Questions

La question

M. Philippe Latombe interroge M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, sur la redevance copie privée. Alors que les actuels barèmes de la redevance copie privée (RCP) imposent des montants déjà élevés sur les supports de stockage, jusqu'à 14 euros HT de redevance par exemple sur les tablettes et les smartphones proposant un stockage supérieur à 64 Go, les ayants droit de la RCP cherchent à faire adopter une nouvelle grille tarifaire leur permettant de percevoir jusqu'à 24 euros HT par smartphone, 26 euros HT par tablette et à faire entrer un nouveau produit dans le champ de la taxation : les ordinateurs (30 euros HT, maximum). Au-delà de l'injustice que constitue une taxe fixe qui pénalise fortement les entrées de gamme et le reconditionné et donc les consommateurs les moins fortunés, ce mode de taxation, qui consiste à taxer sans discernement tout support qui pourrait potentiellement être utilisé pour stocker de la musique ou des films, est totalement en décalage avec les usages actuels : les ayants droit bénéficient déjà d'une rémunération sur les flux, plus précise et quantifiable. On pourrait d'ailleurs aussi envisager une redevance copie privée pour l'utilisation de contenus par l'IA. La loi n° 2021-1485 du 15 novembre 2021 visant à réduire l'empreinte environnementale du numérique en France imposait au Gouvernement de remettre au Parlement, au plus tard le 31 décembre 2022, une étude des impacts économiques de la rémunération pour copie privée, en particulier sur les supports d'enregistrement d'occasion au sens de l'article L. 321-1 du code de commerce. M. le député s'étonne que ce travail, qui devait formuler des scénarii d'évolution possible de cette rémunération, n'ait toujours pas été finalisé quatre ans plus tard. Dans le contexte discutable d'une commission copie privée où les ayants droit détiennent 50 % des sièges, il souhaite savoir quelles mesures le Gouvernement envisage de prendre pour réformer ce mode de taxation, afin de le rendre plus pertinent et plus juste.

Réponse

Une rémunération pour copie privée (RCP) au profit des ayants droit est prévue à l'occasion de la vente de supports permettant de copier des uvres protégées (smartphones, tablettes, clés USB, etc.) afin de compenser le préjudice qu'ils subissent du fait de ces copies. Les barèmes sont déterminés, sur la base d'études d'usages, par une commission présidée par un représentant de l'État et composée, en outre, pour moitié, de personnes représentant les bénéficiaires du droit à rémunération, pour un quart, de personnes représentant les fabricants ou importateurs des supports et, pour un quart, de personnes représentant les consommateurs. Cette rémunération constitue une part substantielle des ressources des ayants droit et est une composante importante du financement de la vie culturelle française puisque 25 % des sommes collectées sont affectées à des actions d'aide à la création. La loi n° 2021-1485 du 15 novembre 2021 visant à réduire l'empreinte environnementale du numérique en France impose au Gouvernement de remettre au Parlement un rapport de bilan général sur le dispositif de rémunération pour copie privée. Celui-ci, publié en 2022, formule plusieurs recommandations, dont celle d'actualiser la méthodologie de calcul de la rémunération pour copie privée au regard notamment des usages numériques. Après plus d'une année de travail en vue de l'amélioration de la fiabilité statistique des études d'usage, la commission a commandé à l'institut CSA la réalisation d'études sur trois supports (smartphones, tablettes, ordinateurs) neufs et reconditionnés. Conformément aux recommandations du rapport des inspections, le questionnaire administré aux sondés a été remanié, le mode d'interrogation en face à face a été privilégié et le panel des sondés a été considérablement élargi. Sur la base du résultat de ces études d'usages, la commission travaille désormais à l'adoption de nouveaux barèmes pour les principaux supports de copies, en distinguant, pour chacun d'entre eux, les supports neufs des supports reconditionnés. Les premières propositions de barèmes, formulées par les représentants des titulaires de droits, ont depuis lors été complétées par les propositions des fabricants et importateurs de supports. Les débats se poursuivront au sein de la commission dans les prochains mois. Dans ce cadre, la commission demeurera extrêmement vigilante à l'impact de la rémunération sur les marchés concernés. À cet égard, le Gouvernement n'ignore pas les dispositions du dernier alinéa de l'article 20 de la loi du 15 novembre 2021, prévoyant une étude des impacts économiques de la rémunération pour copie privée, en particulier sur les supports d'enregistrement d'occasion. Cette étude est en cours de réalisation par les services du ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, et ses résultats devraient être connus avant la fin de l'année 2026. Les études d'usage ont également mis en évidence un nombre significatif de copies privées réalisées sur les disques durs d'ordinateurs neufs et reconditionnés. C'est la raison pour laquelle la commission envisage d'assujettir ces supports à la rémunération pour copie privée, conformément à l'article 5, paragraphe 2, sous b), de la directive 2001/29/CE qui prévoit que les titulaires de droits doivent nécessairement recevoir une compensation équitable en contrepartie du préjudice résultant de la reproduction de leurs uvres sans autorisation. La commission prévoit toutefois d'exonérer du paiement de cette rémunération le parc professionnel des ordinateurs, afin de tenir compte de leurs usages.

La question

M. Philippe Latombe interroge M. le Premier ministre sur l'exigence de détection souveraine pour les systèmes critiques des OIV. À la suite, il y a dix mois, du vote en commission spéciale du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dont M. le député était le président, le directeur de l'ANSSI a clairement exprimé, dans un long message sur LinkedIn , le fait qu'il n'était pas question d'abandonner l'exigence de détection souveraine pour les systèmes critiques des OIV. Il soulignait alors que la France bénéficiait déjà de solutions souveraines, mais qu'il était important de prendre en compte l'évolution de l'état de l'art dans le domaine des EDR , NDR actifs, analyses de logs , pour en simplifier la mise en œuvre et en améliorer l'efficacité et les résultats. Les quatre industriels français concernés se sont pliés à cette exigence et ont signalé dernièrement à M. le député leur incompréhension de voir privilégiées in fine des solutions américaines, ce qui constituerait une vulnérabilité future parfaitement évitable, en contradiction avec l'exigence de détection souveraine figurant dans le code de la défense depuis 2013. Il lui demande la justification de telles décisions annoncées en catimini, semble-t-il, à des OIV, depuis plusieurs mois.

La question

M. Philippe Latombe appelle l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur les pratiques commerciales de PC SOFT depuis son rachat par Two Squared France II. En novembre 2024, PC SOFT, éditeur français de la suite de développement logiciel WinDev, WebDev et WinDev Mobile, qui a permis depuis quarante ans à des milliers de développeurs, de TPE, de PME, d'éditeurs et de services informatiques de concevoir des applications utilisées par un très grand nombre d'utilisateurs, passait en toute discrétion entièrement sous le contrôle de Two Squared France II. Le président de cette entité, John Isak, est Chief Investment Officer chez Volaris Group, une filiale de Constellation Software Inc., un groupe canadien coté en bourse, spécialisé dans le rachat de sociétés éditrices de logiciels de niche à base captive. Cet acteur applique un principe clairement identifié : il repère des éditeurs de logiciels métiers dont les clients ne peuvent pas migrer facilement et rapidement, parce que leurs données, leurs processus et leur formation sont irrémédiablement liés au produit. Il rachète puis, peu à peu, convertit les licences perpétuelles en abonnements récurrents, augmente progressivement les tarifs et maximise le flux de trésorerie sortant vers les actionnaires. S'ajoute une seconde couche de rémunération avec une redevance sur les applications déployées chez les clients finaux, qui n'ont pourtant aucune relation contractuelle avec cet éditeur qui ne leur fournit ni hébergement, ni infrastructure, ni support. En bref, un véritable racket systématisé à l'échelle d'un écosystème. Dans le cas de WinDev, le langage de programmation propriétaire au cœur des outils PC SOFT, le WLangage, n'existe nulle part ailleurs, la captivité est donc totale. Il lui demande comment ce dossier a pu échapper à la vigilance du service de l'information stratégique et de la sécurité économiques (SISSE) et quelles mesures pourraient être envisagées pour protéger les développeurs et les clients finaux de telles pratiques.

