Le présent amendement précise et consolide le dispositif adopté par le Sénat, dont il étend le champ d’application. En effet, dans sa rédaction initiale, l’article unique de la proposition de loi tendait à renforcer substantiellement les exigences en matière de sécurité et de protection des données pesant sur les offres de cloud, en confiant les données de l’ensemble des acheteurs publics à des prestataires français ou européens. Tout en reconnaissant l’intention légitime du texte, la commission des Lois du Sénat s’est attachée à rechercher un meilleur équilibre entre la nécessaire protection des données publiques stratégiques et la prise en compte des difficultés juridiques et opérationnelles soulevées par cette rédaction initiale. Elle a donc opté pour une nouvelle écriture de l’article, qui prévoit d’étendre les obligations actuellement prévues à l’article 31 de la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi « Sren », à certaines collectivités territoriales ainsi qu’à certains établissements publics de coopération intercommunale à fiscalité propre. Si cette modification constitue une évolution bienvenue, des précisions techniques doivent encore être apportées afin de garantir l’efficacité du dispositif. Le présent amendement procède ainsi à plusieurs évolutions. Premièrement, il précise et complète le champ des administrations locales concernées, en le rapprochant de celui actuellement défini pour les entités dites « essentielles » par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, en cours de discussion à l’Assemblée nationale. Concrètement, l’amendement étend les obligations de protection des données sensibles aux collectivités territoriales, à leurs groupements et à leurs établissements publics administratifs, ainsi qu’à certains organismes sensibles qui n’appartiennent pas à ces catégories, comme les services départementaux d’incendie et de secours. Afin de tenir compte des contraintes qui pèsent sur les petites communes, et par cohérence avec le seuil retenu dans le projet de loi précité, seules les communes et les communautés de communes de plus de 30 000 habitants seraient concernées. Deuxièmement, l’amendement précise et étend la notion de données d’une sensibilité particulière, afin de l’adapter aux compétences des administrations locales concernées. Ainsi, en plus des catégories déjà consacrées par la doctrine « cloud au centre » et l’article 31 de la loi « Sren », seraient également qualifiées de données sensibles « les données nécessaires à la mise en œuvre des compétences essentielles des collectivités territoriales, notamment la prévention des risques de toute nature, la gestion des crises, le maintien de l’ordre public et la protection de la santé et de la vie des personnes ». Troisièmement, l’amendement encadre la clause dérogatoire qui avait été introduite par le Sénat. Si la possibilité de déroger à ces obligations nouvelles paraît pertinente pour permettre une transition harmonieuse vers des infrastructures d’informatique en nuage sécurisées, la rédaction actuelle paraît trop vague. Elle risque de réduire significativement la portée du dispositif en ouvrant largement la possibilité de se soustraire aux exigences posées par le texte. Afin d’éviter de tels écueils, l’amendement propose que la décision de déroger à ces obligations nouvelles, prise par l’administration locale concernée, soit motivée et rendue publique, et que les conditions et modalités dans lesquelles les dérogations peuvent être prises soient précisées par décret en Conseil d’État, par analogie au cadre prévu par l’article 31 de la loi « Sren ». Surtout, la dérogation serait encadrée dans le temps : celle-ci ne pourrait dépasser dix-huit mois. Un tel mécanisme paraît plus pertinent qu’une entrée en vigueur décalée, car il incite et contraint l’administration locale concernée à planifier la migration de ses données sensibles, tout en lui apportant la souplesse nécessaire à cette opération. Enfin, l’amendement sécurise la possibilité pour l’administration locale concernée de résilier les contrats en cours, dans le cas où le prestataire auprès duquel elle héberge déjà ses données ne présenterait pas les garanties de sécurité exigées.

Cet amendement a été déclaré irrecevable après publication en application de l'article 98 du règlement de l'Assemblée nationale.

Selon les statistiques de l'AMF, en France nous comptons 35 497 communes, et avec seulement 300 d'entre elles qui comptent une population supérieure ou égale à 30 000 habitants. La proposition de loi sénatoriale manque d'ambition pour la protection des marchés publics numériques, elle ne vise qu'une part infime des communes qui devraient se soumettre aux règles de sécurisation issue de la loi SREN de mai 2024 alors que des communes de moins de 30 000 habitants ont également recours à ces marchés publics numériques.    Ce sous-amendement vise donc à supprimer la condition de plus de 30 000 habitants dans la nouvelle rédaction de Monsieur le rapporteur, afin que l'ensemble des communes soient concernées par ce texte, et que les données d'une particulière sensibilité qui seront traitées par des services d'informatique en nuage soient protégées.

