ART. 10 BIS A	N°532	
ASSEMBLÉE NATIONALE
29 Septembre 2023
___________________________________________________________________
VISANT À SÉCURISER ET RÉGULER L’ESPACE NUMÉRIQUE - (N° 1674)
Commission		
Gouvernement		
Non soutenu
AMENDEMENT N°532
présenté par
M. Taché, M. Ben Cheikh, M. Fournier, M. Iordanoff, Mme Laernoes, Mme Pasquini, Mme Pochon, Mme Regol, Mme Sas et M. Thierry
------------
ARTICLE 10 BIS A
Rétablir cetarticle dans la rédaction suivante :
« I. – Les fournisseurs deservices d’informatique en nuage prennent toutes les mesurestechniques et organisationnelles nécessaires pour empêcher toutaccès d’un État tiers, non autorisé par les autorités publiques,direct ou indirect par l’intermédiaire de toute personnephysique ou morale, aux données qui relèvent de secrets protégéspar la loi au titre des articles L. 311‑5 et L. 311‑6 ducode des relations entre le public et l’administration, aux donnéesde santé à caractère personnel mentionnées à l’articleL. 1111‑8 du code de la santé publique, ainsi qu’aux donnéesnécessaires à l’accomplissement des missions essentielles del’État, notamment la sauvegarde de la sécurité nationale, lemaintien de l’ordre public et la protection de la santé et de lavie des personnes.
« II. – En cas de recours àune offre commerciale sur le marché de l’informatique en nuage pourl’hébergement ou le traitement des données mentionnées au présentI, les autorités publiques et les entreprisesprivées s’assurent que le prestataire de servicesd’informatique en nuage respecte les obligations mentionnées aududit I et que son siège statutaire, son administration centrale ouson principal établissement est établi sur le territoire d’un Étatmembre de l’Union européenne.
« Les autoritéspubliques et les entreprises privées s’assurent égalementque le capital et les droits de vote dans la société du prestataireretenu ne sont pas, directement ou indirectement, individuellementdétenus à plus de 24 % et collectivement détenus à plus de39 % par des entités tierces possédant leur siège statutaire,leur administration centrale ou leur principal établissement endehors de l’Union européenne.
« Ces entités tierces nepeuvent pas, individuellement ou collectivement, en vertu d’uncontrat ou de clauses statutaires, disposer d’un droit de véto oudésigner la majorité des membres des organes d’administration, dedirection ou de surveillance du prestataire.
« Un décret en Conseil d’Étatprécise les données stratégiques et sensibles concernées par cetarticle. »
 
EXPOSÉ SOMMAIRE
Amendement issu des travaux du groupe d’études Economie,sécurité et souveraineté numériques
L’article 10bisA, adopté au Sénat et supprimé en Commissionspéciale, visait d’une part à obliger les fournisseurs de cloud àprendre toute mesure nécessaire pour empêcher tout accès par unEtat tiers aux données sensibles ou à caractère personnel, etd’autre part à réserver la commande publique en matière de cloud àdes entreprises européennes. Pour ce dernier point, l’articles’inspirait du référentiel “SecnumCloud” établi par l’AgenceNationale de la sécurité des systèmes d’informations (ANSSI). Laprotection de nos données stratégiques et sensibles, notammentvis-à-vis des États tiers, doit être une priorité. Par ailleurs, lelevier de la commande publique est indispensable pour permettre àune véritable industrie numérique européenne de sedévelopper.  C’est pourquoi il est proposé par cet amendementde rétablir l’article 10bisA, avec une variation visant à étendreson champ d’application puisqu’il est proposé qu’il s’appliqueaussi bien aux autorités publiques qu’aux entreprises privées quitraitent des données sensibles.