La question

M. Philippe Latombe alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l' EUDI Wallet . Le règlement eIDAS révisé approuvé en mai 2024 impose qu'à partir du 21 novembre 2026, les États membres de l'UE fournissent à leurs citoyens, résidents et entreprises, un portefeuille européen d'identité numérique ( EUDI Wallet ), leur permettant de s'identifier ou de fournir la confirmation de certaines données personnelles. De plus, les organismes du secteur public, les entreprises privées nécessitant une authentification forte et les grandes plateformes pour l'identification en ligne seront obligés, dès cette date, d'accepter ces EUDI Wallet comme méthode d'authentification valide. Pour évaluer la souveraineté du dispositif prévu, il convient de raisonner par couche, car la dépendance ne résulte pas d'un seul choix mais de leur cumul. Or la cartographie de la dépendance par couche, qui se joue surtout sur le transport et l'exécution (DC API, navigateurs, OS), montre que l'identité régalienne de 450 millions d'Européens transite par des API contrôlées par deux entreprises américaines. Alors que le Gouvernement affiche un discours décomplexé en matière de souveraineté numérique et d'autonomie stratégique, on ne peut que s'étonner de tels choix. Il souhaite savoir si, soucieux de mettre en accord ses paroles et ses actes, celui-ci envisage de financer des implémentations européennes de référence, d'imposer des exigences d'opérabilité souveraine (hébergement, capacité de fork , indépendance d'exécution) et de remettre les actifs français ou européens dans la boucle normative.

Réponse

Le European Digital Identity Framework regroupe le règlement (UE) 2024/1183 qui vise à permettre aux citoyens et résidents de l'Union européenne de disposer d'un portefeuille européen d'identité numérique, ainsi que la proposition de règlement (UE) COM/2025/838 qui vise à doter l'ensemble des acteurs économiques européens d'un portefeuille d'identité numérique des entreprises. Ce cadre réglementaire vise à mettre en œuvre des portefeuilles européens d'identité numérique sécurisés, interopérables à l'échelle de l'Union, et garantissant un haut niveau de protection des données ainsi qu'une maîtrise par leurs utilisateurs. Le Gouvernement soutient le fait que la souveraineté d'une telle infrastructure doit être appréciée sur l'ensemble de la chaîne technique (délivrance des identités, applications, protocoles, terminaux, systèmes, navigateurs et infrastructures), afin d'éviter toute dépendance excessive à un nombre limité d'acteurs, notamment non européens. Les interfaces permettant l'usage du portefeuille depuis un navigateur ou entre plusieurs appareils répondent à un objectif d'adoption par le plus grand nombre, en proposant aux usagers une expérience simple et compatible avec les usages numériques existants. Elles ne déterminent pas, en elles-mêmes, le contenu des données d'identité échangées, qui demeure encadré par les protocoles de présentation retenus au niveau européen, ainsi que par des mécanismes de chiffrement, de consentement et de divulgation sélective. Le Gouvernement demeure néanmoins particulièrement attentif aux conditions concrètes d'implémentation de ces interfaces, notamment lorsqu'elles reposent sur des composants intégrés aux navigateurs ou aux systèmes d'exploitation dominants. Cette vigilance concerne en particulier les usages dits « cross-device », lorsqu'un usager consulte un service depuis un ordinateur et présente une attestation depuis son téléphone. Dans ce cadre, certains mécanismes d'appariement et de vérification de proximité entre appareils, tels que le protocole CTAP (client to authenticator protocol), peuvent s'appuyer sur des relais techniques ou sur des composants dont la maîtrise n'est pas assurée par des acteurs européens. Si ces mécanismes n'ont pas vocation à donner accès au contenu des données d'identité, qui demeure protégé par les protocoles de présentation, ils peuvent néanmoins créer une dépendance d'exécution et exposer certaines métadonnées techniques. Cette vigilance s'est traduite dans la position défendue par la France lors de l'examen des actes d'exécution du règlement. La France a demandé à ce que les mécanismes d'appariement et de vérification entre appareils soient assortis de garanties plus fortes en matière d'auditabilité, de réversibilité et de maîtrise européenne. Ces garanties n'ayant pas été suffisamment intégrées au texte soumis aux États membres, la France a été le seul État membre à voter contre son adoption. Cette position ne traduit pas une réserve à l'égard du principe même du portefeuille européen d'identité numérique. Elle témoigne au contraire de l'exigence constante de construire un cadre interopérable à l'échelle européenne, sans créer de dépendance excessive sur des couches critiques d'exécution. Le Gouvernement continue donc à défendre, au sujet des portefeuilles européens d'identité numérique comme pour l'ensemble des solutions développées dans l'espace numérique, le développement d'implémentations de référence, la transparence du code des composants critiques, la capacité d'audit des protocoles et le recours à des infrastructures maîtrisées au niveau national ou européen lorsque les fonctions techniques en cause le justifient. Dans ce cadre, la France développe et dispose déjà, avec France Identité, d'une solution publique opérée sous la responsabilité de l'État, dans un cadre de sécurité élevé et avec des infrastructures sous tutelle du ministère de l'Intérieur.

La question

M. Philippe Latombe attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur la doctrine gouvernementale en matière de VPN. Les entités publiques et privées ont, depuis la montée en puissance du télétravail à la suite de l'épisode covid, favorisé l'utilisation de VPN par leurs agents ou leurs employés, afin de sécuriser l'activité de ces derniers, lorsqu'ils travaillent depuis leur domicile ou à l'extérieur de leur lieu de travail. Certains usagers qui, eux, cherchent à accéder via un VPN sur un site administratif, par exemple celui du ministère de l'éducation nationale ou de l'enseignement supérieur, se voient signifier que leur connexion est incompatible avec les exigences de sécurité et qu'il leur est demandé de désactiver ledit VPN. Il y a là une incohérence qui peut susciter une certaine incompréhension. Comment l'État peut-il prôner l'usage d'un VPN pour ses agents et le refuser à ses administrés ? Y aurait-il un lien à établir avec la volonté franco-européenne de s'assurer de l'effectivité de la vérification de l'âge, en interdisant l'utilisation de VPN ? Une fausse bonne idée qui présente deux défauts rédhibitoires : un risque cyber majeur et la remise en question du projet affiché par ailleurs par le Gouvernement de mettre au télétravail, au moins un jour par semaine, les agents publics, en raison de la crise des carburants. Il souhaite qu'elle clarifie la doctrine gouvernementale sur ce sujet.

