Souveraineté numérique : le « grand soir » n’aura pas lieu

La géopolitique, premier moteur d’une reconquête numérique

Il n’est pas possible de créer « du jour au lendemain » les champions industriels du numérique que l’Europe n’a pas su faire émerger au cours des dernières années, explique l’élu. Mais si cet enjeu revient sur le devant de la scène, c’est désormais pour des questions de continuité d’activité.

Nicolas Guillou, juge à la Cour Pénale Internationale (CPI), est cité en exemple pour illustrer ce risque. Le magistrat s’est vu « déplatformé » du jour au lendemain, perdant l’accès à ses comptes PayPal et à ses moyens de paiement – entre autres.

La dépendance à des briques comme Office 365 ou Okta transforme un simple choix technique en un risque de « mort subite » opérationnelle en raison de décisions géopolitiques. La perspective représenterait un véritable « cauchemar » pour les entreprises et administrations.

La souveraineté est ainsi perçue comme un moyen de se protéger contre des puissances étrangères capables de désactiver des réseaux comme Starlink ou des services applicatifs critiques sur un simple revirement diplomatique.

Éric Bothorel milite dès lors pour une troisième voie portée par l’Europe. Cette voie refuse l’alignement sur le « Far West » américain ou le modèle de surveillance chinois, précise le député. Face aux fluctuations politiques outre-Atlantique, la nécessité de ne pas « baisser la garde » est impérieuse, poursuit-il.

Cloud : une dictature du contrat

Le débat sur la souveraineté aurait désormais changé de dimension. L’étape du pourquoi serait ainsi derrière nous. La phase du moment serait celle du comment.

Mais le passage se heurte à une réalité contractuelle brutale. Alain Garnier et Olivier Iteanu dénoncent la « dictature du contrat d’adhésion » imposée par les hyperscalers.

Ces acteurs dictent unilatéralement des augmentations de tarifs (souvent 15 à 20 %) et des montées de versions forcées, sans aucune marge de négociation. Le cadre juridique actuel, notamment l’EU-U.S. Data Privacy Framework (DPF), est perçu par les experts comme un compromis politique fragile.

Alain Garnier met cependant en garde contre la tentation d’un modèle « Soviétique 2.0 ». Si l’État tente de substituer à l’offre privée des solutions étatiques isolées, le risque est de produire des outils orphelins.

« Le remplacement des géants américains ne pourra se faire et se construire que dans la durée. »

Sans maintenance industrielle pérenne, ces initiatives meurent en « version 1.0 », gaspillant les fonds publics sans offrir d’alternative viable à la filière privée française. Le dirigeant de l’éditeur n’adhère clairement pas à la stratégie de la Dinum en faveur du déploiement de LaSuite.

Face à des acteurs américains qui « ne jouent pas le jeu », Alain Garnier incite vivement les Délégués à la protection des données (DPO) à intégrer une dimension de souveraineté dans leurs missions et à se comporter en « sourceurs » d’outils français ou européens.

Éric Bothorel souligne cependant les qualités techniques des outils des grands fournisseurs américains, fruits de dizaines de milliards de dollars investis sur de nombreuses années. Face à ces solutions très abouties, il est parfois difficile de trouver une alternative immédiate sur le marché européen, nuance-t-il.

Des leviers juridiques sous-utilisés ou perfectibles

Avocat spécialisé dans les questions numériques, Olivier Iteanu aborde la thématique de la souveraineté technologique sous l’angle du droit et de la responsabilité.

Le marché du cloud est dominé à plus de 80 % par des hyperscalers américains. Ces fournisseurs imposent à leurs clients des contrats d’adhésion totalement non négociables, constate-t-il. Face à cette asymétrie, il estime que le RGPD constitue un atout indispensable. de droit public qui peut servir de levier de défense.

Le juriste met en outre en garde contre l’attentisme et affirme qu’il ne faut pas s’en remettre uniquement aux décisions venant « d’en haut ».

Cet appel est notamment motivé par des signaux politiques contraires. Est en particulier cité le Cyber Security Act 2, qui a finalement écarté l’idée d’un label cloud européen strict. Ce label, comme envisagé au départ, aurait imposé une majorité de capitaux européens et une localisation en Europe.

« Si un sous-traitant met en danger les données des personnes concernées, il faut impérativement le “rappeler à l’ordre du droit”. »

Olivier Iteanu plaide par ailleurs pour une simplification de l’engagement de la responsabilité en cas de faute. L’avocat regrette la complexité actuelle de l’action de groupe en justice. Pour y remédier, il propose de s’inspirer du droit de la concurrence.

Si la CNIL sanctionne une entreprise et que cette décision est confirmée en dernier recours par le Conseil d’État, cela devrait créer une « présomption irréfragable de faute », considère-t-il. Une telle disposition permettrait aux entreprises victimes de poursuivre les géants du numérique beaucoup plus facilement.

Concernant les pratiques abusives des sous-traitants, l’avocat plaide pour un recadrage. Lorsqu’un sous-traitant modifie unilatéralement ses pratiques, s’appuyer sur la notion de « déséquilibre significatif » du code civil est devenu difficile depuis une décision de la Cour de cassation en 2022.

Néanmoins, il exhorte les responsables de traitement à se rattacher, là encore, aux grands principes du RGPD. Si un sous-traitant met en danger les données des personnes concernées, il faut impérativement le « rappeler à l’ordre du droit ».

Sans risque de réparation financière massive, la régulation perd son pouvoir dissuasif. Les entreprises doivent donc cesser d’attendre une protection descendante de l’État pour devenir les propres stratèges de leur défense juridique et technique.

Vers un rééquilibrage : certifications, concurrence et volonté industrielle

Le salut ne viendra pas non plus de la multiplication des certifications (ISO 27001, SecNumCloud). Les coûts associés, qui peuvent atteindre 2 millions € pour SNC, ne sont pas indolores pour les fournisseurs français.

Le rééquilibrage du rapport de force reposerait sur trois leviers identifiés par les intervenants de la table ronde. Premièrement, plus de pragmatisme réglementaire. Cela passerait par un encadrement strict des transferts forcés et par des sanctions en l’absence d’alternatives lors des notifications de sous-traitance.

Sofia Smirnova, DPO de l’ETI GT Solution, signale que les fournisseurs se contentent souvent de notifications laconiques par mail pour annoncer de nouveaux transferts hors Europe, ne laissant aucune possibilité d’opposition au client captif.

Second levier d’action, pour le moins intéressé, défendu par Alain Garnier : le soutien à la filière logicielle. La nouvelle doctrine de l’État doit privilégier le soutien aux éditeurs privés français plutôt que le développement de briques étatiques non maintenues.

Olivier Iteanu propose quant à lui de mobiliser l’Autorité de la Concurrence pour sanctionner les abus de position dominante liés aux clauses de licences IA « irrévocables ». Sofia Smirnova confirme l’exigence par certains prestataires de licences mondiales, perpétuelles et irrévocables sur les données pour entraîner leurs algorithmes d’IA. Ces licences sont dénoncées comme une forme inédite de prédation des actifs métiers.

La défense de la souveraineté numérique plaiderait en faveur d’un élargissement du périmètre du DPO qui s’affranchirait ainsi de son seul rôle de garant de la conformité pour devenir un « sourceur » stratège et le pivot essentiel de la défense des intérêts vitaux de l’organisation. Mais est-ce réellement au DPO d’assumer cette responsabilité ? Ou au comité de direction de l’entreprise ?