Nous comptons en France plus de 1000 villes dont le nombre d'habitants est supérieur ou égal à 10 000. Au 1er janvier 2024, 50,7 % de la population française habitait dans ces villes de plus de 10 000 habitants.    Ce sous-amendement de repli vise donc à abaisser la condition tenant à la population des communes qui seront soumises aux règles de sécurisation des marchés publics numériques. Cela afin qu'un maximum de données d'une particulière sensibilité, traitées par des services d'informatique en nuage, soient protégées.

Selon les statistiques de l'AMF, en France nous comptons 35 497 communes, et avec seulement 300 d'entre elles qui comptent une population supérieure ou égale à 30 000 habitants. La proposition de loi sénatoriale manque d'ambition pour la protection des marchés publics numériques, elle ne vise qu'une part infime des communes qui devraient se soumettre aux règles de sécurisation issue de la loi SREN de mai 2024 alors que des communes de moins de 30 000 habitants ont également recours à ces marchés publics numériques.    Le présent amendement vise donc à supprimer la condition de plus de 30 000 habitants, afin que l'ensemble des communes soient concernées par ce texte, et que les données d'une particulière gravité qui seront traitées par des services d'informatique en nuage soient protégées.

Nous comptons en France plus de 1000 villes dont le nombre d'habitants est supérieur ou égal à 10 000. Au 1er janvier 2024, 50,7 % de la population française habitait dans ces villes de plus de 10 000 habitants.    Cet amendement de repli vise donc à abaisser la condition tenant à la population des communes qui seront soumises aux règles de sécurisation des marchés publics numériques. Cela afin qu'un maximum de données d'une particulière sensibilité, traitées par des services d'informatique en nuage, soient protégées.

Cet amendement du groupe Écologiste et Social vise à appliquer aux communautés de communes les obligations prévues par l’article 31 de la loi n° 2024‑449 du 21 mai 2024.  Les communautés de communes en tant qu’association de communes « en vue de l’élaboration d’un projet commun de développement et d’aménagement de l’espace », selon l’article L5214‑1 du code général des collectivités territoriale, exercent de plein droit en lieu et place des communes membres les compétences dans de nombreux domaines comme l’aménagement de l’espace pour la conduite d’actions d’intérêt communautaire, l’action de développement économique, la gestion des milieux aquatiques et prévention des inondations, la collecte et traitement des déchets des ménages, l’assainissement des eaux usées ou l’eau.  Les risques, qui peuvent résulter notamment de relations contractuelles avec des acteurs soumis à des législations étrangères, ne dépendent pas uniquement du statut administratif des collectivités.  À ce titre, les communautés de communes génèrent et hébergent des données dont la « violation est susceptible d’engendrer une atteinte à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes ou à la protection de la propriété intellectuelle, l’administration de l’État, ses opérateurs », selon les critères de la loi SREN.  Dans sa rédaction actuelle, le dispositif les communautés de communes du champ des obligations de conformité. Cette restriction conduit à limiter considérablement la portée du mécanisme puisqu’un tiers de la population française vit dans des communautés de communes. Une telle distinction apparaît difficilement justifiable au regard des objectifs poursuivis par la loi.