Réponse

Le Gouvernement attache une importance particulière à la sécurité des systèmes d'information de l'État ainsi qu'à l'accessibilité des services publics numériques pour l'ensemble des usagers. L'utilisation de réseaux privés virtuels (VPN) constitue une mesure de sécurité couramment mise en œuvre par les administrations et les entreprises afin de protéger les échanges de données entre les équipements de leurs agents et les systèmes d'information auxquels ils accèdent à distance. Cette utilisation répond à des besoins spécifiques de sécurisation des accès professionnels et ne préjuge pas des modalités d'accès des usagers aux services numériques publics. S'agissant de l'accès des usagers aux sites et démarches administratives en ligne, il n'existe pas de doctrine gouvernementale visant à interdire de manière générale le recours à un VPN. Les administrations veillent à permettre l'accès le plus large possible à leurs services numériques, dans le respect des exigences de sécurité nécessaires à leur bon fonctionnement et à la protection des données qu'ils traitent. Dans certains cas particuliers, des dispositifs de sécurité mis en œuvre par les opérateurs de services peuvent conduire à restreindre temporairement ou ponctuellement certaines connexions provenant de réseaux identifiés comme présentant un risque accru d'abus, de fraude ou d'attaques automatisées. Ces mesures sont fondées sur des considérations de sécurité opérationnelle propres aux services concernés et ne constituent pas une remise en cause du principe même de l'utilisation des VPN. Par ailleurs, les dispositifs de vérification de l'âge mis en œuvre ou envisagés dans le cadre de la réglementation nationale et européenne poursuivent des objectifs de protection des mineurs et reposent sur le respect des principes de protection des données personnelles et sur des dispositifs tels que des applications de vérification d'âge. Ils ne s'accompagnent pas d'une politique générale d'interdiction de l'usage des VPN. Le Gouvernement demeure attentif à concilier les impératifs de sécurité numérique, la protection des usagers et l'accessibilité des services publics en ligne.

Réponse

La protection des actifs stratégiques pour l'économie françaises fait partie des priorités portées par l'Etat. Face aux menaces croissantes et protéiformes auxquelles sont confrontés ces actifs stratégiques, l'Etat a profondément renforcé son dispositif en matière de sécurité économique ces dernières années. Ce dispositif repose sur un service dédié et à compétence nationale : le service de l'information stratégique et de la sécurité économiques (SISSE). Son rattachement direct au directeur général des entreprises permet de répondre opérationnellement à la nécessité de protection de nos entreprises stratégiques et d'assurer le continuum avec les politiques de soutien à l'innovation et à la réindustrialisation. Le SISSE a pour mission de détecter, caractériser et traiter les menaces économiques étrangères qui pèsent sur les actifs stratégiques pour l'économie nationale. Jouant le rôle de tour de contrôle interministérielle, le SISSE a ainsi mis en place un système de vigilance renforcé pour une meilleure captation des menaces de sécurité économique. Chaque menace détectée fait l'objet d'une analyse de risques permettant d'identifier les leviers juridiques et financiers les plus appropriés pour atténuer ces risques. Pour protéger les actifs stratégiques des intérêts économiques étrangers (prise de participation, captation d'informations sensibles, etc.), le dispositif de sécurité économique s'appuie sur des instruments qui, sans avoir été conçus uniquement dans cet objectif, peuvent concourir à la politique de sécurité économique. Ces instruments comprennent notamment le contrôle des investissements étrangers en France, conçu et mis en œuvre dans un objectif de préservation de l'ordre public, de la sécurité publique et des intérêts de la défense nationale [1], ainsi que le suivi du respect des conditions imposées aux investisseurs étrangers dans ce cadre [2]. Un examen attentif dans le cadre de la procédure de contrôle des investissements étrangers en France a été mené concernant cette opération et a permis d'examiner de manière approfondie les risques potentiels qui pourraient exister pour les intérêts nationaux. Concernant les activités d'hébergement, ces risques sont néanmoins limités du fait du recours par la majeure partie des clients de Ciril Group à des solutions d'hébergement alternatives à celles proposées par Ciril Group. Par ailleurs, outre l'investissement de Carlyle, la société Ciril Group a annoncé, le 1er septembre 2025, l'ouverture de son capital à BPIFRANCE aux cotés de la famille Grivel, actionnaire actuel demeurant au capital. L'objectif indiqué de l'opération est que la société conserve des capitaux majoritairement français. Plus largement, soyez assuré de la vigilance constante du Gouvernement pour préserver nos intérêts nationaux et protéger les actifs les plus stratégiques pour l'économie française dans le cadre du dispositif de sécurité économique. [1] L'article L. 151-3 du code monétaire et financer soumet à l'autorisation préalable du ministre chargé de l'économie les investissements étrangers dans les activités de nature à porter atteinte à l'ordre public, à la sécurité publique ou aux intérêts de la défense nationale, dans un champ d'application défini aux articles R. 151-1 et suivants du code monétaire et financier. [2] L'ensemble des administrations concernées veille au respect, par les investisseurs étrangers, des conditions qui leur sont imposées en cas d'investissement dans une activité sensible. En cas de manquement caractérisé, l'ensemble des pouvoirs de police et de sanction à la disposition du ministre chargé de l'économie sont susceptibles d'être déployés. Ces contrôles sont renforcés depuis 2023 et ont désormais vocation à être systématisés.

La question

M. Philippe Latombe alerte M. le ministre délégué auprès de la ministre de l'action et des comptes publics, chargé de la fonction publique et de la réforme de l'État, sur les solutions d'authentification choisies par Infogreffe. Infogreffe va déployer à partir du 10 février 2026 l'authentification multifacteur (MFA) sur MonIdenum. Cette vérification en deux étapes devrait permettre de renforcer la sécurité des utilisateurs désireux d'accéder à leur compte pour faire une demande de Kbis, afin d'éviter que leurs identifiants, éventuellement volés, ne puissent servir à une prise de contrôle par des pirates. Infogreffe leur propose alors d'installer Google Authenticator ou Microsoft Authenticator, deux solutions américaines d'authentification. M. le député s'étonne de ce choix, alors qu'existent par exemple d'autres solutions comme Proton Authenticator (Suisse) ou 2A Authenticator, cette dernière étant open source , transparente et utilisable anonymement. Alors que la CNIL recommande au responsable de traitement d'apporter une attention particulière aux flux de données engendrés par l'authentification multifacteur, ainsi qu'à son éventuelle soumission à des lois extra-européennes, il s'étonne d'un tel choix par un groupement d'intérêt public et lui demande au ministre que, dans un souci de protection des données des Français, il n'y ait plus recours à ces solutions d'authentification par Infogreffe et plus généralement par le secteur public ou assimilé. Il lui demande sa position à ce sujet.

Réponse

En premier lieu, le Gouvernement partage pleinement l'objectif de renforcement de la sécurité des accès aux services numériques, incluant ceux liés à la vie des entreprises. Dans un contexte de lutte contre les cybermenaces et la fraude à l'identité, le déploiement de l'authentification multifacteur (MFA) par Infogreffe à compter de février 2026 est une mesure pertinente pour protéger les données des chefs d'entreprise et l'intégrité du registre du commerce et des sociétés (RCS). Bien que la communication d'Infogreffe cite explicitement Microsoft Authenticator et Google Authenticator, deux solutions américaines, probablement en raison de leur forte popularité auprès du grand public, le système mis en place n'est techniquement pas verrouillé à ces seuls éditeurs. Le code QR généré par MonIdenum peut, en pratique, être scanné par n'importe quelle application compatible avec le standard TOTP (time-based one-time password), y compris les solutions libres, open source et européennes mentionnées par M. le député (comme 2FAS ou des solutions souveraines). Infogreffe est un Groupement d'intérêt économique (GIE) de droit privé agissant pour le compte des greffiers des tribunaux de commerce, eux-mêmes sous la tutelle du ministère de la Justice qui travaille en lien étroit avec les ministères économiques et financiers pour la gestion des formalités des entreprises. Leurs services vont se rapprocher à ce titre du ministère de la Justice pour échanger sur les solutions alternatives européennes, libres et auditables existantes. Plus généralement, le Gouvernement poursuit, à l'aide des administrations publiques, le développement et la promotion de solutions d'authentification souveraines (telles que FranceConnect, ProConnect ou encore l'application France Identité) afin de garantir aux citoyens et aux entreprises une sécurité numérique indépendante de solutions tierces extra-européennes.

