Commande publique : audition de Docaposte

où nous reprenons cette semaine nos travaux en poursuivant l'exercice de clarification des enjeux actuels en matière de souveraineté numérique au sujet notamment de l'hébergement des données publiques et du rôle que pourrait jouer la commande publique pour la faire progresser. Sujet que nous avons engagé depuis maintenant plusieurs semaines. Nous avons notamment mis en lumière les signaux contradictoires envoyés par l'État et ses opérateurs, en particulier dans le domaine de l'enseignement supérieur, mais aussi la situation de dépendance dans laquelle nous nous trouvons et parfois nous complaisons vis-à-vis de quelques grands acteurs internationaux.

La prise de conscience à ce sujet reste tenue et encore loin d'être universel. Pourtant, nos auditions ont montré qu'il n'y avait pas de fatalité à cette situation. L'écosystème français de l'innovation est performant.

Les start-ups nombreuses et les acteurs ayant atteint un haut niveau de maturité sont capables d'offrir des services qui rivalisent avec ce dégâts femmes. Des solutions souveraines existent. Pourquoi ne parvient-on donc pas à franchir le pas ?

Pour échanger avec nous à ce sujet, nous recevons monsieur Guillaume Poup, directeur général adjoint de Docaposte, filiale du groupe La Poste, chargé d'offrir des services numériques aux entreprises et qui se spécialise dans la confiance numérique et par ailleurs ancien directeur général de l'Agence nationale de la sécurité des systèmes d'information, LANY. Je vous informe que cette audition sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte-rendu publié. Je vous rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement voire 7 ans en fonction des circonstances.

Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité, veuillez s'il vous plaît appuyer sur le bouton de votre micro, lever la main droite et dire je le jure, je le jure. Je vous remercie. Euh si la personne à côté de vous euh prévoit d'intervenir, il faut qu'elle puisse prêter serment aussi.

Je ne sais pas si ce sera le cas. Parfait. Je vous laisserai dans un premier temps présenter brièvement Docapost et son champ d'intervention dans le numérique de confiance auprès des personnes publiques.

Quel regard portez-vous avec l'expérience acquise dans vos fonctions actuelles sur les pratiques des personnes publiques en matière d'achat numérique ? Leur niveau de compétence est-il selon vous suffisant ? Du fait de la complexification des solutions technologiques parfois entretenu, il faut le dire, par les fabricants eux-mêmes, les assistants en maîtrise d'ouvrage ne tendent-ils pas à se substituer aux acheteurs eux-mêmes alors qu'ils ne détiennent aucune légitimité si ce n'est technique ?

C'est une question qui revient très régulièrement dans le cadre de nos auditions. C'est également au titre de l'expertise que vous avez acquise dans le cadre de vos fonctions à la tête de l'ANC que nous souhaitions vous entendre. Entre 2014 et 2022, une politique publique de la souveraineté numérique a progressivement été élaborée avec une accélération à la suite de la crise sanitaire et du développement de l'usage des services de cloud.

Quel a été le rôle et l'action de l'ANC dans ce cadre au côté notamment de la direction interministérielle du numérique que nous avons auditionné dans cette même salle. Vous avez notamment créé durant cette période la qualification Secnum Cloud associée à un très haut niveau d'exigence et dont les titulaires doivent garantir l'immunité des données qu'ils hébergent aux législations extraterritoriales. Quel est le risque posé par ces législations ?

Est-il possible que l'alliance d'un hyperscaleur américain avec un acteur français permette de s'en prémunir ? Enfin, vous étiez à la tête de l'ANC lorsque la décision a été prise d'assurer l'hébergement de la plateforme des données de santé, le fameux Els Data Hub chez Microsoft Azure. Avez-vous été associé à ce processus ?

Des acteurs souverains n'étaient-ils pas en mesure d'assurer cette prestation alors que les données concernées sont extrêmement sensibles ? Je vais donc vous laisser la parole pour un proposiminaire d'une dizaine de minutes et puis ensuite monsieur le rapporteur vous interrogera tout comme les membres de notre commission d'enquête que je remercie pour leur présence. Merci beaucoup monsieur le président.

Bonjour à tous. Euh donc ça beaucoup de questions. En 10 minutes, je vais essayer de de ramasser le propos. 2 minutes, c'est 15.

OK. Merci pour votre générosité. Euh peut-être commencer par le le les risques, c'est ma culture.

Euh pour ensuite aller vers les solutions telles qu'on on les a pensé, on a commencé à les construire de depuis plusieurs années. Le le risque, il est euh il est connu, il est celui de de législation extraeuréenne pour pas dire américaine ou chinoise. Je fais pas une focalisation sur le le droit américain puisque quand on regarde du côté de la Chine, c'est écrit de manière très différente mais le l'esprit est exactement le même et c'est directement lié au fait que ces ces deux puissances disposent d'acteurs numériques très puissants et ce serait ce serait injuste de le de leur reprocher.

Et quelque part le par un droit que moi je trouve excessif mais enfin c'est pas à moi de juger. Il y a en effet la possibilité pour ces puissances d'accéder à de la donnée de manière absolument incroyable. Donc ça c'est très documenté, c'est du droit hein, on parle pas de euh on parle pas d'espionnage, de présomption, de choses comme ça. et notamment du côté du côté des États-Unis, tout l'empilement du Patriot Act, du FISAD, du cloud act vous avez bien ça en tête fait que les autorités américaines ont un accès que moi je considère comme quasier limité aux données qui sont hébergées par ces opérateurs.

Est-ce qu'il l'utilise ? Est-ce qu'il l'utilise pas ? Comme tout ça est secret, évidemment, c'est très difficile à dire.

Euh mon raisonnement, il est beaucoup plus par l'analyse de risque. Une puissance qui dispose de tels outils et qui s'en passerait, ce serait totalement incohérent. Donc je pense que dans une analyse de risque qui se tient, on est obligé de partir du principe que ces outils sont bien des outils opérationnels, même si j'en ai pas la preuve évidemment.

Euh pour donc une fois qu'on a dit ça euh la la question se pose de de quelle solution utiliser. Alors si si je me remets du côté de l'ANC il y a il y a déjà quelques années, l'ANC en tant qu'agent de cybersécurité a l'habitude de travailler à la garantie de sécurité de certains produits spécifiques. Ça peut être des produits très techniques, ça peut être des cartes bancaires.

Il y a tout un historique de de schéma que l'on qualifie de de certification ou de qualification euh qui qui est en place. Et dès 2014, quand je suis arrivé à l'anil, j'ai vu cette pression pour dire mais voilà, il y a le cloud, l'informatique nuagique qui arrive euh qui prend beaucoup de place. C'est très très difficile pour un client, un utilisateur de de se faire une idée de la sécurité réelle de ces solutions parce que c'est extrêmement technique.

Est-ce que la NC pourrait pas faire un référentiel et une certification pour distinguer finalement les solutions qui sont sécurisées par rapport aux autres dans la logique de ce qui est fait habituellement ? Donc c'est ce qui a été réalisé et donc voilà, sans rentrer dans le détail, ça veut dire que il faut fixer des règles claires, ce qu'on appelle un référentiel. Voilà, donc on dit bah voilà pour nous un cloud sécurisé c'est un cloud qui respecte telle telle telle règle de sécurité en terme de sécurité technique, de chiffrement, de sécurité opérationnelle, d'accès au data center.

Enfin voilà, t tous ces éléments sont publics, ils sont relativement lisibles. Pas technique, ça reste très lisible. Et donc on a un référentiel, on a des industriels qui proposent des offres qui veulent les faire qualifier.

On a un tiers indépendant qui mène cette évaluation et une fin, c'est l'ANC qui prend la décision de la qualification au nom de l'État français. C'est quelque chose qui a une assise juridique assez forte et qui engage l'État sur la qualité de Draau. D'où le sérieux qui enf ça contribue évidemment au sérieux de de cette démarche.

Initialement ce référentiel donc on appelle Sectimum Cloud, je j'assume ce nom qui bon avec le recul, c'est un peu bizarre mais euh bref, on tout le monde s'y est habitué. ou presque euh avec ce référentiel c'est Newcloud. Initialement, on ne s'intéressait qu'aux questions de sécurité technique et opérationnelle. le la protection juridique face à du droit non européen n'était pas inclus dans les premières versions parce que l'any je considérais je parler la première personne je considérais que on sortait de notre champ d'agence technique pour aller sur un champ plus complexe probablement avec des adhérences sur les questions de souveraineté qui sont au moins autant politique que technique.

Mais en fait ce qui est apparu c'est que dire voilà cette solution elle est parfaitement elle est parfaitement sûre entre guillemets d'un point de vue technique mais par contre il y a des trous juridiques dedans qui font que quelque part on peut pas garantir on peut même avoir la garantie inverse que les données ne sont pas sécurisées ça fait pas de sens. Donc il y a eu toute une deuxième phase dans la construction de ce référentiel pour ajouter des critères d'immunité aux droits extraterritorial euh qui qui apparaissent dans la dernière version du référentiel. Euh c'est pas si simple parce qu'il suffit pas de dire les les sociétés européennes sont gentilles et les sociétés non européennes sont méchantes.

