relative à la sécurisation des marchés publics numériques

Le présent amendement vise à rétablir un délai d'entrée en vigueur raisonnable pour l'obligation d'hébergement qualifié imposée aux collectivités territoriales. Alors que la suppression de ce délai conduirait à une application immédiate du dispositif, sans période d'adaptation, cette disposition constitue un compromis responsable entre l'urgence des enjeux de souveraineté numérique et les contraintes opérationnelles des collectivités territoriales.

Un délai de plusieurs permet aux administrations concernées de cartographier leurs données d'une sensibilité particulière, d'identifier les offres de service en nuage qualifiées disponibles sur le marché et d'engager les procédures de mise en conformité nécessaires. Cette période d'adaptation tient compte de la réalité des cycles de décision et de passation des marchés publics des collectivités territoriales, qui ne peuvent basculer vers de nouveaux prestataires sans préparation. Ce délai permet en outre de respecter l'annualité budgétaire des collectivités territoriales.

Rétablir l’alinéa 14 dans la rédaction suivante : 

« III. – Le II rentre en vigueur six mois après la promulgation de la présente loi et au plus tard le 1^er janvier 2027. »

Le présent amendement vise à préciser les conditions dans lesquelles l’administration peut résilier les contrats en cours conclus avec des prestataires ne respectant pas les critères de sécurité et de protection des données prévus au deuxième alinéa du I de l’article 31.

S’il est légitime de permettre à l’administration de mettre un terme à de tels contrats afin de garantir un niveau élevé de sécurité juridique et technique, il importe également de rappeler que la résiliation unilatérale d’un contrat public pour motif d’intérêt général ouvre, en vertu d’un principe général du droit des contrats administratifs, un droit à indemnisation des pertes subies par le cocontractant. Ce principe, constant dans la jurisprudence administrative, impose de compenser les charges supplémentaires supportées par l’autre partie au contrat.

La contrepartie du droit de résilier un marché public pour un motif d’intérêt général réside dans le droit à indemnité totale du titulaire du marché public. Le Conseil d'Etat est constant en la matière. Ce même principe est applicable pour les contrats de concession en cas de résiliation pour motif d’intérêt général : « En l’absence de toute faute de sa part, l’entrepreneur a droit à la réparation intégrale du préjudice résultant pour lui de la résiliation anticipée du contrat ».

L’ajout proposé vise donc à sécuriser juridiquement le dispositif en rappelant expressément cette exigence d’indemnisation intégrale, afin d’assurer un équilibre entre la nécessaire protection des données et des systèmes d’information publics, et le respect des droits des opérateurs économiques.

Compléter l’alinéa 13 par la phrase suivante : 

« L’exercice de cette faculté par l’administration est sans préjudice de l’indemnisation de son cocontractant. »

Le présent amendement vise à préciser les conditions cumulatives permettant de qualifier les données d'une sensibilité particulière pour les collectivités territoriales. Alors que la rédaction présente repose sur une condition unique fondée sur la notion de « compétences essentielles », susceptible d'entraîner une sur-inclusion massive et d'imposer des obligations disproportionnées, la nouvelle formulation rétablit une structure bipartite dans la continuité de l’article 31 de la loi SREN et cohérente avec le cadre applicable à l'État, tout en l'adaptant aux réalités du droit et de l'organisation territoriale.

En effet, le Code général des Collectivités territoriales, distinguent les compétences obligatoires, facultatives et optionnelles et ne parlent pas de compétences essentielles.

Les compétences obligatoires sont celles mentionnées dans les textes, généralement sous forme de listes. Certaines compétences obligatoires des communes ne peuvent pas être transférées (Art.s L. 2321-1 et 2 CGCT).
Les compétences optionnelles, également listées par le législateur, doivent faire l’objet d’un accord entre les communes.
Les compétences facultatives sont celles dont le transfert n’est pas prévu par la loi ou par la décision qui institue l’EPCI. Selon les juges administratifs, le choix des compétences transférées ne peut se faire de manière opportune : il doit répondre au projet commun de développement et d’aménagement de l’espace établi au préalable.

Rédiger ainsi l’alinéa 10 :

« I bis (nouveau). – Pour l’application du II de l’article 31 de la présente loi aux administrations mentionnées au I du présent article, sont qualifiées de données d’une sensibilité particulière les données qui remplissent les deux conditions suivantes :

« 1° Les données relavant d’un secret protégé par la loi applicable aux administrations concernées ou sont nécessaires à l’accomplissement d’une mission essentielle de service public de la collectivité,

« 2° La violation de ces données est susceptible d’engendrer une atteinte caractérisée à l’ordre public local, à la continuité d’un service public essentiel, à la sécurité publique, à la santé, à la vie des personnes ou à la protection de la propriété intellectuelle.