La question

M. Philippe Latombe interroge M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur l'étude des impacts économiques de la rémunération pour copie privée. Comme le dispose, dans son article 20, la loi n° 2021-1485 du 15 novembre 2021 visant à réduire l'empreinte environnementale du numérique en France, le Gouvernement devait remettre au Parlement, au plus tard le 31 décembre 2022 une étude des impacts économiques de la rémunération pour copie privée, en particulier sur les supports d'enregistrement d'occasion au sens de l'article L. 321-1 du code de commerce. Dans un contexte particulièrement tendu entre ayants droit de la RCP et industriels du reconditionné, ce rapport devait permettre de « [formuler] des scénarios d'évolution possible de cette rémunération » et de bénéficier de données plus précises et objectives. Il n'a jamais été publié. Il semble que ce travail ait enfin été confié en 2025 à la direction générale des entreprises et plus particulièrement à son service de l'économie numérique. Alors qu'à travers une campagne audiovisuelle de communication, dans un souci légitime de réduction de l'empreinte environnementale du numérique, l'État encourage les consommateurs à acheter des supports reconditionnés, cette étude devrait permettre d'introduire une plus grande pertinence dans la collecte de la RCP, notamment des supports reconditionnés. Il souhaite savoir quand elle sera enfin remise au Parlement.

Réponse

L'article 19 de la loi n° 2021-1485 du 15 novembre 2021 visant à réduire l'empreinte environnementale du numérique en France a consacré le principe de l'assujettissement des supports d'enregistrement reconditionnés à la rémunération pour copie privée (RCP) en complétant les dispositions de l'article L. 311-4 du code de la propriété intellectuelle. Ces supports, dont l'économie particulière et le rôle en matière de réduction de l'empreinte environnementale du numérique ont été reconnus à cette occasion, doivent faire l'objet du versement d'une RCP spécifique et différenciée de celle établie pour les supports d'enregistrement neufs de même nature. L'article 20 de cette même loi a mis à la charge du Gouvernement la remise au Parlement d'un rapport de bilan ainsi que d'une étude des impacts économiques de la RCP, en particulier sur les supports d'enregistrement reconditionnés. Le rapport de bilan, rédigé conjointement par l'inspection générale des finances et l'inspection générale des affaires culturelles, a été publié le 31 octobre 2022 (https://www.vie-publique.fr/files/rapport/pdf/287053.pdf). Il sécurise le mécanisme de la copie privée, formule des recommandations et présente des marges d'amélioration en abordant notamment la question spécifique des supports reconditionnés. Dans ce contexte, la commission pour la rémunération de la copie privée a repris ses travaux depuis janvier 2023, en adoptant une décision n° 23 au terme de laquelle un barème différencié, propre aux supports reconditionnés, a été mis en place (https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000047055567). La Commission travaille depuis lors à l'adoption de nouveaux barèmes pour les principaux supports de copies en distinguant pour chacun d'entre eux les supports neufs des supports reconditionnés. Elle a, dans ce cadre, commandé des études d'usages auprès de l'institut d'études marketing et d'opinion CSA pour mesurer les pratiques d'achats des français envers les produits neufs comme les produits reconditionnés. La Commission devrait ainsi pouvoir renouveler les principaux barèmes applicables à ces deux types de supports au cours de l'année à venir. Elle demeure dans ce cadre extrêmement vigilante à l'impact de la rémunération sur les marchés concernés et ce, particulièrement en ce qui concerne les produits reconditionnés qui se verront appliquer des barèmes spécifiques et différenciés. Les services des ministères visés par l'article L. 311-5 du code de la propriété intellectuelle suivent attentivement ces avancées et se tiennent à la disposition de la Commission pour lui apporter les éléments utiles à la bonne conduite de ses travaux. Par ailleurs, le Gouvernement n'ignore pas les dispositions du dernier alinéa de l'article 20 de la loi n° 2021-1485 du 15 novembre 2021 propre aux supports d'enregistrement reconditionnés. Dans ce cadre, les services du ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique ont engagé des travaux actuellement en cours afin de définir une méthodologie permettant d'identifier de possibles impacts économiques de la RCP sur les supports d'enregistrement reconditionnés.

La question

M. Philippe Latombe attire l'attention de Mme la ministre de l'action et des comptes publics sur l'UGAP. Lors de la commission d'enquête sénatoriale sur la commande publique, le 3 juin 2025, le président-directeur général de l'UGAP était auditionné et notamment interrogé sur le recours excessif à des solutions numériques non souveraines, dans le catalogue proposé à ses clients par la centrale d'achat public. Le rapport des sénateurs, publié en juillet 2025, alerte ainsi « sur l'impérieuse nécessité de mieux garantir la souveraineté des données publiques face aux législations extraterritoriales et de soutenir les entreprises innovantes ». Il semble que le message ne soit toujours pas passé puisque l'UGAP a choisi, dans le cadre de la transformation digitale de son propre système d'information, de déployer la solution Microsoft Dynamics 365 CRM. Ainsi, l'UGAP persiste et signe dans son déni de protection des données, que ce soient les siennes ou celles de ses clients. M. le député souhaite savoir s'il est prévu de dénoncer un tel contrat qui fait fi des directives gouvernementales. Au-delà de cette problématique de souveraineté numérique, la commission sénatoriale a mis en lumière un certain nombre d'aberrations dans le fonctionnement de l'UGAP, dont les répercussions sont particulièrement dommageables pour les finances publiques. Dans un contexte pressant de recherche d'économies budgétaires, il lui demande si une profonde réforme de la « première centrale d'achat public en France » est prévue, afin d'en stopper les dérives.

Réponse

La question porte sur l'acquisition, par l'UGAP, de licences de la solution logicielle Microsoft Dynamics. En tant qu'établissement public industriel et commercial placé sous la tutelle du ministre chargé du budget et du ministre chargé de l'éducation nationale, l'UGAP est soumise aux règles fixées par la circulaire de la Première ministre n° 6404/SG en date du 31 mai 2023 relative à l'actualisation de la doctrine d'utilisation de l'informatique en nuage par l'État. L'acquisition de ces licences est conforme à cette doctrine et par ailleurs cohérent avec les principes fixés par l'article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, bien que celui-ci, stricto sensu, ne s'applique pas à l'UGAP [1]. En 2023, l'UGAP a engagé une étude de marché afin de trouver une solution de gestion interne des sollicitations de ses clients (« tickets ») à destination du réseau commercial de l'établissement. Cette étude a conduit à retenir le module Customer Service de Microsoft Dynamics. La commande des licences a été passée en avril 2024, dans le cadre du marché de solutions Microsoft de l'établissement. Ce choix résulte d'une analyse approfondie des besoins fonctionnels et des solutions disponibles. Il est précisé que l'UGAP a bien examiné des alternatives européennes, notamment l'offre de SAP. Au cours de ce processus de sélection, l'UGAP s'est assurée que la solution envisagée était conforme au règlement général sur la protection des données (RGPD) et à la circulaire du 31 mai 2023 précitée. Il ressort de cette analyse que, d'une part, ce module de Microsoft Dynamics, hébergé sur le cloud « Azure », ne traite pas de données d'une sensibilité particulière et dont la violation est susceptible d'engendrer une atteinte à l'ordre public, à la sécurité publique, à la santé et la vie des personnes ou à la protection de la propriété intellectuelle. D'autre part, puisqu'il s'agit néanmoins de données à caractère personnel, l'UGAP et Microsoft ont signé un accord de protection des données (APD), permettant de garantir la conformité du module Customer Service de Microsoft Dynamics au RGPD. Cet accord s'inscrit dans le cadre de la décision d'exécution n° 2023/1795 de la commission européenne du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis. Il est également précisé que le module Customer Service de Microsoft Dynamics retenu par l'UGAP est une brique applicative relativement modeste dans le système d'information de l'établissement : il couvre moins de 2 % des processus métiers de l'établissement. Ce système d'information est très largement basé sur la solution de gestion de la relation clients proposée par SAP, une solution européenne hébergée dans les infrastructures internes de l'établissement. Les données sensibles des clients, des fournisseurs et des salariés de l'UGAP restent hébergées dans le data center de l'établissement, sur ses propres serveurs. En matière de souveraineté numérique et pour ses besoins propres, l'UGAP s'appuie sur un système d'information résilient et ouvert sur des solutions innovantes françaises et européennes, notamment pour l'élaboration des appels d'offres de l'UGAP (solution Gino legal tech), pour la gestion des ressources humaines de l'établissement (solution Chronos d'Asys et solution talentsoft de CEGID) et pour la valorisation de la data (need4viz), briques applicatives stratégiques pour l'activité de l'UGAP. Dans sa politique interne d'achat informatique, l'UGAP continuera de veiller à la prise en compte des enjeux de souveraineté en conformité avec le cadre législatif et réglementaire applicable aux établissements publics industriels et commerciaux. Le gouvernement est attentif à la contribution de l'UGAP au soutien à l'économie française et à la prise en compte des enjeux de souveraineté. Ce sera une priorité du nouveau contrat d'objectifs et de performance entre l'Etat et l'établissement, en cours de négociation pour une signature en 2026. [1] le champ d'application de cet article concerne l'Etat, ses opérateurs et certains groupements d'intérêt public. Or l'UGAP n'est pas un opérateur au sens des lois de finances.

