Question de : M. Philippe Latombe
Vendée (1^re circonscription) - Démocrate (MoDem et Indépendants)

M. Philippe Latombe attire l'attention de Mme la Première ministre sur l'hébergement des données des collectivités locales. Dans une circulaire parue le 5 avril 2016, le ministère de la culture imposait aux collectivités locales de stocker leurs données sur un Cloud souverain. Toutes devaient donc confier leurs données à un prestataire hébergé en France pour assurer la confidentialité des données des citoyens. Avec l'entrée en vigueur, le 28 mai 2019, du règlement (UE) n° 2018/1807 du Parlement européen et du Conseil du 14 novembre 2018 établissant un cadre applicable au libre flux des données à caractère non personnel dans l'Union européenne et qui modifiait les règles de droit en interdisant les exigences de localisation, sauf pour des motifs de sécurité publique, cette circulaire avait été dépubliée. Cependant, dans sa circulaire n° 6282-SG du 5 juillet 2021 relative à la doctrine d'utilisation de l'informatique en nuage par l'État, notamment adressée au ministère de la cohésion des territoires et relations avec les collectivités territoriales, le Premier ministre précisait : « Il importe que l'État conserve une capacité d'hébergement en nuage interministérielle interne, mutualisée et opérationnelle, afin d'assurer sa souveraineté dans ce domaine. Pour accélérer sa transformation numérique, il doit également s'appuyer sur les offres privées présentant les garanties juridiques, techniques, cyber et opérationnelles requises, notamment celles proposées par les acteurs industriels français et européens. En effet, l'État doit veiller scrupuleusement à la protection de ses données et de celles des concitoyens et notamment à leur hébergement sur le territoire de l'Union européenne, conformément au droit de l'Union ». Le Premier ministre formalisait ainsi la nécessaire protection des données personnelles des concitoyens et un objectif de souveraineté numérique du pays. Il est donc naturel que ces principes soient aussi ceux des collectivités locales, d'autant que les données personnelles qu'elles collectent sont soumises à une porosité évidente avec les autres services de l'État. Or le député a été informé d'une politique commerciale particulièrement offensive de certains opérateurs extra-européens à l'occasion du salon des maires, via des offres de crédits cloud qui, dans un contexte où les collectivités locales sont soucieuses de faire des économies, peuvent paraître particulièrement alléchantes aux maires et présidents de communautés de communes sollicités, mais sont incompatibles avec les exigences de protection des données des concitoyens. Il souhaite donc savoir quelles mesures elle compte prendre afin de veiller à ce que les collectivités locales ne succombent pas à ces offres, dans le respect de l'évolution d'une doctrine réévaluée à l'aune du RGPD et de l'arrêt Schrems II.