C'est voilà, ça se qualifie de manière beaucoup plus subtile que ça. Mais c'est inclus dans le référentiel et aujourd'hui euh ce référentiel, il est fait pour protéger des risques juridiques euh liés à du droit de Europe. H aujourd'hui en terme de solution.

Donc je parle que du cloud, mais ça on pour en parler sur d'autres sujets, mais le cloud est intéressant parce qu'il est assez assez emblématique des problématiques qui sont posées. Euh aujourd'hui, il y a deux manières de de faire du du cloud qui soit euh qui respecte ce référentiel cloud. Soit vous allez chercher de la technologie typiquement américaine et vous la faites opérer par des gens qui ne sont pas soumis au droits américains.

Il y a des offres qui se développent en France autour de ça et tout tout a été pensé dans en terme de faisabilité pour que ça ça puisse aller au bout. Le but c'est pas dire à la fin ben non c'est pas possible. Donc les les initiatives en cours euh tant que c'est pas fait, c'est pas fait et c'est plus du tout ma responsabilité mais euh normalement c'est fait pour aller au bout et obtenir cette qualification clim cloud.

Ça c'est une première manière de faire ce que ce qu'à une époque Bercy appelait le cloud de confiance ou du cloud hybride. Hybride au sens on prend de la technologie qui n'est pas souveraine, clairement pas et on l'a fait on l'a fait opérer par des opérateurs qui ne sont soumis, on l'espère qu'au droit européen. L'autre manière de faire consiste à développer des solutions concurrentes mais de manière maîtrisé en Europe avec de la technologie européenne, avec des acteurs européens, des tant en développement qu'en exploitation.

Et ça c'est typiquement ce que l'on fait actuellement. Il y a plusieurs Il y a plusieurs acteurs euh euh Outscale chez Dasso Système, OVH Cloud bien connu, Scaleway et c'est ce que l'on fait également chez Docapost. On le fait pas tout seul mais on a lancé une offre qui s'appelle NPOT que l'on a lancé avec la banque des territoires Wick Telecom et d'os système de manière à proposer une offre totalement maîtrisée.

Je préfère maîtriser que souveraine. Souverine c'est un terme qui est toujours un peu un peu délicat même si on comprend bien l'idée qu'il y a derrière et c'est le terme un peu consacré aujourd'hui. Et le but c'est de proposer des offres de cloud euh qui soient naturellement immune à du droit non européen.

Donc ça veut dire quoi ? Ça veut dire que la technologie c'est beaucoup d'open source. Le le aujourd'hui l'open source est mature, c'est pas vrai il y a 10 ans mais dans ce domaineel l'open source est mature.

Donc il y a énormément de choses qui sont disponibles, accessibles et non contrôlé au sens négatif du terme et à condition d'avoir les bons ingénieurs, ce qui est le cas je pense c'est du spot, on est capable de bénéficier de cette technologie pour l'intégrer, l'assembler et en faire des offres qui soient robustes, efficaces, sécurisé et en même temps immune au droit américain et au droit chinois. Donc c'est ça le pari que que Newpot est en train de de réaliser. Mais encore il y en a d'autres he qui font qui font la même chose.

H est-ce que est-ce qu'on peut qualifier ces offres de souveraines ? Je pense que oui. Est-ce que les offres hybrides dont je parlais avant sont souveraines ou pas ?

C'est pas les mêmes C'est on parle pas de la même chose. De toute évidence, la principale différence estant pas en terme de sécurité à mon avis, mais plutôt en terme de disponibilité. Euh si demain, pour être très clair avec vous, euh si demain les fournisseurs de technologie américain décident de ne plus fournir la technologie, ce sont des systèmes qui qui s'effondrent très vite.

Euh on parle en jour, peut-être en semaine, on parle pas en année ou en décennies en tout cas parce que voilà, c'est c'est cloud, on peut avoir l'impression de d'objet statique. En pratique, ça évolue en permanence. Il faut constamment des mises à jour et tout ça et donc forcément ça ça s'arrête.

Donc dans le contexte géopolitique euh d'aujourd'hui qui pourrait être franc qu'on imaginait même pas il y a quelques années pour être très très franc hein. C'est même les les plus paran genre quand même avaient du mal à penser ça. Bah dans le contexte aujourd'hui, on se rend compte que euh il peut tout à fait y avoir des décisions politiques extrêmement fortes qui peuvent tout à fait interdire la la diffusion de technologie. on en pense ce qu'on veut probement beaucoup de mal mais dans certains cas ça devient un risque qu'on ne peut plus prendre à mon avis.

Donc ça c'est c'est la situation. Après il y a d'autres d'autres cas d'usage euh pour dire deux mots de Doc Post. Donc de Capost, c'est c'est la finale numérique de de la poste.

Le but c'est de proposer des solutions, des services euh qui sont nativement souverains. J'ai l'habitude de dire en interne qu'on on fait de la souveraineté comme comme monsieur Jour fait de la prose parce que voilà c'est le c'est le pari de Docapuse depuis l'origine. Tout ce que l'on développe, on le développe en France, je peux pas dire en Europe, en pratique beaucoup en France.

C'est hébergé dans des data centers qui sont en France. Euh tout le toute l'infrastructure est à nous hein, opérée par euh par des collaborateurs de Doc Post. Euh donc on a une maîtrise totale et c'est notre modèle économique hein, c'est pas on se force pas pour faire ça.

Et l'idée c'est d'aller proposer nos services euh dans des métiers de conseil, d'édition de logiciel et de fabrication de plateformes qui sont un peu du logiciel à façon, des gros logiciels qu'on fait pour nos clients européens. et ce dans trois dans trois axes prioritaires que sont le secteur public, la santé et l'éducation. Si on va sur ces secteurs-là, c'est pas le fruit du hasard, c'est que on a le sentiment que ce sont des domaines où la sensibilité de la donnée est présente, même si la réglementation n'est pas toujours très claire là-dessus pour être très très franc.

Euh si je prends l'exemple de l'éducation par exemple, euh on a au sein de Docapost une une société qui a été acquise il y a quelques années qui s'appelle Index éducation qui est parfois bien connu enfin il y a ceux qui connaissent très bien et ceux qui connaissent pas mais qui édite le logiciel Pronote. Pronote c'est le cas de texte dans le secteur dans le secteur public pour les collèges et les lycées qui est utilisé par l'immense majorité des collèges et des lycées. Donc voilà, les parents, les enfants connaissent, les profs aussi.

Euh et quand le je reste 2 minutes sur cet exemple parce qu'il est intéressant, quand le fondateur de Pronot qui a fondé la boîte il y a plus de 30 ans euh a a voulu passer la main l'âge arrivant, euh c'est une boîte superbe he vraiment éducation, c'est une superbe réussite. Et bien euh c'est là que collectivement on s'est rendu compte que les données qu'il y avait dans Pronot sont des données extrêmement sensibles. Ce sont toutes les notes, les absences, les remarques sur nos enfants.

Voilà. Euh je sais pas s'il y a donc c'est soumis au RGPD, c'est soumis à à des règlements génériques, mais je suis pas persuadé qu'il y a un texte spécifique qui disent que ces données sont très sensible, mais intuitivement elles sont sensibles, tout comme les données de santé. On sent bien que c'est une sensibilité naturelle là-dedans.

Et quand euh quand Pronote a été à vendre euh on a vu des fonds de pension notamment anglo-saxon tourner autour parce que il y a la valeur du logiciel du service qui l'apporte et il y a la valeur de la donnée qui a dedans. Donc c'est très important de notre point de vue que des opérateurs de confiance, j'ai pas perdu le terme comme Docapos puissent être là pour proposer ces services, continuer à les faire évoluer, vivre au rythme de la technologie et notamment là toute la question qui se pose en ce moment c'est comment est-ce qu'on va mettre de l'intelligence artificielle là-dedans parce qu'on a plein d'idées pour le faire et en même temps, il faut un traitement éthique de la donnée qui soit particulièrement exemplaire. Je je je vous livre le le business plan infernal qui qui pourrait nous rapporter beaucoup d'argent, c'est de vendre ces données à des gens qui proposent des des cours à domicile.

Voilà, si vous avez toutes les notes de tous les élèves de France, bah oui, vous pouvez faire un ciblage absolument incroyable que même les gars femmes savent pas faire probablement. Voyez ? Donc on a absolument besoin de d'avoir de tels opérateurs pour aller sur la relation avec le avec l'État et l'achat public.

Alors, d'abord la relation avec l'État euh elle est très bonne. On a une relation, alors là, je je parle avec ma casquette actuelle, mais ça a pas été dur euh pour moi de passer d'une bonne relation quand j'étais à l'any à une bonne relation chez chez Docapost et le tout dans la respect total de de la déontologie. Euh mais la relation avec la dume typiquement est excellente euh parce que on a on a on a des cultures qui sont proches, on a le la même intuition sur ce qu'il faut faire en terme de maîtrise.

Je parle de maîtrise plus que de souveraineté mais enfin on pourrait parler de souveraineté de la donnée. Et le tout l'enjeu finalement dans la relation avec la dinume, c'est de trouver le bon équilibre sur qu'est-ce qui doit être fait par l'État et qu'est-ce qui doit être fait par des acteurs industriels. Ma conviction personnelle étant que il y a un équilibre subtil à trouver entre les deux.