La question

M. Philippe Latombe attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'application de la doctrine Cloud au centre de l'État. L'État allemand vient de remplacer Microsoft Exchange et Outlook par une messagerie électronique open source ; la DSB (la CNIL autrichienne) vient d'ordonner à Microsoft d'accorder aux utilisateurs de Microsoft 365 Éducation l'accès à leurs données personnelles ; Polytechnique vient de suspendre son contrat avec Microsoft. Les Européens prennent peu à peu conscience de la nécessité de protéger leurs données numériques des lois extraterritoriales américaines et, à travers elles, leur souveraineté. L'État français peine cependant à imposer à sa propre administration le recours à un fournisseur labellisé SecNumCloud pour l'hébergement de toutes les données sensibles de l'État et des acteurs publics. Face à cela, les grands opérateurs américains profitent de leur suprématie pour user de pratiques commerciales captatrices, pouvant être assimilées à du dumping et retardent ainsi la migration vers des solutions souveraines. Il lui demande comment elle projette d'accompagner ce processus indispensable et si elle envisage de faire appel à la DGCCRF et l'Autorité de la concurrence concernant les pratiques commerciales déloyales des opérateurs américains.

Réponse

La stratégie du gouvernement en matière de souveraineté numérique passe notamment par la protection de nos systèmes d'informations les plus critiques et de nos données les plus sensibles lorsqu'elles sont hébergées notamment dans le cloud. Le recours par les services de l'Etat à une offre de cloud qualifiée SecNumCloud par l'ANSSI assure la confidentialité, l'intégrité et la disponibilité des données et prévoit que les opérateurs de services cloud ne soient pas soumis aux lois extraterritoriales d'un Etat tiers à l'UE. Il permet également de garantir la réversibilité des offres et de répondre à une menace d'origine cybercriminelle. Conformément à la doctrine du cloud de confiance, il est donc essentiel que les administrations et opérateurs de l'Etat s'appuient sur des offres SecNumCloud pour leurs données particulièrement sensibles qui sont hébergées sur un cloud commercial. Le recours à de telles offres est par ailleurs prévu dans la circulaire interministérielle Cloud au centre du 5 juillet 2021, et a été repris dans la loi visant à sécuriser et réguler l'espace numérique (SREN) du 21 mai 2024. Au niveau européen, les travaux européens en cours témoignent de réels progrès dans la prise en compte des enjeux de souveraineté numérique, de protection contre les risques cyber et de protection contre les législations extraterritoriales non-européennes. Le sommet franco-allemand pour la souveraineté numérique du 18 novembre 2025 a permis d'obtenir des progrès très significatifs dans notre volonté commune de renforcer la capacité de l'Union à protéger ses données et ses infrastructures les plus sensibles. Plusieurs projets de règlements européens en cours d'élaboration (Révision du Cybersecurity Act, Cloud and AI Act) devraient permettre d'avancer sur la mise en place d'un schéma européen harmonisé et protecteur face aux menaces des lois extraterritoriales non UE. Par ailleurs, la Commission européenne a ouvert le 18 novembre dernier, des enquêtes de marché sur les services d'informatique en nuage dans le cadre du règlement sur les marchés numériques (DMA). Elles visent à lutter contre les pratiques anticoncurrentielles des trois plus grands prestataires de cloud américains dans le secteur du cloud. De plus, l'État a mis en œuvre une politique de soutien à l'investissement au travers d'appels à projets au travers de France 2030 pour accélérer la montée en capacité et en innovation des offres notamment qualifiées SecNumCloud. S'agissant de la commande publique, les offreurs français déjà qualifiés SecNumCloud via le marché du Nuage public ont bénéficié d'un montant de plus de 55M€ de commandes. Le catalogue d'offres qualifiées SecNumCloud est régulièrement enrichi de nouvelles offres, qui assurent aux administrations - et également aux entreprises - une liberté de choix, des services diversifiés, à l'état de l'art et répondant à leurs attentes opérationnelles. Toutes ces actions concourent à protéger nos données les plus sensibles et renforcer la souveraineté française et européenne en matière de cloud. Cette démarche traduit la volonté constante de l'État : placer les acteurs français et européen du cloud au cœur de la stratégie nationale, tout en garantissant un haut niveau de performance, de sécurité et de souveraineté pour l'ensemble des utilisateurs.

La question

M. Philippe Latombe attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée de l'intelligence artificielle et du numérique, sur le fait que l'ANSSI aurait annoncé à tous les OIV qu'il n'était plus nécessaire d'utiliser une sonde souveraine qualifiée. Le 27 mai 2025, le directeur général de l'ANSSI, M. Strubel, a déclaré en audition dans le cadre de la commission d'enquête sénatoriale sur la commande publique que les « cadres de certification et de qualification ne constituent pas des obligations, sauf cas particulier. Nous l'imposons cependant dans quelques rares cas fixés par la loi : les OIV sont ainsi soumis à certaines obligations dans le recours à des prestations de détection ou d'audit, qui doivent être qualifiées par l'ANSSI ». Ces propos sont donc en contradiction avec l'annonce faite par l'ANSSI. Supprimer l'obligation de recourir à des équipements cyber fiables et souverains pour équiper les systèmes sensibles est dangereux, du moins inquiétant. À l'occasion de Viva Tech, qui s'est tenu du 11 au 14 juin 2025, le Président de la République et Mme la ministre ont défendu la construction d'une souveraineté technologique européenne et celle-ci ne peut se faire qu'en privilégiant des solutions françaises ou européennes. Il souhaite savoir comment elle envisage de demander à l'ANSSI de clarifier son annonce. Il désire également connaître la position du Gouvernement sur la pérennité de cette qualification malgré les injonctions contradictoires sur le sujet.

