter ou vendre leur voiture que pour consulter leurs prescriptions médicales en ligne. Par curiosité, j’ai entré dans mon navigateur l’adresse « france.fr ». Elle renvoie à une page qui propose la recette du clafoutis et répertorie les meilleures routes touristiques de notre pays.

L’habitude est vite prise de n’utiliser qu’un seul système d’authentification pour toutes les démarches, qu’elles relèvent du fisc ou de la santé, ce qui rend le recours à la version numérique des services publics estoniens particulièrement pratique. L’une des clés de la réussite de l’Estonie en matière d’administration numérique vient de la prise de conscience que la numérisation obligerait les agents à modifier leur façon de travailler. Sans verser dans les discours convenus préconisant une gestion du service public selon les mêmes principes qu’une entreprise privée, par l’imposition d’une culture du résultat, notamment, il faut bien comprendre que la dématérialisation des démarches peut aussi faciliter les échanges. En Estonie, quand je pose une question à un agent du service public, je reçois généralement une réponse sous deux ou trois jours. En France, la réactivité des agents n’est pas forcément perçue comme une priorité lorsqu’on envisage la dématérialisation des démarches. Il reste à former les fonctionnaires français pour qu’ils adaptent leur mode de travail au numérique de manière à favoriser les interactions avec le public. En réalité, le recours au numérique ne signifie pas forcément le recul de l’humain dans l’administration. Au contraire, la numérisation doit garantir une plus grande agilité dans les interactions entre les citoyens et leur administration.

M. Philippe Latombe, rapporteur. Vous avez parlé de redevabilité mutuelle. À vous entendre, le numérique permet à l’administration de vérifier certaines informations en les mutualisant. En contrepartie, chaque citoyen peut savoir qui accède à ses données et à quel moment. Ces deux aspects de la transparence du traitement des données vont-ils nécessairement de pair ? Une telle réciprocité vous semble-t-elle indispensable à une numérisation réussie ? Nous avons l’impression qu’il existe en France une mutualisation des informations entre les administrations sans pour autant que s’impose une culture de la transparence. L’ouverture des données dans notre pays ne concerne bien sûr que les données publiques et non personnelles, dont la protection reste un sujet de préoccupation essentiel.

M. Arnaud Castaignet. J’estime pour ma part nécessaire que la transparence s’applique dans les deux sens. Pourquoi construire une infrastructure numérique ? Pour accroître l’efficacité du service public, mais aussi pour développer la confiance des citoyens en leur administration. Les dirigeants politiques ne bénéficient pas d’une meilleure image en Estonie qu’en France ou dans d’autres pays d’Europe. Les gouvernements qui se succèdent en Estonie doivent eux aussi relever le défi de gagner la confiance des citoyens. En revanche, les institutions, elles, sont davantage perçues comme transparentes, ce que l’on doit selon moi à la notion de redevabilité mutuelle.

Il n’existe pas, en Estonie, de base de données centralisée. Chaque administration dispose de la sienne. Cependant, les données sont interopérables et n’importe quel service public peut accéder à celles que détiennent les autres. Nul ne dispose malgré tout d’une vision globale des données relatives à une personne en particulier. Si un citoyen estime illégitime une consultation de ses données, il dispose de voies de recours et peut même déposer une plainte. Cela s’est déjà produit à l’encontre d’agents publics ayant récupéré des données qui ne les concernaient pas.

Chaque citoyen estonien peut obtenir, en temps réel, via le portail de l’administration, une liste semblable à un relevé bancaire indiquant quel service public a consulté lesquelles de ses données à quel moment et pour quel motif. Un tel dispositif implique d’éduquer la population à l’enjeu des données personnelles et de leur protection, mais aussi de sensibiliser aux bénéfices que peut occasionner leur traitement, dans la mesure où celui-ci facilite aussi la vie.

Je ne pense pas que les Estoniens accorderaient autant de confiance à leur modèle numérique sans la possibilité de vérifier qui accède à leurs données. Il faudrait accorder la priorité en France également à cette exigence de transparence réciproque, condition sine qua non d’une plus grande confiance dans le traitement des données par l’administration.

M. Philippe Latombe, rapporteur. Cette redevabilité mutuelle a-t-elle fait l’objet d’un contrat dès le départ ou s’est-elle imposée par la suite ? Est-elle apparue comme une exigence dès la construction du système administratif dans sa version numérique ou parce que l’administration l’a estimée nécessaire pour rallier à ce dispositif les citoyens ?

M. Arnaud Castaignet. La transparence a été considérée comme une priorité politique dès que la stratégie numérique du gouvernement estonien a pris forme. Sa mise en pratique a coïncidé avec la création de l’infrastructure X-Road, permettant l’accès aux données. Cette transparence apparaît comme le fruit d’une volonté politique indépendante de toute technique, liée à l’histoire de l’Estonie, qui n’a recouvré son indépendance par rapport à l’Union des républiques socialistes soviétiques (URSS) qu’en 1991. Très vite, les dirigeants estoniens ont compris que la population exigerait de la transparence de la part des institutions nouvellement créées, mais aussi que les citoyens tiendraient à rester maîtres de leurs données, à l’abri de tout espionnage.

M. Philippe Latombe, rapporteur. L’arrêt Quadrature du net de la Cour de justice de l’Union européenne a fait grand-bruit en France. Il portait sur la conservation des métadonnées des fournisseurs d’accès à Internet. L’arrêt Prokuratuur, de même nature mais concernant l’Estonie, a-t-il rencontré un écho, peut-être pas auprès du grand public mais au moins de la frange de la population qui s’intéresse au numérique et à la transparence de l’accès aux données ?

M. Arnaud Castaignet. Je dirais que non, encore que des experts seraient sans doute mieux armés que moi pour répondre à votre question. Il me semble que cet arrêt n’a pas suscité un fort retentissement en Estonie, et n’a pas remis en cause le modèle numérique estonien.

M. Philippe Latombe, rapporteur. En France, des associations se mobilisent pour la protection des données personnelles, assumant un rôle de vigie, voire de lanceur d’alerte. En est-il de même en Estonie ou le contrat de confiance établi entre l’administration et les citoyens en a-t-il supprimé le besoin ?

M. Arnaud Castaignet. Il existe en Estonie des associations de défense des libertés publiques. L’utilisation des données donne lieu à des débats permanents. Des commissions rassemblent des représentants du gouvernement et de l’administration, des citoyens et des entreprises, afin de veiller au respect de l’intégrité des données, perçue comme prioritaire.

La protection des données n’est pas envisagée de la même façon en Estonie qu’en France. En Estonie, cette protection n’implique pas d’interdire l’accès aux données personnelles, mais la possibilité de savoir qui souhaite les consulter, pour quelle raison et, à partir de là, de l’y autoriser ou non. L’infrastructure numérique estonienne offre la possibilité aux citoyens de crypter certaines de leurs données. Une femme ayant subi un avortement peut ainsi choisir de ne communiquer cette information qu’à son seul médecin traitant. La plupart des usagers des services publics numériques ne recourent toutefois pas au cryptage. Ils estiment en tout cas plus pratique d’effectuer leurs démarches en ligne.

Des documents imprimés revêtus d’une signature manuscrite possèdent la même valeur juridique que ceux validés par une signature numérique. Le choix est laissé en permanence aux usagers. Chacun reste maître de ses données et de l’utilisation qui leur est réservée.

M. Philippe Latombe, rapporteur. Après le lancement de l’identité numérique et de la numérisation complète de l’administration, l’Estonie s’est-elle tournée vers des technologies de type blockchain pour renforcer la transparence du système mis en place ?

Comment l’administration estonienne s’assure-t-elle de rester à la pointe en matière de services publics numériques ? Comment continue-t-elle à innover ? S’appuie-t-elle sur des ressources et des programmes de formation internes ? Se tourne-t-elle vers le secteur privé et, si oui, comment s’organise la passation de marchés publics ?

Comment l’Estonie prépare-t-elle l’avenir, à présent que la numérisation des services étatiques s’est achevée et que le programme e-Residency a été copié à l’étranger ? Vous avez mentionné le souhait des autorités estoniennes de voir émerger des géants des nouvelles technologies. Qui, en Estonie, décide des domaines où il conviendra d’investir ? Comment ces secteurs d’avenir reçoivent-ils une impulsion ?

M. Arnaud Castaignet. L’administration estonienne utilise la blockchain pour doter d’un niveau de sécurité supplémentaire l’intégrité des données des citoyens. Elle a pris cette décision à la suite de cyberattaques par déni de service qui, en 2007, ont empêché l’accès à plusieurs sites internet. Aucune donnée personnelle n’a cependant été récupérée par des tiers. L’État n’en a pas moins réfléchi à un moyen de renforcer la sécurité de ses services numériques, ce qui l’a incité à se tourner notamment vers la Keyless Signature Infrastructure (KSI) blockchain pour protéger ses données critiques. Cette technologie a été développée grâce à un partenariat avec le secteur privé.

La quasi-totalité des infrastructures numériques estoniennes résulte d’un partenariat du secteur public avec des entreprises privées estoniennes. La commande publique a d’ailleurs favorisé le développement de nouvelles compétences dans le pays. Le secteur des nouvelles technologies se compte aujourd’hui parmi ceux qui emploient le plus de salariés en Estonie. Il représente 6 % du Produit intérieur brut (PIB).

En Estonie, la blockchain n’est que peu utilisée pour le développement de cryptomonnaies. Le lancement d’une cryptomonnaie d’État, l’Escoin, a été évoqué dans le programme e-Residency, mais aucune suite n’y a été donnée.

Le développement du modèle numérique estonien a véritablement commencé en ce qui concerne l’éducation, par le raccordement des écoles à Internet et la formation des enseignants à l’utilisation des technologies numériques, ce qui a favorisé une meilleure compréhension des enjeux du numérique et l’émergence d’une culture de l’innovation et de l’entrepreneuriat, dès le plus jeune âge. Il existe beaucoup de junior-entreprises dans les lycées, voire les collèges. Comme ces initiatives ont débuté voici plus de vingt ans, les premiers étudiants formés au numérique sont aujourd’hui adultes. Ainsi, une grande part de la population estonienne est davantage formée que dans d’autres pays aux outils numériques. Lors du lancement de l’identité numérique, l’État estonien a décidé de former à son utilisation 15 000 personnes, qui ont chacune formé à leur tour dix de leurs concitoyens. L’idée de former les Estoniens tout au long de leur vie joue de ce point de vue un rôle clé.

M. Philippe Latombe, rapporteur. Cela signifie-t-il qu’il n’existe pas en Estonie de fracture numérique telle qu’on la constate en France ?

M. Arnaud Castaignet. Pas plus que tout autre pays, l’Estonie n’échappe à une fracture numérique, surtout notable dans les zones rurales et en restructuration industrielle, dans l’est du pays. Peut-être y est-elle moins marquée qu’en France. Je ne voudrais malgré tout pas nier les problèmes de l’Estonie. La fracture numérique y est en passe de se résorber, mais pas avant au moins une génération encore. Les limites du numérique se révèlent, par exemple, au travers de la campagne de vaccination contre le Covid. Un seul et unique portail public numérique permet de s’enregistrer en vue d’obtenir un vaccin, mais une partie de la population, encore peu habituée à utiliser Internet, peine à s’y inscrire. Il en résulte des disparités entre les taux de vaccination d’une région à l’autre.

L’Estonie a peut-être mieux compris que la France l’utilité d’une formation tout au long de la vie. Beaucoup de facilités sont offertes aux agents du service public pour se former, à l’université ou en ligne, en parallèle à l’exercice de leurs fonctions. Des programmes étatiques favorisent l’émergence de start-up d’État. Il me semble qu’il existe des programmes semblables en France, mais l’Estonie témoigne d’une plus grande volonté d’acclimater une culture de l’innovation au sein de l’administration. Ces start-up d’État contribuent à la conception des services publics de demain, en réfléchissant notamment aux usages possibles de l’Intelligence artificielle. L’Estonie s’est ainsi très tôt penchée sur la question du statut juridique des robots.

Beaucoup de spécialistes estiment que l’infrastructure numérique de l’Estonie, peut-être un peu délaissée par le passé, gagnerait à être modernisée, entre autres pour qu’elle résiste mieux à un très grand nombre de connexions simultanées.

M. Philippe Latombe, rapporteur. Comment le gouvernement estonien désigne-t-il les secteurs d’avenir dans lesquels il investira ? La création de votre entreprise, de haute technologie industrielle, résulte-t-elle d’une volonté de l’État ? Celui-ci a-t-il donné une impulsion à votre secteur d’activité par la mise en place d’une politique publique ?

M. Arnaud Castaignet. Le gouvernement estonien n’a pas impulsé le développement des technologies que produit mon entreprise. L’État ne considère ce secteur comme une priorité que depuis peu, peut-être grâce à la réussite de Skeleton Technologies, justement. L’Estonie s’est d’abord focalisée sur les logiciels ou la programmation informatique, et n’a que récemment découvert, ou redécouvert, les vertus d’une politique industrielle.

Qui prend les décisions relatives au numérique en Estonie ? Il y existe, comme en France, un ministère des nouvelles technologies, qui s’occupe aussi de l’entrepreneuriat. Cependant, à la tête de l’administration en charge de la mise en œuvre et du développement de l’infrastructure numérique est placé un fonctionnaire, dont l’alternance politique ne remet pas en cause la nomination, pour une durée de dix ans. L’Estonie a été dirigée pendant un an et demi par une coalition du centre, de la droite et de l’extrême droite, ayant succédé à une coalition du centre, de la droite et de la gauche. Pendant tout ce temps, le même administrateur est resté en poste. Les stratégies, planifiées par l’administration sur cinq ou dix ans, font l’objet d’un débat à l’Assemblée nationale, mais elles trouveraient une traduction concrète même en l’absence de personnalité politique pour les soutenir. Elles passent en effet pour échapper aux enjeux des luttes entre partis et suscitent un consensus.

M. Philippe Latombe, rapporteur. Il est beaucoup question en France de notre plan de relance et de sa version européenne. Comment un tel plan se décline-t-il en Estonie, dès lors que l’État n’intervient pas pour imposer des directions à l’industrie ? L’État français dispose d’un pouvoir d’injonction tel que le plan de relance se contente de soutenir, au niveau financier, l’application de sa volonté. Qu’en est-il en Estonie, qui a bénéficié de fonds européens, au même titre que les autres pays de l’Union européenne ? Les entreprises estoniennes s’adressent-elles spontanément au guichet de l’État ? Celui-ci répond-il favorablement à toutes les sollicitations selon les mêmes critères ou privilégie-t-il certaines filières ? L’innovation vient-elle uniquement d’entreprises privées ? L’État estonien la soutient-il par des dispositifs comparables au crédit d’impôt recherche (CIR) français ? L’Estonie assure-t-elle des avantages fiscaux aux sociétés innovantes ? Si jamais un acteur étranger tentait de prendre le contrôle de Skeleton Technologies, le gouvernement estonien tenterait-il de protéger votre entreprise ?

M. Arnaud Castaignet. L’État estonien n’est pas intervenu dans la création de Skeleton Technologies en 2009. Toutefois, du fait du plan de relance et du pacte vert (ou green deal) européens, les cleantech et les technologies visant à réduire l’empreinte carbone figurent désormais parmi les priorités stratégiques de l’Estonie. La politique industrielle revient partout à la mode, au point qu’elle est maintenant perçue comme une nécessité. Les débats autour de la question en Europe et même en France l’attestent. Ce n’était pas le cas voici dix ans. Le gouvernement estonien base sa relance économique sur le respect de l’environnement et la décarbonation. Une entreprise comme Skeleton Technologies passe donc aujourd’hui pour plus importante, sur le plan stratégique, que par le passé. Comme en France, les priorités politiques en Estonie vont à présent au numérique et au verdissement de l’économie.

Il existe en Estonie des aides pour les start-up. Des institutions telles que KredEx ou Enterprise Estonia assurent un soutien financier aux start-up dans la toute première phase de leur développement. Un tel système apparaît particulièrement pertinent pour les entreprises de hardware. La deep tech, terme en vogue, désigne des technologies de rupture alliant la science et la recherche au monde des affaires. C’est sur ce champ que se livreront les futures batailles économiques et industrielles à l’échelle mondiale. Son développement nécessite un soutien public important, car beaucoup de temps s’écoule en général entre la création d’une société et l’apparition sur le marché de la technologie qu’elle souhaite mettre au point. Il a fallu près de cinq ans à Skeleton Technologies avant de proposer à la vente ses produits. Nous générons désormais un chiffre d’affaires, ce qui n’est pas le cas de beaucoup d’entreprises spécialisées dans le stockage d’énergie.

Dans le même ordre d’idées, nous pourrions mentionner BioNTech, qui produit des vaccins à ARN messager. Cette société a eu besoin d’un soutien financier, principalement public, à ses débuts. Les investisseurs privés ne désirent pas forcément subventionner des technologies sans la certitude d’en tirer un profit à court terme, ce qui explique la nécessité d’un investissement européen direct dans l’économie, suivi d’un achat des innovations. Il faudrait transposer au niveau européen ce qui a été mis en place aux États-Unis avec un outil tel que HyperPASS.

En Estonie, les sommes réinvesties dans une start-up sont exemptées de l’impôt sur les sociétés. Cette mesure favorise l’investissement. L’Estonie est toutefois loin de s’apparenter à un paradis fiscal. Les entreprises créées en Estonie n’y conservent pas forcément leur siège. Bolt et notre société ont gardé le leur en Estonie, bien que notre usine soit implantée en Allemagne, mais il n’en va pas de même de TransferWise. Recruter des talents dans un aussi petit pays n’est pas aisé. Ce problème de personnel qualifié se pose d’ailleurs partout, y compris en France.

Le gouvernement estonien n’entrerait pas dans une logique défensive, au cas où un acteur étranger tenterait de s’approprier Skeleton Technologies, pour la simple raison que l’État n’y a pas investi, contrairement à l’Institut européen d'innovation et de technologie (European institute of technology ou EIT). Nous avons également bénéficié du soutien de la Banque européenne d’investissement. Au fur et à mesure de nos levées de fonds, nous avons toutefois plutôt fait appel à des investisseurs privés. L’Estonie est un trop petit pays pour que son gouvernement intervienne vis-à-vis d'un acteur étranger qui adopterait un comportement prédateur à l'égard de notre entreprise. Malheureusement, l’Estonie ne dispose pas de l’équivalent de Bpifrance, perçue là-bas comme un modèle à suivre pour le développement de nouvelles industries, et que la France gagnerait à promouvoir davantage. Il faudrait, au niveau de l’Union européenne, un équivalent de Bpifrance, plus important encore que le Conseil européen de l’innovation, capable d’investir dans des start-up en phase initiale de développement en vue d’acquérir, à terme, les fruits de l’innovation. Rien ne favoriserait mieux le développement de technologies de rupture comme l’ordinateur quantique ou la 6G qu’une telle sorte de fonds souverain. Il faudra que l’Europe se dote davantage d’outils pour piloter sa stratégie industrielle, ce qui suppose un état d’esprit favorable à la prise de risque, hélas difficile à cultiver lors de la création d’une agence européenne.

M. Philippe Latombe, rapporteur. Voyez-vous aujourd’hui des politiques publiques numériques, en Estonie ou ailleurs, qui mériteraient notre attention, en vue de leur éventuelle transposition en France ?

