APRÈS ART. 18	N°138	
ASSEMBLÉE NATIONALE
27 Janvier 2024
___________________________________________________________________
ENCADRANT L’INTERVENTION DES CABINETS DE CONSEIL PRIVÉS DANS LES POLITIQUES PUBLIQUES - (N° 2112)
Commission		
Gouvernement		
Rejeté
AMENDEMENT N°138
présenté par
Mme Le Hénanff, M. Patrier-Leitus, M. Christophe, M. Valletoux, M. Plassard, M. Lamirault, Mme Kochert, M. Thiébaut, M. Lemaire, Mme Rauch, Mme Carel, M. Jolivet, M. Marcangeli, Mme Bellamy, M. Pradal, Mme Félicie Gérard, M. Gernigon et Mme Violland
------------
ARTICLE ADDITIONNEL
APRÈS L’ARTICLE 18, insérer l’article suivant:
I. – Lorsque l’objet oules caractéristiques du marché nécessitent le traitement de donnéesd’une sensibilité particulière, définies au III, qu’ellessoient à caractère personnel ou non, et si leur violation estsusceptible d’engendrer une atteinte à l’ordre public, à lasécurité publique, à la santé ou à la vie des personnes ou à laprotection de la propriété intellectuelle, l’administrationbénéficiaire veille à ce que le prestataire et les consultantsmettent en œuvre des critères de sécurité et de protection desdonnées garantissant notamment la protection des données traitéesou stockées contre tout accès non autorisé par des autoritéspubliques d’États en dehors de l’Union européenne.
II. – On entend par administrationbénéficiaire les administrations de l’État ou ses opérateurs, dontla liste est annexée au projet de loi de finances et qui ontrecours aux prestations de conseil définies au II del’article 1er de la présente loi.
III. – Sont qualifiées dedonnées d’une sensibilité particulière au sens du I :
1° Les données qui relèvent desecrets protégés par la loi, notamment au titre des articlesL. 311‑5 et L. 311‑6 du code des relations entre lepublic et l’administration ;
2° Les données nécessaires àl’accomplissement des missions essentielles de l’État, notamment lasauvegarde de la sécurité nationale, le maintien de l’ordre publicet la protection de la santé et de la vie des personnes.
IV. – Un décret enConseil d’État précise les modalités d’application du présentarticle, notamment les critères de sécurité et de protection, ycompris en termes de détention capitalistique, des donnéesmentionnés au III et les conditions dans lesquelles unedérogation peut être accordée par le Premier ministre.
EXPOSÉ SOMMAIRE
La ciculaire du 5 juillet 2021relative à l’application de la doctrine d’utilisation del’informatique en nuage par l’État actualisée par la circulaire du31 mai 2023 fait du cloud le mode d’hébergement et de productionpar défaut des services numériques de l’État et impose des critèresstricts de sécurité pour les cloud proposés par les industriels àl’Etat. Pour chaque produit numérique manipulant des données, àcaractère personnel ou non, d’une sensibilité particulière et dontla violation est susceptible d’engendrer une atteinte à l’ordrepublic, à la sécurité publique, à la santé et la vie des personnesou à la protection de la propriété intellectuelle, l’offre de cloudcommerciale retenue doit impérativement respecter la qualificationSecNumCloud établie par l’ANSSI et être immunisée contre tout accèsnon autorisé par des autorités publiques d’État tiers.
Par ailleurs, l’article 10 bis A du projet de loi sécuriser etréguler l’espace numérique, voté à une large majorité en séancepublique en octobre dernier, a souhaité établir des règles sur lerecours à des prestataires d’informatique en nuage pourl’administration de l’Etat ou ses opérateurs lorsque les donnéesconcernées sont d’une sensibilité particulière.
De même, la commission d’enquête du Sénat sur l’influencecroissante des cabinets de conseil privés sur les politiquespubliques a établi que les cabinets de conseil sont destinatairesde données pouvant présenter un caractère sensible, comme entémoigne par exemple la mission de réorganisation du service desanté des armées (2018-2021) menée  par des consultants aucours du quinquennat précédent.
La problématique de la maîtrise des données des administrations etla perte de souveraineté numérique française a été relevée denombreuses fois, notamment dans le rapport de la missiond’information sur le thème « Bâtir et promouvoir une souveraineténumérique nationale et européenne »  (2021).
Ainsi, en cohérence avec les effort de protection des donnéessensibles de l’Etat, les administrations concernées par desprestations de conseils devraient être tenues d’avoir recours à descabinets de conseils garants des mêmes critères de sécurité.
L’absence de règles spécifiques de sécurité pour les prestations deconseil qui traitent des données particulièrement sensiblesconstituerait une brèche majeure pour la protection des données del’administration.