Réponse

De manière générale, les cadres de certification et de qualification ne constituent pas des obligations. Les opérateurs d'importance vitale (OIV) constituent un cas particulier et sont soumis, conformément aux dispositions de l'article L.1332-6-1 du code de la défense, à certaines obligations. Ces obligations sont précisées par des arrêtés sectoriels pris entre 2016 et 2020, qui prescrivent le recours à des prestations de service qualifiées en matière d'audit de sécurité et de détection d'attaque, et imposent de surcroît - règle n° 7 de chaque arrêté - la mise en œuvre de « sondes d'analyse de fichiers et de protocoles », qui doivent être « positionnées de manière à pouvoir analyser l'ensemble des flux échangés entre les systèmes d'information d'importance vitale et les systèmes d'information tiers à ceux de l'opérateur ». Ce cadre général des obligations sera actualisé par la loi relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui reprend à l'article 16 du projet en cours de discussion l'obligation figurant actuellement à l'article L. 1332-6-1 du code de la défense. L'ambition de ce texte est bien de fixer aux OIV un niveau d'exigence élevé et au moins équivalent à celui du cadre actuel. Cette exigence sera néanmoins objectivée par une analyse préalable, menée par l'ANSSI en concertation avec l'ensemble des parties prenantes, de l'efficacité et de la pertinence des exigences au regard des évolutions techniques intervenues depuis 2013. Il apparaît en particulier qu'une architecture de détection des cyberattaques efficace et moderne doit pouvoir s'alimenter de données de plus en plus diverses, ne se limitant pas aux seuls flux des réseaux. De plus, le choix et le positionnement de ces sources de données est très corrélé à la nature et à l'architecture du système d'information à superviser. Ainsi, afin d'identifier les exigences les plus pertinentes en matière de détection des cyberattaques dans les infrastructures critiques, et de tendre vers une obligation de résultat plutôt qu'une simple obligation de moyens, l'ANSSI a initié une consultation auprès de l'ensemble des parties prenantes concernées : OIV, prestataires de détection et éditeurs de solutions de détection. Ce travail de consultation n'est pas achevé et n'a fondé aucune révision des exigences antérieures à ce stade. Par ailleurs, il ne constitue aucunement un abandon de la stratégie de détection réseau pour les OIV, mais plutôt une adaptation pour tenir compte du caractère évolutif de ce domaine, sans révision à la baisse de l'obligation de résultat.

La question

M. Philippe Latombe appelle l'attention de M. le ministre auprès de la ministre du travail, de la santé, de la solidarité et des familles, chargé de la santé et de l'accès aux soins, sur l'opportunité représentée par le CASD pour la PDS. Le centre d'accès sécurisé aux données (CASD) est devenu le premier hébergeur européen à obtenir la certification Europrivacy , délivrée dans le cadre de l'article 42 du RGPD, reconnaissant la conformité de sa méthodologie d'accès sécurisé aux données à caractère personnel. Cette distinction vient s'ajouter à un ensemble déjà robuste de certifications et homologations. Le CASD est donc une référence à l'échelle nationale parce qu'il héberge les données les plus sensibles du pays, qu'il s'agisse de la santé, de la justice, de l'environnement, de l'économie ou encore de l'agriculture. Il constitue donc une alternative 100% française aux clouds américains. Il lui demande s'il envisage de choisir cet hébergeur comme solution transitoire pour la plateforme des données de santé (PDS, ex- Health Data Hub ) afin de protéger rapidement les données sensibles des Français de l'extraterritorialité du droit américain.

Réponse

La mise à disposition et l'hébergement de la solution Intercalaire pour la préparation et l'extraction de données de la base principale du système national des données de santé fait l'objet d'un marché public publié le 1er juillet 2025 par la plateforme des données de santé sur le site : marché-publics.info. Les candidats peuvent proposer une offre hébergée sur site (on-premise) ou une offre cloud qui doit être certifiée SecNumCloud conformément à l'article 31 de la loi Sécuriser et réguler l'éspace numérique (SREN), afin de réduire les risques d'accès extracommunautaires au système national des données de santé. Le Centre d'accès sécurisé aux données (CASD), comme tous les autres acteurs du marché intéressés, pourra prendre connaissance du règlement de consultation qui décrit notamment l'ensemble des critères d'analyse et de sélection des candidatures. La procédure de mise en concurrence retenue dans le cadre du marché public publié est une procédure avec négociation, c'est-à-dire que les candidats qui participeront à la phase de négociation doivent remplir les exigences prévues par le règlement de consultation. Si le CASD répond à ces exigences, alors la conformité de son offre au cahier des charges pourra être analysée dans les phases ultérieures du marché. Le calendrier de cet appel d'offre est volontairement ambitieux afin de disposer d'une plateforme transitoire permettant de répondre aux premières demandes d'accès aux données d'ici la fin de l'été 2026.

La question

M. Philippe Latombe alerte M. le ministre de l'économie, des finances et de la souveraineté industrielle et numérique sur le choix de la mutuelle ALAN par de nombreux organismes publics, pour fournir une complémentaire santé à leurs agents. En un an, cette licorne française a en effet remporté les appels d'offres de l'Élysée, du ministère de la transition écologique, de Matignon, et, tout dernièrement, celui du ministère de l'économie et des finances. On peut certes parler d'un succès fulgurant. Cependant, cette plateforme héberge ses données chez Amazon Web Services (AWS) et se trouve donc assujettie à l'extraterritorialité du droit américain. M. le député s'étonne d'un tel choix, surtout dans le contexte transatlantique actuel. Il souhaite savoir si le Gouvernement envisage, dans un souci de protection des données sensibles de ses agents et de cohérence avec les directives qu'il émet, de demander à ALAN de migrer vers un cloud souverain.

La question

M. Philippe Latombe alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée de l'intelligence artificielle et du numérique, sur la plainte contre Apple déposée auprès du parquet de Paris. Le 13 février dernier, la Ligue des droits de l'Homme (LDH) a transmis au parquet de Paris un signalement doublé d'une plainte visant Apple, concernant la collecte massive d'enregistrements de son assistant virtuel Siri. La plainte contre X pour violation de la vie privée, traitement illicite des données personnelles et pratique commerciale trompeuse s'appuie sur les informations d'un ex-employé devenu lanceur d'alerte. Depuis 2020, celui-ci a sollicité les agences françaises ou européennes de protection des données qui n'ont pas donné suite. Selon lui, « Google, Microsoft et Amazon sont dans le même cas de figure ». Cette plainte fait écho à un recours collectif civil intenté par des usagers américains qui accusent la firme d'avoir enregistré, traité et conservé sans leur consentement leurs conversations privées entre 2014 et 2024. Dans un contexte de relations transatlantiques difficiles qui autorisent les GAFAM à s'affranchir de toute tentative de régulation, à un moment où le Data Privacy Framework se retrouve vidé de tout fondement légal, il lui demande quelles mesures elle compte mettre en œuvre pour protéger efficacement les données personnelles des Français.

Réponse

La question concerne une affaire en cours, dans le cadre de laquelle une plainte a été déposée ; elle ne peut donc donner lieu à aucun commentaire particulier. D'une manière générale, il convient toutefois de rappeler que le fondement légal du "Privacy Framework" reste toujours valide à ce jour. En effet, par une décision du 10 juillet 2023, la Commission européenne a constaté que les États-Unis assurent un niveau de protection des données personnelles équivalent à celui de l'Union européenne. Ce mécanisme facilite les transferts de données sans nécessiter d'outils complémentaires, tels que les clauses contractuelles-types ; il fait l'objet d'un suivi régulier par la Commission européenne. Lors de sa première revue, la Commission européenne a conclu, dans son rapport du 9 octobre 2024, que les autorités américaines ont mis en place les structures et procédures nécessaires pour garantir le fonctionnement efficace du "Data Privacy Framework". A ce jour, la Commission européenne assure un contrôle constant du respect du cadre juridique, comme l'y oblige le RGPD, et aucune annulation de cette décision n'a été prononcée dans le cadre de contentieux portés devant le juge. Les transferts de données vers les Etats-Unis peuvent donc toujours bénéficier de cet encadrement. En outre, la réglementation européenne en matière de protection des données peut également trouver à s'appliquer directement aux opérateurs étrangers qui offrent leurs services sur le territoire européen, qu'ils y soient établis ou non, en vertu de l'article 3, paragraphe 2 du RGPD. Aussi, le cadre juridique européen assure une protection très large aux résidents européens, et donc aux ressortissants français, y compris en l'absence d'établissement sur le territoire européen.