Mon approche quand j'étais à l'ANC, je désolé, je passe d'une casquette à l'autre, était que c'est très important d'avoir des compétences au sein de l'État. Si on n pas les compétences, si on n pas les experts, c'est très très dur de piloter à mon avis des prestataires, des industriels, des sous-traitants capables de de faire le travail. Euh par contre, avoir l'expertise, ça veut pas dire être capable de faire le travail industriel.

Quand j'étais à LAN, on a fait énormément de preuves de concept de poc, de démonstrateurs, de choses comme ça. Et moi, j'encourageais nos experts à faire ça. Par contre, à chaque fois euh qu' disent maintenant que ça marche, on va en faire un produit. toujours été très réticent et à chaque fois que j'ai j'ai cédé, j'ai regretté parce que entre faire une preuve de concept et faire un produit, c'est pas le même métier.

Tout ce qui est derrière, la maintenance, la gestion des utilisateurs, les corrections, des trucs qui n'amusent pas les experts probablement, c'est ça c'est un autre métier. Et donc tout l'enjeu que l'on a avec la dinume, nous comme d'autres industriels de confiance en France, c'est de trouver ce bon équilibre entre quelque part un acteur étatique qui doit être expert. Moi, je continue à dire qu'il faut il faut qu'ils aient à la fois les moyens euh quantitatifs et qualitatifs de recrutement pour avoir les bons experts, qu'ils aient une vraie stratégie, qui puissent afficher ces stratégies et qu'il sachent passer la balle aux industriels de confiance quand il le faut.

Et quand je dis passer la balle, c'est une image, c'est quelque chose de très imagé pour parler de très souvent de marché public, de de contrat, de choses comme ça. On arrive à faire des choses mais c'est souvent très complexe et c'est là où on en vient sur le sujet de votre commission d'enquête. En terme d'achat public, intégrer des critères de prix, c'est très facile.

C'est même le critère dominant. Des critères de RSE, ça progresse. Et donc ça montre qu'on est capable d'aller sur autre chose que des critères de prix.

Des critères de performance technique. Grosso modo, c'est plutôt bien fait en général. Des critères de sécurité, c'est beaucoup plus dur.

Quand j'étais à l'ancifie, euh on avait fait un un un travail, on faisait ce constat que les acheteurs publics ne savaient pas acheter des produits sécurisés. On avait travaillé avec la direction des achats de l'État pour même faire un guide à destination des acheteurs parce que en fait on se rendait simplement compte qu'il savaient pas faire. C'est pas qu' c'est pas qu'ils sont ils sont pas compétents, c'est juste que ils avaient pas été formés pour ça.

Donc il y a toute une question de formation euh des acheteurs et à côté de ça, il y a il faut qu'il y ait une volonté en terme d'achat pour aller vers des solutions sécurisées qui sont parfois un peu plus chères, qui sont parfois voilà. Donc c'est et ça c'est pas à l'acheteur de prendre cette responsabilité, c'est bien au donneur d'ordre. Je pense que sur les questions de d'autonomie stratégique et de souveraineté, on est quelques années plus tard exactement dans la même situation où euh les acheteurs, ils savent pas bien faire, euh ils ont pas le mode d'emploi.

Donc, il y a un travail à faire autour de la formation et de la diffusion de de méthodes, hein. Quand à la DGA, on parlerait de clausier générique par exemple. Voilà des parce que c'est c'est un peu toujours les mêmes choses qu'il faut demander mais encore faut-il savoir les demander et il faut une volonté forte de la part des décideurs pour dire mais moi je veux des produits qui soient sécurisés y compris vis-à-vis des menages juridiques, y compris vis-à-vis de ces risques de d'indisponibilité pour des raisons géopolitiques et ainsi de suite.

Donc c'est c'est là qu'on est aujourd'hui. Le côté négatif c'est que c'est pas le cas aujourd'hui dans les appels d'offres que nous on voit passer. c'est ces choses qui n'existent pas ou c'est anecdotique.

Euh mais en même temps, on connaît la on connaît la méthode. Il faut qu'il y ait un vrai courage, une vraie volonté et que ce soit durable dans le temps. Et il faut que ceux qui sont chargés d'exécuter euh au sens noble du terme ces ces achats les moyens de le faire et la le savoir-faire pour pour le faire.

Ça ça peut paraître une évidence. Ça allait pas tant que ça et j'arrêterai là-dessus. Finalement pour un acheteur, si je suis un peu cynique, pour un acheteur, aller acheter la même chose que les autres, même si on sait bien que c'est pas exactement ce qu'il faudrait, c'est ce qui est facile parce que le jour où il y a un problème, c'est facile de dire "Bah moi, je je me suis trompé avec les autres." Alors qu' avoir raison tout seul, c'est beaucoup plus dur.

Et c'est encore un petit peu ça aujourd'hui pour un acheteur qui veut intégrer ou pour un décideur qui veut intégrer des critères de de souveraineté avec tous les tout le doute qui peut y avoir sur la validité juridique de tels critères, euh bah il faut beaucoup de courage, je trouve. Euh et c'est pas trop facile. Merci beaucoup monsieur le rapporteur.

Casquette en tant que patron de l'anci. Euh est-ce que vous étiez souvent sollicité pour donner des conseils dans les appeles de marché public tels passé par l'UGAP ou tel passé par la HDH ou l'enseignement ? Est-ce qu'on vous consultez régulièrement pour en tant qu'ANC et de combien de personnes disposiez-vous ?

Première question. Deè question, vous avez parlé d'interdire par une décision politique. Qu'est-ce qui empêche demain matin de mettre dans les marchés publics la clause de souveraineté ?

Ça obligera l'acheteur à la respecter. Et un exemple qui nous est arrivé quand même, on a vu arriver quand même des données sensibles chez Microsoft. À votre avis, qu'est-ce que fait l'accil ? puisque l'ACN est censé quand même protéger des données de personnelles et là on les donne un paquet complètement ainsi que le RGPD.

Quel a été le rôle ? Alors on ser on a bien compris depuis qu'on fait cette mission euh que c'est facile de repasser euh sur un marché de de fourniture ou autre de d'hébergement par l'UGAP et LUGAP a sur son étagère un Microsoft et on prend celui-là. Donc c'est souveraineté.

Et deème question, vous l'avez très bien rappelé, on a les acteurs en France et tout ce nous on dit qui sont capables de faire mais la seule différence c'est dire voilà on peut le faire si on nous donne de la commande publique c'estàd donner du du grain à moudre du portefeuille pour se développer voilà mes mes questions un peu dans le désordre sur le l'association de l'ANC en fait ça s'est construit moi je je suis resté 9 ans à la tête de l'ANCertains jugent que c'est trop longtemps Euh le au départ il y avait très peu de confiance vis-à-vis de Lachi qui était une agence très jeune et on voilà, on n voyait arriver parfois de de loin, pas forcément avec la volonté de coopérer. Tous les efforts qu'on a fait pour aller travailler avec tous les acteurs que vous avez cités ont été positifs. Lugap, je prends l'exemple de l'UGAP au départ quand quand on a dit mais pourquoi pourquoi les administrations n'achètent pas plus d'équipements certifié ou qualifié par LANC, ils vont acheter du matériel américain enf d'ailleurs hein, mais enfin bon pas exactement souverain.

La réponse qu'on nous a bah dit bah on achète à LUGAP, c'est pas dans le catalogue de LUGAP. Bon bah qu'est-ce qu'on a fait ? On on est allé voir l'UGAP, on a passé des conventions avec l'UGAP, on s'est mis à travailler avec l'UGAP qui sont des gens intelligents euh de manière à mettre au catalogue de l'UGAP des produits de sécurité qui soient qualifiés par l'ENCI, donc en général des produits français ou européens euh sauf à exception très rare.

Euh donc ça montre que par le ça se construit tout ça en fait, c'est pas naturel mais en le construisant, il y a tout à fait une une voie possible. Sur les projets, c'est pareil. sur les projets, il y a il y a ceux qui nous connaissaient pas et qui cherchaient plutôt à nous éviter pour être franc et puis après ça se construit. le cas je vais pas je vais pas esquiver le cas duzataub qui est emblématique euh quand le hub a été mis sur la table quand l'idée a été lancée très regardé politiquement à juste titre parce que c'est un beau projet ça reste une belle idée il faut que ça se développe.

Et bien euh j'ai échangé dès le départ sous d'ailleurs avec sous la bienveillance de conseiller de l'Élysée qui voulait être sûr que la sécurité est bien prise en compte. Euh l'acnil était là également. L'idée a été de dire bah voilà comment est-ce qu'on fait pour avoir une solution qui soit sécurisée, réglementairement fiable et ainsi de suite.

Et pour ça vous paraître caricatural mais ça s'est quasiment passé comme ça. Le ce que j'ai dit dans mon rôle ANC à l'époque au HDH c'était vous avez deux sujets. Vous avez un sujet de sécurité et là on va vous aider.

C'est pas une option parce qu'en tant qu'autorité nationale de cybersécurité, c'est notre devoir de faire ça et on peut l'imposer. Et je me souviens encore av dit et il y aura un deuxième problème qui est un problème de perception qui est un problème politique, c'est un problème de souveraineté. Euh je je veux pas tirer sur l'ambulance sans jeu de mot.