M. Arnaud Castaignet. Il me semblerait intéressant de se pencher sur l’exemple du Danemark. Ce pays est arrivé à peu près au même point que l’Estonie en matière de dématérialisation de l’administration or, contrairement à l’Estonie, il lui a fallu numériser des services publics déjà existants. L’Ukraine a lancé un système favorisant la transparence des commandes publiques, qui répond certes à des besoins spécifiques à l’Ukraine, mais figure parmi les plus innovants au monde. Il a d’ailleurs été récompensé lors du sommet « Partenariat pour un gouvernement ouvert » organisé en France en 2016. J’estimerais pertinent d’échanger avec les Ukrainiens au sujet de la transparence des commandes publiques en vue de transposer leurs innovations.

M. Philippe Latombe, rapporteur. Aurions-nous oublié d’aborder un sujet qui vous tiendrait à cœur ? Voudriez-vous revenir sur un point méritant selon vous d’être mis en lumière ?

M. Arnaud Castaignet. Il me semble qu’en matière de souveraineté numérique, nous gagnerions à nous interroger sur les moyens de soutenir la croissance de nos entreprises européennes pour qu’elles se hissent au rang de géants des nouvelles technologies. Elles n’y parviendront qu’au prix d’une transformation de leur modèle d’affaires. Amazon a d’abord été une librairie en ligne avant de devenir un puissant acteur de l’industrie du cloud. Chaque grande société du numérique est amenée à effectuer une transition vers l’industrie. Il me semble donc impératif que les futurs géants européens du numérique se dotent d’une dimension industrielle.

La France et l’Europe devraient, en s’appuyant sur leurs atouts, définir des secteurs prioritaires d’où émergeraient les futurs géants de demain. J’ai mentionné tout à l’heure la santé, la ville, l’agriculture ou encore la mobilité, autant de domaines où se livreront de féroces batailles. Un débat public doit préluder à l’établissement de ces priorités avant qu’une réflexion porte sur les moyens d’investir, via des fonds publics souverains, dans ces secteurs porteurs d’avenir. Il conviendrait aussi de favoriser la coordination entre les universités et le secteur privé. Les pôles européens, et en particulier français, de recherche fondamentale se classent parmi les meilleurs au monde, mais il reste à transformer leurs avancées par des start-up. La croissance d’entreprises innovantes en France pourrait passer par la création d’un marché numérique européen unique, ce qui pose la question d’une langue commune. La diversité linguistique au sein de l’Union européenne n’y favorise pas l’émergence de sociétés d’envergure européenne. À défaut, les entreprises françaises auraient tout intérêt à se tourner vers la francophonie et en particulier les pays d’Afrique pour s’imposer sur les marchés de ce continent. Des stratégies de coopération devraient dans ce cas se mettre en place.

Enfin, il me paraît souhaitable que se développe une identité numérique à l’échelle européenne, fondée sur les valeurs de transparence et de redevabilité mutuelle propres à l’Estonie. La France pourrait y contribuer par son attachement à l’ouverture des données, dans un esprit d’échange de bonnes pratiques.

Audition, ouverte à la presse, de M. Stéfane Fermigier, co-président du conseil national du logiciel libre (CNLL) (1er juin 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. En guise d’introduction, je présenterai succinctement le conseil national du logiciel libre (CNLL). Fondé en 2010, il regroupe les principales associations et grappes d’entreprises de la filière open source et représente, par leur intermédiaire, près de 300 sociétés spécialisées dans le logiciel libre et le numérique ouvert : intégrateurs, éditeurs ou encore sociétés de conseil. Le CNLL s’est donné pour mission de représenter et de défendre auprès des pouvoirs publics la filière professionnelle du logiciel libre et du numérique ouvert en France, mais aussi de promouvoir son offre de logiciels et de services, ses atouts spécifiques et ses besoins, notamment en termes d’emploi et de formation.

Je souhaiterais, à titre de préambule, vous poser trois questions.

D’abord, j’aimerais savoir ce que recouvre pour vous la notion de souveraineté numérique, objet d’une attention croissante des pouvoirs publics depuis la crise sanitaire. Lors de nos précédentes auditions, nous avons recueilli de multiples définitions de cette notion très vaste, que certains rapprochent d’une forme d’autonomie stratégique ou décisionnelle. Je voudrais comprendre, d’une part, comment vous entendez cet impératif et, d’autre part, de quelle façon le logiciel libre peut y contribuer.

Mon second point portera sur la filière du logiciel libre en tant que telle. Vous nous avez transmis un ensemble de documents très complets sur ses principales caractéristiques et tendances d’évolution. J’attends de vous que vous nous dressiez un état des lieux de cette filière en mentionnant ses forces et ses faiblesses et, surtout, vos attentes vis-à-vis des pouvoirs publics. Nous avons conscience que le logiciel libre fonctionne comme un levier de souveraineté dans une approche de « promotion des communs numériques », pour reprendre l’expression de M. Henri Verdier devant notre mission. Comment pouvons-nous, parlementaires et pouvoirs publics, participer à son développement dans nos travaux ?

Enfin, je souhaiterais, pour conclure mon propos liminaire, évoquer avec vous l’échelon européen. Je sais que vous siégez à l’association professionnelle européenne du logiciel libre (APELL). Pourriez-vous nous parler de son actualité, puis du rôle de l’Europe en matière de souveraineté numérique et de logiciel libre ? En un mot, les différentes initiatives mises en œuvre vous semblent-elles suffisamment ambitieuses ? Que peut-on en attendre au cours des mois et des années à venir ?

M. Stéfane Fermigier, co-président du conseil national du logiciel libre (CNLL). La constitution du CNLL résulte en effet de la volonté de représenter et de défendre la filière du logiciel libre, présente en France depuis 1998, voire 1996. Nous menons régulièrement des études et nous efforçons, autant que possible, d’intervenir dans le débat public, aussi bien face aux parlementaires que vis-à-vis du pouvoir exécutif.

Je m’exprimerai ici à la fois en tant que spécialiste du logiciel libre et que créateur de sociétés. J’investis aussi, depuis plus de vingt ans, dans des entreprises de la filière. Par souci de clarté, je précise que j’utilise indifféremment les termes open source et « logiciel libre ». Le cadre de notre échange ne me semble pas justifier d’entrer à ce propos dans des querelles sémantiques.

La dernière étude commandée par le CNLL a justement été publiée ce matin. Assez complète, elle se focalise sur la filière du logiciel libre, ses attentes et son positionnement par rapport, entre autres à la souveraineté numérique. D’autres de nos études portent sur la taille des marchés français et européen, ainsi que leur évolution depuis une vingtaine d’années. Nous disposons ainsi de toutes les informations que vous pourriez souhaiter sur notre filière.

Notre confédération réunit 300 sociétés. En y ajoutant celles qui ne sont pas affiliées à des grappes d’entreprises, nous dénombrons en France 500 petites et moyennes entreprises (PME) spécialisées dans le logiciel libre. Elles emploient 50 000 à 60 000 personnes. Des études que nous avons commandées estiment le marché français à 5 milliards d’euros. Plus la filière prend de l’ampleur, plus sa croissance ralentit. Malgré tout, elle connaît globalement une croissance annuelle de 8 % à 10 %. Les logiciels libres sont souvent associés à des modèles de services. Cependant, le modèle d’éditeur progresse. Actuellement, le cloud joue le rôle d’un rouleau compresseur dans l’informatique, or le logiciel libre y est également présent. Les acteurs du logiciel libre proposent en effet des offres cloud.

La position prééminente de la France en matière d’open source est reconnue depuis plus de dix ans, encore que notre pays se situe à peu près à égalité avec l’Allemagne au niveau européen, ce dont il y a tout lieu de se féliciter. Nous avons fondé, avec une association équivalente à la nôtre en Allemagne, une sorte de consortium européen.

Comment la France en est-elle venue à occuper ce rang favorable à notre filière, bien que certaines de nos attentes demeurent insatisfaites au regard de la politique actuellement menée dans ce secteur ? Les pouvoirs publics ont commencé à s’intéresser au logiciel libre voici un peu plus de vingt ans. Plusieurs missions et agences gouvernementales se sont emparées du sujet, dès le début de l’administration électronique, soit en 1998. Citons la mission de soutien technique pour le développement des technologies de l'information et de la communication au sein de l'administration (MTIC), l’agence pour le développement de l’administration électronique (ADAE), auparavant connue sous le nom d’agence pour les technologies de l'information et de la communication dans l’administration (ATICA) et devenue depuis une dizaine d’années Etalab.

Je tiens à saluer le travail des parlementaires en matière de logiciel libre. De nombreux élus à la représentation nationale l’ont soutenu en interpellant l’exécutif à ce propos. Certains ont même déposé des propositions de loi, comme le sénateur Pierre Laffitte à la fin des années 1990, en vue d’accorder la priorité absolue aux logiciels libres via l’obligation pour l’administration de ne plus recourir qu’à des solutions open source à l’issue d’une période transitoire de deux ans. Bien que cette proposition prête à sourire lorsqu’on la relit aujourd’hui, et même si son application restait à préciser, ses motivations n’ont rien perdu de leur pertinence, au vu du débat actuel sur la souveraineté numérique.

Signalons aussi les interventions de l’exécutif, telle la circulaire de 2012 du Premier ministre, M. Jean-Marc Ayrault, qui a donné un coup d’accélération à la filière du logiciel libre. Sorte de guide de bonnes pratiques, elle préconisait de recourir aux logiciels libres en raison de leur moindre coût et de leur plus grande souplesse d’utilisation, ou à défaut, de s’en servir comme d’un levier de négociation avec les éditeurs de logiciels propriétaires. La loi Lemaire votée en 2016 (loi pour une République numérique du 7 octobre 2016) demandait aux administrations d’encourager l’utilisation des logiciels libres pour préserver leur indépendance. Selon moi, cette dernière notion s’apparente assez au concept de souveraineté, qui ne s’est imposé que progressivement. Mentionnons enfin la circulaire du Premier ministre, M. Jean Castex, bien que la date récente de sa publication ne permette pas encore d’en évaluer les effets.

Le logiciel libre présente un avantage économique indéniable. Des centaines de chercheurs parmi les plus prestigieux l’ont mis en évidence dans leurs travaux. Le prix Nobel d’économie, M. Jean Tirole, s’est lui-même penché sur les communs numériques. Une étude de la Commission européenne restant à publier indique que les investissements dans le logiciel libre sont d’un excellent rapport pour la société considérée dans son ensemble. Chaque euro investi dans la filière du logiciel libre engendre un retour sur investissement au moins quatre fois supérieur.

Je ne me considère pas comme un spécialiste de la souveraineté numérique, dont je n’ai d’ailleurs pas conçu de définition personnelle. Je reprendrai donc à mon compte celle du secrétariat général de la défense et de la sécurité nationale (SGDSN) publiée dans la Revue stratégique de cyberdéfense de 2018. Le SGDSN assimile la souveraineté numérique à l’autonomie stratégique, notion applicable aussi bien à l’échelle d’un État ou de l’Union européenne que d’une grande entreprise ou même de l’ensemble de la société. Le SGDSN précise bien qu’il ne s’agit pas de « chercher à tout faire en interne », c’est-à-dire qu’il ne faut pas verser dans la caricature en visant une autonomie totale. De même, nous ne préconisons pas le recours exclusif à du logiciel libre, d’autant qu’il favorise les collaborations, y compris internationales. Le SGDSN ajoute qu’une telle autonomie ne peut s’acquérir et se conserver qu’à condition de disposer d’une filière performante européenne. Le développement économique contribue donc en grande part à la préservation de la souveraineté. Ni la loi ni des contrats n’y suffisent.

Le SGDSN estime qu’« une stratégie industrielle basée sur l’open source, sous réserve qu’elle s'inscrive dans une démarche commerciale réfléchie », c’est-à-dire sans recourir au logiciel libre uniquement par principe, « peut permettre aux industriels français ou européens de gagner des parts de marché et par là même de permettre à la France et à l’Union européenne de reconquérir de la souveraineté ». Nous adhérons entièrement à ces propos.

Nous pourrions citer, dans le même ordre d’idées, la publication de la Commission européenne sur le logiciel libre d’octobre 2020. Elle établit le lien entre souveraineté numérique et logiciel libre. « Le modèle du code source ouvert a une incidence sur l’autonomie numérique de l’Europe. Il donnera probablement à l’Europe une chance de créer et de maintenir sa propre approche numérique indépendante par rapport aux géants du numérique dans le cloud et lui permettra de garder le contrôle de ses processus, de ses informations et de sa technologie. »

Il en ressort clairement que le logiciel libre présente de nombreux avantages en matière de souveraineté numérique. Reprenons, pour plus de simplicité, les arguments de la Commission européenne. Le logiciel libre garantit l’indépendance ou, du moins, réduit la dépendance des utilisateurs vis-à-vis de certaines entreprises ou pays. Sa flexibilité en fait un atout pour l’innovation en facilitant la création de nouveaux produits ou usages. Le logiciel libre est omniprésent dans le cloud. Par sa transparence, il favorise la confiance des citoyens. Nous préconisons de créer des services décentralisés et fédérés, basés sur la coopération et l’interopérabilité, en opposition à la centralisation vers laquelle tend le recours à un nombre réduit de grands fournisseurs de solutions propriétaires.

La Commission européenne a mis en place un open source program office (OSPO) stratégique, devenu en France la Mission logiciels libres, créée par la circulaire du Premier ministre, M. Jean Castex. Elle doit servir de fer de lance de la stratégie européenne. Si nous n’allons pas jusqu’à émettre des réserves à son égard, nous souhaiterions tout de même un plan d’action plus ambitieux.

La filière du logiciel libre en France se sent, quoi qu’il en soit, concernée par les enjeux que nous abordons aujourd’hui. L’enquête que nous avons réalisée auprès de 150 entreprises montre que 90 % au moins de leurs dirigeants estiment le sujet de la souveraineté crucial et voient dans le logiciel libre un atout pour l’atteindre. Toute la filière tient à participer à cet effort de reconquête de la souveraineté numérique en Europe.

Nombre d’inventions dans le domaine de l’informatique et en particulier du logiciel libre ont vu le jour en Europe. Le world wide web, la technologie peut-être la plus présente dans le monde actuel, a été créé en Suisse. Linux, le système d’exploitation devenu l’emblème du logiciel libre, a été mis au point en Finlande. L’architecture ARM est née au Royaume-Uni, à l’époque où ce pays appartenait encore à l’Union européenne. C’est également à une société britannique que l’on doit le platform as a service, l’une des trois formes du cloud. L’Europe dispose donc d’atouts. Peut-être n’avons-nous pas su les exploiter autant qu’il l’aurait fallu. Peut-être aussi devrions-nous revenir aux fondamentaux afin de tirer le meilleur parti possible de notre créativité en matière numérique.

L’Allemagne a créé un centre pour la souveraineté numérique de l’administration, le 26 avril 2021. Signalons que sa mission première consiste à promouvoir les logiciels libres. Un lien très fort s’est instauré au sein de cette institution allemande entre le logiciel libre et la souveraineté. Trois Länder suivent en outre des politiques d’achat public favorisant le logiciel libre. Peut-être conviendrait-il de s’inspirer de cette prise de position tout à fait remarquable. La loi française accuse un retard de ce point de vue.

La filière du logiciel libre s’intéresse bien évidemment au cloud depuis qu’il en est question, c’est-à-dire depuis près de dix ans. Compte tenu de nos valeurs et de notre attachement à la collaboration et à l’interopérabilité, nous avons conscience des risques que comporte un verrouillage excessif du cloud par certains prestataires de services. A contrario, nous avons, dès 2010, essayé de mettre en avant la notion de cloud ouvert, fondée sur la possibilité de passer facilement d’un opérateur à un autre, en imposant aux fournisseurs des normes d’interopérabilité.

Au début, nous avons eu le sentiment que nous n’étions pas écoutés, puis nos préoccupations sont revenues au cœur du débat, notamment par le biais de l’initiative GAIA-X, allemande à l’origine, puis franco-allemande et maintenant européenne. Chacun y projette toutefois sa propre vision du cloud, de sorte que nous ne comprenons pas très bien laquelle prédomine en fin de compte.

Au départ, les Allemands voulaient créer un Airbus du cloud. Airbus marque certes une réussite industrielle européenne majeure, mais faut-il transposer la même formule dans le domaine du cloud ? Nous n’estimons pas judicieux de centraliser à l’excès la fourniture de services autour du cloud. Le Club informatique des grandes entreprises françaises (Cigref), porteur du projet en France, nous a paru plutôt attaché à des notions de gouvernance, via l’imposition de règles et de certifications.

Comme je l’ai dit plus tôt, nous ne reconquerrons pas notre souveraineté à moyen ou long terme uniquement en instaurant des règles. Le Règlement général pour la protection des données (RGPD) constitue certes un outil extrêmement important, d’un point de vue démocratique, mais aussi face à certaines entreprises dont le modèle d’affaires repose sur la commercialisation de données. Ni ce RGPD ni ses variantes ne suffiront toutefois à garantir notre souveraineté numérique.

La nécessité s’impose d’une vision industrielle qui ne se concentre pas uniquement sur de gros acteurs comme Orange ou Atos, surtout s’ils s’appuient sur des technologies qu’ils ne maîtrisent pas. D’après une récente annonce, ces acteurs s’allieront aux fournisseurs de cloud américains comme Google et Microsoft. Selon nous, une telle stratégie se limite à reculer pour mieux sauter. Elle ne nous assurera jamais la souveraineté à laquelle nous aspirons.

Nous attendons des autorités qu’elles fassent appliquer la loi, en particulier la loi pour une République numérique de 2016 et son article 16, selon lequel il faut « préserver la maîtrise, la pérennité et l'indépendance [des] systèmes d’information » en encourageant les administrations à utiliser le logiciel libre. De simples encouragements ne suffisent pas. Encore faut-il donner des directives, sinon chacun continue de procéder comme il l’entend.

Le recours au logiciel libre passera aussi par l’instauration d’une culture qui lui soit favorable, au travers de formations et d’un travail d’animation de réseaux au sein de l’administration. Chaque ministère nourrit ses propres besoins et donc abordera ce sujet à sa manière singulière. La question se pose aussi à l’échelon européen et à celui des collectivités territoriales.

Nous nous réjouissons de l’annonce, par le Premier ministre, voici quelques semaines, de la création d’une Mission logiciels libres. Nous la réclamions depuis la promulgation en 2016 de la loi Le Maire, dont nous n’avons pas constaté l’effet concret. Telle qu’elle se préfigure, la Mission logiciels libres, à laquelle n’œuvreront que trois personnes, ne suffira cependant pas à animer toute l’administration française. Les chantiers sur lesquels il faut intervenir, ne serait-ce qu’au sein même des services publics, s’annoncent immenses.

Nous estimons en outre indispensable une politique industrielle de développement économique. Une mission logiciels libres uniquement rattachée à la ministre de la transformation et de la fonction publique, Mme Amélie de Montchalin, ne sera pas en mesure d’agir sur le versant industriel de la filière. Il faut, à mon sens, que le ministère de l’économie et la direction générale des entreprises (DGE) s’emparent de la question. Les ministères de l’éducation, et de l’enseignement supérieur et de la recherche sont eux aussi concernés par l’innovation et la formation en lien avec le logiciel libre.

Nous appelons de nos vœux l’extension rapide du périmètre de la Mission logiciels libres, par exemple par la mise en place d’actions similaires dans les autres ministères concernés, et par l’implication de la DGE. La dépense publique doit elle aussi jouer son rôle.

