ART. UNIQUE	N°3	
ASSEMBLÉE NATIONALE
16 Mars 2026
___________________________________________________________________
RELATIVE À LA SÉCURISATION DES MARCHÉS PUBLICS NUMÉRIQUES - (N° 2522)
AMENDEMENT N°3
présenté par
M. Coulomme, Mme Abomangoli, M. Alexandre, M. Amard, Mme Amiot, Mme Amrani, M. Arenas, M. Arnault, Mme Belouassa-Cherifi, M. Bernalicis, M. Bex, M. Bilongo, M. Bompard, M. Boumertit, M. Boyard, M. Cadalen, M. Caron, M. Carrière, Mme Cathala, M. Cernon, Mme Chikirou, M. Clouet, M. Coquerel, M. Delogu, M. Diouara, Mme Dufour, Mme Erodi, Mme Feld, M. Fernandes, Mme Ferrer, M. Gaillard, Mme Guetté, M. Guiraud, Mme Hamdane, Mme Hignet, M. Kerbrat, M. Lachaud, M. Lahmar, M. Laisney, M. Le Coq, M. Le Gall, Mme Leboucher, M. Legavre, Mme Legrain, Mme Lejeune, Mme Lepvraud, M. Léaument, Mme Élisa Martin, M. Maudet, Mme Maximi, Mme Mesmeur, Mme Manon Meunier, M. Nilor, Mme Nosbé, Mme Obono, Mme Oziol, Mme Panot, M. Pilato, M. Piquemal, M. Portes, M. Prud’homme, M. Ratenon, M. Saint-Martin, M. Saintoul, Mme Soudais, Mme Stambach-Terrenoir, M. Aurélien Taché, Mme Taurinya, M. Tavel, Mme Trouvé et M. Vannier
------------
ARTICLE UNIQUE
Aprèsl’alinéa 10, insérer l’alinéa suivant :
« I ter. – Les entités mentionnéesau I du présent article doivent prévoir des conditionsd’exécution de marchés comportant des prestations d’hébergement etde traitement de données par les services de l’informatique ennuage les protégeant de tout effet extraterritorial d’unelégislation étrangère aboutissant à contraindre le titulaire d’unmarché à communiquer ou à transférer ces données à des autoritésétrangères. Par ailleurs, les titulaires de marchés retenus par lesentités mentionnées au I doivent garantir que les donnéesrécoltées dans le cadre de l’exécution du marché soient hébergéessur des serveurs situés sur le territoire national ou de l’Unioneuropéenne. »
EXPOSÉ SOMMAIRE
Par cet amendement, le groupe LFIsouhaite réaffirmer l’importance d’utiliser des solutionsnumériques souveraines, en garantissant l’hébergement des donnéesrécoltées par les pouvoirs publics sur des serveurs situés sur leterritoire national (ou européen) et sur lesquels s’applique ledroit national et protégé de tout effet d’une législation étrangèrequi aboutirait d’une manière ou d’une autre à un transfert dedonnées à des autorités étrangères.
Face à la numérisation de lasociété, l’usage de “cloud” est devenu indispensable au bonfonctionnement de l’administration publique. Selon les données dela Cour des Comptes sur le sujet, les dépenses publiques en lamatière sont passées d’1 M€ en 2020 à 52 M€ en 2024 (les servicesde l’État représentent les 2/3 de la somme, soit 32 M€). Au total,entre 2020 et 2024, 120 M€ ont été dépensés. Si des données sontdisponibles sur l’identité des fournisseurs d’accès choisis parl’État, il n’existe aucune donnée agrégée sur l’identité desfournisseurs choisis par les collectivités territoriales, alorsmême qu’elles sont des acteurs incontournables de l’actionpublique. Par conséquent, il est impossible d’évaluer le niveaud’exposition aux risques de ces dernières, ainsi que le coûtengendré. Or, ces interrogations sont particulièrement légitimes,au vu de la structure du marché actuel. En effet, 3 grandesentreprises américaines en situation de quasi-monopole sur lenumérique, Amazon Web Services (AWS), Microsoft Azure et GoogleCloud, représentent à elles seules 70% des parts de marché enEurope, tandis que la part des fournisseurs de cloud européens aconnu une diminution au cours des dernières années, représentant 27% des parts en 2017 puis seulement 16 % en 2021. Par ailleurs,malgré une volonté affichée des pouvoirs publics de promouvoir dessolutions alternatives, ces dernières restent largement dépendantesde solutions étrangères : à titre d’illustration, la conclusion parle ministère de l’éducation nationale et de la jeunesse d’un accordcadre pour le renouvellement de ses licences Microsoft en mars2025, proposant des outils bureautiques et des prestationsd’hébergement en nuage est très critiquée : interrogé dans le cadrede la commission d’enquête sénatoriale sur “les coûts et lesmodalités effectifs de la commande publique et la mesure de leureffet d’entraînement sur l’économie française” adopté le 8 juillet2025, M. Anton Carniaux, directeur des affaires publiques etjuridiques de Microsoft France, a avoué que son entreprise nepouvait pas garantir que les données hébergées ne soit jamaistransmises à des autorités étrangères – ce qui pose la question del’extraterritorialité.
En effet, de nombreuses législations étrangères permettent auxÉtats les ayant mises en place de récupérer les données collectéespar les entreprises, même lorsque cette récolte a été effectuée àl’étranger. A titre d’illustration, aux Etats-Unis, plusieurslégislations permettent au Gouvernement d’accéder à nos donnéescomme la section 702 du Foreign Intelligence Surveillance Act(Fisa) qui permet aux autorités américaines, sans nécessité demandat, de recueillir des données personnelles de citoyensétrangers stockées sur des serveurs gérés par des fournisseurs deservices cloud domiciliés aux États-Unis, y compris lorsque lesserveurs ne sont pas situés sur le territoire américain. Face àcela, il est donc indispensable de développer l’usage de nouveauxoutils permettant de garantir un accès souverain aux données,parfois très sensibles, hébergées par les administrations publiquesafin de préserver notre souveraineté numérique. En l’absence detelles mesures, notre pays risque de devenir une véritable “colonienumérique” de puissances étrangères, annihilant ainsi notrecapacité même à agir. Cette situation n’est pas tolérable.