Euh parce qu'à l'époque quand le tour a été fait des solutions disponibles pour héberger le HDH, objectivement c'était clairement chez Microsoft que c'était plus facile. Ou mais il y a quand même des acteurs français qui auraient pu se mettre sur la table et le faire. Ils le disent tous.

Alors il aurait fallu le développer. Voilà. Il aurait fallu le développer et c'est pas le choix qui a été fait puis un choix d'aller vite avec des moyens limités facilité d'efficacité je sais pas.

Ce qui est certain, c'est que le le passé le passé la question qui se repose aujourd'hui c'est dans l'appel d'offre qui a été fait était possible d'avoir des acteurs français. C'est ça que je veux savoir si je suis pas certain qu'il y a eu un appel d'offre pour voà non mais c'est savoir il y a pas eu d'appel d'offre. Voilà c'est c'est de le dire mais à la limite plutôt que de pleurer sur le lait versé euh et on peut avoir des gré hein.

Ça c'est j'ai aucun doute là-dessus. La question c'est plutôt qu'est-ce qui se passe aujourd'hui ? Est-ce donc est-ce qu'à l'époque les acteurs français étaient prêts ou pas ?

On peut toujours en parler. Est-ce qu' est-ce qu'aujourd'hui les acteurs français sont prêts ? La réponse est oui.

Et ça, il faut être très clair là-dessus parce que parce qu'il s'est passé des années pendant des années, ces acteurs, ils ont travaillé, ils ont progressé. Et le le le la dernière chose qu'on nous oppose, donc là je parle avec ma nouvelle casquette qu'on nous oppose, c'est "Oui, mais votre catalogue de service, il est moins complet que celui des GF fem". Et la réponse est oui.

La réponse est oui. Mais est-ce que vous quand vous achetez une voiture, vous achetez pas l'ensemble du catalogue de la marque ? En c'est euh vous avez besoin d'une voiture qui répond à vos besoins.

Et donc ce que je vous dis c'est que les clouderurs français, ils savent fabriquer ces voitureslà. Voilà, ils ont pas tous les services, ils ont pas t parfois des services que je qualifierai même de de gadget, hein. Le dans la stratégie qu'on l'on a sur Num Spot, prenez le catalogue d'Amazon, il y a 200 300, j'ai arrêté de compter le nombre de services proposés au catalogue d'Amazon.

C'est extraordinaire d'ailleurs pour des gens qui veulent se lancer très vite, avoir très très vite des résultats, c'est extraordinaire et puis en plus tout est fait pour que ce soit quasiment gratuit pour eux. Donc vous voyez toute la vous connaissez toute la logique qu' a derrière de d'enfermement dans ce monde là. Euh quand on quand on a travaillé techniquement sur le la feuille de route technologique de New Spot, on s'est dit mais qu'est-ce qu'on qu'est-ce qu'on développe comme service ?

On va pas on va pas faire 300 services d'un coup, ça il faudrait il faudrait des armées de développeurs et tout, ce serait pas utile. Quand on a fait le tour des clients à commencé par les clients entre guillemets internes du groupe du groupe la Poste du côté de la Caisse des dépôts et consignation avec qui on est très proche et qui est impliqué dans dans une spot et ben on s'est rendu compte que dans les services réellement utiles qui faisaient 90 % de l'usage qu'il y en avait moins d'une dizaine. C'est toujours la même chose.

Je rentre pas dans la technique mais on sait exactement spécifier de quoi on a besoin. Donc à la question est-ce que vous avez le même catalogue que Microsoft ? La réponse est non et probablement durablement non.

Est-ce que vous avez un catalogue de service qui permet de faire le Lataub ? La réponse est oui. Aujourd'hui, 20189 c'est c'est c dans les temps les temps numériques vont très très vite et c il aurait fallu développer, il aurait fallu avoir le courage à l'époque de dire bon ok même si vous êtes pas prêt on peut on peut financer et on parle en million on parle pas en milliards sur le financement.

C'est là où on peut avoir des grèves probablement. On a perdu du temps avec ce projet emblématique comme avec d'autres. Mais bon, une fois encore le le passé et le passé sur le les clauses de souveraineté.

Moi, je pense qu'il faut le courage d'y aller. On a souvent des objections juridiques. La principale étant c'est contraire.

Dès qu'on met des clauses comme ça, sauf dans des cas très particuliers de défense nationale ou sécurité nationale, et bien c'est contraire aux règles de l'OMC. Voilà. Donc il y a il y a des gens don dont c'est le rôle de faire respecter le le ces traités ce qu'on a signé ce que la France a signé ou l'Europe a signé aujourd'hui et on nous dit bah ça fait pas partie des clauses d'exclusion et donc si vous faites ça c'est du protectionnisme et c'est pas bien.

Je suis pas du tout juriste et donc c'est pour ça que j'utilise probablement pas les bons mots mais c'est quand même ça ça qui se passe. Encore en France, on arrive à se parler avec les différents acteurs de manière plutôt plutôt élégante. Ce qui fait que d'ailleurs le référentiel c'est cloud, il a pu aboutir et c'était un accord interministériel pour le pour le faire.

Quand on a voulu escalader cette démarche là au niveau européen, vous savez peut-être qu'il y a une démarche de certification européenne qui ressemble beaucoup qui s'appelle IUCS. Donc tout est fait, tout est tout est en place et ce que l'on a poussé c'est de dire bah voilà, au niveau le plus élevé de certification, il faudrait copier le système français. Non pas parce qu'il est français et qu'on est meilleur que les autres, mais parce que celui-là il a fait la preuve de sa son fonctionnement.

Euh là le les mêmes critiques règles de l'OMC protectionnisme sont revenues avec une violence sans commune. Ce qui fait qu'aujourd'hui c'est bloqué tout ça. C'est on narrive pas à converger voire même par moment j'ai eu la la grande crainte que ça converge vers le le fait qu'on ait pas la capacité à proposer un tel schéma plutôt qu'il y a un schéma qui soit décidé mais que même au niveau le plus élevé on nit pas cette protection face au droit non européen.

Donc là, c'est là où il y a un sujet de que je qualifie de politique, c'est peut-être pas le bon terme surtout ici, mais politique au sens de décideur public dire mais moi, j'assume le fait que pour tel ou tel système, pour le HDH peut-être, pour autre chose, je dois je veux des systèmes qui soient européens et pas américains ou chinois. Voilà. Euh le rôle de l'ACNIL, vous avez cité là-dedans, l'ACNIL, moi je la trouve très courageuse sur ces questions-là.

Euh mais l'acnil se doit d'avoir un une lecture juridique des choses. Euh le la dernière décision de l'ACNIL que que j'ai en tête sur le HDH, elle est elle est à relire parce que elle valide des décisions et en même temps les considérant sont mais parce que dans le dans le rôle là encore, je je m'improvise jurisme mais dans le dans le jeu qu'il y a entre l'Europe et les et les États-Unis euh il y a ces décisions d'adéquation qui sont insupportables. Euh donc on est déjà à la troisème hein. il y a eu le euh se Farbor, privacy Shield, je sais plus dans quel sens le DPF aujourd'hui.

Euh voilà. Euh à chaque fois c'est la même chose. À chaque fois on on met un voile pudique sur le fait que le le droit européen ne respecte pas le RGPD. on arrive quand même à essayer de se rassurer en se disant que c'est qu'il faut ça pour développer le numérique en Europe.

Bon, le dernier a été décidé, je peux pas m'empêcher quand même de le rappeler, le quand le DPF a été annoncé par la présidente de la Commission européenne, c'était dans le même discours qui annonçait l'accord sur le gaz liquéfié américain dans le cadre de la crise ukrainienne, hein. Moi, j'ai trouvé ça d'un signite absolument scandaleux pour être très très franc. Et donc on a ces trucs-là, c'est ça tient pas juridiquement mais à chaque fois euh notamment sous sous l'impulsion de de l'avocat autrichien Maxems, c'est cassé mais ça prend 4 ans et le le jeu se se répète et moi je me souviens très bien de discussion avec bonne relation d'ailleurs avec des partenaires américains qui qui m'avait dit voilà hors micro hors caméra mais du coup je le répète ici mais on sait très bien que ça tiendra pas mais c'est 4 ans de plus voilà il y a un cynisme absolument incroyable autour de autour de tout tout ça.

Donc voilà, la l'acné moi je voilà je préfère les défendre parce que je les trouve très courageux dans un domaine qui où ils sont parfois très seuls pour pour porter des euh et enfin donc sur les j'ai noté acteur capable de de répondre oui aujourd'hui j'insiste là-dessus on a des industriels, des petits et des gros. Il y a pas que les gros hein, il y a des petits aussi qui sont qui sont assez remarquables en France, qui sont capables de faire des tas de choses et qui pour se développer, je pense qu'ils ont dû vous le dire, je pense qu'ils sont ravisent des subventions et des aides, mais ce qu'ils veulent des marchés, ce qu'ils veulent qu'on leur rachète leurs produits et c'est comme ça qu'on fera des bons produits. Si les produits américains sont bons, ils ont probablement été subventionnés mais enfin ils ont été achetés surtout avec un marché domestique qui évidemment sans commune de mesure avec le marché français.