En 2014, Mme Isabelle Attard, alors députée, avait interrogé les principaux ministères sur leur niveau de déploiement du logiciel libre au sein de leur administration. Les réponses des quelques ministres qui se sont exprimés à ce sujet n’apportaient que des éléments qualitatifs, mentionnant tel ou tel logiciel. Il manque une étude poussée impliquant, par exemple, l’inspection générale des finances, afin d’établir la part du logiciel libre dans les dépenses informatiques de chaque ministère. Cette part demeure pour l’heure marginale. En Allemagne, pourtant, une analyse de marché stratégique a été réalisée en 2019, afin de réduire la dépendance des services publics du pays vis-à-vis des fournisseurs de logiciels propriétaires.

Notre étude a mis en lumière le rôle déterminant de la commande publique en tant que levier de croissance de notre filière. À l’évidence, l’État est le mieux placé pour aider une filière mettant au point des produits et des services qui correspondent à ses besoins, à savoir des outils utiles à sa transformation numérique.

Mme Amélie de Montchalin nous a récemment adressé un courrier. Je la cite : « en accompagnant les administrations pour qu’elles utilisent l’open source au mieux, je souhaite que la Mission logiciels libres soutienne les acteurs économiques français et européens de cet écosystème, notamment via une meilleure prise en compte dans la commande publique du critère de transparence des codes sources. » Il s’agit là d’un élément relativement nouveau. Cette Mission logiciels libres ne s’inscrirait donc pas simplement dans une démarche de partage des codes sources ou de diffusion des bonnes pratiques. Prenant en compte la nécessité d’un soutien aux entreprises du logiciel libre, elle supposerait une attitude proactive vis-à-vis des acteurs de notre filière pour qu’ils participent efficacement aux marchés publics.

Une question récurrente se pose à propos des marchés publics : comment contractualiser ? Les marchés de support passés ces dernières années suffiront-ils à pérenniser des PME ou des très petites entreprises (TPE), éditrices de logiciels libres, ou participant activement à la création de logiciels libres ? En général, les marchés de support sont passés avec des intégrateurs, à la taille proportionnelle à celle du marché concerné. Nous estimons impératif qu’une partie de la valeur générée par ces marchés de support revienne directement aux spécialistes, c’est-à-dire à ceux qui produisent et maintiennent les logiciels et apparaissent comme les mieux à même de répondre aux questions, et de résoudre les éventuels problèmes, des administrations qui les utilisent.

Le rapport présenté par M. Éric Bothorel relevait les difficultés posées par le code des marchés publics, compte tenu des spécificités du logiciel libre. Je ne dresserai pas aujourd’hui la liste de tous les problèmes de la filière. Il me paraît toutefois important que les PME, les TPE et les intégrateurs concernés se réunissent pour en discuter avec les directions des achats des différents ministères, de manière à obtenir un panorama complet des problèmes juridiques liés, soit au code des marchés publics, soit à son application actuelle. Il conviendra dès lors de mettre en place des solutions passant par la révision de ce code ou son contournement.

La question subsiste des moyens par lesquels inciter l’administration à privilégier les logiciels libres, de manière à garantir le développement de la filière. Les débats sur ce point durent depuis vingt ans. La proposition de loi du sénateur Pierre Laffitte, que j’évoquais tout à l’heure, en atteste. Une directive du ministère de la défense a, dès 2006, formalisé la notion de préférence. « On doit s’efforcer, avant toute acquisition, ou tout développement, d’identifier les solutions alternatives en logiciels libres disponibles, de fonctionnalité équivalente ou voisine. À coût global et risque et efficacité opérationnelle comparables, le logiciel libre est privilégié. » L’idée que, toutes choses étant égales par ailleurs, il vaut mieux opter pour du logiciel libre constitue à nos yeux une première étape, qui devrait pouvoir se généraliser, peut-être pas sous forme de loi mais au moins de directive. Si une telle mesure ne donnait pas les résultats escomptés, nous pourrions bien sûr recourir à des moyens plus contraignants.

M. Benoît Thieulin, dans un rapport du Conseil économique social environnemental de 2019, évoquait la possibilité d’imposer des quotas relatifs, soit aux logiciels libres, soit aux PME innovantes européennes ou, mieux encore, aux uns et aux autres. De tels quotas permettraient de contrecarrer l’influence des grands acteurs à tendance monopolistique, le plus souvent étrangers. Il a régulièrement été question d’un small business act européen. Véritable serpent de mer, le sujet revient sur le devant de la scène depuis des années.

Le développement de la filière du logiciel libre passera aussi par un changement de mentalité. Notre filière est souvent dénigrée, voire laissée de côté, dans les opérations de promotion des acteurs du numérique français. Le logiciel libre est quasiment absent de la communication autour de la French Tech, alors qu’il figure parmi les principales réussites de l’industrie informatique française. La filière française du logiciel libre, rapportée à la taille du marché français, reste sans doute celle qui s’en sort le mieux au monde. Nous pouvons en être fiers.

Certaines idées reçues assimilent le logiciel libre à un logiciel au rabais. Au contraire, il se situe au cœur de toutes les innovations du numérique. À la différence de ce que beaucoup pensent, 57 % des entreprises utilisent au moins un modèle éditeur et pas uniquement de service. Elles associent d’ailleurs souvent les deux. Sans doute un travail d’éducation reste-t-il par ailleurs à fournir, autant dans l’enseignement primaire ou secondaire que supérieur, de manière à inclure les concepts du logiciel libre dans les savoirs fondamentaux.

Deux opportunités se présentent selon moi à notre filière. La première viendra de la présidence française de l’Union européenne l’an prochain. Il est souvent question de collaboration européenne. La Commission européenne, l’Allemagne et d’autres pays encore ont lancé des initiatives fort intéressantes relatives au logiciel libre. Il me paraît essentiel de les coordonner et de les porter à un niveau supérieur en prenant en compte les aspects industriels trop peu présents dans les communications de la Commission. Une seconde opportunité surgirait si le Parlement s’emparait de la question en consacrant par exemple une mission à la souveraineté et au logiciel libre.

M. Philippe Latombe, président et rapporteur. Quel bilan dressez-vous de l’utilisation du logiciel libre au sein de l’administration ? Identifiez-vous des ministères ou des pans de l’administration où la culture du logiciel libre ne serait pas du tout implantée, et d’autres où elle serait au contraire bien enracinée ? Une idée répandue prête à l’administration un fonctionnement « en silos ». Estimez-vous nécessaires des transferts de bonnes pratiques d’une administration à l’autre ? Qu’en est-il dans les collectivités territoriales ?

M. Stéfane Fermigier Je ne dispose pas d’informations précises. Malgré tout, nous avons constaté des niveaux de maturité variables selon les administrations. Tout dépend des circonstances. Il suffit parfois d’un directeur des services informatiques (DSI) enthousiaste pour qu’une attitude proactive s’impose. Je soulignais tout à l’heure que seule une partie des questions aux ministres de Mme la députée Isabelle Attard, en 2014, avait reçu des réponses. Je ne m’en rappelle plus suffisamment pour en donner un compte rendu synthétique. Par ailleurs, beaucoup d’eau a depuis coulé sous les ponts.

Aujourd’hui, le constat s’impose que des ministères jusque-là fortement impliqués dans l’utilisation du logiciel libre semblent s’orienter vers d’autres solutions. Malgré la volonté de mettre en avant la notion de souveraineté, peut-être de manière trop abstraite, de plus en plus d’acteurs se tournent vers des fournisseurs de cloud américains. Les contraintes qui en découlent risquent de contrecarrer à terme l’expansion des éditeurs de logiciels libres, mais aussi de l’industrie européenne du cloud. Les annonces récentes du gouvernement tendront plutôt à renforcer l’offre américaine, puisqu’elles supposent l’utilisation d’une technologie américaine, certes conjointement exploitée par des sociétés françaises.

Imposer des certifications à ces fournisseurs, comme le label SecNumCloud, risque, si les critères de sélection retenus s’avèrent trop exigeants, de menacer la survie des PME et TPE dépendantes de la commande publique. Notre étude révèle que 80 % de nos sociétés comptent parmi leurs clients des émanations du secteur public, même si ce pourcentage ne correspond pas à la part de leur chiffre d’affaires due à la commande publique. La plupart des sociétés de notre filière souhaitent acquérir de plus en plus de clients relevant de l’administration. Il ne faudrait donc pas imposer à ces entreprises des barrières, par méconnaissance de notre écosystème ou de notre offre, ou en raison d’une croyance en la supériorité des technologies américaines.

La mission d’animation et le transfert de bonnes pratiques qui incombent désormais à la Mission logiciels libres se réalisaient auparavant de manière plus informelle. Il faut que les acteurs les plus engagés dans l’utilisation du logiciel libre, autrement dit les premiers de cordée, par le partage de leur expérience, convainquent les responsables informatiques encore réticents de suivre leur exemple.

Notre étude portait en partie sur les collectivités territoriales. Nous avons tenté de mettre en évidence des disparités régionales. La place prépondérante de l’Île-de-France, liée au nombre de sociétés de notre filière qui y sont implantées, reflète somme toute la prépondérance économique de cette région dans la quasi-totalité des secteurs.

Toutes les régions ne semblent pas également sensibilisées à la question. Toutes ne soutiennent pas notre filière au même degré. À vrai dire, une seule région, la Nouvelle Aquitaine, très en avance, mène depuis vingt ans une politique active en faveur du logiciel libre, par le soutien de certaines initiatives. Depuis quelques mois, elle suit un plan de développement de la filière numérique prenant pleinement en compte le numérique ouvert ainsi que les aspects éthiques du numérique, dont nous-mêmes nous préoccupons beaucoup.

Dans notre rapport figure le témoignage de M. Nicolas Vivant, directeur de la stratégie et de la culture numérique de la ville d’Échirolles, ancien directeur des systèmes d’information (DSI) de la commune de Fontaine. Il compte à son actif un certain nombre de réussites. Ainsi, la municipalité dont il s’occupait a économisé 100 000 euros par an sur les licences propriétaires par le passage à Linux de 60 % des postes de travail. « Plus rapide, plus stable, plus esthétique et plus sécurisé, ce système d’exploitation revient moins cher que l’équivalent propriétaire », a déclaré M. Nicolas Vivant. Des professionnels qui s’engagent à faire profiter de leurs services des agents du service public, voire de simples citoyens, aboutissent à des résultats spectaculaires.

M. Philippe Latombe, rapporteur. Dans quels délais attendez-vous des résultats concrets de la Mission logiciels libres annoncée par la circulaire du Premier ministre, M. Jean Castex ? À partir de quand conclurez-vous à son échec en l’absence de mesures visibles ? À quels indices jugerez-vous de son efficacité ?

M. Stéfane Fermigier S’il est possible d’évaluer cette mission dans le périmètre qui lui a été imparti, il n’est par ailleurs pas interdit de s’interroger sur la pertinence de ce périmètre particulièrement restreint. La question de sa réussite se pose par rapport aux moyens, malheureusement réduits, dont elle dispose.

Je la vois engagée vers un objectif à long terme, celui de transformer de l’intérieur les mentalités, de généraliser les bonnes pratiques, de réaliser des catalogues de code sources promus par l’État, et de participer à la création de catalogues de solutions open source susceptibles d’être utilisés par l’administration, en lien avec la Mission LABEL, qui a récemment publié un catalogue de solutions numériques.

Je ne sais laquelle de ces tâches prime sur telle ou telle autre, mais à l’évidence, ce qui relève de l’animation interne par le partage ou la republication de codes sources n’exercera aucun impact immédiat sur notre filière. À moyen terme, il me semble important de promouvoir, en interne, la culture du logiciel libre et de la collaboration. J’ignore quels indicateurs de réussite ont été définis pour cette mission. La réalisation de catalogues ou d’annuaires, ou la participation, aux discussions animées par cette mission, d’un nombre conséquent de personnes pourront sans doute permettre d’en évaluer le succès. En l’absence d’outils adéquats, il semblerait hasardeux d’établir une corrélation directe entre l’activité de cette mission et, par exemple, le pourcentage de marchés publics impliquant du logiciel libre.

Je préconise, pour cette raison, la création d’un outil de comptabilisation des sommes versées, dans la commande publique, aux géants du numérique plutôt qu’aux acteurs européens du logiciel libre.

M. Philippe Latombe, rapporteur. La semaine dernière, les responsables de Microsoft, auditionnés par notre mission, ont présenté leur entreprise comme l’une des plus engagées au monde en faveur du logiciel libre. Qu’est-ce que de tels propos vous inspirent ?

M. Stéfane Fermigier. Même s’ils prêtent à sourire, vous soulevez là une question tout à fait sérieuse. Ceux qui se rappellent les grands débats avec les représentants de Microsoft à la fin des années 1990 et au début des années 2000 peuvent se réjouir d’un tel revirement.

Microsoft a changé de position en devenant indubitablement un contributeur notable à l’open source et un grand utilisateur de logiciels libres. Microsoft a intégré à sa stratégie de nombreux aspects du développement collaboratif propre au logiciel libre. La société finance même des manifestations de promotion du logiciel libre.

Google aussi se compte parmi les grands producteurs de logiciels libres. Un certain nombre de technologies utilisées dans le cloud dérivent d’innovations ayant vu le jour au sein de Google.

Néanmoins, nous ne saurions considérer Microsoft comme une société méritant une place de choix dans une politique de cloud souverain. Google ou Microsoft, quoique les plus engagés en faveur du logiciel libre parmi les géants américains du numérique, ont trouvé le moyen de déplacer le contrôle hors du code source. Dans le cloud, il est tout à fait possible de rendre les utilisateurs prisonniers d’un écosystème, tant au niveau des infrastructures que des plateformes, tout en diffusant par ailleurs du code source.

Notre filière ne s’oppose plus de manière frontale à Microsoft. Nous sommes nombreux à accepter les contributions de cette société au logiciel libre. Toutefois, les clouds de Google, de Microsoft ou d’Amazon nous semblent poser de nombreux problèmes, autant à notre propre écosystème que du point de vue de la souveraineté numérique européenne.

M. Philippe Latombe, rapporteur. Si l’on considère les smartphones comme des sortes d’ordinateurs, où en est aujourd’hui la création d’un système d’exploitation libre ? Nous avons constaté les difficultés de sociétés chinoises telles que Huawei par rapport à Android. Nous connaissons les critiques adressées à iOS, le système d’exploitation d’Apple, empêchant par exemple l’utilisation d’antennes MFC (magnetic flux channel). Des projets de systèmes d’exploitation libres sont-ils en passe d’aboutir ?

M. Stéfane Fermigier. Le logiciel libre est omniprésent dans les smartphones. L’iOS est basé en grande partie sur de l’open source. Le cas d’Android apparaît plus ambigu. Une partie d’Android, l’Android open source project (AOSP), est libre. Toutefois, différents mécanismes de certification des matériels, mais aussi la nécessité de pilotes informatiques propriétaires et l’existence d’une version d’Android estampillée Google créent des dynamiques qui s’inscrivent dans le prolongement de la question que vous posiez à propos de Microsoft.

Une société de la taille de Google peut très bien produire de l’open source tout en vendant des systèmes propriétaires en complément. Il en résulte une mainmise sur les services qui complètent le logiciel libre de départ.

Plusieurs initiatives, ces dernières années, ont visé la création d’un Android allégé des applications propriétaires de Google, ce qui suppose de modifier le code source d’Android dans l’optique d’éviter toute dépendance vis-à-vis de services proposés par Google, tels que l’authentification, la messagerie électronique Gmail, et tout ce qui relève de l’agenda et des photos. L’utilisateur d’un smartphone s’attend à ce que ces services en fassent partie, alors que son appareil n’est en réalité qu’un terminal grâce auquel il se connecte à des services hébergés dans le cloud.

La société e-corp vend, depuis deux ou trois ans, un système d’exploitation indépendant de Google tout en intervenant sur le marché du reconditionnement des smartphones usagés. Son modèle économique se base en partie sur la revente de smartphones d’occasion utilisant son système d’exploitation libéré des applications Google. Nous espérons qu’elle pérennisera ses activités et que son approche générera un chiffre d’affaires suffisant.

Une proportion de la population actuelle, de plus en plus réticente à voir ses données personnelles aspirées par l’un ou l’autre des géants du numérique, en revient aux téléphones mobiles à l’ancienne ou feature phones pour échapper aux difficultés liées à la protection de leurs données. Une telle démarche reste néanmoins assez rare, tant la plupart des utilisateurs peinent à se passer des services auxquels ils se sont habitués.

D’autres personnes se tournent vers des solutions alternatives. Pour que celles-ci s’imposent, il faut toutefois qu’un plus grand nombre de citoyens les utilisent. Même si leur notoriété peut s’imposer par le bouche-à-oreille, ces solutions gagneraient à devenir plus connues.

Aujourd’hui, par défaut, les utilisateurs optent pour les géants du numérique, comme ils le faisaient déjà, vingt ans plus tôt, au moment de choisir un navigateur Internet. Microsoft a été condamnée à des amendes significatives par la Commission européenne à cause d’Explorer. À présent, c’est Chrome, le navigateur de Google, qui s’est imposé presque partout. Le contrôle très strict exercé par Apple sur sa plateforme propriétaire d’achat d’applications ne permet pas à ses concurrents d’y proposer les leurs. Il en résulte un nouveau verrouillage du marché qui risque d’exclure, si tel n’est pas déjà le cas, les acteurs indépendants.

Nous espérons que des approches comme celle de YesYes rééquilibreront le marché en proposant une offre alternative au duopole iOS et Android.

M. Philippe Latombe, rapporteur. Quelle place occupera le logiciel libre dans les nouvelles technologies en plein essor comme l’Intelligence artificielle ou l’informatique quantique ? Ces innovations comportent-elles un risque du recul de l’open source ?

M. Stéfane Fermigier. Je ne le pense pas, bien au contraire. La plus grande part de l’Intelligence artificielle relève actuellement de l’apprentissage automatisé, où le logiciel libre est très présent. Je connais moins le domaine de l’informatique quantique, où les investissements portent de toute façon principalement sur de la recherche quasi fondamentale et moins sur les logiciels. L’open source n’y joue donc pas un grand rôle. Il existe certes des simulateurs de machine quantique open source, mais les enjeux du quantique touchent surtout au matériel.

Scikit-learn, l’une des vidéothèques les plus utilisées au monde en apprentissage automatisé, résulte d’un beau projet de l’Institut national de recherche en sciences et technologies du numérique (Inria). Ce projet comporte une dimension industrielle également, car l’Inria a eu l’intelligence de créer au sein de sa fondation un consortium de grandes entreprises et de start-up utilisant sa vidéothèque à des fins d’apprentissage automatisé.

Google dispose de son propre outil d’apprentissage automatisé et Facebook également. Le logiciel libre n’en reste pas moins omniprésent dans l’Intelligence artificielle, où la plupart des logiciels propriétaires restent basés sur de l’open source.

La question se pose ensuite des modèles. L’apprentissage automatisé s’opère à deux niveaux. Le premier, celui du moteur d’exécution, repose sur du code machine traditionnel, qui requiert des connaissances poussées en mathématiques, en statistiques et en modélisation. Le code informatique correspondant peut être libre ou non.

Au second niveau de l’apprentissage automatisé, le moteur d’exécution utilise des modèles, à savoir des données à partir desquelles se définiront des réponses à des questions. Il en existe bien peu de libres, ce qui se conçoit sans peine. Une entreprise utilisera un moteur pour traiter ses propres données, mais, a priori, ne partagera pas celles-ci, à moins qu’elle n’en décide ainsi. Des dynamiques collaboratives voient le jour dans des industries entières, à partir du moment où plusieurs sociétés décident de partager leurs données pour créer un modèle utile à tous les acteurs du secteur. Bien sûr, rien n’empêche non plus de commercialiser des modèles. Je décris là des phénomènes déjà constatables.

