APRÈS ART. 35	N°DN973	
ASSEMBLÉE NATIONALE
10 Mai 2023
___________________________________________________________________
PROGRAMMATION MILITAIRE 2024-2030 - (N° 1033)
Adopté
AMENDEMENT N°DN973
présenté par
Mme Thillaye, rapporteure pour avis au nom de la commission des lois, M. Latombe, M. Balanant, Mme Brocard, Mme Desjonquères, Mme Jacquier-Laforge et M. Mandon
------------
ARTICLE ADDITIONNEL
APRÈS L’ARTICLE 35, insérer l’article suivant:
Après l’article L. 1332‑6‑4 ducode de la défense, il est inséré un article L. 1332‑6‑4‑1ainsi rédigé :
« Art. L. 1332‑6‑4‑1. – Lesopérateurs mentionnés aux articles L. 1332‑1 et L. 1332‑2et les opérateurs mentionnés à l’article 5 de la loin° 2018‑133 du 26 février 2018 identifient les traitements dedonnées réalisés sous leur autorité et dont la captation par unepuissance étrangère, une organisation étrangère ou sous contrôleétranger porterait une possible atteinte aux intérêts fondamentauxde la nation au sens de l’article 410‑1 du code pénal. Cesopérateurs tiennent à disposition du Premier ministre la liste destraitements ainsi identifiés.
« Les traitements ainsiidentifiés doivent être opérés exclusivement par une ou plusieursentités dont le siège statutaire, administration centrale ouprincipal établissement sont établis au sein d’un État membre del’Union européenne. Ils ne peuvent être confiés en sous-traitance àune société dont le capital social et les droits de vote sont,directement ou indirectement, détenus individuellement à plus de24 % et collectivement à plus de 39 %, par des entitéstierces possédant leur siège statutaire, administration centrale ouprincipal établissement au sein d’un État non-membre de l’Unioneuropéenne. Ces entités tierces établies hors de l’Union européennene doivent pas disposer d’un pouvoir de fait ou de droit decontrôle des décisions du prestataire. Tout recours à desprestataires ultérieurs doit se faire sous les mêmesconditions.
« Les opérateurs visés aupremier alinéa s’assurent que les traitements concernés sontréalisés dans des conditions techniques et organisationnelles quipermettent de garantir qu’aucune puissance étrangère, organisationétrangère ou sous contrôle étranger ne soit en capacité desuspendre les traitements, d’en détourner les finalités ou lesmoyens, ou de contraindre l’opérateur à en modifier les finalitésou les moyens.
« L’autorité nationale desécurité des systèmes d’information peut notifier aux opérateursvisés au premier alinéa les catégories de traitements pour lesquelsle respect des conditions fixées au présent article s’impose. Ellepeut, après mise en demeure restée infructueuse, infliger à unopérateur ayant commis un manquement aux obligations définies auprésent article une amende dont le montant ne peut excéder 5 %de son chiffre d’affaires annuel moyen constaté au cours des deuxexercices précédents.
« Les hauts fonctionnairesmentionnés à l’article R. 1143‑1 du code de la défenses’assurent de la connaissance et de la bonne application desprésentes dispositions. »
EXPOSÉ SOMMAIRE
La donnée est souvent considéréecomme l’or noir du XXIème siècle, qu’ils s’agissent des donnéespersonnelles ou non-personnelles. La création comme la maîtrise decette richesse est déterminante pour assurer la souveraineté desorganisations, tant privées que publiques. Ces données représententégalement un enjeu sans précédent pour assurer la sécurité et ladéfense de la Nation, notamment lorsqu’elles concernent l’activitédes organisations stratégiques de la France.
Des directives existent pour aiderles organisations à qualifier le niveau de sensibilité de leursdonnées et ainsi prendre les mesures nécessaires pour les protéger.Mais elles sont encore peu utilisées et beaucoup de décisionsprises en matière de services informatiques ne suffisent pas encoreà protéger les données, notamment les plus sensibles.
En effet, il est aujourd’hui tropfréquent que les organisations françaises, y compris les celles quiont été désignées comme « opérateurs d’importance vitales », aientrecours à des services non-européens pour l’hébergement de leursdonnées, y compris sensibles. Or, certains fournisseurs de cloudnon européens sont aujourd’hui soumis à des législations extraterritoriale et peuvent être tenus par les autorités étrangèresdont ils dépendent, sans en informer leurs clients, de transmettredes données potentiellement stratégiques pour la Nation françaiseet sa défense.
Le présent article vise à fairecesser cette situation qui fait courir un risque important decaptation de ces données par des puissances étrangères et porteatteinte aux intérêts fondamentaux du pays.
En vertu de la protection de lasécurité nationale, le présent article vient contraindre lesopérateurs d’importance vitale à identifier leurs données «sensibles », c’est-à-dire les traitements de données réalisés sousleur autorité et dont la captation par une puissance étrangère, uneorganisation étrangère ou sous contrôle étranger porterait unepossible atteinte aux intérêts fondamentaux de la nation.
Ensuite, il vient assurer que cesdonnées ne soient pas confiées à des sociétés non européennes oucontrôlées par des Etats non-membres de l’Union européenne. Ils’agit de sociétés dont le capital social et les droits de votesont, directement ou indirectement, détenus individuellement à plusde 24% et collectivement à plus de 39%, par des entités tiercespossédant leur siège statutaire, administration centrale ouprincipal établissement au sein d’un Etat non-membre de l’Unioneuropéenne.
L’agence nationale de la sécuritédes systèmes d’information délivre aujourd’hui des qualificationsqui permettent d’identifier les organisations qui respectent lesplus hauts standards de sécurité et qui sont immunisées au droitextracommunautaire.