Donc c'est je pense qu'il est pas trop tard là où certains on ont parfois des propos très défétistes. Alors soit c'est dit de manière forte, soit c'est ses pensé et et c'est et c'est non dit. Mais je ça beau aller très vite tout ça, il faut pas faut pas qu'il y ait de renoncement et il faut pas non plus sauter les étapes parce que si on renonce aujourd'hui au cloud, si on rejoute, on renonce aux infrastructures pour se dire bon on va se concentrer sur l'intelligence artificielle, ça marchera pas non plus.

Cette intelligence artificielle faut bien la poser quelque part, faut bien qu'elle tourne quelque part. Donc c'est toute la logique, c'est toute cette pile propre numérique qu'il faut être capable de maîtriser et sincèrement je pense qu'aujourd'hui on peut le faire. Merci madame Maurin de merci beaucoup pour ces explication très clair vous dites il ne faut pas pleurer sur le lait versé mais permetez-nous quand même de regarder les choses et de remonter loin dans le temps parce que c'est ce qui fait aussi que nous sommes aujourd'hui au cœur de cette commission d'enquête à nous interroger en réalité comment la commande publique est mobilisée pour défendre certains enjeux aussi très stratégiques pour la nation et je me dis en vous écoutant que si à l'époque de la mise en route du la plateforme des données de santé euh on avait eu un débat national en tout cas il y avait eu une prise en compte politique voilà de à qui quel type de données on allait traiter euh à qui on pouvait les traiter et est-ce que justement il ne fallait pas à ce moment-là où la commande public aurait boosté et et permis le développement de certaines entreprises.

On aurait peut-être pas perdu non plus 10 ans, permettez-moi de le dire, car on voit bien que c'est le levier de la commande publique qui aux États-Unis, vous savez très bien, a permis l'émergence de ces gars femmes qui aujourd'hui nous vampirisent complètement. Donc on a loupé une étape éminemment stratégique. On a perdu 10 ans.

Ce qui permet maintenant à monsieur l'État et Dragué de faire leur leur commentaires très avisés sur le déficit de politique industrielle tout simplement. Donc on a loupé quand même une marche importante à l'époque. Donc moi je tiens à le dire parce que cette contestation elle est partie du Sénat.

Vous le savez très bien le 16 juillet 2020 quand on pose la question voilà pourquoi il y a pas eu l'appel d'offre spécifique ? Alors du coup ça rejoint tout ce que nous avons entendu d'un certain nombre d'acteurs qui nous ont dit qu'il n'avaiit pas été consultés. Euh on a entendu aussi la la directrice de la de de la de la plateforme.

On voit bien qu'il y a pas eu des P d'or spécifique. Et surtout ce que nous disent aussi les entreprises, c'est que par la suite quand il y a une ouverture, une consultation, les conditions sont tellement compliquées, les critères énoncés sont tellement nombreux comme vous dites, le catalogue est tellement large que aucune entreprise finalement ne peut prétendre en somme révaliser et s'auto comment dirais-je ? en réalité pour candidater.

Donc il y a aussi un un vrai sujet et vous avez eu la bonne formulation quand vous avez dit il y a deux critères importants aujourd'hui, c'est la formation des acheteurs et surtout la la décision politique. Les décideurs, j'imagine que vous faites référence au au aux politiques au au plus haut niveau euh de de savoir ce que l'on veut intégrer comme critère aujourd'hui dans la commande publique. Voilà. fort euh en en plus euh de ce que vous avez aussi très bien rappelé d'un contexte international non encore nouveau euh qui accroit le risque euh voilà de préemption de nos de nos données pour des raisons évidemment stratégiques.

La faiblesse du 3e accord d'adéquation, vous l'avez vous-même rappelé, voilà, qui n'a pas beaucoup évolué depuis le deuxème le privacy Shield. Donc on a ce devoir impérieux. Donc fort de de ce prêt là, moi je voulais juste juste vous poser deux trois questions.

Premièrement, vous avez été donc à la manœuvre pour l'élaboration de cette doctrine cloud au centre. J'ai bien compris le référentiel sectom cloud, la notion de cloud de de de confiance. Est-ce une réponse à justement ce qui avait été dénoncé ici ? savoir, on ne peut pas confier à Microsoft la plateforme des données de santé parce que elle est pas immune au aux lois extraterritoriales.

Donc, on trouve une solution pour continuer quelque part à faire dans des consortiums travailler Microsoft avec les acteurs européens. C'est une façon de continuer le travail avec malgré tout les technologies américaines. Est-ce que c'est est-ce que c'était une commande un peu explicite d'aller dans ce sens ?

Est-ce que c'était le ministre à l'époque Cédric qui a énoncé cette ce souhait d'élaboration d'un référentiel de cette doctrine Claudocentre ? C'est ma première question, j'en ai deux autres. Alors ce que je vous propose peut-être si vous voulez bien les poser, il y a monsieur Cabanel aussi qui a souhaité la parole.

On va laisser madame Morin de terminer. et l'obligation d'avoir recours à des solutions souveraines, on va dire complètement sécurisé, immunes aux lois extraterritoriales telles que vous l'avez avez euh formulé euh est-ce que vous jugez que d'une part le texte de loi qui a été longuement débattu, ça a pas été facile. Certains députés ne voulaient pas vraiment qu'on aille dans ce sens-là, on a fini par y arriver.

Donc le texte de loi est suffisamment clair justement pour conduire en fait le gouvernement français à aller vers les solutions, les deuxièmes solutions, celles que vous évoquez totalement immune, celle que vous portez finalement euh avec Docapost et et NPO. Et est-ce que surtout je vous interroge sur le décret d'application parce que le décret d'application, il n'est pas encore voilà finalisé mais malgré tout il a été notifié à Bruxelles. Donc il est consultable.

Chacun peut déjà se faire un point de vue sur ce décret d'application. Pensez-vous justement que dans ce décret d'application où on va énoncer les conditions de migration possible en tout cas qu'il faut absolument effectuer en cas de données, notamment par exemple celle de la santé, est-ce que vous pensez que les critères qui sont là énoncés, il y a le critère financier en premier. Euh, j'ai pas vu le critère de sécurité, je pense pas.

Il y a le critère de fonctionnalité. Est-ce que vous pensez qu'il est suffisamment justement étoffé pour aller naturellement et presque obligatoirement vers le bon sens ? Quelles sont les solutions que vous avez énoncé ?

Voilà, c'était le sens de ma question car je vous sais serviteur de l'État et très à l'affu de tous ces sujets là et que vous apportez votre contribution utile au débat public. Merci monsieur Cabanel. Oui, merci.

Euh juste une toute petite question par rapport à ce que vient de dire notre collègue, ce que vous avez évoqué en ce qui concerne les acheteurs qui ne seraient pas suffisamment formés et qui se laisseraiit aller à la facilité plutôt que d'essayer de de comprendre par rapport à leur à leur demande. Donc d'après vous, ben qui devrait les former justement et et comment effectivement arriver à faire en sorte que on puisse avoir des acheteurs formés parce que bon c'est une volonté particulière de vouloir se former ou pas. Donc comment vous voyez ça ?

Et par rapport donc au aux règles de l'OMC que vous avez évoqué et du courage qu'on devrait avoir pour essayer effectivement de s'opposer peut-être à des problèmes juridiques. Ça veut dire qu'il faut il faut quand même y aller quoi et on verra après. ce que vous voulez nous dire ou ou justement plutôt mesurer les problèmes éventuels juridiques avant de de d'exprimer notre courage sur des critères qui aujourd'hui n'existent pas.

Merci. Je vous laisse répondre aux questions de nos collègues. Bon gentil.

Donc sur pour répondre à Moren de Saï donc la géopolitique je vais être cynique en ce moment elle nous aide parce que ce qui jusqu'à maintenant se se heurtait un petit peu au fait de dire ouais mais quand même vous êtes quand même pas pas un peu parano et tout ça bon en ce moment voilà les plus paranoïques sont dépassés donc quelque part profitons-en. Ma seule crainte finalement c'est que c'est qu'on laisse le temps passer et qu'on revienne dans une situation plus normale et que entre-temps on n rien construit. Donc c'est maintenant qu'il faut construire.

Moi je je ne peux qu'appuyer là-dessus. et sur le fait que la commande publique doit être un outil de politique industrielle, euh ça ce serait fort. Et aujourd'hui, c'est pas le même métier.

Ceux qui font de la politique industrielle et ceux qui font la commande publique, c'est ils se croisent pas tant que ça si je peux me permettre cette critique là. Donc voilà, comment est-ce qu'on fait ça ? Après, c'est très facile hein de de donner donner des conseils, mais mais c'est c'est vraiment ça qu'il faudrait qu'on arrive à mettre en place sur la doctrine Claudocentre.

Alors c'est pas c'était pas le travail de l'ANC, c'était le travail de la Linum mais en étroite coopération avec l'ANC sur toutes les questions de sécurité et on y a travaillé ensemble. C'est euh est-ce qu'il y a une commande explicite écrite et tout ça d'un ministre un jour qui dit "Vous allez nous faire une doctrine cloud au centre ?" Je ne crois pas.