M. Philippe Latombe, rapporteur. J’aimerais évoquer l’article paru hier dans Les Échos, sous le titre « Souveraineté numérique : le cri d’alarme du logiciel libre français ». Que manque-t-il, selon vous, pour que ce cri d’alarme soit entendu et qu’une prise de conscience en résulte ?

M. Stéfane Fermigier. Le titre de cet article, dont je reconnais qu’il est bien trouvé, a été choisi par l’auteur de l’article ou sa rédaction, qui en portent la responsabilité.

Le CNLL n’intervient pas dans le débat public uniquement pour dire que tout va mal. Notre situation comporte de bons côtés. Nous occupons une position dominante en termes de taille de marché, et de capacité technologique et humaine à mettre en œuvre nos innovations, en France, en Allemagne et, progressivement, en Europe. Malgré nos atouts, nous avons parfois l'impression d’être ignorés par la plupart des décideurs politiques. Je reconnais que le ministère de la transformation et de la fonction publique nous a écoutés plutôt attentivement ces derniers mois, notamment dans la mission de M. Éric Bothorel et ses suites, dont la circulaire du Premier ministre, M. Jean Castex.

Néanmoins, des déclarations d’intention ne suffisent pas. Notre filière est manifestement oubliée. Nous notons un tropisme vers les solutions les plus alléchantes, et pas seulement de la part de l’exécutif actuel, alors que tout ce qui brille n’est pas en or. Les présidents de la République et les Premiers ministres aiment se laisser prendre en photo auprès des grands du numérique comme Bill Gates, même si d’autres chefs d’entreprises l’ont éclipsé, depuis, dans les médias.

Dans le même temps, nous laissons Google venir en aide aux entreprises françaises. Des sociétés, tirant leur puissance de leurs moyens financiers conséquents, se livrent à un lobbying intensif. Il suffit de consulter les registres du lobbying à Bruxelles pour s’en rendre compte. La filière de l’open source est habituée à se débrouiller avec des moyens réduits et néanmoins beaucoup d’enthousiasme, dans le respect de valeurs et dans un esprit de collaboration. Nous peinons à faire entendre notre voix.

Il ne m’est pas agréable d’en parler, pourtant il le faudra bien : certains serviteurs de l’État quittent leur poste dans la fonction publique pour un autre dans des entreprises dominant le marché du numérique. Nous sommes en droit de nous interroger sur d’éventuelles distorsions de leur perception du secteur, voire sur l’indépendance de leurs décisions.

Sans aller jusqu’à dénoncer une corruption pure et simple, notre avocat M. Jean-Baptiste Soufron parle à ce propos de corruption des esprits. L’idée semble s’imposer d’une supériorité si manifeste des technologies du cloud en provenance des États-Unis sur celles inventées en Europe, que cela ne vaudrait pas la peine d’évoquer la filière européenne. L’exemple de la French Tech que j’ai évoqué tout à l’heure illustre bien ce travers.

Les contraintes et les difficultés que nous rencontrons, notamment d’ordre administratif en lien avec la passation de marchés publics, ne sont pas forcément perçues comme un véritable problème, alors que les contraintes liées au RGPD et à l’arrêt Schrems II ont incité les pouvoirs publics à concevoir une solution pour que l’administration française utilise la technologie du cloud américaine, en l’occurrence sur des serveurs hébergés en France. Nous observons un traitement selon deux poids, deux mesures. Nous souhaiterions être plus entendus. La Mission logiciels libres et la circulaire du Premier ministre, M. Jean Castex, montrent que nous l’avons été. Seulement, son périmètre nous paraît trop restreint au vu de nos attentes et de nos difficultés.

M. Philippe Latombe, rapporteur. En effet, votre discours n’est pas uniquement négatif et il ne faudrait pas le percevoir ainsi.

M. Stéfane Fermigier. Nous demandons à être valorisés. Peut-être souffrons-nous d’un manque d’amour des décideurs et des pouvoirs publics.

M. Philippe Latombe, rapporteur. Souhaiteriez-vous aborder un sujet que nous aurions laissé de côté ou revenir sur un point qui vous tient à cœur ?

M. Stéfane Fermigier. Il ne me semble rien avoir omis d’important.

Je voudrais juste rappeler que l’open source se fonde sur des valeurs démocratiques de coopération, de transparence et d’ouverture. La Commission européenne les présente comme compatibles et même en synergie avec celles de l’Union européenne, de sécurité, et de respect des données personnelles. Je pense qu’en travaillant sur ces valeurs à des niveaux politiques mais aussi plus opérationnels, touchant à l’animation de l’administration, aux marchés publics et à la formation, notamment, nous arriverons à jouer de nos atouts dans la reconquête de notre souveraineté numérique.

Audition de M. Patrick Pailloux, directeur technique de la direction générale de la sécurité extérieure (DGSE) (ministère des armées) (2 juin 2021)

Présidence de M. Philippe Latombe, rapporteur.

(Les propos tenus au cours de l’audition à huis clos n’ont pas fait l’objet d’un compte rendu.)

Audition, ouverte à la presse, de M. Marc Hansen, ministre délégué à la digitalisation du gouvernement du Grand-Duché du Luxembourg (3 juin 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous auditionnons ce matin M. Marc Hansen, ministre du gouvernement du Grand-Duché du Luxembourg chargé de la fonction publique, des relations avec le parlement et ministre délégué à la digitalisation et à la réforme administrative.

Nos échanges porteront sur les problématiques liées au numérique, sous l’angle de la souveraineté numérique, thématique récurrente dans l’actualité européenne, mais aussi sous celui des politiques du numérique au Luxembourg. Nous accueillons avec joie toutes les occasions de mieux connaître la façon dont les autres pays mènent des politiques dans ce domaine, afin de nous inspirer de leurs bonnes pratiques. Il me semblerait également intéressant, au vu de votre expérience, d’aborder les enjeux d’éducation et de formation au numérique.

J’aimerais vous poser trois questions à titre liminaire.

La première, devenue rituelle lors de nos auditions, porte sur votre conception de la souveraineté numérique. Comment appréhendez-vous ce concept ? Comment, selon vous, est-il possible de le traduire concrètement en termes de politique publique ?

J’aimerais ensuite que vous nous parliez des politiques du numérique au Luxembourg. Comment s’y organise leur gouvernance ? Sur quelles réformes portent-elles actuellement ? Les enjeux de la formation aux savoir-faire numériques nous interpellent. Il s’avère primordial d’y répondre pour que les citoyens puissent comprendre le fonctionnement du numérique et s’en servir comme d’un atout dans leur vie personnelle autant que professionnelle.

Peut-être pourrez-vous nous expliquer comment, au Luxembourg, de même qu’en France, le numérique a pu constituer un vecteur de résilience, grâce auquel les élèves ont poursuivi leur scolarité pendant la crise sanitaire liée à la Covid.

Enfin, je souhaiterais que nous échangions sur l’actualité de l’Union européenne en matière de numérique. Quel regard portez-vous sur les nombreux projets soutenus par la commission, tel le Data Governance Act (DGA) relatif à la circulation des données ? Comment l’Union européenne pourrait-elle servir de levier de souveraineté numérique aux différents États qui la composent ?

M. Marc Hansen, ministre délégué à la digitalisation du gouvernement du Grand-Duché du Luxembourg. Je ne vous cacherai pas que j’ai quitté la conférence des présidents du parlement luxembourgeois pour être présent à cette audition. Je vous salue d’ailleurs de la part des députés luxembourgeois. Je considère comme un honneur d’échanger avec vous à propos de la souveraineté numérique, compte tenu de l’importance que revêt ce sujet.

Je répondrai d’abord à votre question relative à la gouvernance des politiques du numérique en retraçant l’historique de notre ministère. Avant les élections de 2018, il n’existait pas de ministère de la digitalisation au Luxembourg, même si divers services et administrations s’occupaient du sujet dans l’appareil d’État. C’est notre Premier ministre, M. Xavier Bettel, qui, dès son arrivée au pouvoir, a instauré le ministère dont j’ai la charge.

En réalité, deux ministres se trouvent à la tête de mon ministère, dont le Premier ministre, qui est donc de ce fait en même temps ministre de la digitalisation. Je suis quant à moi également en charge de la fonction publique. Une telle organisation montre notre attachement à la digitalisation, à laquelle nous souhaitons œuvrer de manière intensive. Jusqu’à l’instauration du ministère de la digitalisation, les administrations qui s’occupaient de l’informatique se heurtaient à des problèmes de coordination empêchant la digitalisation de progresser de manière conséquente.

L’implication, hautement symbolique, du Premier ministre dans la digitalisation envoie un signal fort à l’intérieur du pays comme à l’étranger. De même, le rôle dévolu au ministre de la fonction publique dans la digitalisation montre à quel point l’administration prend le sujet au sérieux. Les agents de l’État sont appelés à progresser dans cette voie afin de mieux communiquer avec les citoyens et les entreprises à propos du numérique.

Nous abritons sous notre tutelle un grand centre des technologies de l’information de l’État. Cette administration à part entière nous sert de bras armé technologique. Employant notamment des développeurs et des chefs de projets, ce centre s’occupe de mettre au point des solutions en réponse aux besoins spécifiques de l’administration, dont celle par exemple des contributions directes.

Le ministère de l’éducation nationale dispose de sa propre structure équivalente, de même que les services relatifs à la santé et à la sécurité sociale. Au niveau local, les échevins s’appuient sur un syndicat intercommunal de gestion informatique.

Nous abritons également sous notre tutelle un comité interministériel pour la digitalisation, réunissant les hauts fonctionnaires de l’ensemble des ministères intéressés par la question. Ce comité, en lien avec notre bras armé technologique, discute des projets des divers ministères, de manière qu’ils se concrétisent, mais aussi dans un esprit de partage des réalisations. De notre autorité dépend aussi un Haut comité à la transformation numérique. Instauré avant la crise liée à la Covid, il a pour mission de développer les échanges avec la société civile et les opérateurs du secteur privé afin que le numérique progresse au Luxembourg. Ses avancées ont beaucoup ralenti durant ces derniers mois, où la pandémie, de manière assez compréhensible, nous a contraints à donner la priorité à d’autres préoccupations.

Lors des cinq à six réunions annuelles du comité interministériel, les hauts fonctionnaires exposent leurs avancées respectives, puis échangent sur les difficultés qu’ils rencontrent avant de réfléchir ensemble à des moyens de les résoudre.

Nous avons mis en place un cadre national de l’interopérabilité, à la gouvernance spécifique. Ses prérogatives couvrent les trois pouvoirs de l’État. Il favorise la concertation et la sensibilisation, les échanges de bonnes pratiques, et l’instauration de synergies.

La souveraineté numérique me semble liée à différents facteurs, dont la bonne gestion d’Internet, des nouvelles technologies de l’information et de la communication, mais aussi des solutions numériques, sans oublier la protection du consommateur. La souveraineté numérique correspond à la capacité de décider et d’agir de manière autonome et en confiance, en tant qu’État, mais aussi au niveau de l’Union européenne, sur les aspects essentiels du numérique afin d’assurer le développement structurel, à long terme, de l’économie comme de la société.

Sur le plan européen, la notion de souveraineté numérique est apparue comme un moyen de promouvoir le leadership européen, mais aussi l’autonomie stratégique dans le domaine du numérique. Depuis quelques années, le numérique et toute innovation qui s’y rapporte sont perçus comme un secteur d’intérêt stratégique, également primordial pour l’Union européenne. Il va de soi que les objectifs définis aux niveaux national et européen pour atteindre cette souveraineté numérique doivent se combiner et s’harmoniser, puisque c’est seulement dans l’Union européenne que nous parviendrons à garantir cette souveraineté, eu égard à l’avance prise par beaucoup d’autres pays extra-européens en matière de numérisation.

Depuis les années 2000, le Luxembourg a beaucoup investi dans les Technologies de l’information et de la communication (TIC) et a promu le développement des infrastructures correspondantes. Le secteur du numérique a pris son essor au Luxembourg grâce à des investissements substantiels dans le réseau à haut débit et la construction de centres de données. Pays de petite taille, le Luxembourg peut se targuer d’une très haute densité de centres de données sur son territoire. De fait, cette densité s’y révèle la plus élevée au monde, puisque nos centres de données hautement qualifiés couvrent une superficie de près de 47 000 mètres carrés.

Reconnaissant l’importance du développement des nouvelles technologies, nous avons défini en 2019 une stratégie en matière d’Intelligence artificielle. Nous ambitionnons, à travers elle, de contribuer au développement des sociétés numériques. Récemment, un hub régional de GAIA-X a été lancé au Luxembourg. Cette initiative joue un rôle majeur dans le rassemblement et le développement des exigences communes pour une infrastructure de données européennes à la fois fédérée, sécurisée et souveraine.

Notre ministère de la digitalisation a vu le jour en 2018, soit avant la crise liée à la Covid. Très honnêtement, je dois vous avouer que bien des évolutions exceptionnelles sont survenues dans l’administration en raison de la pandémie. Du point de vue de la digitalisation, la crise sanitaire a contraint les services publics à réaliser un bond en avant spectaculaire. Sans doute en est-il allé de même en France. Si j’ose dire, nous n’aurions pas imaginé tout ce qui s’est mis en place au cours des douze derniers mois. Nous pourrions d’ailleurs revenir plus en détail sur les démarches qui ont basculé en ligne, ou encore sur la généralisation du télétravail.

Vous évoquiez tout à l’heure l’éducation. La crise a obligé les élèves et leurs enseignants à passer au homeschooling, selon le nom que nous donnons au Luxembourg à l’école à la maison. Heureusement, nos infrastructures étaient globalement prêtes à affronter cette transformation des pratiques, ce qui a facilité la transition de l’enseignement traditionnel vers la classe à distance au cours des douze à quatorze derniers mois.

M. Philippe Latombe, rapporteur. L’accélération subite de la numérisation, liée à la crise sanitaire, a-t-elle fourni l’occasion de modifier la gestion de l’administration ou ses relations avec les usagers ? A-t-elle changé l’organisation interne des ministères eux-mêmes, ou les transformations n’ont-elles porté que sur les infrastructures ?

M. Marc Hansen. Un réel changement s’est opéré dans l’état d’esprit des fonctionnaires et des employés du secteur public. Je ne doute pas qu’en France également, avant la crise, les moindres projets obéissaient systématiquement à une conception minutieuse où aucune étape n’était laissée au hasard, pas plus celle des études préalables que de la mise en œuvre. Il manquait à l’administration étatique un état d’esprit propre aux start-up.

Lors de sa création, notre ministère se présentait comme une sorte de start-up ministérielle ne comptant que deux collaborateurs : le Premier ministre et moi-même. Nous avons réuni des équipes autour de la digitalisation, mais, jusqu’à la crise sanitaire, il fallait sans cesse les inciter à aller de l’avant.

La Covid, au Luxembourg comme en France d’ailleurs, a obligé le gouvernement à prendre des décisions qu’il a aussitôt fallu traduire concrètement par des démarches jusque-là inédites en ligne, que ce soit pour demander des congés ou un passage à temps partiel pour raisons familiales, ou encore pour s’inscrire à des tests de dépistage du coronavirus. Le temps manquait pour étudier une version-bêta. Les nouvelles mesures ont dû se mettre en place d’un jour à l’autre. Les erreurs dues à la précipitation ont été rectifiées sitôt décelées. Sans doute une telle évolution n’aurait-elle pas pu se concevoir dans le secteur public avant la pandémie. À tout le moins, il lui aurait fallu plus de temps pour aboutir, du fait des réticences des équipes. La crise liée à la Covid a contraint l’administration à mettre en ligne des formulaires du jour au lendemain. Pour peu que nous conservions une part de cet état d’esprit d’innovation, sans pour autant rester dans une logique d’urgence, c’est-à-dire en revenant à une plus grande rigueur, nous parviendrons à n’en garder que les bénéfices, et ainsi, notre progression continuera.

Je vais vous citer quelques chiffres significatifs. Nous disposons au Luxembourg d’une grande plateforme « guichet.lu », tenant lieu de guichet unique aux citoyens et aux entreprises souhaitant contacter les services publics par voie numérique. Cette plateforme héberge un espace personnalisé « myguichet.lu », où chacun peut déposer aussi bien une demande de plaque d’immatriculation que de permis de pêche, par exemple.

En 2019, 500 000 démarches au Luxembourg avaient été effectuées via cette plateforme. De janvier à novembre 2020, ce nombre est passé à 1,8 million. Un grand nombre de ces démarches étaient dictées par la situation sanitaire : des entreprises ont ainsi sollicité des aides ou un moyen de tester leurs employés au coronavirus. Au mois de février 2020, nous n’avions pas dénombré plus de 4 000 minutes de vidéoconférence entre agents de l’État. Le confinement a multiplié ce chiffre par 34. Les agents du service public ont été rapidement équipés pour le travail à domicile. En somme, la digitalisation a subi une formidable accélération, avec tous les avantages et les inconvénients qu’une transformation aussi subite peut comporter. Il reste encore des points à améliorer, mais je suppose qu’il en va de même en France.

Dans le domaine de l’éducation, certaines semaines, la totalité des élèves et des professeurs luxembourgeois ont été en homeschooling. Du jour au lendemain, 12 000 enseignants et 160 000 élèves ont ainsi dû poursuivre leurs cours en ligne via Zoom ou Teams. D’autres semaines, une moitié des effectifs se rendait à l’école avant de céder la place à l’autre, à partir du lundi suivant. C’est un basculement spectaculaire qui a eu lieu, du réel au virtuel.

M. Philippe Latombe, rapporteur. Comment les citoyens perçoivent-ils la numérisation ? Comment réussissez-vous, non seulement à les convaincre de se connecter à votre plateforme tenant lieu de guichet unique, mais à leur donner confiance en ce dispositif, notamment pour ce qui a trait à la collecte et au traitement des données ? Ce problème de confiance en l’utilisation, par l’administration, des données personnelles, se pose avec beaucoup d’acuité en France. L’administration luxembourgeoise a-t-elle conclu un contrat avec les citoyens, comme en Estonie, permettant à ceux-ci de savoir quel service accède à leurs données et pour quelle raison ? Ou ces informations ne leur sont-elles pas plus divulguées qu’aux citoyens français ?

M. Marc Hansen. Avant la crise déjà, la population luxembourgeoise accordait une grande confiance aux outils numériques de l’administration. Un sondage d’opinion commandé à un prestataire, TNS Ilres, avait révélé un taux d’adhésion de la population à « myguichet.lu » de 80 à 90 %. Conformément à la loi, cette plateforme permet à ses usagers de savoir à tout moment quelles administrations ont eu accès, au cours des six derniers mois, à la partie qui les concerne du Registre national des personnes physiques répertoriant les données des Luxembourgeois. Si un service public a consulté les données d’un citoyen, sans que celui-ci comprenne pour quelle raison, cette personne peut interpeller le service en question, auquel il revient de s’expliquer. Il arrive par exemple à un père ou à une mère de ne pas comprendre pourquoi une administration a consulté ses données à la suite d’une demande de bourse déposée par son conjoint, pour leur enfant étudiant. Nous attachons une importance extrême à la transparence et au respect des données personnelles.

