ART. 35 BIS	N°1738	
ASSEMBLÉE NATIONALE
17 Mai 2023
___________________________________________________________________
PROGRAMMATION MILITAIRE 2024-2030 - (N° 1234)
Commission		
Gouvernement		
Tombé
AMENDEMENT N°1738
présenté par
M. Latombe
------------
ARTICLE 35 BIS
I. – À la première phrase del’alinéa 3, substituer aux mots :
« sur le territoire »
les mots :
« au sein ».
II. – En conséquence, procéder à lamême substitution à la fin de la deuxième phrase du mêmealinéa.
III. – En conséquence, àl’alinéa 4, après le mot : 
« capacité »,
insérer le mot :
« juridique ».
IV. – En conséquence, après le mêmealinéa, insérer l’alinéa suivant :
« Un décret, pris après avisde la Commission nationale de l’informatique et des libertés et duService de l’information stratégique et de la sécurité économiques,au plus tard six mois à compter de la publication de la présenteloi, précise les catégories de traitements pour lesquels le respectdes conditions fixées au présent article s’impose. Il prend encompte l’impact qu’aurait une perte de continuité ou de maîtrisedes traitements de données sur les intérêts fondamentaux de lanation. »
V. – En conséquence, compléter cetarticle par l’alinéa suivant :
« Le présent article entre enapplication le 1er janvier 2025. »
EXPOSÉ SOMMAIRE
Ceci est un amendement d’appel.Suite à des discussions, notamment avec l’ANSSI, le SGDSN, legouvernement et des OIV, il est apparu qu’ils souhaitaient desprécisions sur la caractérisation des données sensibles et sur ledélai d’application du présent article, tout en partageant sanécessité. Je propose une nouvelle rédaction qui intègre cespréoccupations.
L’exposé des motifs reste inchangé :
La donnée est souvent considérée comme l’or noir du XXIème siècle,qu’il s’agisse des données
personnelles ou non personnelles. La création comme la maîtrise decette richesse est déterminante pour
assurer la souveraineté des organisations, tant privées quepubliques. Ces données représentent
également un enjeu sans précédent pour assurer la sécurité et ladéfense de la Nation, notamment
lorsqu’elles concernent l’activité des organisations stratégiquesde la France.
 
Des directives existent pour aider les organisations à qualifierle niveau de sensibilité de leurs données et
ainsi prendre les mesures nécessaires pour les protéger. Mais ellessont encore peu utilisées et beaucoup
de décisions prises en matière de services informatiques nesuffisent pas encore à protéger les données,
notamment les plus sensibles.
 
En effet, il est aujourd’hui trop fréquent que les organisationsfrançaises, y compris les celles qui ont été
désignées comme « opérateurs d’importance vitales », aient recoursà des services non-européens pour
l’hébergement de leurs données, y compris sensibles. Or, certainsfournisseurs de cloud non européens
sont aujourd’hui soumis à des législations extra territoriale etpeuvent être tenus par les autorités
étrangères dont ils dépendent, sans en informer leurs clients, detransmettre des données
potentiellement stratégiques pour la Nation française et sadéfense.
 
Le présent article vise à faire cesser cette situation qui faitcourir un risque important de captation de ces
données par des puissances étrangères et porte atteinte auxintérêts fondamentaux du pays.
 
En vertu de la protection de la sécurité nationale, le présentarticle vient contraindre les opérateurs
d’importance vitale à identifier leurs données « sensibles »,c’est-à-dire les traitements de données
réalisés sous leur autorité et dont la captation par une puissanceétrangère, une organisation étrangère
ou sous contrôle étranger porterait une possible atteinte auxintérêts fondamentaux de la nation.
 
Ensuite, il vient assurer que ces données ne soient pas confiéesà des sociétés non européennes ou
contrôlées par des Etats non-membres de l’Union européenne. Ils’agit de sociétés dont le capital social
et les droits de vote sont, directement ou indirectement, détenusindividuellement à plus de 24% et
collectivement à plus de 39%, par des entités tierces possédantleur siège statutaire, administration
centrale ou principal établissement au sein d’un Etat non-membre del’Union européenne.
 
L’agence nationale de la sécurité des systèmes d’informationdélivre aujourd’hui des qualifications qui
permettent d’identifier les organisations qui respectent les plushauts standards de sécurité et qui sont
immunisées au droit extracommunautaire.