Par cet amendement, le groupe LFI réaffirme son souhait de renforcer la souveraineté numérique française en ligne, en s'émancipant des géants du numériques étrangers - et notamment américain - par le développement de l'usage de services de l'informatique en nuage (aussi appelé "cloud") réversibles. Face à la numérisation de la société, l'usage de "cloud" est devenu indispensable au bon fonctionnement de l'administration publique. Selon les données de la Cour des Comptes sur le sujet, les dépenses publiques en la matière sont passées d’1 M€ en 2020 à 52 M€ en 2024 (les services de l’État représentent les 2/3 de la somme, soit 32 M€). Au total, entre 2020 et 2024, 120 M€ ont été dépensés. Si des données sont disponibles sur l’identité des fournisseurs d’accès choisis par l’État, il n’existe aucune donnée agrégée sur l’identité des fournisseurs choisis par les collectivités territoriales, alors même qu’elles sont des acteurs désormais incontournables de l’action publique. Par conséquent, il est impossible d’évaluer le niveau d’exposition aux risques de ces dernières, ainsi que le coût engendré. Or, ces interrogations sont particulièrement légitimes, au vu de la structure du marché actuel. En effet, 3 grandes entreprises américaines en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Dans ce contexte, la question de l'extraterritorialité se pose. En effet, de nombreuses législations étrangères permettent aux États les ayant mises en place de récupérer les données collectées par les entreprises, même lorsque cette récolte a été effectué à l’étranger. A titre d'illustration, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. Face à cela, il est donc indispensable de développer l'usage de nouveaux outils permettant de garantir un accès souverain aux données, parfois très sensibles, hébergées par les administrations publiques afin de préserver notre souveraineté numérique. Les services de cloud réversibles jouent un rôle majeur en la matière. En effet, ils permettent à ses utilisateurs de préserver leur autonomie technologique et d’assurer leur sécurité en leur donnant la faculté de récupérer les données stockées à tout moment, notamment d’un fournisseur de cloud qui ne respecterait pas les exigences minimums de protection des données personnelles collectées. Il ne s'agit en réalité que d'une traduction législative d'une exigence déjà existante : en effet, la circulaire du Premier ministre n° 628-SG du 5 juillet 2021 définit la doctrine d’utilisation de l’informatique en nuage par l’État via la circulaire dite « cloud au centre » qui souligne que « l’État doit veiller scrupuleusement à la protection de ses données et de celles des citoyens, et notamment à leur hébergement sur le territoire de l’Union européenne » en encourageant les services et les organisations publiques à recourir à des solutions d’hébergement en nuage qui intègrent des exigences de réversibilité, de portabilité et d’interopérabilité et qui « n’entravent pas l’autonomie de l’État dans ses choix numériques à venir ». Le recours à un service de "cloud" non réversible et non développé par des structures publiques ne deviendrait alors qu'une exception dûment justifiée, une évaluation comparative de nature technique et économique devant démontrer qu’il est impossible d’accéder à des solutions équivalentes déjà développées au sein de l’administration publique en matière de fonctionnalités, de coût total et de cybersécurité, réalisée sous la supervision de la direction interministérielle du numérique (Dinum).

Par cet amendement, le groupe LFI souhaite réaffirmer la nécessité de protéger les données numériques des citoyennes et citoyens récoltées par les différents acteurs publics, en ayant systématiquement recours à des solutions développées par des structures publiques nationales, et qui prévoient un hébergement des données sur des serveurs régis par le droit national et/ou européen et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de "cloud" est devenu indispensable au bon fonctionnement de l'administration publique. Selon les données de la Cour des Comptes sur le sujet, les dépenses publiques en la matière sont passées d’1 M€ en 2020 à 52 M€ en 2024 (les services de l’État représentent les 2/3 de la somme, soit 32 M€). Au total, entre 2020 et 2024, 120 M€ ont été dépensés. Si des données sont disponibles sur l’identité des fournisseurs d’accès choisis par l’État, il n’existe aucune donnée agrégée sur l’identité des fournisseurs choisis par les collectivités territoriales, alors même qu’elles sont des acteurs désormais incontournables de l’action publique. Par conséquent, il est impossible d’évaluer le niveau d’exposition aux risques de ces dernières, ainsi que le coût engendré. Or, ces interrogations sont particulièrement légitimes, au vu de la structure du marché actuel. En effet, 3 grandes entreprises américaines en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe. Par ailleurs, malgré une volonté affichée des pouvoirs publics de promouvoir des solutions alternatives, ces dernières restent largement dépendantes de solutions étrangères : à titre d’illustration, la conclusion par le ministère de l’éducation nationale et de la jeunesse d’un accord cadre pour le renouvellement de ses licences Microsoft en mars 2025, proposant des outils bureautiques et des prestations d’hébergement en nuage est très critiquée : interrogé dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmise à des autorités étrangères – ce qui pose la question de l’extraterritorialité. Dans ce contexte, et s'afin de s'assurer que la France continue d'avoir un accès souverain aux données numériques qu'elle a collectées, il nous semble indispensable d'avoir recours à des solutions développées par des structures publiques - d'autant plus qu'elles existent. A titre d'illustration, l’État a développé deux offres de services d’hébergement et de traitement des données entièrement maîtrisés par des ressources internes, incluant l’hébergement, l’ingénierie, l’exploitation et la surveillance des données sensibles, exploitées et surveillées par le ministère de l’Intérieur (cloud Pi), initialement associé à un niveau de sécurité « Diffusion restreinte » ou encore le ministère des finances (cloud Nubo) associé au standard SecNumCloud - qui garantit un haut niveau d’exigences tant du point de vue technique, qu’opérationnel ou juridique car protégée des législations extra-territoriales et donc un niveau de sécurité de la solution dans son ensemble.