Il ne faut pas oublier, dans les discussions autour du numérique, d’évoquer l’inclusion digitale, qui constitue d’ailleurs l’un des piliers de la stratégie de notre ministère. Le Luxembourg a la chance de bénéficier de bonnes connexions au réseau. La plupart des citoyens ont acquis, par leur éducation, des compétences numériques. Toutefois, il ne faudrait pas laisser de côté la frange de la population moins impliquée dans ce domaine. Nous organisons des formations et des cours, avec des associations, pour les personnes âgées, encore que les connaissances en matière de numérique ne dépendent pas seulement de l’âge. La question de l’inclusion digitale mérite que nous la prenions très au sérieux.

M. Philippe Latombe, rapporteur. Revenons au traitement des données personnelles, mais sous l’angle technologique, cette fois. Vous avez évoqué le projet de hub luxembourgeois de GAIA-X. Comment appréhendez-vous les technologies liées au cloud dans vos politiques ? Comment vous assurez-vous de ne pas trop dépendre de Google, Apple, Facebook, Amazon ou Microsoft (les GAFAM) ? À moins qu’une telle perspective ne vous inquiète pas outre mesure ?

Ma question peut sembler abrupte, mais elle taraude beaucoup les Français en ce moment, depuis, entre autres, la polémique liée à l’hébergement de notre Health data hub.

M. Marc Hansen. J’ai déjà en partie répondu à votre question en évoquant les nombreuses bases de données implantées au Luxembourg. Nos services technologiques étatiques exploitent leurs propres centres de données. Or ceux-ci génèrent une grande confiance. La première ambassade numérique de l’Estonie est implantée au Luxembourg. Le fait qu’un grand nombre de données de nos concitoyens transite déjà par des centres implantés sur notre territoire favorise la confiance des particuliers comme des entreprises.

M. Philippe Latombe, rapporteur. Compte tenu du nombre de centres de données présents au Luxembourg, votre pays doit disposer aussi de tout un tissu d’entreprises du numérique. Comment développez-vous leur activité ? L’administration luxembourgeoise multiplie-t-elle les appels d’offres en ciblant de préférence les sociétés locales ? Menez-vous une politique spécifique de création et d’accompagnement de start-up, de manière à préparer l’avenir ?

M. Marc Hansen. Je ne fournirai à vos questions qu’une réponse limitée, car c’est le ministère de l’économie qui s’occupe de la plupart des dispositifs auxquels vous songez.

Nous avons lancé, voici quelques mois, un nouvel outil baptisé « GovTechLab ». Des projets semblables ont commencé à voir le jour dans plusieurs autres pays dans le monde. Notre centre informatique fournit en principe une solution aux besoins numériques de l’administration. Nous ne voulons toutefois pas y réinventer des technologies existantes. Nous n’hésiterons donc pas à nous tourner vers le secteur privé, grâce à une nouvelle organisation des marchés publics, au cas où celui-ci disposerait de solutions adaptées à nos demandes.

En somme, notre centre informatique ne développera plus systématiquement les projets nécessaires aux services publics. Concrètement, nous lançons des défis aux acteurs privés pour résoudre certains problèmes que rencontre l’État. Des jurys, composés entre autres d’agents de nos services, départagent les candidatures. Un premier projet pilote est en cours de finalisation. Dès que la situation sanitaire le permettra, nous organiserons des séminaires avec ces entités privées dans un espace intégré à notre centre informatique pour qu’elles œuvrent en réseau avec l’administration.

J’estime important de soutenir et de promouvoir le secteur numérique, et d’encourager les entreprises à investir dans la recherche et le développement, et dans l’innovation. Le ministère de l’économie encadre le secteur numérique par le biais de missions, d’actions de soutien aux start-up, et de nombreux programmes, notamment destinés à l’artisanat.

M. Philippe Latombe, rapporteur. Vous avez cité l’Estonie, qui héberge au Luxembourg son ambassade numérique. Coopérez-vous avec certains pays européens plutôt qu’avec d’autres ? Estimez-vous plus facile de nouer des échanges ou des partenariats avec des petits pays, ou travaillez-vous aussi bien avec vos homologues français ou allemands ?

M. Marc Hansen. Le Luxembourg reste bien sûr très ouvert aux pays voisins, dont la France. Nous échangeons quotidiennement avec l’ensemble des pays européens. Notre Premier ministre se trouvait à Paris, voici deux jours, pour échanger notamment avec les responsables des politiques du numérique en France.

Des échanges quotidiens ont également lieu entre notre pays et les régions frontalières voisines. Je ne me lasse pas de répéter que, dans le domaine du numérique, il est bon de nouer des échanges fructueux avec de nombreux acteurs. Au lieu d’adopter une attitude de défense de la souveraineté numérique, il vaut parfois mieux la promouvoir, par l’échange de bonnes pratiques et le soutien aux acteurs susceptibles d’y participer. Échanger avec d’autres pays s’avère en effet plus utile que de s’en tenir à un schéma purement national.

M. Philippe Latombe, rapporteur. Les programmes européens annoncés, les initiatives déjà lancées telles que GAIA-X ou encore les projets de Digital Services Act (DSA), de Digital Markets Act (DMA) et de DGA vous semblent-ils œuvrer dans la bonne direction ? Apporteront-ils « un coup de pouce » dans la numérisation et la transformation de votre administration ?

M. Marc Hansen. Ces projets nous aideront sûrement. Nous devons, selon moi, coopérer pour avancer. Or, les initiatives que vous citez soutiendront à n’en pas douter les progrès des différents États membres de l’Union européenne.

M. Philippe Latombe, rapporteur. Les divers pays de l’Union européenne vous semblent-ils tous parvenus au même degré de maturité sur ces sujets, ou certains vous paraissent-ils plus à la pointe, comme le Luxembourg, alors que d’autres s’intéresseraient plus à d’autres champs d’action ? Pressentez-vous des difficultés à rallier certains gouvernements aux projets de DSA, de DMA et de DGA, qui ne se concrétiseront pourtant pas sans l’unanimité des membres de l’Union européenne ?

M. Marc Hansen. Je préfère m’en tenir à une certaine humilité quand je vous entends citer le Luxembourg parmi les pays à la pointe. Dans n’importe quel domaine, on trouve des pays plus avancés que d’autres. Malgré tout, si nous faisons l’effort d’avancer ensemble, par l’échange de bonnes pratiques, finalement, tout le monde y gagnera. Le Luxembourg tente de coopérer avec les autres pays de l’Union européenne. S’il est vu comme « à la pointe » du numérique, alors autant se réjouir de sa capacité à contribuer aux progrès des autres dans ce domaine.

M. Philippe Latombe, rapporteur. Je souhaiterais ouvrir une parenthèse à propos de l’arrêt Schrems II et de l’extraterritorialité du droit américain. Votre ministère s’en préoccupe-t-il beaucoup ? Quel type de solution appelez-vous de vos vœux pour régler les problèmes posés par le Clarifying lawful overseas use of data Act (Cloud Act) ? Souhaitez-vous que des négociations transatlantiques aboutissent rapidement ? Peut-être aurais-je plutôt dû adresser ma question au ministère de l’Économie. Certaines entreprises luxembourgeoises se heurtent-elles aux mêmes difficultés que les sociétés françaises en matière de transfert de données de l’Union européenne vers les États-Unis ?

M. Marc Hansen. En effet, il serait plus pertinent que vous abordiez ces points avec notre ministre de l’économie ou celui des affaires étrangères.

M. Philippe Latombe, rapporteur. Comment envisagez-vous, à moyen terme, la numérisation de votre administration et le rôle que pourraient y jouer de nouvelles technologies en pleine émergence comme l’Intelligence artificielle, ou du moins, l’apprentissage automatique, l’informatique quantique, s’ils voient le jour à cet horizon temporel, ou encore la blockchain ?

M. Marc Hansen. En tant que ministre de la Fonction publique, j’ai sous ma tutelle un Institut national de l’administration publique, en charge de la formation initiale et continue des agents du service public. Nous sommes en train de transformer cet institut en « digital academy » pour faire connaître aux agents de l’État les dernières avancées en matière de numérique. Il me paraît de la plus haute importance qu’un agent public confronté à un citoyen ou une entreprise au fait de ces thématiques soit capable d’en traiter en toute connaissance de cause. Nous travaillons à la mise en place de modules et de cours à destination des fonctionnaires. Nous nous félicitons de nos avancées dans ce domaine, qui revêt une importance cruciale.

En 2019, notre gouvernement a adopté une stratégie relative à l’Intelligence artificielle, soutenant le développement de l’Intelligence artificielle centrée sur l’humain. En 2020, une consultation publique à ce sujet nous a permis de comprendre comment les citoyens appréhendaient l’Intelligence artificielle, et d’identifier leurs besoins, leurs craintes et leurs attentes. Nous avons lancé en interne un projet étatique baptisé « AI4GOV » et créé un comité interministériel pour nous occuper de ce sujet. Il s’agit d’encourager les ministères et les administrations à en faire usage par le soutien de projets concrets. Le cadastre a par exemple soumis un projet de ce type, relatif à la topographie des terrains. Le comité interministériel assure un accompagnement technique, juridique et éthique.

Nous avons lancé un projet de blockchain du secteur public permettant au gouvernement d’expérimenter et de développer de nouvelles applications réservées à l’administration, tout en prévoyant des interactions avec le secteur privé. L’une de ces applications concerne les bourses d’études et vise à faciliter les échanges des étudiants avec les banques, dans les cas où ils souhaiteraient contracter un prêt pour financer leur formation.

Nous échangeons avec les communes à propos d’un projet de blockchain portant sur les permis de construire.

M. Philippe Latombe, rapporteur. Comment arrivez-vous à définir une doctrine valable pour le gouvernement et l’administration, puis à l’appliquer sur le plan local, à l’échelon des communes, par exemple, ou en tout cas, au niveau le plus proche des citoyens ? Je songe notamment aux projets de villes intelligentes. Établissez-vous des recommandations à l’intention des municipalités pour qu’elles déclinent à leur échelle votre stratégie étatique ?

M. Marc Hansen. Les communes du Luxembourg attachent une grande importance à leur autonomie. J’émettrai donc quelques réserves à l’égard de notre capacité à leur communiquer une doctrine. S’il n’existe pas de doctrine en tant que telle, les différents acteurs échangent cependant beaucoup. Comme je le mentionnais tout à l’heure, un syndicat intercommunal de gestion informatique mène des discussions fructueuses avec les opérateurs techniques. Des coopérations se mettent en place.

Concernant l’administration proprement dite, les deux ministres chargés de la digitalisation au sein du Conseil des ministres prennent les décisions qui s’imposent. Transposer ces décisions aux différents échelons des services publics s’avère dès lors assez aisé. Notre nouvelle gouvernance a simplifié les processus.

M. Philippe Latombe, rapporteur. Souhaiteriez-vous revenir sur un sujet, en lien avec la souveraineté numérique, qu’il vous paraîtrait nécessaire de mettre en avant ?

M. Marc Hansen. Une vingtaine de sujets me viennent à l’esprit, mais ils dépasseraient le cadre de cette audition.

Entre experts ou, du moins, entre ceux qui s’y connaissent en matière de nouvelles technologies, il arrive de céder à la tentation de « faire de l’art pour l’art », selon l’expression française consacrée, c’est-à-dire de recourir à la numérisation en vue de la simple satisfaction que procure le basculement vers le numérique. Nous ne devons pas perdre de vue dans l’intérêt de qui nous agissons, et nous demander si notre travail apportera une plus-value aux autres en tant qu’êtres humains, dans leur travail ou leur vie quotidienne. Une administration qui utiliserait le numérique uniquement par attrait pour les nouvelles technologies risquerait de perdre la confiance des citoyens et des entreprises. Il faut toujours songer à l’individu et à ce que la digitalisation lui apporte. Les citoyens nourrissent des craintes et des doutes qu’il convient de prendre au sérieux afin de les dissiper plutôt que de les balayer. Il importe de convaincre les usagers de l’administration que, loin de les priver de certains services, nous leur en offrons de supplémentaires.

M. Philippe Latombe, rapporteur. Cela signifie-t-il que la crise liée à la Covid aura marqué un avant et un après dans la recherche de solutions numériques au bénéfice des citoyens ? Est-ce là l’un des enseignements qu’il convient d’en tirer ?

M. Marc Hansen. Cette crise a mis en évidence les nombreux besoins des citoyens, liés aux problèmes posés par la pandémie. La digitalisation et la rapidité des évolutions qu’elle entraîne ont prouvé leur capacité à leur venir en aide. Il me semble que cette idée restera dans les esprits. Si nous continuons dans cette voie de la digitalisation, à l’issue de la campagne de vaccination, le pass sanitaire, en tant qu’outil informatique standardisé au niveau européen, pourra, dans le même esprit, faciliter les déplacements d’un pays à l’autre au sein de l’Union européenne en donnant une plus grande liberté de mouvement à ses utilisateurs.

M.Philippe Latombe, rapporteur. Je vous poserai une dernière question sur l’éducation. La crise liée à la Covid va-t-elle, à votre avis, changer la pratique de l’enseignement ? Faut-il revenir à du présentiel ? L’école à la maison ne constitue-t-elle en fin de compte qu’une béquille ou un pis-aller ? Ou s’achemine-t-on, au contraire, vers un modèle hybride dans les années à venir ?

M. Marc Hansen. Je crois l’enseignement présentiel indispensable à la plupart des enfants. Il m’apparaît d’autant plus essentiel qu’il permet d’acquérir les compétences sociales que s’évertue à inculquer le système scolaire. C’est d’ailleurs pour cette raison qu’au Luxembourg, nous avons maintenu les écoles ouvertes aussi longtemps que possible. À certains moments où le risque de contamination au coronavirus devenait trop élevé, les outils numériques nous ont aidés. Néanmoins, il faut en revenir à l’enseignement présentiel. Il s’avère très difficile d’assurer la classe à de tout jeunes enfants de trois ou quatre ans par écran interposé.

Dans beaucoup de lycées, nous allons introduire des cours de sciences spécifiques dans l’idée d’inculquer aux élèves des compétences en électronique et en informatique.

Nous nous apercevons par ailleurs que les outils numériques peuvent déboucher sur une forme d’enseignement hybride. Jusqu’à la veille de la pandémie, un élève immobilisé chez lui pour des raisons médicales ne pouvait pas assister à ses cours. Désormais, l’école à la maison lui permet de ne pas perdre tout contact avec sa classe et ses professeurs. Des situations se présenteront, à n’en pas douter, où le recours à l’école à la maison présentera un intérêt certain.

Avant la pandémie, au Luxembourg, du moins, les visioconférences restaient peu utilisées, aussi bien dans l’enseignement qu’au travail ou dans le monde de la politique. Vous et moi communiquons aujourd’hui via ce système. Sans la pandémie, je me serais probablement rendu à Paris, où nous aurions entamé un échange plus jovial en abordant, au fil de la conversation, d’autres sujets. Dans certains contextes, les outils numériques montrent leur utilité.

Il faut repenser le monde du travail également, en se penchant sur le télétravail. Si, voici quatorze mois, j’avais parlé d’une réunion Zoom, les personnes de mon entourage auraient cherché le nom de ce dispositif numérique dans le moteur de recherche de Google. Aujourd’hui, la plupart d’entre nous utilisent ces solutions digitales et d’autres encore. Il nous reste à acclimater ces nouveaux outils à nos anciennes façons de travailler. Des leçons devront en être tirées, même si nous gagnerons sans doute à renoncer à certaines pratiques au fil du temps.

M. Philippe Latombe, rapporteur. Votre ministère a été créé en 2018 sous la tutelle de deux ministres, dont le Premier ministre. Une telle organisation va-t-elle perdurer ? D’autres pays européens s’en inspireront ou la prendront-ils pour modèle ?

M. Marc Hansen. Depuis la pandémie, beaucoup de pays nous contactent, en vue d’échanger avec le Premier ministre ou moi-même. Nous participons à des conférences. Un intérêt certain se manifeste envers notre ministère de la digitalisation. Par son existence même, il compte donc beaucoup, y compris au-delà de nos frontières. Certains pays s’interrogent sur la manière d’adapter notre gouvernance. Au Luxembourg, la digitalisation ne s’opère pas seulement dans le ministère qui lui est consacré. Chaque ministère nourrit ses propres projets dans ce domaine. L’importance donnée à la digitalisation au sein de notre administration aide celle-ci, de l’intérieur, à prendre des décisions qui favorisent le recours aux nouvelles technologies. Des responsables politiques d’autres pays nous interrogent sur notre expérience. Sans doute certains comptent-ils suivre le même chemin que nous.

Audition de M. Nicolas Lerner, administrateur civil hors classe, directeur des services actifs de la police nationale, directeur général de la sécurité intérieure (DGSI) (ministère de l’intérieur) (4 juin 2021)

Présidence de M. Philippe Latombe, rapporteur.

(Les propos tenus au cours de l’audition à huis clos n’ont pas fait l’objet d’un compte rendu.)

Audition ouverte à la presse de M. Margiris Abukevicius, vice-ministre de la défense nationale de la République de Lituanie. (8 juin 9021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous avons l’honneur d’auditionner ce matin M. Margiris Abukevicius, vice-ministre de la défense nationale de la République de Lituanie.

Depuis près d’un an, notre mission d’information poursuit ses travaux sur les principaux enjeux de la souveraineté numérique. Parmi les thèmes que nous avons successivement abordés figure évidemment la cybersécurité, qu’il s’agisse de la nature et du niveau de la menace ainsi que de la réponse à y apporter.

M. le ministre, votre carrière et vos responsabilités ministérielles témoignent de votre exceptionnelle expertise dans ce domaine. C’est la raison pour laquelle nous attachons un grand prix à pouvoir vous entendre et échanger avec vous aujourd’hui.

En guise de propos liminaire, j’aborderai trois sujets.

D’abord, pourriez-vous nous partager votre conception de la souveraineté numérique ? Il s’agit d’une question rituelle que j’adresse à chaque personne auditionnée, et qui procède de la grande diversité de définitions qui peuvent être associées à cette notion. Comment appréhendez-vous donc ce concept et quelle peut être sa traduction concrète en termes de politiques publiques ?

Par ailleurs, nous souhaiterions connaître votre appréciation de la menace cyber et de ses différentes formes. Quel est l’état de la coopération en matière de cyberdéfense, qu’il s’agisse de coopérations bilatérales ou de la coopération au sein des instances de l’Union européenne ou de l’Organisation du traité de l’Atlantique nord (OTAN) ?

Enfin, comment jugez-vous le niveau de sensibilisation de la population ? Comment agissez-vous pour diffuser une culture de la protection contre le risque cyber au sein des acteurs publics ou privés ?

M. Margiris Abukevicius, vice-ministre de la défense nationale de la République de Lituanie. Merci beaucoup pour ces propos liminaires sympathiques. C’est un grand privilège d’être présent parmi vous au sein de l’Assemblée nationale et de vous faire part de notre point de vue sur la thématique de la cybersécurité. Nous venons récemment d’assister à une conférence dédiée à ce sujet, et je suis convaincu que vos travaux pourront bénéficier des différents points de vue exprimés par les autres pays de l’Union européenne.

Je commencerai par rappeler quelques définitions afin de répondre à votre première question relative à notre conception de la souveraineté numérique. De notre point de vue, trois éléments sont à prendre en compte pour répondre clairement à cette interrogation.

D'abord, quels sont les enjeux et de quoi parlons-nous ? Ici, le plus important est de bien comprendre les technologies dans le contexte de l’économie, de la concurrence, de la politique, mais aussi et surtout de la sécurité nationale. En effet, l’accès aux nouvelles technologies façonnera notre avenir et déterminera non seulement les avantages en termes technologiques, mais également le pouvoir économique et politique, ainsi que les structures de puissance au niveau mondial. Ce premier élément permet déjà de répondre partiellement à cette question relative à la souveraineté numérique.

