Réponse publiée le 17 mars 2026

La question porte sur l'acquisition, par l'UGAP, de licences de la solution logicielle Microsoft Dynamics. En tant qu'établissement public industriel et commercial placé sous la tutelle du ministre chargé du budget et du ministre chargé de l'éducation nationale, l'UGAP est soumise aux règles fixées par la circulaire de la Première ministre n° 6404/SG en date du 31 mai 2023 relative à l'actualisation de la doctrine d'utilisation de l'informatique en nuage par l'État. L'acquisition de ces licences est conforme à cette doctrine et par ailleurs cohérent avec les principes fixés par l'article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, bien que celui-ci, stricto sensu, ne s'applique pas à l'UGAP [1]. En 2023, l'UGAP a engagé une étude de marché afin de trouver une solution de gestion interne des sollicitations de ses clients (« tickets ») à destination du réseau commercial de l'établissement. Cette étude a conduit à retenir le module Customer Service de Microsoft Dynamics. La commande des licences a été passée en avril 2024, dans le cadre du marché de solutions Microsoft de l'établissement. Ce choix résulte d'une analyse approfondie des besoins fonctionnels et des solutions disponibles. Il est précisé que l'UGAP a bien examiné des alternatives européennes, notamment l'offre de SAP. Au cours de ce processus de sélection, l'UGAP s'est assurée que la solution envisagée était conforme au règlement général sur la protection des données (RGPD) et à la circulaire du 31 mai 2023 précitée.  Il ressort de cette analyse que, d'une part, ce module de Microsoft Dynamics, hébergé sur le cloud « Azure », ne traite pas de données d'une sensibilité particulière et dont la violation est susceptible d'engendrer une atteinte à l'ordre public, à la sécurité publique, à la santé et la vie des personnes ou à la protection de la propriété intellectuelle. D'autre part, puisqu'il s'agit néanmoins de données à caractère personnel, l'UGAP et Microsoft ont signé un accord de protection des données (APD), permettant de garantir la conformité du module Customer Service de Microsoft Dynamics au RGPD. Cet accord s'inscrit dans le cadre de la décision d'exécution n° 2023/1795 de la commission européenne du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis. Il est également précisé que le module Customer Service de Microsoft Dynamics retenu par l'UGAP est une brique applicative relativement modeste dans le système d'information de l'établissement : il couvre moins de 2 % des processus métiers de l'établissement. Ce système d'information est très largement basé sur la solution de gestion de la relation clients proposée par SAP, une solution européenne hébergée dans les infrastructures internes de l'établissement. Les données sensibles des clients, des fournisseurs et des salariés de l'UGAP restent hébergées dans le data center de l'établissement, sur ses propres serveurs. En matière de souveraineté numérique et pour ses besoins propres, l'UGAP s'appuie sur un système d'information résilient et ouvert sur des solutions innovantes françaises et européennes, notamment pour l'élaboration des appels d'offres de l'UGAP (solution Gino legal tech), pour la gestion des ressources humaines de l'établissement (solution Chronos d'Asys et solution talentsoft de CEGID) et pour la valorisation de la data (need4viz), briques applicatives stratégiques pour l'activité de l'UGAP. Dans sa politique interne d'achat informatique, l'UGAP continuera de veiller à la prise en compte des enjeux de souveraineté en conformité avec le cadre législatif et réglementaire applicable aux établissements publics industriels et commerciaux. Le gouvernement est attentif à la contribution de l'UGAP au soutien à l'économie française et à la prise en compte des enjeux de souveraineté. Ce sera une priorité du nouveau contrat d'objectifs et de performance entre l'Etat et l'établissement, en cours de négociation pour une signature en 2026. [1] le champ d'application de cet article concerne l'Etat, ses opérateurs et certains groupements d'intérêt public. Or l'UGAP n'est pas un opérateur au sens des lois de finances.