Euh par contre qui a une pression pour avancer justement pour durablement changer la situation du numérique dans le secteur public. Euh là moi j'ai j'ai croisé personne qui m'a dit surtout fais pas ça. Euh il y a on a eu aucun frein à ça, bien au contraire.

Donc le la la dume en tête a poussé cette logique-là. Après il faut bien l'écrire mais ça ça a été rédigé, ça a été porté politiquement. Donc j'ai pas d'inquiétude là-dessus.

C'est toujours porté politiquement. Il y a un courrier très intéressant de trois ministres assez récents qui euh ministre Chapaz de Monchalin et Ferat si je me trompe pas euh qui dit attention la la pour toutes les administrations, la doctrine Cloudente elle s'applique toujours. Vous devez l'appliquer donc vous devez passer par du du cloud notamment de confiance pour pour les usages publics.

Et il y a un petit détail qui m'avait échappé mais la mise de mon chalin m'a rappelé l'autre jour. les CBCM, donc les contrôleurs budgétaires vont doréavant être en charge de contrôler ça. C'est quand tu auras des achats de cloud, et bien les CBCM qui sont quand même les gardiens financiers de des administrations notamment vont être là pour dire "Mais pourquoi pourquoi vous utilisez pas des choses compatibles ?" Donc ça c'est très intéressant quelque part ce que ce soit pas que le problème des directions des directions informatiques dans les ministères et tout ça, c'est bien un sujet budgétaire aujourd'hui.

Donc ça ça me paraît très positif et aller dans le bon sens. Euh et donc cette cette doctrine Claudocentre euh elle a été beaucoup plus regardée et critiquée d'ailleurs par certains partenaires européen parce que finalement tant qu'on fait de la certification on parle pas de l'usage. On dit juste voilà on crée des labels et tout ça mais on dit pas ce qu'on va en faire après.

Quand on dit après dans tout ce ce périmètre là, on va imposer euh de du cloud par exemple, c'est là où ça panique quelque part parce que c'est là où les choses deviennent réelles objectivement. Et dans le cadre de la de la loi seraine et des débats qu'il a pu avoir, je pense que le principal, comment dire ça ? La précaution principale de ceux qui voulaient pas qui étaient prudents pour aller dans la direction de dire on veut imposer du cloud immune au droits non européens était il au fait que dans les discussions qu'il y a ça nous ça nous renvoie vers cette ceration européenne IUCS il y a ce besoin de rassurer constamment nos partenaires enf certains partenaires européens sur le fait que certes on va mettre en place le système de certification mais on va pas en abuser on va pas coller le plus haut niveau de sécurité pour toutes les applications. possible et imaginable.

Et donc voilà, c'était c'était ça le débat que vous connaissez bien où quelque part il faut garder une forme d'équilibre pour montrer que on veut se doter d'outils performants, puissant mais on veut pas forcément l'appliquer partout. À la question est-ce qu'il faudrait faire du du sectum cloud sur toutes les données publiques imaginables ? Bah on peut on peut on pourrait le souhaiter évidemment, mais ça peut être contre contreproductif en fait.

Ça peut faire peur objectivement à nos partenaires, ça peut faire peur à plein de gens. D'où cette nécessité peut-être de commencer par ce qui est sensible et ça nous renvoie à la définition des données sensibles qui n'est pas une définition simple très clairement mais commencer par ce qui est sensible en acceptant qu'il y a des données qui sont moins sensibles probablement. Donc ça c'est pas c'est pas par c'est pas par choix, c'est pas par geté de cœur, c'est plus par pragmatisme probablement qu'il faut comme ça des étapes mais enfin faut bien que ce soit une étape et donc ça il faut bien que le le périmètre des données sensibles il soit pas il soit pas réduit à zéro. le les données de l'éducation aujourd'hui ne rentrent pas dans ces données sensibles.

Formellement, même les données de santé euh c'est compliqué de le faire de faire reconnaître que c'est des données sensible. Et voilà. Donc il y a dans la mise en œuvre de ces idées qu'évidemment je je soutiens euh il y a la précaution sur qu'est-ce que ça va être au final vraiment les données sensibles en pratique.

Euh est-ce que voilà on va pas réduire ça à peau de chagrin ? C'est pas facile de définir les données sensibles. Il y a au sein du CSF, il y a un nouveau CSF qui a été créé autour des du numérique de confiance.

Euh il y a tout ce travail que porte en particulier Doc Post sur définir les données sensibles. Donc ça on a un vrai besoin collectif d'être capable de faire ça. Et puis ensuite dans le décret de l'article 31, donc ça ça devient technique mais il y a en effet ce besoin de de d'application de la loi euh pour des raisons de continuité.

Il y a qu'est-ce qu'on fait des systèmes existants ? Évidemment, on a le HDH en tête, hein, qui est qui est nommément cité dans la loi. Euh ma seule crainte quelque part, si je devais en citer une, une seule, c'est que finalement les règles de de dérogation, d'exclusion et tout ça finalement ne dû dure indéfiniment.

C'est ça le vrai risque objectivement. Donc à un moment, il faut qu'il y ait une décision. Il faut qu'il y ait une décision.

Il faut pas il faut pas que ce soit le la responsabilité des des responsables techniques au fond de la soute de décider. Ça c'est une décision qui doit venir d'en haut en disant bon allez est-ce qu'on est prêt ? Est-ce qu'on est pas prêt ?

Si on est prêt on y va. Ponctuellement ça va coûter un peu plus d'argent parce qu'il va falloir redévelopper des choses parce que c'est c'est pas du on dans le cloud, on a toujours l'idée queon peut prendre un truc, on le déplace, on le pose ailleurs. C'est pas ça marche pas du tout comme ça en pratique.

C'est et plus les systèmes sont complexes ou intimement liés au au fournisseurs de cloud et plus c'est difficile à déplacer. D'où tous les débats d'ailleurs qu'il y a eu également sur la portabilité. On ne peut que souhaiter la portabilité dans le domaine du cloud.

Après s'imaginer que la portabilité dans le cloud c'est comme la portabilité du numéro de téléphone ou la portabilité bancaire c'est malheureusement voir les choses de manière beaucoup plus simple simple et de voir simpliste qu'elles ne sont dès que c'est un peu complexe. Donc voilà, on en est là. Moi je pense que le on on a les bonnes bases en fait ça a fait l'objet de discussion, ça a été voté.

On a les bonnes bases maintenant pour avancer ce qu'il faut c'est qu'il y a une vraie impulsion et et ça d'ailleurs ça rit à votre question. C'est pas aux acheteurs de décider. Les acheteurs, ils font ce qu'on leur dit de faire.

Voilà. Euh si donc c'est ça doit être une décision des chefs euh quel qu'il soit en fonction des et ensuite les acheteurs ils sont là pour pour mettre en musique euh pour prendre les risques et il y a les acheteurs et les juristes. Les juristes ils sont là pour pour identifier les risques.

Si vous laissez la main aux juristes avec tout le respect que j'ai pour eux, vous ferez jamais rien parce qu'il il y a toujours des risques quoi qu'il arrive. Et là, les risques qui sont réels, hein, je mentionnais l'OMC et tout ça, ce sont des risques réels. Donc à un moment, il y a un dosage.

Euh ben moi, moi j'ai parfois un rôle de chef aussi. Euh j'ai ces informations juridiques qui arrivent. Il y a des risques que je prends en compte et parce que ce ce serait irresponsable de pas les prendre en compte et il y a des risques que j'assume.

Voilà. Et après et après c'est de la dentelle parce que ça défend ça dépend évidemment de au cas par cas de de ce qu'il y a à faire et de euh des sujets. Enfin bon, ça dépend de plein de choses.

On il y a pas de il y a pas de règle unique. En informatique, on parle de t-shirt à taille unique. Enfin non, il faut il faut faire un peu de un peu de surmesure après.

Mais dans le principe, c'est bien au chef, c'est bien au décideur euh de de dire de donner la voix et ensuite aux techniciens, aux juristes de faire en sorte que ça se réalise au mieux très clairement. Et après en terme de formation, je pense vraiment que le les acheteurs du moment qu'ils ont les les bonnes les bonnes orientations, les bonnes consignes, après il y a un travail technique de clausier, de choses comme ça. Comment bien rédiger les clauses, comment bien le faire d'un point de vue technique.

Mais ça me paraît pas dur et typiquement avec la direction des achats de l'État, ça me paraîtrait être un succès presque facile de travailler là-dessus comme on l'a fait à l'époque avec la cybersécurité. Euh et tout le monde était ravi au final. encore fallait-il le faire mais tout le monde était ravi.

Donc là, je pense qu'on a une étape à court terme qui pourrait vraiment être gagnante pour tout le monde autour de ça. Monsieur le rapporteur, vous souhaitiez intervenir parce que moi j'avais quelques points de de confusion en parlant de choses sensibles de toute donné mais toute donné sensible. Quand vous parlez de d'avoir des données plus sensibles que d'autres, dès l'instant qu'on fait atteinte à votre vie personnelle, dans vos données et qu'on peut les regrouper, les travailler, ça devient sensible, ça devient un outil pour faire quelque chose.