Ensuite, quels sont les acteurs principaux ? Ici, il est essentiel d’identifier clairement les interactions entre les différents acteurs impliqués, notamment au niveau européen. Aujourd’hui, la Chine est clairement le premier acteur et la première puissance remettant en question le statu quo et les structures de puissance et de pouvoir. C’est vrai dans le domaine technologique, mais également de manière plus générale, puisque la Chine et l’Occident se font concurrence jusque dans leurs systèmes politico-économiques. Pour le sujet qui nous intéresse aujourd’hui, nous devons évoquer la technosphère chinoise, qui se développe de manière très active, ainsi que la technosphère occidentale, à laquelle nous appartenons en tant qu’Européens.

J’en profite d’ailleurs pour expliquer ce que j’entends par Occident ou monde démocratique, même s’il est sans doute plus risqué de m’exprimer à ce sujet devant l’Assemblée nationale que dans le cadre d’une conférence moins formelle. Lorsque je fais référence à l’Occident, je pense bien entendu et avant tout aux États-Unis. La Chine et les États-Unis sont deux pôles de compétition technologique. De mon point de vue, l’Union européenne n’a d’autres choix que de travailler étroitement avec les Américains. Des voix s’élèvent parfois pour promouvoir une relation triangulaire entre les États-Unis, l’Europe et la Chine, mais cette stratégie me paraît plutôt risquée. La coopération avec les Américains paraît au contraire la seule option viable pour que l’Europe soit considérée comme un acteur crédible capable de peser globalement. En tout état de cause, le Parlement est probablement l’endroit idoine pour discuter de la manière dont nous pourrions garantir cette coopération entre Américains et Européens en matière de technologies. Dans cette perspective, l’initiative visant à instituer un conseil du commerce et de la technologie entre Européens et Américains – et qui est au cœur des préparatifs du prochain sommet de l’OTAN – semble particulièrement pertinente. Les détails de sa mise en œuvre restent encore à régler, mais le message politique envoyé par la création de cette instance me semble tout à fait clair et très important.

Enfin, nous devons nécessairement nous interroger sur la manière de procéder pour sécuriser notre accès aux technologies et préserver le statu quo. Plusieurs éléments sont à prendre en compte. En premier lieu, il est primordial de faire évoluer nos mentalités, et c’est sans doute le message le plus important que je m’efforce de promouvoir. La Chine a jusqu’ici fortement tiré parti de sa coopération étroite avec les États-Unis, et nous devons nous en accommoder. En revanche, je suis convaincu que davantage de coopération avec Pékin ne peut qu’être contreproductif pour l’Union européenne. Il est donc crucial que ce changement d’état d’esprit survienne dans les plus brefs délais.

Deuxièmement, nous devons avoir conscience de la dépendance de nos chaînes d’approvisionnement. Dans différents secteurs, et pas uniquement dans le domaine technologique, nos chaînes d’approvisionnement sont extrêmement dépendantes de la Chine, ce qui est facteur de risques économiques et sécuritaires. D’ailleurs, en matière de sécurité, plusieurs aspects sont à prendre en compte, notamment en termes de sécurité nationale. Lorsque l’on analyse l’environnement légal et juridique en Chine, on constate que les entreprises technologiques sont contraintes de coopérer avec le régime communiste. En parallèle, un certain nombre d’activités malveillantes ont pu être clairement imputées à la Chine, comme le vol d’adresses IP ou diverses opérations d’espionnage. La volonté de nuire est donc bien réelle. Ainsi, à mesure que notre dépendance vis-à-vis des technologies s’accroîtra, les cibles potentielles d’attaques seront de plus en plus nombreuses.

Nous devons également discuter des menaces très concrètes de cybersécurité auxquelles nous sommes exposés. À cet égard, je me permettrai d’évoquer plusieurs rapports et analyses de sécurité produits par notre centre national de cybersécurité. Je pourrai d’ailleurs vous en laisser quelques exemplaires si vous souhaitez en apprendre davantage. L’année dernière, nos experts ont conduit une analyse de sécurité sur les caméras fabriquées en Chine. Cette année, ils publieront un autre rapport sur les téléphones fabriqués en Chine. Ces équipements sont source de multiples menaces en termes de cybersécurité. Il est par exemple possible d’intercepter le contenu des caméras, mais aussi de capter, utiliser et diffuser des informations sensibles stockées dans les téléphones, à partir de messages cryptés et d’applications intégrées dans les terminaux téléphoniques. Ces problématiques de cybersécurité associées et intégrées aux technologies sont donc parfaitement identifiées.

Au-delà du changement de mentalité nécessaire pour sécuriser l’accès aux technologies, nous devons également protéger les infrastructures critiques. Nous avons multiplié les échanges autour de la 5G et de la manière de garantir l’implication de fabrications et de fournisseurs de confiance dans la construction de nos réseaux. En Lituanie, le Parlement a récemment adopté une loi sur les communications électroniques, qui introduit des critères très précis pour identifier ces fabricants de confiance, que nous définissons comme des entreprises provenant des États membres de l’OTAN, de l’Union européenne ou de l’Organisation de coopération et de développement économique (OCDE). Ce genre d’initiative mériterait d’être reproduit dans d’autres domaines critiques, par exemple dans le secteur de l’énergie, marqué par une forte dépendance à l’égard des produits chinois pour ce qui relève de l’énergie solaire, mais aussi dans le secteur des transports et des villes intelligentes. À l’avenir, nos vies seront extrêmement dépendantes de ces technologies. Il est donc primordial de protéger ces infrastructures.

Pour en revenir à l’exemple lituanien, j’évoquerai deux manières de protéger ces infrastructures critiques. D’abord, nous avons mis en place un solide mécanisme de sélection dans le cas des investissements et des marchés publics. Néanmoins, dans la mesure où cet outil s’avère insuffisant pour protéger efficacement nos infrastructures, nous avons commencé à travailler sur une législation dédiée. Tout comme pour la 5G, nous introduirons un critère de sécurité nationale dans l’ensemble des marchés publics de construction des infrastructures critiques, qui seront réservés non seulement aux entreprises des pays membres de l’OTAN, de l’Union européenne et de l’OCDE, mais plus largement aux entreprises des pays partageant nos valeurs et principes démocratiques, avec qui nous collaborerons pour construire ces infrastructures.

Enfin, pour garantir cette protection et cet accès aux technologies, il me paraît essentiel de raccourcir, d’occidentaliser et d’européaniser nos chaînes d’approvisionnement, afin de nous prémunir des risques que nous venons d’évoquer.

Sur le plan politique, nous savons que l’Europe investira de manière significative et collective dans la transformation numérique et dans la transition énergétique. Logiquement, ces fonds devront naturellement bénéficier aux entreprises européennes. Cela dit, il est encore plus primordial que la Chine et les entreprises chinoises n’en bénéficient pas, étant entendu qu’elles en sont aujourd’hui bénéficiaires. Le changement de mentalités que nous appelons de nos vœux doit donc parallèlement s’accompagner de nouveaux paradigmes politiques.

Comme vous l’avez compris au travers de cette réponse relativement longue à votre question initiale, notre conception de la souveraineté numérique repose avant tout sur le primat de la coopération transatlantique. Nous privilégions les alliances technologiques occidentales, et non la souveraineté technologique de l’Europe.

Votre seconde question portait sur la coopération en matière de cyberdéfense. Il s’agit également d’un sujet extrêmement vaste, notamment si on pense à la coopération européenne, qui vous intéresse plus particulièrement. En l’occurrence, la Lituanie est l’un des pays les plus ouverts à la coopération internationale en matière de cybersécurité. Dans ce domaine, j’évoquerai une initiative concrète que nous avons promue depuis près de deux ans.

En tant que pays européens, nous avons tous pris l’habitude d’échanger des informations de cybersécurité avec l’Union européenne et avons constitué des réseaux dédiés. Dans le même temps, de nombreux pays ont tendance à vouloir apporter des réponses nationales en matière de gestion des incidents de cybersécurité. Il n’est ainsi pas rare d’entendre des dirigeants français affirmer que ce sujet relève de prérogatives nationales. Pour notre part, nous considérons nécessaire de dépasser cette approche. Les investissements dans les capacités nationales sont évidemment nécessaires, mais cette stratégie plutôt facile à envisager pour les grands pays s’avère difficile à mettre en œuvre pour les petits États, dont les capacités nationales ne sont pas suffisantes pour faire face aux risques de cybersécurité.

Dans cette logique, nous avons piloté la création d’équipes d’intervention rapide en matière de cybersécurité (Cyber Rapid Response Teams) au niveau européen. Dans le format de l’Union européenne, la mise en place d’équipes opérationnelles à l’échelle communautaire s’avère toujours difficile et sensible. Malgré tout, nous sommes parvenus à trouver un compromis avec un certain nombre d’États membres à même de prendre des décisions, avec qui nous avons élaboré des capacités de réponse utilisables dans différents scénarios. Si nous sommes évidemment prêts à appuyer les institutions communautaires et les pays partenaires contribuant à cette initiative, nous sommes également disposés à assister d’autres États membres de l’Union européenne qui n’y sont pas associés.

Les deux dernières années ont été marquées par de véritables avancées pour ces équipes. Nous avons récemment conduit un exercice de déploiement en différents endroits pour aider à la résolution d’incidents de cybersécurité affectant plusieurs ambassades. En outre, et malgré le contexte pandémique Covid-19, nous avons élaboré des procédures logistiques permettant à ces équipes de gérer efficacement des incidents de cybersécurité. Enfin, nous avons mené plusieurs exercices de certification qui nous permettront de mettre en place des capacités d’intervention pleinement opérationnelles. En résumé, retenez que nous sommes parvenus à constituer une équipe multinationale de six États membres, qui peut être utilisée et déployée dans différents scénarios.

Bien entendu, d'autres initiatives de cyberdéfense reposent sur la coopération internationale. Néanmoins, l’initiative précitée est un projet phare et un projet européen, qui trouve son origine dans le dispositif de coopération structurée permanente (Permanent Structured Cooperation, PESCO) cadrant la coopération des États membres en matière de sécurité et de défense. Il s’avère que nous avons utilisé cet outil l’an dernier, en amont de nos élections parlementaires, afin de mettre à l’épreuve la résilience de nos réseaux. Comme me l’ont confirmé mes interlocuteurs français, la sécurité des élections est également un enjeu majeur dans votre pays, notamment en perspective de l’élection présidentielle de 2022. Nous sommes donc convenus d’approfondir nos discussions et de renforcer la coopération franco-lituanienne sur le sujet, avec l’objectif de sécuriser les processus électoraux, dans lesquels les questions de cybersécurité – mais aussi de désinformation – sont de plus en plus prégnantes.

J’en arrive à votre dernière question, qui est certainement la plus complexe à traiter. Quoi que l’on mette en œuvre, les menaces de cybersécurité sont une réalité avec laquelle nous devrons composer, puisqu’elles ne disparaîtront pas. À ce titre, je pense que le facteur humain et la sensibilisation sont des enjeux critiques en matière de cybersécurité. Il ne s’agit pas seulement d’investir dans les technologies et de protéger les infrastructures. Tout ceci ne sera d’aucune utilité si le grand public et les citoyens ne sont pas sensibilisés, puisqu’ils constitueront alors un maillon faible.

Dans cette perspective, nous avons récemment présenté notre rapport annuel sur le panorama des menaces de cybersécurité en Lituanie, en sensibilisant différents groupes et communautés – mais aussi la population générale – aux cybermenaces les plus actuelles. La publicité et la visibilité offertes par ce rapport nous permettent de promouvoir et de défendre nos messages. En guise de conclusion, ce rapport montre que les incidents de cybersécurité doivent être considérés comme une menace pérenne. Ceux-ci ont progressé de 25 % par rapport à l’an dernier, en lien avec l’utilisation accrue des infrastructures numériques dans le contexte de Covid-19 et de confinement. Nous avons également observé une corrélation avec l’actualité politique, et notamment avec nos dernières élections législatives, durant lesquelles nous avons connu un pic d’incidents de cybersécurité. À cet égard, il est toujours intéressant d’observer le pourcentage d’incidents ciblant les institutions étatiques, les secteurs critiques et la population générale. Selon nos analyses, 10 % des incidents enregistrés ciblaient les institutions étatiques et les secteurs critiques. Par ailleurs, lorsque l’on cherche à savoir qui se cache derrière ces incidents, la réponse est très claire dans notre cas : il s’agit de la Russie. L’État russe sponsorise les cybermenaces, ce qui constitue un véritable enjeu. La Chine se veut également de plus en plus influente en Lituanie et dans la Baltique, et nous nous efforçons désormais de mettre fin à cette dépendance technologique de longue date et de nous prémunir des activités malveillantes soutenues par Pékin.

M. Philippe Latombe, rapporteur. Vous avez souligné que la Chine constituait la principale menace que vous appréhendiez. Pensez-vous que tous les États européens partagent la même sensibilité et la même vision de la menace que représente la Chine ? À l’inverse, pensez-vous qu’il existerait une forme de tropisme pour certains pays qui ne percevraient pas pareillement la menace chinoise ?

Par ailleurs, vous avez évoqué le rôle de la plaque russe en matière de cybercriminalité, du moins en matière de cyberattaques. Existe-t-il donc, d’après vous, un risque géopolitique technologique avec la Russie ?

M. Margiris Abukevicius. C’est justement pour répondre à ce type de questions que nous sommes ravis de partager nos perspectives avec les autres pays et d’enrichir le débat national. De notre point de vue, la menace chinoise en Europe n’est pas encore bien comprise. En Lituanie même, la perception de la Chine en tant que menace est relativement récente. Il y a quelques années, notre présidente se rendait en Chine avec une délégation de chefs d’entreprise et d’industriels à la recherche d’opportunités commerciales pour notre pays. Désormais, notre perception a évolué en sens contraire. Comme vous l’avez probablement entendu, nous avons officiellement quitté le format 17+1. Nous commençons à appréhender la Chine au travers du prisme sécuritaire, alors même que de nombreux pays européens continuent de privilégier un équilibre entre opportunités économiques et sécurité. Avec notre nouveau gouvernement entré en fonction il y a six mois, nous avons pris la décision tout à fait consciente d’appréhender notre coopération avec la Chine par le prisme de la sécurité, incluant les volets de cybersécurité et de dépendance technologique. Il me semble que c’est un défi que nous devons relever dans toute l’Europe. Pour les Américains, qui comprennent parfaitement les défis de long terme avec la Chine, la stratégie est relativement claire. En Europe, nous accusons un certain retard. Sitôt que nous aurons réellement compris la nature de la menace chinoise, nous façonnerons nos politiques en conséquence et serons beaucoup mieux préparés pour relever ces différents challenges.

Vous m’interrogez ensuite sur la Russie. S’il peut être intéressant d’évoquer le cas russe dans un échange sur la souveraineté technologique, force est de constater que la Russie n’est qu’un acteur marginal dans ce débat. Qu’il s’agisse de souveraineté technologique ou de dépendance aux technologies, nous ne considérons pas la Russie comme un acteur de premier plan, même si les Russes ont choisi de travailler avec la Chine dans ce domaine. Le fait est que la menace russe est parfaitement comprise – et depuis très longtemps – en Lituanie. Personne n’achète de technologies russes pour l’équipement des infrastructures critiques. À l’inverse, la Chine équipe toujours nos infrastructures, et nous devons nécessairement faire évoluer nos mentalités. Cela dit, la Russie joue bien un rôle majeur en matière d’activités cyber malveillantes et représente une réelle menace pour la Lituanie.

M. Philippe Latombe, rapporteur. Je reviendrai brièvement sur le sujet de la Russie pour compléter notre échange. Au-delà de l’activité cybercriminelle que vous venez d’évoquer, vous avez souligné que la notion de souveraineté numérique devait également s’entendre au sens des fake news et de la capacité à diffuser de fausses informations pour influer sur les scrutins, comme vous avez pu l’expérimenter lors de vos dernières élections législatives. Ce sujet fut également prégnant lors des élections présidentielles américaines de 2016 ayant porté Donald Trump au pouvoir. D’après vous, comment pouvons-nous concilier souveraineté numérique et vérification des informations ? Estimez-vous que l’Europe se donne suffisamment les moyens de travailler sur le sujet pour éviter que nos sociétés démocratiques soient influencées, en période électorale, par les fake news et le complotisme ?

M. Margiris Abukevicius. Selon nos analyses, les menaces de cybersécurité associées aux campagnes d’information ou de désinformation sont particulièrement prégnantes et de plus en plus récurrentes. Du point de vue de l’influence sur les processus électoraux, ces menaces sont aujourd’hui le premier risque à prendre en compte. De nos jours, de nombreux pays sont fortement dépendants des technologies pour l’organisation de leur processus électoral. Grâce à la technologie, il est désormais possible d’influencer ce processus. En Lituanie, la technologie est naturellement intégrée à notre processus électoral, mais elle ne remplit pas un rôle critique. Nous devons donc nous assurer que tout fonctionne bien et ne pas donner à nos ennemis l’occasion de manipuler nos élections.

Dans cette perspective, la diffusion de fausses informations dans un contexte électoral constitue un moyen d’influence de premier plan. Il s’agit d’un processus de long terme, auquel nos adversaires se préparent à l’approche de chaque scrutin. Ces stratégies peuvent sinon changer les résultats d’une élection, du moins changer l’attitude d’un gouvernement. En tout état de cause, la désinformation et l’orientation de l’opinion s’inscrivent toutes deux dans une logique de long terme.

À cet égard, je citerai le rapport de la société de sécurité FireEye sur la campagne de désinformation menée par la Russie, qui couvre une période de cinq ans. Dans cette campagne intitulée Ghostwriter, une trentaine d’actions malveillantes de désinformation ont été relevées dans plusieurs pays européens. Une vingtaine de cas ont été détectés en Lituanie, mais d’autres pays – Pays baltes, Pologne, Allemagne – ont également été impactés. Du point de vue narratif, le contenu de cette campagne de désinformation était parfaitement clair : des messages contre l’Union européenne, contre l’OTAN et contre la présence militaire internationale dans la région. Par ailleurs, ces messages tentaient d’exploiter un certain nombre de fractures sociales caractérisant les sociétés concernées. Dans la plupart des cas, la technologie cyber a été utilisée en tant que moyen pour compromettre différentes plateformes médiatiques qui ont diffusé de fausses informations. Dans d’autres cas, la technologie cyber a été utilisée en sus de la désinformation en préparation de futures cyberattaques.

En tout état de cause, les actions malveillantes de désinformation sont désormais parties intégrantes du processus électoral. Nous devons donc y prêter une grande attention et favoriser le partage de bonnes pratiques et d’expériences.

M. Philippe Latombe, rapporteur. Dans votre propos liminaire, vous mentionniez l’existence d’une task force spécialisée en cybersécurité constituée avec d’autres pays. Si j’ai bien compris, cette équipe a vocation à s’agrandir pour fédérer davantage de participants. D’après vous, quelle taille optimale devrait atteindre cette équipe pour collecter et partager un maximum d’informations sans perdre en souplesse de fonctionnement ? Par ailleurs, à qui cette équipe doit-elle s’adresser ? Doit-elle nécessairement cibler le secteur public et les institutions de l’Union européenne et des États membres ? Peut-elle éventuellement s’adresser aux entreprises du secteur privé, y compris aux plus petites ? Comment envisagez-vous le déploiement futur de cette équipe ?