« Un décret en Conseil d’État précise les modalités d’application du présent article, notamment les missions essentielles de service public des administrations publiques concernées, et les critères de proportionnalité. » 

Le décret en Conseil d'État prévu à l'article 31 de la loi SREN – qui devait préciser dans un délai de 6 mois les critères de sécurité et de protection, y compris les seuils de détention du capital – n’a pas été publié à jour.
 
En commission, le rapporteur a fait état d’une publication prochaine de décret.
Il semble toutefois complexe d’envisager une extension de l’article 31 aux collectivités alors même que le texte d’application est toujours en attente, au risque de générer de l’insécurité juridique.
 
Il est donc proposé par cet amendement de conditionner l’entrée en vigueur de la présente proposition de loi à la publication dudit décret.
 
En outre, afin de sécuriser les contrats ne pouvant pas être résiliés sans indemnités importantes, il est prévu une application uniquement aux nouveaux contrats.
 
L’entrée en vigueur interviendrait au plus tôt six mois après promulgation. A cette date, les collectivités ayant déjà engagé un recours à l’informatique en nuage pourraient conserver cette solution pendant dix-huit mois.
 
Au total, l’entrée en vigueur complète serait ainsi de 24 mois, ce qui laisse le temps aux collectivités assujetties de migrer leurs systèmes.
 
Ces délais permettent de tenir compte des durées de passation des marchés, qui s’étalent sur plusieurs années.

Cet amendements a été travaillé avec Départements de France. 

Rétablir l’alinéa 14 dans la rédaction suivante : 

« III. – Le II s’applique aux contrats conclus à compter d’une date fixée par le décret prévu au V de l’article 31 de la loi précitée, et au plus tôt le premier jour du sixième mois suivant la promulgation de la présente loi. »

 La définition des « données sensibles » applicable aux collectivités territoriales, distincte de celle applicable à l'État a le mérite d’être inscrite dans la loi, cependant, elle reste floue et nécessite des précisions.
 
Par cet amendement, il est demandé de travailler avec les collectivités à un document (circulaire, vade-mecum ou autre) précisant la définition de ces données sensibles afin de sécuriser juridiquement l’application de la présente loi.
 
Cet amendement a été travaillé avec Départements de France.  

Compléter l’alinéa 10 par la phrase suivante : 

« Un décret après avis de la Commission nationale de l’informatique et des libertés précise les données concernées. »

Le présent amendement propose de faire passer la durée de dérogation de 18 à 24 mois, afin de laisser le temps aux collectivités assujetties de migrer leurs systèmes.
 
Ce délai permet de tenir davantage compte des durées de passation des marchés, qui s’étalent sur plusieurs années.

Cet amendement a été travaillé avec Départements de France.

À l’alinéa 11, substituer au mot :

« dix-huit »

le mot :

« vingt-quatre ».

 
Cet amendement vise à simplifier la rédaction de l’alinéa 12, en s’en tenant à une délibération motivée pour prendre une décision de dérogation.
 
En effet, les délibérations sont publiques.

Cet amendement a été travaillé avec Départements de France.

I. – À la fin de la première phrase de l’alinéa 12, supprimer les mots : 

« motivée et rendue publique. »

II. – En conséquence, au début de la seconde phrase de l’alinéa 12, supprimer les mots : 

« Elle est ». 

III. – En conséquence, à la même seconde phrase du même alinéa 12, après le mot : 

« délibération »

insérer le mot : 

« motivée ».

L’entrée en vigueur de cette proposition de loi entraînera des surcoûts importants pour les collectivités.
 
A défaut d’enveloppe dédiée ou de compensation de la part de l’État, il convient de prévoir une disposition spécifique, surtout dans un contexte de difficultés budgétaires pour certaines collectivités.
 
Le Sénat avait prévu une dérogation en cas de risque de surcoût important. Afin de sécuriser cette dérogation, les critères seraient également renvoyés à un décret.
 
Le passage à des solutions cloud souveraines ou équivalentes représente un coût non négligeable pour les collectivités assujetties, qui se décline en plusieurs postes :
·      Surcoût de migration des systèmes existants vers des offres conformes
·      Prime de prix des solutions souveraines par rapport aux offres des hyperscalers, estimée entre 20 et 40 % selon les solutions
·      Coût d'expertise juridique et technique pour la qualification des données « sensibles »
·      Coût de formation et d'organisation des équipes informatiques
·      Frais éventuels de résiliation anticipée de contrats en cours.

Cet amendement a été travaillé avec Départements de France. 

I. – Après l’alinéa 11, insérer l’alinéa suivant : 

« Lorsque, à la date d’entrée en vigueur de la loi n°       du       relative à la sécurisation des marchés publics numériques, une administration mentionnée au I justifie d’un risque de surcoût important, cette administration peut déroger au même I, dans des conditions et selon des critères définis par décret en Conseil d’État. »

II. – En conséquence, à la première phrase de l’alinéa 12, substituer aux mots :

« au premier alinéa »

les mots :

« aux premier et second alinéas ».