Question au Gouvernement ✓ Répondue le 07/03/2024 #10#

Hébergement par Amazon de données sensibles

Posée le 07/03/2024 • Ministère interrogé : Premier ministre

Mickaël Vallet SER

Sénateur — Charente-Maritime

La question

M. le président. La parole est à M. Mickaël Vallet, pour le groupe Socialiste, Écologiste et Républicain. (Applaudissements sur les travées du groupe SER.) M. Mickaël Vallet. Ma question s'adressait à M. le ministre de l'économie. (Exclamations et rires sur les travées du groupe Les Républicains.) Bref... Madame la secrétaire d'État, vous savez bien sûr qui est l'auteur de cette déclaration faite en 2022 : « Personne n'a envie que ses données de santé soient répandues aux quatre vents ; personne n'a envie que les données de fabrication d'un Airbus, d'un TGV, d'un satellite ou d'Ariane soient diffusées à travers la planète. » Chacun, et vous la première, aura reconnu la plume du ministre de l'économie, dans ses oeuvres complètes. Pour autant, ces mots ne sont-ils que des mots ? Il y a trois semaines était publié un article du Canard enchaîné selon lequel EDF aurait confié la planification de la maintenance de ses centrales nucléaires à Amazon, un Gafam, dans le cadre d'un contrat de 860 millions d'euros. Cette affaire est sérieuse et ne souffre ni caricature ni légèreté. Madame la secrétaire d'État, si cette information est fausse, pourquoi avoir attendu qu'une question soit posée à l'Assemblée nationale pour que votre collègue, M. Lescure - ici absent -, la démente du bout des lèvres ? Si elle n'est que partiellement fausse, veuillez nous indiquer avec précision dans quelle proportion : périmètre du marché, montant, objet précis. Si elle n'est que partiellement vraie, cela reste très grave. La représentation nationale veut maintenant des réponses précises, car l'unique actionnaire d'EDF, c'est nous, c'est l'État, et l'unique responsable, c'est vous ! (Applaudissements sur les travées des groupes SER et CRCE-K, ainsi que sur des travées du groupe GEST.)

✓ Réponse du gouvernement

Publiée le 07/03/2024

M. le président. La parole est à Mme la secrétaire d'État chargée du numérique.

Mme Marina Ferrari, secrétaire d'État auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée du numérique. Monsieur le sénateur Vallet, toute grande organisation numérique moderne des données repose sur des solutions hybrides dites multicloud. Vous connaissez bien le sujet.

Il convient donc de distinguer, d'une part, la gestion des données sensibles, lesquelles doivent être gérées en interne ou en cloud de confiance, et, d'autre part, celle des données moins sensibles, qui peuvent, elles, faire l'objet d'une gestion en cloud privé ou public.

Comme l'a assuré EDF au Gouvernement, plusieurs expérimentations ont été lancées dans le cadre d'un programme de rénovation, dont une sur les pièces de rechange utiles au fonctionnement normal des centrales nucléaires. C'est à cette occasion que l'entreprise a fait appel au cloud public d'Amazon Web Services (AWS).

Cette expérimentation respecte les exigences d'EDF en termes de cybersécurité et de confidentialité, ainsi que les obligations issues du règlement général sur la protection des données (RGPD). Elle ne porte donc pas sur des données sensibles.

Aucun schéma d'ingénierie ni d'architecture n'a été transmis ni stocké dans le cloud d'AWS, les données confidentielles des centrales nucléaires d'EDF sont, par ailleurs, hébergées dans des infrastructures privées que l'entreprise gère en propre.

Votre question, toutefois, monsieur le sénateur, relève d'une préoccupation majeure, que nous partageons : les entreprises stratégiques ont encore très insuffisamment recours aux offres de cloud de confiance.

Je souhaite donc réaffirmer que la doctrine de l'État est bien de veiller à ce que les données sensibles des administrations et des entreprises soient hébergées dans des infrastructures bénéficiant de la qualification SecNumCloud. La France est d'ailleurs engagée dans les négociations du futur schéma européen de certification des services de cloud, l'EUCS (European Cybersecurity Certification Scheme for Cloud Services).

Enfin, dans le cadre de France 2030, le Gouvernement mobilise 700 millions d'euros pour accompagner les acteurs dans cette labellisation SecNumCloud.

Vous pourrez compter sur notre mobilisation, monsieur le sénateur, non seulement dans le suivi de ce dossier très précis, mais aussi pour faire appel aux leviers de financement nécessaires à l'émergence d'un marché français et européen compétitif d'offres de cloud de confiance.

M. Franck Montaugé. Ce n'est pas rassurant !

M. le président. La parole est à M. Mickaël Vallet, pour la réplique.

M. Mickaël Vallet. Je vous remercie, madame la secrétaire d'État ; pour autant, au lendemain de la parution de cet article du Canard enchaîné, le directeur de la recherche et du développement d'EDF, auditionné au Sénat, n'était même pas informé du sujet. Trois semaines plus tard, vous entretenez toujours le flou, même si vous nous avez un peu renseignés sur le périmètre et la sensibilité des données. Nous ne savons toujours pas s'il s'agit d'une expérimentation et nous ne connaissons pas le montant du contrat.

Or, comme le courant, le respect de la loyauté par notre allié américain peut être alternatif. Vous faites pourtant confiance à une entreprise états-unienne sans craindre l'abus d'extraterritorialité. Maintenant, des actes sont nécessaires, car on ne badine pas avec la souveraineté et vous le savez que, à Bercy, à défaut d'actes, il n'y a que de la littérature ! (Applaudissements sur les travées des groupes CRCE-K et GEST ainsi que sur des travées du groupe CRCE-K.)

Source : senat.fr ↗