Par cet amendement, le groupe LFI souhaite réaffirmer l'importance d'utiliser des solutions numériques souveraines, en garantissant l'hébergement des données récoltées par les pouvoirs publics sur des serveurs situés sur le territoire national (ou européen) et sur lesquels s'applique le droit national et protégé de tout effet d'une législation étrangère qui aboutirait d'une manière ou d'une autre à un transfert de données à des autorités étrangères. Face à la numérisation de la société, l'usage de "cloud" est devenu indispensable au bon fonctionnement de l'administration publique. Selon les données de la Cour des Comptes sur le sujet, les dépenses publiques en la matière sont passées d’1 M€ en 2020 à 52 M€ en 2024 (les services de l’État représentent les 2/3 de la somme, soit 32 M€). Au total, entre 2020 et 2024, 120 M€ ont été dépensés. Si des données sont disponibles sur l’identité des fournisseurs d’accès choisis par l’État, il n’existe aucune donnée agrégée sur l’identité des fournisseurs choisis par les collectivités territoriales, alors même qu’elles sont des acteurs incontournables de l’action publique. Par conséquent, il est impossible d’évaluer le niveau d’exposition aux risques de ces dernières, ainsi que le coût engendré. Or, ces interrogations sont particulièrement légitimes, au vu de la structure du marché actuel. En effet, 3 grandes entreprises américaines en situation de quasi-monopole sur le numérique, Amazon Web Services (AWS), Microsoft Azure et Google Cloud, représentent à elles seules 70% des parts de marché en Europe, tandis que la part des fournisseurs de cloud européens a connu une diminution au cours des dernières années, représentant 27 % des parts en 2017 puis seulement 16 % en 2021. Par ailleurs, malgré une volonté affichée des pouvoirs publics de promouvoir des solutions alternatives, ces dernières restent largement dépendantes de solutions étrangères : à titre d’illustration, la conclusion par le ministère de l’éducation nationale et de la jeunesse d’un accord cadre pour le renouvellement de ses licences Microsoft en mars 2025, proposant des outils bureautiques et des prestations d’hébergement en nuage est très critiquée : interrogé dans le cadre de la commission d'enquête sénatoriale sur "les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d'entraînement sur l'économie française" adopté le 8 juillet 2025, M. Anton Carniaux, directeur des affaires publiques et juridiques de Microsoft France, a avoué que son entreprise ne pouvait pas garantir que les données hébergées ne soit jamais transmises à des autorités étrangères – ce qui pose la question de l’extraterritorialité. En effet, de nombreuses législations étrangères permettent aux États les ayant mises en place de récupérer les données collectées par les entreprises, même lorsque cette récolte a été effectuée à l’étranger. A titre d'illustration, aux Etats-Unis, plusieurs législations permettent au Gouvernement d’accéder à nos données comme la section 702 du Foreign Intelligence Surveillance Act (Fisa) qui permet aux autorités américaines, sans nécessité de mandat, de recueillir des données personnelles de citoyens étrangers stockées sur des serveurs gérés par des fournisseurs de services cloud domiciliés aux États-Unis, y compris lorsque les serveurs ne sont pas situés sur le territoire américain. Face à cela, il est donc indispensable de développer l'usage de nouveaux outils permettant de garantir un accès souverain aux données, parfois très sensibles, hébergées par les administrations publiques afin de préserver notre souveraineté numérique. En l'absence de telles mesures, notre pays risque de devenir une véritable "colonie numérique" de puissances étrangères, annihilant ainsi notre capacité même à agir. Cette situation n'est pas tolérable.