Donc le problème c'est c'est c'est la donnée par elle-même. Vous dites il faut graduer mais qu'on parle de maladie, qu'on parle de d'assurance, qu'on parle de patrimoine, dès l'instant vous groupez par catégorie que vous triez et client vient dedans, ça devient une donnée exploitable. Non mais je suis d'accord.

Non mais je suis d'accord avec vous. Après parce que vous dites il fa graduer pour bien passer le les choses mais euh ça me semble assez compliqué toute donné sensible. Tout à fait.

Je je je vous rejoins au sens où euh alors donner des exemples de non sensibles, c'est facile. Alors il y a celles qui sont réglementairement sensibles, il y a celles qui sont intuitivement sensibles et et on se dit doit il doit en rester plein d'autres. Euh on pourrait on peut trouver des exemples de données.

Le gros problème, mais je vais aller dans votre sens en disant ça euh et complexifier encore les choses. Euh il y a un principe de base. Euh moi je suis militaire, vous savez, je je viens de ce domaine-là.

Euh quand vous avez quelques données euh tactiques à courte durée de vie et tout ça, c'est pas très grave. On va pas mettre du secret défense partout. Ça ça bloquerait tout.

Par contre, quand vous avez un accès global à plein de plein de données qui sont pas sensibles, ben la somme de tout ça, ça devient sensible. On on connaît ce principe là, hein. C'est et d'ailleurs c'est dans dans tout ce qui est réglementation pour les les don de défense et tout ça, c'est totalement pris en question.

Euh si et je vais continuer dans votre sens. Euh si on prend le les acteurs numériques américains euh qui sache ce qu'il y a dans mon téléphone. Mon téléphone j'hésite un peu mais euh bah il y a probablement des téléphones des téléphones de de d'un de mes enfants euh c'est pas c'est pas secret défense.

Bon quand vous avez tous les enfants de la planète là forcément ça devient incroyablement sensible. Donc oui bien sûr bien sûr qu'il y a il y a il y a ce côté-là. Après euh si je dois quand même citer un exemple parce queune une fois encore si on veut tout bouger d'un coup euh moi j'ai ma peur c'est qu'on bouge pas euh pour être très franc.

Euh dans le domaine industriel euh domaine industriel c'est une manière quelque part d'éviter le RGPD les données les données personnelles, même si évidemment après il faut être prudent. Le les données industrielles sont identifiées comme étant le domaine en très forte croissance. Euh ça dép ça dépasse son volume de très loin les données personnelles.

Ça va continuer à croître. Là, on peut être sur des données extrêmement techniques, des choses comme ça qui alors là pour le coup pris indépendamment on aucune valeur. Bon, une fois encore hein, quand vous avez toutes les données industrielles d'un grand géant industriel, bah là ça ça en prend.

On peut peut-être imaginer des choses comme ça. Mais bon, vous voyez, je pense que vous percevez dans dans ma manière de défendre les choses que je les défends mal parce que je suis moi-même pas très convaincu. Merci pour aller dans le sens des propos du rapporteur parce qu'on a déjà eu l'occasion de le dire.

S'agissant particulièrement des données publiques parce que nous sommes dans cette commission d'enquête sur la partie commande publique, donc les interactions avec évidemment les services de l'État, les collectivités, notre système de santé. Euh je je crois que nous sommes nombreux euh on n pas encore formellement euh décidé euh la traduction dans le dans le rapport, mais à considérer que toutes les données publiques sont par définition sensibles. Ensuite, qu'il puisse y avoir des degrés de sensibilité, on l'entend, mais nous devons partir du principe que toutes ces données sont sensible parce que aujourd'hui quand on a eu l'occasion d'auditionner des représentants d'établissement d'enseignement supérieur, des données simplement à caractère administratif, si vous les compilez, vous pouvez faire de l'intelligence économique, vous pouvez utiliser derrière ces informations là pour bien d'autres déboucher.

Donc euh nous notre sujet il est bien autour de cette préoccupation là et de sa traduction ensuite. Alors qu'il n'y ait pas besoin de Secnum Cloud sur toutes les données publiques, ça je pense qu'on peut l'entendre. En revanche sur l'immunité aux législations extraterritoriales, par définition, ça doit pouvoir s'appliquer et s'appliquer automatiquement comme vous l'avez d'une certaine manière sous-entendue dans le cadre des marchés où nous avons à à traiter de de ces données.

Donc encore une fois, la commission délibérera le moment venu, mais je crois pouvoir dire sans me tromper que cela fera partie des orientations que nous porterons de façon consensuelle. Euh ensuite euh dans mon propos liminaire, j'avais euh attiré votre attention sur les assistants à maîtrise d'ouvrage euh parce que nous voyons bien ce sujet de façon récurrente, nous l'avons identifié. euh que vous puissiez nous faire part là de vos différentes expériences au titre de LANC et maintenant de Docapost.

Euh parce que là, nous voyons bien un biais avec euh des adhérences capitalistiques entre les uns et les autres qui contribuent aussi à faire que nous avons pris du retard. D'une certaine manière, la responsabilité est collective mais les AMO ont dans ce processus un un rôle et une responsabilité toute particulière. Ensuite, je voulais revenir quand même, mais évidemment c'est pas votre rôle aujourd'hui, mais vous avez évoqué le courrier des ministres.

B je dois vous dire, enfin je pense en me tournant vers mes collègues, euh que nous ça nous choque, que nous ça nous choque qu'aujourd'hui des ministres soient obligés d'écrire à leurs administrations pour dire il y a des règles, respectez-les. Ça veut quand même dire alors on peut nous trouver plein de raisons, problème de formation, de maturité et cetera. Enfin, il y a un moment donné sur la prise en compte et la prise de conscience déjà politique de l'urgence et du caractère non négociable de ces prescription, ça interpelle quand même très fortement.

Et donc, j'en profite ici pour dire que nous aurons l'occasion au début du mois de juin d'auditionner un certain nombre de ministres actuels ou ayant occupé des fonctions ministérielles pour qu'ils puissent rendre compte aussi de leurs actions et de leurs décisions en la matière. Moi, je retiens quand même aussi dans les propos que vous avez tenus la phrase lourde de sens, on a perdu du temps, c'est bien le sentiment et plus qu'un sentiment parce qu'il a été très largement étayé par les faits que nous avons au fil des auditions que nous conduisons et terminer sur le sujet de la souveraineté des données et les fameuses mentions visant à garantir notre immunité à l'égard des législations extraterritorielles. Là, je crois pouvoir dire de façon à peu près certaine qu'il ne s'agit pas de protectionnisme parce qu'autrement ça revient à dire que finalement les États qui par le droit seraient extrêmement conquérents et se comporterait dans le monde numérique comme des empires finalement aurait toujours raison.

Bah non, c'est pas possible. Il y a la logique évidemment capitalistique, euh la logique économique que l'on peut entendre, mais il y a cette protection des données et à notre connaissance notamment la Banque centrale européenne a fait valoir ses euh ses mentions, ces clauses spécifiques euh parce que nous pouvons d'un côté évidemment laisser libre cours au jeux du marché, admettons. Après, on peut les uns et les autres avoir des nuances sur le sujet et de l'autre côté considérer que euh le respect de nos droits, de notre souveraineté juridique, ça c'est pas négociable.

Et en effet, si d'aventure ça devait être un risque à prendre à l'égard d'organisations internationales aujourd'hui bien mal en point, il faut que nous acceptions de le prendre. Enfin, en tout cas là, je crois que c'est aussi une parole forte que nous porterons. Donc, sans être trop long, est-ce que sur les AMO vous pourriez nous apporter votre éclairage, votre retour d'expérience sur le sujet ?

Je redémarre du du Secum Cloud et après je je réponds à aux AO. Euh c'est Newcloud, c'est euh c'est né d'une volonté d'avoir un un label de qualité élevée. Il y a pas de débat là-dessus.

Euh ce qui ne ferait pas sens, c'est euh on veut des on veut des solutions euh qui soient immunes au droits non européens. Par contre, on s'intéresse pas à la sécurité. Donc moi, je remets toujours ça dans le bon ordre.

Il faut des choses qui soient sûres, des choses qui fonctionnent. Allez vendre du cloud qui fonctionne pas. Bon courage euh quelques même s'il est purement bleu blanc rouge comme il faut, ça sert à rien objectivement.

Donc moi c'est c'est le c'est le discours que j'ai que j'avais à l'anci auprès de l'industrie français tout ça. Faites des bons produits et après on mettra en valeur le fait que c'est des produits souverains de de confiance. Si vous faites des mauvais produits, c'est pas parce qu'ils sont souvins qu'il vont d'accord mais simplement làdus les différentes auditions que nous avons eu, je pense à France Digital, Exatrust et puis après des opérateurs économiques, ils nous ont tous confirmé d'une part que c'était au cœur de leur activité, de leurs préoccupations et qu'ils étaient aujourd'hui largement au niveau et que c'était reconnu.

Donc en effet, enfin ici nous sommes garants des des intérêts de la nation. Le le sujet de la de la sécurité est évidemment central, mais justement je crois que et vous l'avez dit d'une certaine manière aujourd'hui, nous sommes prêts pour pouvoir dire que les solutions françaises européennes n'ont rien à envier, notamment sur le sujet de la sécurité au système proposé par des puissances étrangères. Exactement ça.