M. Margiris Abukevicius. À ce stade, six États membres participent à cette initiative : la Lituanie, la Pologne, les Pays-Bas, la Roumanie, l’Estonie et la Croatie. D’autres pays ont quant à eux désigné des observateurs : s’ils ne participent pas activement à nos travaux et n’envoient pas d’experts, ces observateurs suivent attentivement nos débats et nos réflexions. La France figure d’ailleurs parmi ces pays observateurs avec qui nous partageons nos réflexions. En termes de dimensionnement, l’équipe elle-même n’est guère étoffée, puisqu’elle ne compte qu’une dizaine de membres, à savoir un représentant de chaque État membre et plusieurs experts. La direction opérationnelle du groupe est successivement assurée par chacun de ses membres, dans une direction annuelle tournante. Nous en sommes aujourd’hui à la deuxième mandature dirigée par la Pologne, sachant que la première était dirigée par la Lituanie. Nous ne chercherons pas à agrandir ce groupe à d’autres pays, puisque nous disposons précisément de la taille idoine pour fournir des réponses rapides dans le domaine de la cybersécurité. En revanche, si d’autres pays souhaitent nous rejoindre, nous pourrions créer plusieurs équipes distinctes, ce qui constitue un avantage non négligeable.

Sur le fond, nous nous interrogerons régulièrement sur la manière d’utiliser au mieux cet outil. Nous travaillons bien entendu avec les institutions européennes, non seulement au niveau politique, mais aussi de manière très concrète avec le personnel militaire afin de soutenir les opérations extérieures de l’Union européenne. Si nous disposions de plusieurs équipes, nous pourrions certainement en dédier certaines au volet militaire et d’autres au volet civil de la cybersécurité.

Nos partenaires en Europe sont évidemment les institutions communautaires et les États membres. Néanmoins, l’enjeu crucial demeure celui de notre relation avec les autres processus de l’Union européenne, qui n’est pas encore clairement établie. Bien entendu, notre équipe est encore très jeune, et nous tâchons de renforcer la visibilité de nos capacités. En tout état de cause, nous ambitionnons de nous intégrer pleinement aux mécanismes de réaction coordonnée de l’Union européenne face aux incidents de cybersécurité majeurs. La France et l’Italie jouent d’ailleurs un rôle moteur pour préparer l’Union européenne à ces incidents. Pour notre part, nous considérons notre équipe comme partie intégrante d’une boîte à outils plus large, vers laquelle l’Europe pourra naturellement se tourner pour avancer sur ce dossier.

Un autre élément majeur à prendre en compte est le fait que la Commission européenne a l’ambition politique de créer une unité commune de cybersécurité (Joint Cyber Unit). En l’occurrence, nous avons soutenu cette initiative depuis le début. Même si personne ne sait encore quelles seront précisément les attributions de cette unité commune de cybersécurité, il est certain qu’elle devrait faciliter l’échange d’informations relatives aux activités opérationnelles en matière de cybersécurité. Surtout, nous disposerons d’un bras armé et d’une équipe opérationnelle capable de soutenir les États membres. Dans ce contexte, nous devons éviter l’écueil des doublons et ne pas recréer, au niveau communautaire, des mécanismes déjà existants au niveau national. Au contraire, nous devons nous appuyer sur ce qui a déjà été mis en œuvre par les différents États membres. Avec un plus large soutien politique, nous pourrons certainement obtenir des financements pour développer certaines initiatives. En tout cas, plusieurs mécanismes fonctionnels existent déjà au niveau national.

Au-delà des institutions et des pouvoirs publics, nous travaillons également avec le secteur privé, et notamment avec de nombreux industriels français. Cette collaboration s’inscrit dans le cadre de l’initiative PESCO, mais également dans le cadre du Fonds européen de la défense, qui promeut la coopération industrielle à l’échelle communautaire. Nous avons d’ailleurs soutenu une proposition qui consisterait, avec l’appui du Fonds européen de défense, à développer une boîte à outils pour les différentes équipes, sachant que chaque pays tend à développer ses propres outils, avec les problématiques d’interopérabilité que cela représente. Il s’agirait donc de standardiser la boîte à outils à disposition des équipes de réponse aux cyberattaques, qui pourrait alors être utilisée par notre groupe comme par d’autres équipes dédiées au sein de l’Europe. Nous avons de réels espoirs que notre consortium puisse mettre en œuvre ce projet, qui devrait normalement recevoir le feu vert de la Commission européenne dans le courant du mois. Pour information, ce consortium auquel est notamment associé le groupe français Thales est dirigé par la Lituanie et réunit d’autres entreprises de pays qui, s’ils ne sont pas associés aux équipes de réaction rapide, sont fortement intéressées par la coopération industrielle, comme l’entreprise italienne Leonardo. De fait, il s’agit d’un très bon exemple de coopération industrielle européenne dans le domaine de la cybersécurité et de la cyberdéfense.

M. Philippe Latombe, rapporteur. Dans votre propos liminaire, vous insistiez également sur l’importance accrue de la cybercriminalité, qui a pris de plus en plus d’ampleur en 2020, et qui prendra de plus en plus d’ampleur dans les années à venir. Vous avez justement rappelé que nous devions agir autant que faire se peut pour éviter que cette cybercriminalité n’affecte les réseaux critiques : 5G, transport, énergie. Dans ce contexte, comment pouvons-nous renforcer la robustesse de nos réseaux ? Savez-vous si d’autres pays ont suivi votre modèle en auditant leurs réseaux ? Quels sont aujourd’hui les risques dont l’Europe devrait se prémunir en priorité par rapport à ses réseaux critiques ?

Par ailleurs, comment devons-nous procéder pour endiguer les activités de cybercriminalité localisées à l’étranger, qu’elles proviennent de Russie, de Chine, de Corée du Nord ou d’ailleurs ? Démanteler une cellule ne revient-il pas à couper la tête d’une hydre qui repoussera nécessairement ailleurs ? Disposons-nous véritablement de moyens juridiques et technologiques pour endiguer définitivement ces menaces ? Avons-nous éventuellement besoin de nouveaux outils ?

M. Margiris Abukevicius. Il s’agit d’une question éminemment complexe, à laquelle nous pouvons répondre sous plusieurs angles. D’abord, comme je l’indiquais précédemment, il est impératif que nos réseaux soient construits et équipés par des fabricants de confiance si nous souhaitons véritablement réduire les risques. Par ailleurs, nous devons nous montrer intransigeants vis-à-vis des obligations des industriels en matière de conformité (compliance). En Lituanie, la législation impose aux industriels de respecter un certain nombre de critères en matière de cybersécurité. L’Europe s’oriente également dans cette direction grâce aux directives Network and Information System Security (NIS) 1 et 2. Les prérequis en matière de sécurité sont de plus en plus nombreux, mais il est toujours aussi difficile de s’assurer que les industriels s’y conforment totalement.

Plus largement, nous ne devons pas nous voiler la face et croire que nous serons en mesure de sécuriser totalement nos réseaux. Il est plus pertinent de se focaliser sur leur résilience en vue d’assurer la continuité des affaires. Nous ne pourrons jamais totalement endiguer les attaques de type rançongiciel (ransomware). En revanche, nous pouvons préparer nos entreprises à y faire face pour qu’elles puissent rapidement reprendre leurs activités après une attaque. Nous en revenons ici à la question des prérequis en matière de cybersécurité.

Enfin, l’échange d’informations est absolument critique. Plus nous coopérerons, plus nous disposerons d’informations et mieux nous serons préparés aux cyberattaques. J’en profite d’ailleurs pour mentionner une autre initiative internationale dirigée par la Lituanie, à savoir le centre régional de cyberdéfense. Trois autres pays y sont aujourd’hui associés : les États-Unis, la Géorgie et l’Ukraine. Un pilote a été lancé au mois de mai, avec des experts américains, géorgiens et ukrainiens qui se sont déplacés jusqu’à Kaunas, deuxième ville de Lituanie, pour travailler, avec leurs homologues lituaniens, à la création d’une cellule multinationale de renseignements spécialisée en cybersécurité, qui centraliserait les différentes sources de renseignements en la matière au profit de différents pays. Bien qu’ayant une vocation régionale, ce centre implique des acteurs aussi différents que les Américains, les Géorgiens et les Ukrainiens, dans l’idée de répondre à la menace provenant de Russie. Plusieurs cyberattaques ont en effet été dirigées contre la Géorgie en 2008 et l’Ukraine en 2015, donnant ainsi l’occasion à notre ennemi de tester de nombreux outils tactiques dans cette région. Il s’agit donc d’amener ces pays particulièrement exposés à coopérer avec les pays de l'OTAN et de l’Union européenne pour mieux nous préparer à réagir à ces menaces.

M. Philippe Latombe, rapporteur. Nous sommes actuellement en phase de déconfinement et de reflux d’une pandémie contre laquelle nous disposons désormais d’un vaccin. Pensez-vous que cette période troublée de pandémie aura des effets bénéfiques sur la cybersécurité et sur la prise de conscience du risque cyber ? Les parties prenantes – les États, les entreprises et les citoyens – sont-elles désormais toutes convaincues que les avantages du numérique s’accompagnent d’un certain nombre de risques ? Y sont-elles plus sensibilisées ? Pensez-vous que cette évolution était nécessaire et qu’elle perdurera dans les années à venir ?

M. Margiris Abukevicius. Vous m’interrogez sur les liens entre la Covid-19, le confinement et les cybermenaces. En l’occurrence, notre rapport annuel sur les cybermenaces a mis en avant un pic significatif d’incidents de cybersécurité survenus durant le premier confinement, lorsque les populations utilisaient tous les outils de communication à disposition sans se préoccuper des risques de cybersécurité. Durant le deuxième confinement, les cyberattaques se sont poursuivies, mais à une plus petite échelle, étant entendu que nous y étions beaucoup mieux préparés suite à l’expérience du premier confinement.

En tout état de cause, le premier confinement a considérablement accéléré l’usage des différents outils et services numériques. Logiquement, nous continuerons de nous en servir à l’avenir, même si nous ignorons encore à quel rythme se propagera cet usage massif des technologies numériques. En revanche, nous savons que cette utilisation accrue de la technologie élargit le périmètre de la menace, accroît les possibilités d’influence et diminue l’efficacité des moyens de protection. De fait, dans notre agenda national, nous nous efforçons de concilier les impératifs de numérisation et de cybersécurité. Sans cybersécurité, nous ne serons pas en mesure de nous appuyer sur les technologies numériques.

Dans le contexte des nouvelles perspectives financières de l’Union européenne, nous savons que le plan de relance européen accorde une large place à la transformation numérique. Nous avons donc convenu qu’environ 10 % des investissements consacrés à cette transformation numérique seraient dédiés à la cybersécurité. Il s’agit d’un véritable changement, qui est évidemment bienvenu. Nous disposons en effet de nombreux systèmes d’information obsolètes, et nous passons notre temps à résoudre des incidents de cybersécurité affectant ces systèmes construits à une époque où personne ne se souciait de cette thématique. En tout état de cause, pour accompagner ce bond numérique, nous devons sérieusement penser aux impératifs de cybersécurité et intégrer cette dimension en amont de chaque projet.

M. Philippe Latombe, rapporteur. Plusieurs évolutions technologiques sont attendues dans les années à venir : Internet des objets ; voitures autonomes ou semi-autonomes ; avions presque exclusivement gérés par l’informatique ; automatisation et robotisation des procédés industriels ; etc. Quelles sont donc vos craintes ou vos perspectives en matière de cybersécurité ? Pensez-vous que ces évolutions contribueront à changer la manière dont les cybercriminels s’attaquent aux entreprises ou aux administrations ? Devons-nous nous attendre à des évolutions technologiques telles que nous devrons modifier notre manière de répondre aux attaques ? Au contraire, conserverons-nous les mêmes modes de fonctionnement et devrons-nous y apporter les mêmes réponses qu’aujourd’hui ?

M. Margiris Abukevicius. Les cybercriminels et les acteurs malveillants sauront s’adapter aux nouvelles technologies et aux nouvelles réalités. Si nous nous appuyons sur des systèmes autonomes ou semi-autonomes, ils chercheront nécessairement à exploiter les failles de nos systèmes de défense, qui devront eux-mêmes s’adapter. De nos jours, la question n’est plus de savoir si cette évolution se concrétisera, mais de savoir quand celle-ci se concrétisera. L’avenir sera certainement marqué par une dépendance à l’égard des technologies, et les impératifs de sécurité devront être pris en considération dès la phase de conception des différents systèmes, dans une logique de security by design.

Sur un plan plus personnel, bien que plutôt jeune et n’ayant jamais utilisé un téléphone avec des boutons, je refuse obstinément de connecter mon réfrigérateur au Wi-Fi ou d’accéder à distance aux systèmes de contrôle de ma voiture. In fine, je me protège et prends des décisions en toute conscience pour éviter toute sur-dépendance vis-à-vis des technologies numériques. Quoi qu’il en soit, dans la mesure où la société dans son ensemble sera de plus en plus dépendante des technologies, la prise en compte et l’intégration des mesures de sécurité constitueront des enjeux essentiels du débat public de demain.

M. Philippe Latombe, rapporteur. En conclusion, souhaiteriez-vous transmettre un dernier message aux parlementaires français en ce qui concerne la cybersécurité ? Considérez-vous qu’il existe un sujet sur lequel nous devrions absolument nous pencher ?

M. Margiris Abukevicius. Je souhaiterais évidemment insister sur la coopération transatlantique en matière de technologies et de cybersécurité, que j’ai évoquée à plusieurs reprises dans mon intervention. Il est absolument critique d’aller au-delà du périmètre de l’Union européenne. Bien entendu, il est logique de promouvoir l’usage de produits européens pour préserver notre industrie. Néanmoins, il me paraît primordial d’élargir le périmètre de notre stratégie en matière de cybersécurité et de la concevoir dans l’alliance transatlantique. Dans d’autres domaines, les exemples de coopération entre les États-Unis et l’Europe ne manquent pas, notamment en matière de sécurité. En tout cas, une alliance technologique entre les États-Unis et l’Europe aurait nécessairement un impact mondial. Dans cette alliance, chaque pays devrait promouvoir sa propre industrie et bâtir des chaînes d’approvisionnement efficaces. Notre vision doit toutefois porter au-delà de l’Union européenne pour inclure une dimension transatlantique, sachant qu’une coopération dans le domaine des technologies permettra certainement de revivifier cette alliance. Voilà donc le message que je souhaiterais faire passer aux députés français.

M. Philippe Latombe, rapporteur. M. le ministre, je vous remercie de votre message, de vos réponses et d’avoir consacré du temps à cette audition. Nous ne manquerons pas de relayer votre plaidoyer en faveur d’une coopération accrue avec les États-Unis en matière de cybersécurité, de même que votre message de vigilance à l’égard de la Chine.

Audition, ouverte à la presse, de M. Andres Sutt, ministre du commerce et des technologies de l’information de la République d’Estonie (9 juin 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous avons l’honneur d’auditionner M. Andres Sutt, ministre du commerce et des technologies de l’information du Gouvernement de la République d’Estonie.

M. le ministre, la mission d’information qui vous reçoit aujourd’hui poursuit depuis près d’une année ses travaux sur les principaux enjeux de la souveraineté numérique, parmi lesquels la numérisation dans l’administration, le rôle de la commande publique pour aider la croissance des entreprises innovantes et la formation au numérique. Notre attention a été attirée sur l’avance dont peut se prévaloir l’Estonie sur le plan numérique. C’est la raison pour laquelle nous souhaitons particulièrement vous entendre à propos des politiques numériques dont vous avez la responsabilité.

Je voudrais évoquer avec vous trois sujets dont, en premier lieu, votre conception de la souveraineté numérique. Il s’agit d’une question rituelle lors de nos auditions, liée à la grande diversité des définitions de cette notion. Comment, M. le ministre, appréhendez-vous ce concept et quelle peut être sa traduction concrète en termes de politiques publiques ?

Je souhaite également vous entendre sur les politiques numériques menées en Estonie. Quelles conditions vous semble-t-il indispensable de remplir pour obtenir l’adhésion des administrés, citoyens comme entreprises, aux démarches de transformation numérique dans leurs relations avec l’administration ? Comment la numérisation s’inscrit-elle dans la gouvernance des politiques de la fonction publique et de réforme administrative ? Comment appréhendez-vous les enjeux de formation aux savoir-faire numériques ? Ceux-ci revêtent un caractère primordial pour permettre aux citoyens de se saisir du numérique afin d’en faire un atout dans leur vie personnelle mais aussi dans leur vie professionnelle. Pouvez-vous enfin nous dire un mot sur la façon dont le numérique a constitué, en Estonie, un vecteur de résilience durant la crise sanitaire du covid ?

En dernier point, j’aimerais échanger avec vous sur l’actualité de l’Union européenne en matière de numérique. Quel regard portez-vous sur les nombreux projets portés par la Commission européenne, notamment en matière de circulation des données avec le Data governance Act (DGA) ? Comment L’Europe peut-elle être un levier de souveraineté numérique pour les différents États membres qui la composent ?

M. Andres Sutt, ministre du commerce et des technologies de l’information de la République d’Estonie. Le sujet du numérique prend effectivement une importance croissante et la covid est d’ailleurs à l’origine d’une utilisation nettement plus large du numérique de notre part. Cette évolution va de pair avec un plus grand besoin de cybersécurité.

Je souhaite d’abord présenter le contexte de mon pays et les étapes que nous avons franchies en Estonie. L’Estonie est célèbre pour son développement numérique et elle accorde une grande importance à ce sujet. Notre population est peu nombreuse. Nous sommes convaincus que le numérique constitue un moteur de la croissance non seulement pour nos entreprises mais aussi pour notre société.

En Estonie, la société numérique et le numérique ne se sont évidemment pas construits en une journée. Ce long processus s’est développé au cours des vingt dernières années, de façon graduelle, permettant à la société et aux entreprises de devenir beaucoup plus efficaces. Actuellement, 99 % des services publics sont en ligne en Estonie. Il s’agit d’un point très important pour le développement du pays. Cette évolution a fait entrer la population estonienne dans un monde numérique. Cette transformation numérique et technologique est bénéfique pour tous.

Plus généralement, si nous voulons que l’Union européenne devienne un leader mondial dans le domaine du numérique, il faut absolument faire en sorte que nous disposions d’un marché unique numérique. La souveraineté numérique est également essentielle et il nous faut identifier les technologies clés et les domaines d’action fondamentaux de manière à pouvoir être innovants dans tous ces domaines.

Il est également important que notre positionnement soit équilibré, que nous connaissions nos forces et nos faiblesses et que nous bénéficiions d’un environnement où l’innovation soit favorisée par l’Union européenne. Cela signifie en particulier que notre souveraineté dans le domaine du numérique doit nous aider à accroître encore notre compétitivité. Nous ne devons pas nous isoler mais nous appuyer sur nos forces pour construire une compétitivité européenne par rapport au reste du monde.

Nous devons aussi nous assurer d’être correctement positionnés dans la chaîne mondiale d’approvisionnement. Nous connaissons tous les avantages de disposer d’un marché libre, équilibré et ouvert. Un tel marché doit exister dans le domaine des services numériques. Plus nous pourrons progresser au niveau européen sur ce point, plus nos entreprises, nos villes et nos citoyens pourront en bénéficier. Nous disposerons ainsi d’une position compétitive dans le monde.

