La commission d’enquête sur la commande publique pointe les exemples du Health Data Hub et les non-respects des règles, par l’Éducation nationale notamment. Elle demande que le rôle de pilote de la Dinum soit rappelé.
En mars dernier, le Sénat avait lancé une commission d’enquête « sur les coûts et les modalités effectifs de la commande publique et la mesure de leur effet d’entraînement sur l’économie française », à l’initiative du groupe Les Indépendants – République et Territoires (divers droite, présidé par Claude Malhuret). La commission a rendu la semaine dernière son rapport, qui pointe l’absence de pilotage par l’État et ses conséquences.
Insuffisances de la protection des données (...)
Dans sa synthèse, la commission indique que ses investigations « ont montré que l’État n’avait pas su se hisser à la hauteur des enjeux ces dernières années lorsque la commande publique avait dû être mobilisée pour répondre à l’urgence ou garantir la souveraineté nationale et européenne », notamment quand il s’est agi « d’assurer la protection des données publiques face aux géants du numérique ». Son rapport de 489 pages contient de nombreuses sections liées au numérique.
En audition, l’ancien Haut responsable chargé de l’intelligence économique auprès du Premier ministre, Alain Juillet, a exposé ceci (p. 243 et suivantes du rapport) : « Les lois américaines permettent aux services américains de récupérer toutes les données que nous transmettons aux États-Unis et d’en faire ce qu’ils veulent. Ils peuvent donc, par exemple, les communiquer aux concurrents américains de nos entreprise. » « Je connais des entreprises françaises qui ne travaillent qu’avec Microsoft. Si vous leur dites qu’en recourant exclusivement aux services de Microsoft, toutes leurs données peuvent être transmises à la concurrence, elles vous répondent que vous êtes paranoïaques, jusqu’à ce qu’elles finissent par perdre une affaire... »
Le rapport pointe que « au-delà même de ces enjeux fondamentaux doit être pris en compte le risque d’accoutumance, voire de dépendance, à des solutions étrangères, qui fragilise gravement la souveraineté numérique européenne.
De fait, les tensions géopolitiques actuelles font légitimement craindre le recours par des puissances étrangères à tous les leviers de pression dont elles peuvent disposer à l’encontre de la France et de l’Union européenne. (...)
"Décalage persistant" entre les discours et les actes
La commission relève que « certains États européens semblent toutefois commencer à prendre conscience des risques auxquels cette situation les expose. Le gouvernement danois a, par exemple, annoncé récemment sa volonté de remplacer progressivement les offres Windows et Office 365 de Microsoft par Linux et LibreOffice. »
Elle rappelle que « dès 2016, le législateur a affirmé le principe selon lequel l’État, les collectivités territoriales, les autres personnes de droit public et les personnes de droit privé chargées d’une mission de service public devaient veiller à « préserver la maîtrise, la pérennité et l’indépendance de leurs systèmes d’information » et encourager l’utilisation des logiciels libres et des formats ouverts lors du développement, de l’achat ou de l’utilisation de tout ou partie de ces systèmes d’information » (loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, proposée par la secrétaire d’État au Numérique Axelle Lemaire - on aurait aussi pu rappeler la circulaire Ayrault de 2012 sur l’usage des logiciels libres). (...)
Le fossé entre les textes officiels et la pratique reste toujours patent quand on pense aux récents cas de l’Education nationale ou de Polytechnique, et le rapport déplore « un décalage persistant entre les discours publics et les actes concrets » : « Une multitude d’exemples de recours par des organismes publics français à des offres numériques étrangères, à contresens des prescriptions officielles, ont en effet été évoqués au cours des travaux de la commission d’enquête, à commencer par la récente conclusion par le ministère de l’éducation nationale et de la jeunesse d’un accord-cadre pour le renouvellement de ses licences Microsoft en mars dernier pour un montant estimé à 75 millions d’euros HT sur quatre ans » (qui pourrait aller jusqu’à 152 millions). (...)
La Dinum oubliée par l’Éducation nationale
De plus, relèvent les sénateurs, « au-delà même des interrogations que soulève le recours par les services de l’État à des offres assujetties aux lois extraterritoriales américaines et l’exposition de nos données publiques au risque de transfert à des autorités étrangères, il apparaît que ce marché a été passé en méconnaissance des règles applicables visant à assurer sa conformité à la doctrine "cloud au centre". (…) De tels projets doivent en effet être soumis pour avis conforme à la direction interministérielle du numérique (Dinum), ce qui n’a pas été le cas du renouvellement des licences Microsoft du ministère de l’éducation nationale. »
Ce qui a suscité un courrier des ministres de l’Action publique et de l’Intelligence artificielle et du Numérique aux membres du gouvernement, en forme de rappel à l’ordre. (...)
"Pourquoi l’Etat recourt massivement aux GAFAM pour attribuer ses marchés publics ?" interroge le rapporteur de la commission d’enquête, en comparant les chemins pris par la police nationale et la gendarmerie sur la question. La police nationale a en effet fait le choix de Microsoft, qui proposait un prix d’appel inférieur à Linux.
Résultat, avec le passage à Windows 11, la police nationale doit remplacer l’ensemble de son parc informatique, même les appareils fonctionnant parfaitement, avec des coûts supplémentaires importants qui rendent le choix de Microsoft finalement plus coûteux que celui qu’a fait la gendarmerie en optant pour Linux. "Les firmes américaines démarrent leurs offres plus bas, mais elles génèrent des surcoûts une fois que vous êtes captifs de leurs offres. En outre, niveau sécurité, tout le monde nous dit que la communauté de développeurs autour de Linux est bien plus performante", analyse Dany Wattebled. »
67 recommandations (...)
Les sénateurs ont dressé une liste de 67 recommandations, dont celles numérotées de 23 à 31 portent plus particulièrement sur le numérique, la protection contre les lois extraterritoriales étrangères (coucou les lois FISA américaines et autres). (...)