ART. UNIQUE	N°2	
ASSEMBLÉE NATIONALE
16 Mars 2026
___________________________________________________________________
RELATIVE À LA SÉCURISATION DES MARCHÉS PUBLICS NUMÉRIQUES - (N° 2522)
AMENDEMENT N°2
présenté par
M. Le Gall, Mme Abomangoli, M. Alexandre, M. Amard, Mme Amiot, Mme Amrani, M. Arenas, M. Arnault, Mme Belouassa-Cherifi, M. Bernalicis, M. Bex, M. Bilongo, M. Bompard, M. Boumertit, M. Boyard, M. Cadalen, M. Caron, M. Carrière, Mme Cathala, M. Cernon, Mme Chikirou, M. Clouet, M. Coquerel, M. Coulomme, M. Delogu, M. Diouara, Mme Dufour, Mme Erodi, Mme Feld, M. Fernandes, Mme Ferrer, M. Gaillard, Mme Guetté, M. Guiraud, Mme Hamdane, Mme Hignet, M. Kerbrat, M. Lachaud, M. Lahmar, M. Laisney, M. Le Coq, Mme Leboucher, M. Legavre, Mme Legrain, Mme Lejeune, Mme Lepvraud, M. Léaument, Mme Élisa Martin, M. Maudet, Mme Maximi, Mme Mesmeur, Mme Manon Meunier, M. Nilor, Mme Nosbé, Mme Obono, Mme Oziol, Mme Panot, M. Pilato, M. Piquemal, M. Portes, M. Prud’homme, M. Ratenon, M. Saint-Martin, M. Saintoul, Mme Soudais, Mme Stambach-Terrenoir, M. Aurélien Taché, Mme Taurinya, M. Tavel, Mme Trouvé et M. Vannier
------------
ARTICLE UNIQUE
Aprèsl’alinéa 10, insérer l’alinéa suivant :
« I ter. – Les titulaires de marchésretenus par les entités mentionnées au I du présent article nepeuvent être que des structures publiques qui doivent garantir queles données récoltées dans le cadre de l’exécution du marché soienthébergées sur des serveurs situés sur le territoire national ou del’Union européenne. Les titulaires de ces marchés doivent égalements’assurer de prendre toutes les mesures indispensables pour seprémunir de tout effet extraterritorial d’une législation étrangèrequi aboutirait à les contraindre à communiquer ou à transférerd’une manière ou d’une autre ces données à des autoritésétrangères. »
EXPOSÉ SOMMAIRE
Par cet amendement, le groupe LFIsouhaite réaffirmer la nécessité de protéger les données numériquesdes citoyennes et citoyens récoltées par les différents acteurspublics, en ayant systématiquement recours à des solutionsdéveloppées par des structures publiques nationales, et quiprévoient un hébergement des données sur des serveurs régis par ledroit national et/ou européen et protégé de tout effet d’unelégislation étrangère qui aboutirait d’une manière ou d’une autre àun transfert de données à des autorités étrangères.
Face à la numérisation de lasociété, l’usage de “cloud” est devenu indispensable au bonfonctionnement de l’administration publique. Selon les données dela Cour des Comptes sur le sujet, les dépenses publiques en lamatière sont passées d’1 M€ en 2020 à 52 M€ en 2024 (les servicesde l’État représentent les 2/3 de la somme, soit 32 M€). Au total,entre 2020 et 2024, 120 M€ ont été dépensés. Si des données sontdisponibles sur l’identité des fournisseurs d’accès choisis parl’État, il n’existe aucune donnée agrégée sur l’identité desfournisseurs choisis par les collectivités territoriales, alorsmême qu’elles sont des acteurs désormais incontournables del’action publique. Par conséquent, il est impossible d’évaluer leniveau d’exposition aux risques de ces dernières, ainsi que le coûtengendré. Or, ces interrogations sont particulièrement légitimes,au vu de la structure du marché actuel. En effet, 3 grandesentreprises américaines en situation de quasi-monopole sur lenumérique, Amazon Web Services (AWS), Microsoft Azure et GoogleCloud, représentent à elles seules 70% des parts de marché enEurope.
Par ailleurs, malgré une volontéaffichée des pouvoirs publics de promouvoir des solutionsalternatives, ces dernières restent largement dépendantes desolutions étrangères : à titre d’illustration, la conclusion par leministère de l’éducation nationale et de la jeunesse d’un accordcadre pour le renouvellement de ses licences Microsoft en mars2025, proposant des outils bureautiques et des prestationsd’hébergement en nuage est très critiquée : interrogé dans le cadrede la commission d’enquête sénatoriale sur “les coûts et lesmodalités effectifs de la commande publique et la mesure de leureffet d’entraînement sur l’économie française” adopté le 8 juillet2025, M. Anton Carniaux, directeur des affaires publiques etjuridiques de Microsoft France, a avoué que son entreprise nepouvait pas garantir que les données hébergées ne soit jamaistransmise à des autorités étrangères – ce qui pose la question del’extraterritorialité.
Dans ce contexte, et s’afin des’assurer que la France continue d’avoir un accès souverain auxdonnées numériques qu’elle a collectées, il nous sembleindispensable d’avoir recours à des solutions développées par desstructures publiques - d’autant plus qu’elles existent. A titred’illustration, l’État a développé deux offres de servicesd’hébergement et de traitement des données entièrement maîtriséspar des ressources internes, incluant l’hébergement, l’ingénierie,l’exploitation et la surveillance des données sensibles, exploitéeset surveillées par le ministère de l’Intérieur (cloud Pi),initialement associé à un niveau de sécurité « Diffusion restreinte» ou encore le ministère des finances (cloud Nubo) associé austandard SecNumCloud - qui garantit un haut niveau d’exigences tantdu point de vue technique, qu’opérationnel ou juridique carprotégée des législations extra-territoriales et donc un niveau desécurité de la solution dans son ensemble.