Les Premiers ministres du Danemark, de l’Allemagne, de la Finlande et de l’Estonie ont envoyé une lettre au président de la Commission pour proposer de renforcer et d’accélérer la souveraineté numérique de l’Union européenne. De plus, une bonne et solide coopération avec nos alliés stratégiques dans le reste du monde constitue un point très important.

Nous nous sommes beaucoup préoccupés de la numérisation des services publics. La pierre angulaire de notre politique a été la création de systèmes de communication extrêmement résistants, avec une colonne vertébrale juridique vraiment solide.

Par exemple, en Estonie, la carte d’identité est obligatoire et nous l’avons rendue numérique. Notre « mantra » pour réaliser cette numérisation a consisté à utiliser des systèmes simples et non une grande base de données qui se serait avérée extrêmement lourde. La simplicité est en effet essentielle, ainsi que la rapidité et l’interopérabilité des différentes bases. Des milliers d’organisations privées et publiques utilisent ce système pour échanger des données.

La cybersécurité représente une autre priorité. En tant que ministre, l’une de mes priorités vise précisément à assurer que tous nos systèmes fonctionnent bien et en toute sécurité. Dans ce sens, nous avons suivi un certain nombre de principes clés. En particulier, nous avons évité l’existence de doublons. Avons-nous réussi à 100 % à créer un système simple et efficace ? Probablement pas et il reste bien entendu des améliorations à opérer.

Dans le passage des anciens aux nouveaux systèmes et dans la transition vers les nouveaux services numériques, la transparence et la confiance du public étaient nécessaires. De même, il était indispensable que les entreprises et les citoyens retrouvent leurs données et y accèdent sans difficulté et que nous nous appuyions sur un environnement ouvert qui puisse facilement être utilisé par le Gouvernement, les citoyens et les entreprises.

Enfin, une valeur clé de notre point de vue tenait au fait que le système devait être centré sur l’utilisateur : son utilisation devait être facile et il devait permettre d’améliorer la vie quotidienne de nos citoyens et de nos entreprises.

Nous avons tiré de notre expérience un certain nombre de leçons. La première est l’importance de la simplicité. Pour cette raison, nous avons dû progresser étape après étape, en évitant le développement d’un énorme système qui serait très lourd et probablement peu efficace. Avancer petit à petit est une méthode qui s’est révélée efficace, mais il est essentiel qu’au final, le design soit bon et le système globalement bien conçu. Les plateformes partagées ont permis une implémentation plus rapide et efficace. Enfin, la confiance du public et la transparence sont des points clés.

La coopération entre le privé et le public a, elle aussi, été fondamentale dans ce domaine du numérique. Nous pensons qu’il s’agit de l’un de moteurs du développement d’une société numérique. Des amendements ont récemment été apportés à notre législation de manière à ce que le Gouvernement puisse mettre à disposition de tous des logiciels libres pour travailler. Les codes sont ainsi totalement ouverts : les entreprises les connaissent, peuvent les utiliser et les modifier pour participer au développement de nouvelles solutions et de nouveaux produits. Nous avons besoin de cette souplesse. En particulier, dans les processus d’achat, ces partenariats nous permettent de travailler ensemble à des solutions conceptuelles. Tous les codes sont stockés dans des bases de données. Ils peuvent être utilisées aussi bien par les services publics que par des organismes privés. Les entreprises conservent les références de leur travail qui peut bénéficier à tous et être utilisé pour tous les développements ultérieurs.

Nous pensons qu’il est essentiel de construire un service numérique public qui ne s’assimile pas à « une énorme machine » mais un service qui bénéficie de la coopération avec le privé et l’industrie. Cette coopération entre le public et le privé nous permettra en effet d’aboutir à de meilleures solutions.

En ce qui concerne l’éducation et les compétences dans le domaine numérique, nous devons nous assurer que le plus grand nombre de citoyens puisse apprendre à utiliser le numérique et les technologies modernes. Nous travaillons à inclure dans ces démarches le plus grand nombre de personnes, par exemple en apprenant la robotique aux enfants. Ceux-ci sont, certes, habitués à se servir du numérique mais il ne s’agit pas uniquement de l’utiliser à des fins ludiques : ils doivent en réalité en avoir une compréhension qui leur permette également de créer et d’innover. Nous avons également mis en place des initiatives telles que le Digital girls squad : il s’agit d’une association qui encourage les jeunes filles à travailler dans le domaine du numérique et les aide à se familiariser avec ce secteur.

L’Intelligence artificielle prend de plus en plus d’importance. Nous devons donc nous y adapter. Nous avons besoin de connexions Internet extrêmement rapides et efficaces. En Estonie, la densité de population est très faible et nous voulons être certains que toutes les écoles, toutes les maisons, tous les appartements, tous les ménages aient accès à une connexion de qualité et rapide.

L’apprentissage tout au long de la vie est fondamental. Nos concitoyens doivent comprendre qu’ils devront apprendre durant toute leur vie. La société numérique ne sera une réussite que si les citoyens peuvent utiliser tous les moyens numériques existants. Nous avons donc mis en place des programmes d’enseignement tout au long de la vie.

En ce qui concerne l’initiative européenne de Data governance Act (DGA), Digital market Act (DMA) et Digital services Act (DSA), nous approuvons totalement la création d’une économie européenne des données numériques. Nous avons en effet besoin d’être compétitifs à l’échelle mondiale et de telles initiatives peuvent nous permettre de l’être.

Nous exprimons toutefois quelques préoccupations. En particulier, cette approche européenne doit bien prendre en compte la gouvernance des données et nous offrir l’occasion d’innover. Il convient d’éviter un excès de réglementations mais plutôt d’assurer une fluidité qui permette l’efficacité. Nous devons également être certains que le système ne désavantage pas les petites et moyennes entreprises (PME), qu’il ne décourage pas les start-up. Les PME et les start-up sont en effet des éléments critiques pour le développement de notre économie et pour sa croissance.

L’ensemble du développement du système numérique doit avoir lieu horizontalement, c’est-à-dire en tenant compte de tous les aspects de notre économie et en créant des incitations – telles que des instruments financiers – pour encourager l’adoption de solutions numériques.

L’interopérabilité des données au niveau européen est aussi importante. Nous serons forts si nous parvenons à créer une économie numérique solide qui s’applique à l’ensemble de l’Union européenne. Nous approuvons le DSA qui constitue à notre avis un moyen d’harmoniser tous les services au niveau de l’Union européenne. Il est également essentiel pour nous que nous puissions éliminer les contenus illégaux sur la toile et ailleurs. La clarté et la transparence juridique sont nécessaires pour y parvenir. Nous sommes prêts à coopérer avec tous les États membres pour renforcer le principe du pays d’origine.

Même si tous les États membres ne partagent pas cette opinion, nous pensons important d’établir un lien entre la taille des entreprises et les règles applicables de manière à ce que les PME et les start-up ne soient pas pénalisées par un fardeau administratif excessif qui entraverait leur utilisation du numérique. De façon générale, un bon équilibre est nécessaire entre la taille des entreprises, leur capacité à accéder à des marchés plus lointains et plus grands et leur responsabilité en matière de sécurité. Le secteur du marché numérique doit se protéger, offrir un niveau de sécurité satisfaisant pour être bien utilisé, tout ceci devant se fonder sur des preuves et des éléments probants. La protection des données est essentielle pour la réussite.

Les gate keepers ont un rôle important à jouer pour la confiance, la sécurité, la protection des données et l’adoption par les utilisateurs de ces moyens en ligne dans un monde qui devient de plus en plus électronique.

Comme dans tout domaine, le secteur du numérique devra être doté d’une réglementation évolutive, qui tienne compte des changements extrêmement rapides qui se produisent dans ce domaine. Sur un marché qui évolue très vite, la réglementation doit elle-même s’adapter en conséquence. Les réglementations doivent donc être dynamiques et à l’écoute de l’évolution du marché numérique.

Enfin, nous devons travailler à une large harmonisation au sein de l’Union européenne. Si le marché européen du numérique est fragmenté, ses avantages seront dilués. Nous avons aussi besoin de construire nos forces et de tirer parti de nos avantages dans le marché du numérique en Europe. L’Union européenne constitue en effet un marché de 500 millions d’habitants. Elle représente ainsi un très grand bloc commercial – le troisième au monde – et nous devons être leaders dans ce secteur du numérique.

M. Philippe Latombe, rapporteur. Nous avons reçu hier le vice-ministre de la défense de Lituanie qui nous a expliqué sa vision géopolitique et géostratégique du numérique. Pour lui, la menace principale est constituée par la Chine tandis que la menace principale en matière de cybercriminalité provient plutôt de la Russie. Il considère qu’il est absolument nécessaire que l’ensemble des pays européens coopèrent de façon très étroite avec les États-Unis pour défendre la vision démocratique de l’Occident dans le monde.

Partagez-vous totalement cette vision ou avez-vous une position plus proche de celle de certains pays qui souhaitent que l’Europe suive une troisième voie, entre la Chine et les États-Unis ? Cette troisième voie se rapprocherait évidemment de celle des États-Unis, mais tout en s’assortissant d’une certaine indépendance.

M. Andres Sutt. La géopolitique s’applique bien entendu aussi aux domaines du numérique et de la cybersécurité. Les liens transatlantiques entre l’Union européenne et les États-Unis sont extrêmement forts et ces liens sont à l’avantage des deux parties. L’ordre mondial a bénéficié au monde entier et à tous les pays au cours de ces trente dernières années. Nous avons beaucoup à gagner à poursuivre cette alliance stratégique avec les États-Unis. Certes, nous avons parfois des différends et sommes concurrents dans certains domaines, mais nous sommes fondamentalement du même côté. Ce lien transatlantique fort va dans l’intérêt de l’Union européenne dans son ensemble mais aussi de chacun de ses membres.

Dans le domaine de la cybersécurité, nous constatons un nombre croissant d’attaques, celles-ci étant de plus en plus sophistiquées. Nous approuvons en matière de défense la définition d’une cible de dépenses de 2 %. De même, nous sommes également d’accord avec le principe qui consisterait à nous doter d’un objectif de dépenses de cybersécurité. Il serait vraiment formidable que nous partagions un même objectif.

M. Philippe Latombe, rapporteur. Ma deuxième question porte sur vos projets en matière d’administration et d’e-administration. Vous avez été les pionniers de l’e-identité et de l’e-administration. D’autres pays européens comme le Luxembourg ont, eux aussi, innové en créant des e-ambassades. Quels sont aujourd’hui les projets de l’Estonie pour continuer à se trouver au sommet de l’état de l’art sur ces sujets ? La blockchain par exemple est-elle un outil que vous développerez pour améliorer encore l’efficacité de votre administration ?

Je sais que vous avez échangé hier avec Mme Amélie de Montchalin, ministre de la transformation et de la fonction publiques. Sans dévoiler des secrets, avez-vous évoqué avec elle des sujets et des bonnes pratiques que nous pourrions élaborer ensemble ?

M. Andres Sutt. Effectivement, nous avons eu une discussion très intéressante avec la ministre, Mme Amélie de Montchalin, et j’ai été très heureux de voir tout ce que nous avons en commun. Par exemple, 99 % de tous nos services publics sont en ligne, tandis qu’en France, 87 % le sont : en particulier, 250 services publics utilisés très fréquemment sont déjà en ligne.

Nous partageons la même manière d’appréhender la question et de traiter les services existants. Nous devons cependant encore nous améliorer sur ce point en Estonie : nous devons en effet refaçonner un certain nombre d’anciens systèmes puisque, le temps passant, ces systèmes ont fini par vieillir depuis vingt ans. En outre, nous souhaitons investir davantage dans l’aspect opérationnel et non simplement dans le développement. Nous devons faire en sorte que les services existants soient faciles à utiliser et fonctionnent bien.

La cybersécurité représente une question très importante. Nos services publics sont maintenant basés sur l’Intelligence artificielle et la reconnaissance vocale. Par exemple, les citoyens reçoivent des messages pour les avertir que leur permis de conduire a expiré ou qu’ils doivent renouveler certaines demandes. Votre système de déclaration d’impôts préremplie ressemble à ce que nous faisons en Estonie. Nous devons maintenant faire en sorte que les services publics soient plus faciles à utiliser pour les citoyens, faute de quoi ils se plaignent, sont découragés et n’ont pas envie d’utiliser ces services.

L’interopérabilité des données est essentielle, en particulier le fait que les bases de données du Gouvernement soient partagées. Même si une donnée ne se trouve pas dans telle base, les citoyens doivent pouvoir l’obtenir grâce aux liens entre les différentes bases de données.

Nous devons également passer à une économie en temps réel grâce à l’Intelligence artificielle, ce qui pourrait nous permettre d’économiser 200 millions d’euros par an, soit 14 millions d’heures travaillées pour une population de 1,3 million de personnes.

Il nous reste donc encore beaucoup à accomplir pour que ces services soient vraiment réactifs et que l’Intelligence artificielle réalise un certain nombre de tâches que les citoyens n’auront alors plus à effectuer.

M. Philippe Latombe, rapporteur. Je poserai une dernière question qui s’adresse véritablement au ministère du commerce et des technologies de l’information de la République d’Estonie. Dans le domaine juridique, la Cour de justice de l’Union européenne a fait l’actualité depuis un peu plus d’an en invalidant par l’arrêt Schrems II, le Privacy Shield pour contrer le Cloud Act puis avec l’arrêt Prokuratuur dans votre pays et l’arrêt « La Quadrature du Net » en France.

Sans que ma question concerne cet arrêt en particulier, comment appréhendez-vous l’intégration du droit proposé par la Cour de justice de l’Union dans votre droit national ? Suivez-vous ce problème au quotidien en l’intégrant directement dans votre droit ou prenez-vous un peu de temps avant de procéder à cette intégration ?

La question s’est notamment posée en France avec l’arrêt « La Quadrature du Net » ou Prokuratuur. Nous savons que la Cour de justice veut s’exprimer de plus en plus sur le droit et harmoniser autant que possible les différents droits au sein de l’Union. Cela est-il une source de préoccupations pour vous ? Cela monopolise-t-il une partie de votre temps ?

M. Andres Sutt. L’intégration de la législation au niveau européen fait l’objet d’un accord accepté par tous, États membres et Parlement européen. Nous intégrons donc, comme vous, la législation européenne dans notre législation nationale et nous respectons les délais : c’est une simple question de bonne intendance.

Je répondrai, si vous me le permettez, par écrit à votre question sur la Cour européenne de justice.

Mme Marietta Karamanli. Lorsque j’étais présidente de la mission d’information sur l’identité numérique, nous avons suivi les projets que vous avez portés au sein de votre pays. Vous êtes pour nous un exemple. Je suis actuellement rapporteure sur la décision de la Cour de justice en tant que secrétaire de la commission des affaires européennes et nous avons justement rapporté la semaine dernière sur cette décision. Je serais intéressée par votre point de vue sur l’intégration du droit européen sachant que, pour nous, en tant que membres de la commission des lois, le droit de l’Union est juridiquement supérieur. Il s’inspire de la jurisprudence des uns et des autres, ce qui permet d’améliorer les réponses apportées.

Je reviens à ce que vous avez expliqué de manière très détaillée sur le développement de la souveraineté numérique que vous avez mis en œuvre dans votre pays. De manière opérationnelle, quelles sont les personnes qui ont développé le service et la plateforme numérique en Estonie, au plan national ? Qui conserve les données ? Quelles sont les garanties données aux citoyens pour assurer la confiance et la transparence ?

M. Andres Sutt. Je répondrai tout d’abord à vos dernières questions. Le point le plus fondamental tient au fait que les données doivent être la propriété des citoyens. La confiance des citoyens est essentielle et nécessite une totale transparence : chacun doit voir qui a accès à son dossier, à ses fichiers

Par exemple, je vis à Tallinn où la municipalité met en place une carte de transport réservée aux habitants de la ville. Il faut donc être inscrit comme habitant de la ville de Tallinn pour en bénéficier. Si je consulte mes dossiers, j’y verrai que la municipalité de Tallinn a vérifié que je suis bien habitant de cette ville. De la même manière, vous pouvez bloquer l’accès à votre dossier médical si vous souhaitez que personne ne voie vos données médicales, pas même votre docteur. Vous en avez la possibilité parce que ce sont véritablement vos données. C’est là un point extrêmement important.

Autre aspect essentiel, tout incident doit être signalé publiquement. Nous avons par exemple connu des incidents avec le système de carte d’identité numérique et nous avons toujours rendu ces incidents publics de manière à ce que nos concitoyens en aient connaissance et sachent également que le risque a été éliminé. Cela participe de la confiance que le citoyen accorde au système.

Qui a développé le système ? Ce projet a été partagé entre le secteur privé et le secteur public. Les sociétés de technologie ont apporté une aide importante. Au départ, les deux forces motrices étaient les banques et les sociétés de télécommunications qui voulaient numériser une très large partie de leurs services et les mettre en ligne pour améliorer la qualité de vie des citoyens.

Quoi que nous fassions, il reste fondamental que les citoyens soient au centre du projet. Il faut que la numérisation apporte un avantage au citoyen et que celui-ci bénéficie de systèmes plus rapides et meilleurs.

Je souligne que notre expérimentation a représenté un véritable cheminement et ne s’est donc pas construite en un jour. Pour être franc, nous n’avions pas planifié, voici vingt-cinq ans, que nous aboutirions aujourd’hui à 99 % de nos services publics en ligne. Cette évolution a été progressive et, au fur et à mesure que nous avons progressé, nous avons rencontré des problèmes que nous avons résolus. Tout cela s’est fait au fil de l’eau avec une grande coopération entre public et privé.

Ce principe a fonctionné en Estonie et je crois que d’autres pays y sont aussi parvenus. Nous serions très heureux de coopérer avec vous.

Pouvez-vous dupliquer le même système ? Il faut tenir compte des cultures, des préférences mais, d’un point de vue conceptuel, nous pouvons tout à fait partager notre expérience comme nous l’avons déjà fait avec d’autres pays, notamment des pays en voie de développement, pour les aider à construire une société numérique.

Je suis aussi ici pour apprendre de vous, apprendre de ce que vous avez pu faire mieux que nous et, également, apprendre des erreurs que vous avez commises et que nous pourrions éviter en les partageant. Il s’agit donc, pour moi, d’un dialogue dans les deux sens.

M. Philippe Latombe, rapporteur. Je vous remercie, M. le ministre, d’être venu répondre à nos questions dans votre agenda contraint. Vous êtes pour nous une sorte de boussole, grâce à ce que vous avez construit et au cheminement de votre e-administration. Je vous laisse le mot de la fin, si vous souhaitez porter des points particuliers à notre attention.

M. Andres Sutt. C’est pour moi un honneur d’être présent ici aujourd’hui, alors que nous fêtons le centième anniversaire des relations diplomatiques entre la France et l’Estonie. C’est un événement très important pour moi et je suis donc personnellement très content de me trouver en France.

La France est un allié fondamental pour l’Estonie. Nous coopérons d’une excellente manière dans le domaine de la défense et dans celui du numérique. Nous devons poursuivre et développer nos échanges, de même que nos investissements réciproques ou les flux touristiques entre nos deux pays. Les temps actuels sont singuliers, mais nous allons dans la bonne direction.

Être présent à Paris est pour moi très important car la France est un membre fondateur de l’Union européenne. Elle est au centre de l’Europe alors que nous nous trouvons à l’extrémité nord-est de notre continent. Je pense que nous devrions être forts, unis, ambitieux à l’échelle mondiale, pour le plus grand bien de nos citoyens.

([1]) La composition de cette mission figure au verso de la présente page.