En quelques mois, la Région Île-de-France puis la Région Pays de la Loire ont fait le choix des Chromebook pour équiper leurs lycéens. Au-delà du débat technologique, ces décisions interrogent la manière dont les collectivités publiques gouvernent désormais leurs dépendances numériques.

Ces décisions témoignent en effet d'une évolution profonde des politiques numériques des collectivités. Elles relancent également un débat récurrent : les élèves, où leurs données seront-elles hébergées ?

La question est légitime.

Mais elle révèle aussi une confusion persistante entre trois notions pourtant distinctes : l'hébergement des données, la conformité au RGPD et la souveraineté numérique.

Le RGPD n'impose pas un hébergement en France

Contrairement à une idée largement répandue, le RGPD n'exige jamais d'héberger les données personnelles en France.

Il n'impose pas davantage de les conserver systématiquement dans l'Union européenne.

Ce qu'il impose est en réalité plus exigeant : le responsable de traitement doit démontrer qu'il réalise des traitements de données licites, sécurisés, documentés et placés sous son contrôle.

Le RGPD ne demande pas où sont situés les serveurs. Il demande qui maîtrise réellement les traitements.

Héberger en France ne suffit pas

Imaginons qu'un datacenter français stocke effectivement les données des lycéens.

Cela ne répond pourtant qu'à une partie des questions.

Qui accède aux données ? Quels sous-traitants interviennent dans la chaîne de traitement ? Le fournisseur réalise-t-il certaines opérations d'administration, de maintenance ou de support depuis un pays tiers ? Comment la collectivité encadre-t-elle les éventuels transferts internationaux ? Et surtout, peut-elle démontrer cette maîtrise devant son autorité de contrôle ?

Le lieu d'hébergement constitue donc un élément de sécurité. Il ne constitue pas, à lui seul, une preuve de conformité.

Cette distinction est d'ailleurs au cœur de la doctrine française du cloud. Les exigences de souveraineté ou de qualification SecNumCloud poursuivent en effet un objectif différent du RGPD : elles cherchent à réduire les risques liés aux dépendances technologiques et aux législations extraterritoriales. Confondre ces exigences avec le RGPD conduit donc à brouiller le débat.

La leçon du Danemark

Le précédent danois est à ce titre particulièrement instructif.

L'autorité de protection des données (Datatilsynet) ne s'est pas limitée à examiner la localisation des serveurs.

Elle a surtout demandé aux communes de démontrer qu'elles maîtrisaient les traitements que l'écosystème Google mettait en œuvre : répartition des responsabilités, rôle des sous-traitants, transferts de données et contrôle effectif des opérations.

Le sujet n'était donc pas le Chromebook. Il était la capacité du responsable de traitement à démontrer qu'il conservait la maîtrise de ses traitements.

Ainsi, que les Régions françaises aient ou non retenu Google Workspace, le précédent danois conserve toute son actualité. La question n'est pas celle du produit utilisé, mais celle de la capacité de la collectivité à démontrer qu'elle maîtrise les traitements de données que génère l'écosystème numérique qu'elle a choisi.

La vraie question pour les Régions

Les choix de la Région Île-de-France et de la Région Pays de la Loire relèvent naturellement de leur responsabilité.

Mais ces décisions soulèvent une question de gouvernance parfaitement légitime.

En France, la gouvernance est d'ailleurs encore plus complexe. Les collectivités territoriales assurent l'équipement et une partie de l'administration des postes de travail. Les académies, elles, exercent leurs responsabilités sur les services numériques de portée académique, puisque les recteurs sont désignés AQSSI pour leur périmètre. Les chefs d'établissement, quant à eux, interviennent dans la mise en œuvre des services au sein de leur établissement, sans pour autant être AQSSI. Cette répartition rend donc d'autant plus essentielle une démonstration claire de la maîtrise des traitements et de la sécurité des systèmes d'information.

Cette organisation française illustre bien la complexité de la gouvernance des traitements. Or, le précédent danois montre combien une telle complexité rend l'exercice de démonstration plus difficile. En effet, plus une collectivité répartit les responsabilités entre plusieurs acteurs, plus il devient difficile de prouver que l'ensemble des traitements demeure effectivement maîtrisé.

Sur quels éléments juridiques, techniques et organisationnels reposent leurs analyses de conformité ? Ont-elles réalisé une analyse d'impact ? Comment documentent-elles et contrôlent-elles la chaîne de sous-traitance ? Comment encadrent-elles les éventuels transferts internationaux ? Enfin, quelles garanties de réversibilité ont-elles prévues si les conditions d'utilisation évoluent demain ?

Poser ces questions ne revient donc pas à contester un choix technologique. C'est plutôt rappeler qu'un responsable public doit être en mesure de démontrer la conformité des traitements qu'il met en œuvre.

De l'achat d'un ordinateur au choix d'un écosystème

Pendant longtemps, une collectivité achetait des ordinateurs.

Aujourd'hui, elle choisit un écosystème complet : identité numérique, stockage, collaboration, administration centralisée, services cloud et, demain, assistants d'intelligence artificielle.

Le choix d'un terminal emporte désormais des conséquences juridiques, contractuelles, techniques et stratégiques. C'est pourquoi il ne peut plus se réduire au seul angle du coût ou des performances.

Au fond, la question n'est pas de savoir si les Régions ont fait le bon choix. Elle est de savoir si elles pourront, demain, démontrer à la CNIL, à un juge ou à leurs administrés que ce choix repose sur une maîtrise complète des traitements de données qu'il induit. C'est précisément ce qu'exige le RGPD.

La gouvernance avant tout

Le véritable débat n'est donc pas de savoir si la collectivité héberge les données en France.

Il est de savoir si elle est capable de démontrer qu'elle maîtrise les traitements de données qu'elle confie à ses fournisseurs.

Le RGPD ne demande pas une adresse de datacenter. Il demande des preuves de maîtrise.

Ainsi, à l'heure où les collectivités choisissent non plus seulement des ordinateurs mais des écosystèmes numériques complets, cette exigence devient avant tout une question de gouvernance.

Et demain, à l'heure où l'intelligence artificielle s'invite dans les suites bureautiques, les environnements éducatifs et les services cloud, cette exigence de démonstration ne fera que s'accroître. Les collectivités ne devront donc plus seulement choisir des technologies performantes ; elles devront aussi prouver qu'elles en maîtrisent les conséquences juridiques, techniques et stratégiques.