Réponse

INTELLIGENCE ARTIFICIELLE Mme la présidente . La parole est à M. Philippe Latombe. M. Philippe Latombe . Le Sommet pour l'action sur l'intelligence artificielle doit permettre à la France et à l'Europe de se positionner sur la carte mondiale de cette technologie qui va révolutionner nos sociétés. À l'occasion de cet événement, la France a annoncé l'installation de trente-cinq nouveaux centres de données sur le territoire national, ainsi que celle d'un campus dédié, financé par un investissement émirati de 30 à 50 milliards d'euros. M. Éric Bothorel . Très bien ! M. Philippe Latombe . Si cette montée en puissance est une bonne nouvelle, n'occultons pas les enjeux : quelles données seront stockées ? Qu'en ferons-nous ? Comment les protéger ? L'IA n'a rien à voir avec l'intelligence, au sens où nous l'entendons habituellement. Ce n'est qu'une technique, qui repose sur des algorithmes statistiques ou probabilistes qui doivent être nourris en permanence par un afflux considérable de données, grâce à un moteur suffisamment puissant pour les entraîner. Les données privées et publiques, françaises et européennes, ont une valeur importante, tant en qualité qu'en quantité. Si des acteurs souverains ne nous permettent pas de disposer d'un accès massif à ces données, nous continuerons à nous les faire voler ; nous n'en aurons pas la maîtrise et nous ne gagnerons pas la bataille de l'usage et de l'adoption, ni ne bénéficierons des avantages, notamment économiques et sociétaux, qui peuvent en découler. Comment notre pays peut-il devenir un acteur reconnu ? Il faut développer des IA françaises, adaptées à nos besoins et à nos valeurs, et orienter la commande publique vers des acteurs souverains, français et européens. Que prévoit la stratégie gouvernementale pour protéger les données publiques et privées stockées dans tous ces centres de données, et ainsi assurer notre souveraineté ? (Applaudissements sur les bancs du groupe Dem et sur quelques bancs du groupe EPR.) Mme la présidente . La parole est à Mme la ministre déléguée chargée de l’intelligence artificielle et du numérique. Mme Clara Chappaz, ministre déléguée. Je vous remercie pour votre question. Le Sommet pour l'action sur l'intelligence artificielle, qui vient de se terminer, a été un moment de grande fierté pour notre pays. Plus d'un millier de représentants du monde entier se sont réunis ici, en France, pour parler d'intelligence artificielle et nous avons annoncé 109 milliards d'euros d'investissements pour accélérer le déploiement de l'IA dans notre pays. Vous m'interrogez sur la souveraineté des données. Elle est absolument cruciale. Je vous remercie de me donner l'occasion d'expliquer notre stratégie en matière de souveraineté numérique. Depuis 2021, avec l'Agence nationale de la sécurité des systèmes d'information, notre stratégie de sécurisation des données s'appuie notamment sur SecNumCloud, une certification ambitieuse – parmi les plus ambitieuses au niveau européen – qui nous permet de classifier les données et de nous assurer que les plus sensibles disposent du bon niveau de protection. Nous continuons à accompagner le développement des offres qui répondent à cette certification. L'été dernier, grâce au plan France 2030, nous avons lancé un appel à projets pour faire monter en compétence des acteurs comme OVHcloud ou Scaleway, qui développent les offres dont nous avons besoin. Nous continuons aussi à défendre notre position au niveau européen. Le contexte actuel est favorable à ce questionnement collectif : il est crucial de développer une certification européenne afin de garantir la sécurité des données européennes les plus sensibles. À l'occasion du Sommet, j'ai eu l'occasion d'échanger avec de nombreux homologues. Nous sommes tous convaincus qu'il faut continuer à soutenir cette stratégie, et nous le ferons. (Applaudissements sur quelques bancs des groupes EPR et Dem.) Mme la présidente . La parole est à M. Philippe Latombe. M. Philippe Latombe . J'appelle votre attention sur les données de santé, à très forte valeur ajoutée. Nous devons absolument en protéger la souveraineté, et vous devez vous attacher à ce que la Plateforme des données de santé bascule sur une solution de stockage souveraine. (Applaudissements sur les bancs du groupe Dem.) M. Philippe Vigier et M. Erwan Balanant . Très bien !

La question

M. Philippe Latombe interroge M. le ministre de l'économie, des finances et de l'industrie sur la plateforme Place. Alors que, depuis 2008, la plateforme Place, qui héberge les appels d'offres de l'État et les candidatures des entreprises, était gérée par Atexo, une PME française éditrice de logiciels, le ministère de l'économie et des finances lui a subitement préféré, en juillet 2024, un successeur canadien, sans avoir eu recours à un quelconque appel d'offres. M. le député se demande comment la direction des affaires juridiques du ministère, habituellement et avec raison, si sourcilleuse quant au respect des procédures, a pu tolérer une telle entorse aux principes fondamentaux de l'article L. 3 du code de la commande publique, qui sont « l'égalité de traitement, la liberté d'accès et la transparence des procédures ». Au-delà d'une administration qui s'affranchit d'une réglementation qu'elle a elle-même mise en place, le choix d'une entreprise canadienne pose lui aussi question. Les données des entreprises, leurs éventuels brevets, les informations éventuellement confidentielles les concernant se retrouvent sur une plateforme gérée par une entreprise de droit non européen. Il lui demande comment il explique une telle transgression du code de la commande publique au sein de son administration ainsi que le choix d'une entreprise non européenne, en contradiction totale avec le discours gouvernemental sur les enjeux de souveraineté nationale.

La question

M. Philippe Latombe attire l'attention de M. le ministre de l'intérieur sur la mise en place d'un filtre anti-arnaques. Durant la campagne présidentielle de 2022, Emmanuel Macron s'était engagé à mettre en place un filtre anti-arnaques pour avertir « en temps réel tous les usagers d'internet avant qu'ils ne se rendent sur un site potentiellement piégé ». Cette promesse a semblé se tenir avec l'intégration du filtre anti-arnaques dans le droit, à travers la loi visant à sécuriser et réguler le numérique (SREN). Mais ce dispositif peine à voir le jour, essentiellement pour des raisons de financement. Alors que le groupement d'intérêt public Action contre la cybermalveillance (GIP ACYMA) devait endosser la responsabilité du dossier, la Direction générale des entreprises (DGE) lui a indiqué par courrier que la procédure était finalement déclarée sans suite pour un motif d'intérêt général tenant à l'insuffisance des ressources financières de la direction bénéficiaire, le montant de l'offre financière excédant les crédits budgétaires alloués au projet. Après de nombreuses péripéties, comme un passage par l'OFAC ( Office of Foreign Assets Control ), la caducité de l'appel d'offres, la DGE a saisi l'union des groupements d'achats publics (UGAP). On s'achemine maintenant vers une solution Capgemini et donc le recours à un acteur privé. Il s'inquiète de cette privatisation de l'action publique et souhaite savoir pourquoi l'État ne s'appuie pas sur ses compétences internes pour garantir un niveau de sécurité plus élevé en réponse à la multiplication des menaces en ligne et lui demande s'il envisage de reprendre la main sur ce dossier, ce qui serait une marque de cohérence, au vu de l'importance d'un tel sujet pour la sécurité nationale.

