Les entreprises françaises continuent de faire appel aux géants américains du cloud ou « hyperscalers », malgré les réticences des autorités publiques. Ainsi, EDF a choisi le service de cloud d’Amazon (AWS) pour moderniser la gestion prédictive des pièces détachées de ses centrales nucléaires. Or, l’évolution rapide du paysage numérique mondial a engendré des préoccupations croissantes concernant la sécurité et la souveraineté des données. Mais comment encore privilégier le « made in Europe » ?
Le marché intérieur européen garantit la libre circulation des biens, des personnes, des services et des capitaux aux opérateurs économiques, selon l’article 26 du Traité sur le fonctionnement de l’Union européenne. Ces libertés, tout comme la liberté contractuelle (article 16 de la Charte des droits fondamentaux de l’UE), permettent aux acteurs, dans un contexte économique de plus en plus compétitif et international, de choisir librement leurs prestataires.
En l’occurrence, le droit européen n’impose pas d’obligation générale de localisation des données en Europe. Cela ne transparaît ni dans le Règlement sur les données non personnelles – qui interdit même les exigences de localisation sauf si elles sont justifiées par des motifs de sécurité publique dans le respect du principe de proportionnalité – ni dans le Règlement général sur la protection des données, qui soumet pourtant le transfert des données personnelles hors UE à certaines garanties (clauses contractuelles types par exemple).
Néanmoins, certains acteurs défendent l’idée d’une obligation de localisation géographique des données sur le territoire européen ou même le territoire national comme mesure de protection.
Il peut s’agir des données sectorielles des organismes d’importance vitale, des opérateurs de services essentiels ou infrastructures critiques, comme le transport d’énergie ou les industries de défense, mais aussi celles de sociétés évoluant dans des secteurs extrêmement concurrentiels, comme l’aéronautique. Ces entreprises peuvent regrouper des données d’intérêt général (données de santé) mais aussi des données stratégiques (données étatiques, données des industries), qui ne doivent pas se...