Donc c'est sécurité souveraineté. Donc cette nuclop c'est un niveau élevé. Tout ne doit pas être cloud probablement.

Sans sans rentrer dans détail très technique, le l'obsession de l'ANC, une des obsessions de l'ANC dans dans le référentiel CL euh vous saz c'est très particulier cette cette idée de cloud où en fait vous allez avoir plein de gens côte à côte dans le même système. Euh pour ceux qui comprenaient pas, je toujours mais si le client d'à côté si c'est les services russes, qu'est-ce qui vous serez bien content d'avoir une isolation très forte entre les différents clients ? Al bien sûr c'est compliqué à faire.

Bien sûr, ça demande un effort et ça c'est un coût au niveau opérationnel pour les opérateurs et on sait faire. Je mais ça ça demande ça demande vraiment cet effort qui est demandé dans cloud parce qu'on fait cette hypothèse un peu folle mais qui en pratique est très réaliste dans certains cas que le le client d'à côté c'est c'est les services russes. Bon après c'est pas c'est pas valable dans tous les cas.

Je vous prends l'exemple sur lequel je travaille beaucoup en ce moment. On interne nos capost où on est en train de de revoir complètement nos systèmes de cloud privé interne. Bon ben là les clients, ce sont les business unites de Doc Post sauf très mauvaise surprise, il y en a pas une qui qui travaille pour les services russes.

Donc on peut c'est là où on peut relâcher certaines contraintes par rapport à se cloud mais pour des acteurs de cloud privé typiquement c'est plus dur. Donc donc ça c'est ça explique pourquoi et vous il y a sûrement des gens qui vous ont dit que c une cloud c'était trop compliqué, c'était trop cher, c'était trop long, c'était trop lourd et tout ça. C'est le prix à payer pour avoir des systèmes de cloud public vraiment sûr.

Et pour vous vous livrer une anecdote, ceux qui venaient quand j'étais à l'anci me dire "C'est trop compliqué tout ça, je dis très bien il y en a trop. Qu'est-ce que vous enlevez ? Qu'est-ce que vous voulez enlever ?

Quelle est la règle que vous enlevez ? J'ai jamais personne qui m'a fait une réponse intelligente. Donc voilà, c'est malheureusement c'est le prix à payer pour avoir quelque chose de robuste.

Et on a besoin de construire le numérique sur des choses robustes aujourd'hui sur les les alors les AMA euh est-ce qu'elles sont manipulées ou pas ? Les AMA elles sont là pour aider leurs clients et elles sont là pour pour faire du business. Euh ce que j'observeot c'est que le la plupart des acteurs du domaine euh ils sont pas venus voir du spot en disant on va arrêter tout le reste et on va travailler qu'avec vous. ce serait un peu absurde de leur part, mais ils nous ont assez vite intégré à leur catalogue et on a on a répondu ensemble à des appels d'offre de référencement notamment pour des centrales d'achat, des choses comme ça.

Donc je je je pense qu'ils ont voilà bah ils répondent au marché, ils répondent à ce que leur demandent leurs clients. Je je les vois pas forcément comme des comme des des suppos vendus euh vendus aux acteurs américains ou chinois. Euh bon, on y aura sûrement des contrexemples mais ils vendent essentiellement ce que les gens veulent veulent leur acheter.

Si je reviens à mon obsession de de décideur, si le décideur dit "Mais moi je veux mais moi je veux du cloud de confiance européen et tout ça, la MOA elle fera de l'accompagnement pour acheter du cloud de confiance et intégrer du cloud de confiance de confiance européen." Donc je pense que c'est c'est une c'est pas taper que sur eux, ce serait ce serait probablement inefficace. Ah mais c'est pas ce que nous faisons, mais nous avons constaté qu'il y avait quand même des liens parfois très étroits et puis dans un certain nombre de cas publiquement reconnus y compris sur le plan capitalistique.

Enfin et ça peut ça peut s'entendre. Ça peut s'entendre. Moi je je les vois je les vois plutôt bah ils vont ils vont là où c'est efficace, ils vont là où ça marche, ils vont là où ça plaît à leurs clients, ils vont ils vont là où Oui, mais après c'est un peu quand même c'est aussi l'histoire de la poulete de l'œuf, c'est-à-dire que on peut dire et je suis d'accord avec vous sur la responsabilité politique au plus haut niveau, mais après quand vous avez des élus locaux euh qui eux n'ont évidemment à l'échelle de leur territoire pas la capacité à structurer des filières, donc ils vont pas se lancer dans une croisade sur la souveraineté numérique à l'échelle de leur territoire.

Donc forcément, ils vont se fier euh aux experts ou aux prétendus experts. Et donc là, la parole des assistances maîtrise d'ouvrage qui vont faire la démonstration parce que le système a été déployé déjà dans une 2 3 4 5 6 7 8 collectivités de taille équivalente. Même si d'aventure au fil de la discussion, ils disent "Oui, alors là, il existe une solution souveraine." Mais alors là, celle-là, on vous le dit, elle a été déployée, elle est sécurisée.

C'est celle-là que vous prenez ? Ah bah écoutez, c'est votre choix. C'est votre choix.

Mais forcément, il y a quand même une orientation très fort. Vous avez raison mais je pense que très souvent ce MOA c'est un miroir. Ils renvoient leurs clients ce qu'ils veulent entendre.

Une bonne AOA, si elle a un client qui veut vraiment acheter souverain, elle va l'aider à acheter souvent. Si le client il il n'espère qu'une chose, c'est de s'entendre dire "Il y a pas d'autre choix que de passer par Microsoft". Évidemment la la M elle va pas être là pour le pour le détromper.

Je crois pas. Je crois pas que ce soit son rôle. Oui, mais là vous voyez que même si vous n'avez pas trop insisté là-dessus, mais quand vous mettez en lumière tout à l'heure là, il y a quelques minutes le sujet de la sécurité, on pourrait presque, si on isolait votre propos uniquement là, y voir à minima une forme de prévention à l'égard de solutions françaises, européennes en disant bon de l'autre côté, on a des solutions américaines, elle c'est sûr, c'est parfaitement sûr.

La souveraineté, c'est un autre sujet, mais sur le sujet de la sécurité c'est central. Euh et donc euh là aussi on voit bien que les uns et les autres on a des rôles de prescripteur ou en tout cas d'orientation dans la réflexion. Donc euh c'est de notre point de vue, il s'agit pas de dire que euh tout est de la responsabilité des AMO, mais euh qu'elles font partie d'un système qui aujourd'hui a conduit notre pays et notre continent à prendre du retard.

Bah ça je pense que collectivement on peut on peut en moins en convenir. Écoutez monsieur Poupard, merci vraiment beaucoup pour vos interventions, votre témoignage. On ne manquera pas de revenir de revenir vers vous si nous avons besoin d'éléments complémentaires et si de votre côté vous souhaitiez apporter des exemples de bonnes pratiques autres que celles que vous avez pu évoquer, des solutions, des priorités d'action, n'hésitez pas dans les 15 15 prochains jours, 3 semaines au maximum, nous avons encore la possibilité d'intégrer ces éléments.

Merci à vous en tout cas. Merci Bonjour Dominique. C'est bon, ils se sont connectés.

Bonjour Simon Uzna, président de la commission d'enquête. Vous nous entendez bien ? J'entends très très très mal.

Ah et là vous nous entendez mieux ? Non, il y a un fort grisiment. D'accord.

Ah oui, un très fort grisiment. Je ne vois pas Sami, je ne vois pas Anthony, je les vois à l'écran mais pas à l'incream, je vois pas à l'écran. Oui.

Alors ça c'est l'orientation de la caméra. Non, j'imagine. En revanche, monsieur qui vous exprimez, il y a la sortie la sortie audio de votre micro et beaucoup de grisiment.

Énormément de gris. J'entends rien. Ah voilà, le président Anthony Leb est là.

Est-ce que Est-ce que vous entendez là où il y a toujours un grisiment avec un autre micro ? Il y aiment On entend strictement rien à ce que monsieur le sénateur dit. Anthony, tu entends bien ?

Oui. Bonjour. Bonjour monsieur le sénateur.

Euh Sisi également. Oui. Ah.

Moi, j'ai plus de son. Là, vous nous entendez bien ? Non, toujours pas.

Bon, alors si ça ça grisit mais ça reste audible, on entend quand même. Voilà, c'est audible même si ça grit un petit peu. À voir si à voir sur les autres micros là.

Vous vous je grisille également avec vous. C'est audible. C'est audible mais ça grisille.

On va y arriver. On va on va s'en sortir monsieur le sénateur. On va faire au mieux.

On va y arriver monsieur le sénateur. Oui, on est vous savez on est dans on est dans les handicaps structurels des outreemères. On a l'habitude.

Non non mais là c'est un problème qui vient de l'hexagone. Donc juste dans quelques instants, on va redémarrer la visio. La visio va être redémarrée pour essayer de régler le problème.

Très bien dans quelques instants. Oui, c'est une bonne chose. Voilà. [Musique]