La question

M. Philippe Latombe attire l'attention de M. le ministre de l'intérieur sur le 17Cyber. Annoncé le 10 janvier 2022 par le Président de la République, Emmanuel Macron, prévu dans la loi d'orientation et de programmation pour la performance de la sécurité intérieure (LOPMI) du 24 janvier 2023, le guichet unique dédié à la cybersécurité, le 17Cyber, initié par le ministère de l'intérieur et des outre-mer, en partenariat avec cybermalveillance.gouv.fr , la police nationale et la gendarmerie nationale, devait être lancé officiellement fin mai 2024. Le ministre de l'intérieur de l'époque ayant alors dû se rendre en Nouvelle-Calédonie, l'évènement avait été reporté. Est ensuite survenue la dissolution de l'Assemblée nationale et l'inauguration de cette plateforme n'a toujours pas été reprogrammée. Dans un contexte de multiplication des attaques numériques (vol de données, hameçonnage, arnaques en ligne, etc.) et de cyberharcèlement, il est tout particulièrement urgent qu'entre en fonctionnement ce service de diagnostic et d'assistance pour les victimes de cyberattaques et d'actes de cybermalveillance. Il souhaite savoir s'il envisage une mise en route rapide de ce dispositif et, dans l'affirmative, quel portage politique accompagnera sa réactivation.

Réponse

Le dispositif 17Cyber, inscrit dans la LOPMI, est un outil stratégique destiné à informer le plus grand nombre, centraliser les signalements de cyberattaques et accompagner les victimes. Il est ainsi destiné à informer via un module intégré et devenir le portail unique lors de la prise en compte d'une attaque cyber dont un particulier, une collectivit ou un professionnel pourrait être victime. Ainsi, après un auto-diagnostic, en fonction de la menace qualifiée, l'usager se voit proposer des conseils, un lien vers un prestataire de service certifié pour une remédiation technique, un lien vers un téléservice ou un tchat avec les forces de sécurité intérieure. Le développement technique de ce projet est assuré par le GIP Acyma (groupement d'intérêt public action contre la cybermalveillance). Sous l'égide stratégique du COMCYBER-MI, ce projet est piloté par l'unité nationale cyber (gendarmerie nationale) et l'office anti-cybercriminalité (police nationale). L'ensemble des travaux nécessaires à sa mise en œuvre et la formation des personnels de la brigade numérique de Rennes sont achevés. Une montée en charge est prévue avec l'ouverture d'une seconde brigade numérique à Poitiers en 2025 pour gérer l'augmentation attendue des signalements. Le dispositif a été lancé officiellement le 17 décembre 2024.

La question

M. Philippe Latombe attire l'attention de Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique, sur la souveraineté des données sensibles stockées par les hyperscalers. L'un des systèmes informatiques de la police écossaise, le Digital Evidence Sharing Capability (DESC), utilise l'offre Azure de Microsoft pour le stockage de ses données, dont les informations biométriques. Techniquement, ce n'est donc pas la police elle-même qui stocke ces données particulièrement sensibles, mais la solution développée par la société Axon, dans le cadre du contrat signé pour ce système informatique. Or Microsoft vient de reconnaître que la garantie de souveraineté accordée pour les données au repos ne s'étend pas à celles en cours de traitement, ni ne couvre l'assistance technique qui peut, elle aussi, entraîner des transferts internationaux. L'élasticité du système, que Microsoft revendique comme une grande force, présente en effet un revers inquiétant : il n'y a pas de cartographie de celui-ci et Microsoft ne maîtrise pas où vont les données. Un parallèle s'impose de toute évidence avec le Health data Hub , qui utilise lui aussi Azure pour stocker les données de santé des Français ou pour celles du projet européen EMC2. Or l'information étant maintenant publique, Microsoft va réaliser des aménagements pour le DESC et les systèmes avec lesquels il est directement en contact, notamment tout ce qui touche aux polices du Royaume-Uni. Il souhaite savoir si le Gouvernement envisage d'intervenir auprès de Microsoft Azure, de Bleu (et S3NS, puisque Google reconnaît rencontrer le même problème), pour les contraindre à des aménagements permettant de garantir la souveraineté des données qu'ils hébergent.

Réponse

Le Gouvernement met en œuvre depuis 2021 une stratégie cloud qui vise tout autant à saisir les opportunités offertes par les évolutions technologiques qu'à répondre aux enjeux posés par le recours à des services d'informatique en nuage, en particulier ceux qui concernent la protection des données les plus sensibles, des entreprises, des administrations et des citoyens français et européens. Cette stratégie repose notamment sur le développement d'une offre de services cloud de confiance, et sur la qualification SecNumCloud délivrée par l'agence nationale de la sécurité des systèmes d'information (ANSSI), qui garantit un niveau de protection élevé des services cloud, y compris contre les accès non-autorisés aux données qu'ils hébergent et traitent, notamment par le biais des lois extraterritoriales non européennes. Par ailleurs, dans le cadre de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (SREN), que nous avons porté, et à la demande des parlementaires, que nous avons soutenue, des dispositions législatives nouvelles reprennent et renforcent désormais la doctrine « cloud au centre » préalablement décrite dans une circulaire du Premier ministre, afin d'assurer une protection adéquate des données sensibles des administrations de l'État, ses opérateurs ou certains groupements d'intérêt public, dont le concentrateur des données de santé, contre les législations extraterritoriales. Ainsi, toute offre d'informatique en nuage à laquelle ces entités envisageront de recourir en cas d'externalisation pour l'hébergement et le traitement de leurs données sensibles devra ainsi être évaluée en conformité avec les critères relevant de la qualification SecNumCloud, y compris en ce qui concerne son niveau de protection vis-à-vis du droit extra-européen. L'octroi de cette qualification, nécessaire pour héberger et traiter des données sensibles, se fait à l'issue d'un processus piloté par l'ANSSI, qui garantit un haut niveau d'exigence tant du point de vue technique, qu'opérationnel ou juridique. D'une part, les prestataires proposant une offre d'informatique en nuage (cloud) doivent présenter une bonne hygiène informatique, d'autre part, les données doivent être protégées en conformité avec le droit européen. Avec le ministre de l'action publique, de la fonction publique et de la simplification et la ministre chargée des comptes publics, nous avons envoyé le 22 avril dernier un courrier à destination des ministres et secrétaires d'État pour rappeler les principes de mise en œuvre du cloud pour les administrations, les organismes placés sous leurs tutelles ainsi que pour les GIP concernés par l'article 31 de la loi SREN. En particulier, il leur est demandé « d'impérativement s'assurer, que les hébergements et que les applications utilisées pour le traitement des données sensibles au titre [de l'article 31 de la loi SREN], et en particulier les solutions collaboratives, bureautiques, de messagerie ainsi que les solutions d'IA, sont conformes aux exigences de protection contre tout accès non autorisé par des autorités publiques d'États tiers ». S'agissant plus spécifiquement du Health data Hub, la situation actuelle n'est pas satisfaisante et c'est la raison pour laquelle le Gouvernement travaille à une migration. Un premier appel d'offres est sur le point d'être lancé par le ministère de la Santé pour permettre l'hébergement des données sur un hébergement sécurisé, qui garantisse la protection contre l'extraterritorialité du droit de certains Etats en matière de données. Le déploiement de cette solution intercalaire devrait débuter en 2026. Enfin, dans le cadre des négociations au niveau européen du schéma de certification de cybersécurité des services cloud (EUCS), toujours en cours, et dans le contexte international actuel, la France continue de tout faire pour permettre aux Etats membres de disposer d'un cadre juridique fiable, complet, robuste et transparent qui garantisse une protection efficace des données sensibles en Europe, en particulier contre l'application de législations extraterritoriales, et ce dans le cadre d'un marché du cloud plus concurrentiel et en mesure de répondre aux besoins d'innovation et de sécurité de nos administrations, de nos citoyens et de nos entreprises. Il en va ainsi de la souveraineté de notre pays comme de l'Union européenne dans un contexte de développement technologique toujours plus rapide qui doit se réaliser dans le respect des règles et valeurs de l'Union européenne.