En juin 2026, la décision de la Cour suprême des États-Unis dans l’affaire Trump v. Slaughter a mis fin à l’indépendance de la Federal Trade Commission. Pour la plupart des gens, c’était une nouvelle de politique américaine. Pour quiconque gère les systèmes d’information d’un organisme public portugais, c’était autre chose : la disparition de l’une des pièces qui soutiennent l’accord permettant le transfert des données des Européens vers les États-Unis.
C’est le troisième choc en dix ans. Le Safe Harbor est tombé en 2015, le Privacy Shield est tombé en 2020, et l’accord qui les a remplacés est aujourd’hui contesté. Aucun de ces épisodes ne résulte de la mauvaise foi des négociateurs. Ils résultent d’une incompatibilité fondamentale entre deux façons de concevoir la souveraineté, qu’aucun accord politique ne peut résoudre.
Pendant ce temps, nos homologues européens agissent. En France, la doctrine cloud réserve les systèmes de l’État contenant des données sensibles à des infrastructures qualifiées, immunisées contre les législations extra-européennes. En Italie, les données publiques ont été classées par criticité et les plus sensibles concentrées dans des infrastructures nationales qualifiées. En Allemagne, un Land a migré la messagerie de toute son administration, plus de quarante mille boîtes mail, vers des solutions ouvertes. Aux Pays-Bas, le Parlement a approuvé des motions visant à stopper les migrations inutiles de l’administration vers des fournisseurs cloud américains.
Le Portugal a approuvé son plan national pour le cloud souverain, à mettre en œuvre au cours des prochaines années. C’est la reconnaissance officielle que la dépendance actuelle est un risque. Mais un organisme donné, avec une procédure de marché à lancer dans les six prochains mois, ne peut pas attendre la fin de la décennie.
Voici les huit questions à poser avant cette procédure. Elles n’exigent pas de connaissances techniques. Elles exigent des réponses claires.
1. À quel droit l’entité qui exploite le service est-elle soumise, et qui la contrôle ?
C’est la question qui englobe toutes les autres, et elle n’est presque jamais posée. Ne la confondez pas avec la localisation des serveurs. Une société constituée aux États-Unis, ou contrôlée par une société américaine, reste soumise au droit américain où qu’elle installe ses équipements.
L’affaire qui l’a prouvé n’était pas théorique. En 2013, la justice américaine a exigé d’une entreprise technologique qu’elle remette le contenu d’un compte e-mail stocké dans un centre de données à Dublin. L’entreprise a refusé et a gagné devant les tribunaux. En 2018, le Congrès a adopté une loi imposant la remise des données en possession, sous la garde ou sous le contrôle de ces entreprises, quel que soit le pays où elles sont stockées. L’affaire s’est terminée par la remise des données.
Ce qu’il faut demander : l’identification de l’entité contractante, son siège social, sa structure de propriété et de contrôle, et le droit auquel elle est soumise.
2. Où les données sont-elles physiquement situées, et qui a accès aux locaux ?
La localisation ne règle pas la question de la juridiction, mais elle reste pertinente. Vous devez savoir dans quel pays se trouvent les équipements, qui exploite l’espace physique, et si cet exploitant a un accès logique aux systèmes.
Ce qu’il faut demander : la localisation des centres de données, l’identification du prestataire d’hébergement physique, et une déclaration expresse indiquant si ce prestataire a ou non accès aux données.
3. Y a-t-il des transferts vers des pays tiers, même occasionnels ?
La question doit tout couvrir, pas seulement le service principal. Analyse du trafic du site web, outils d’assistance client, traitement des paiements, polices chargées depuis des serveurs externes. Chacun de ces éléments peut constituer un transfert.
Ce qu’il faut demander : une liste complète des sous-traitants ultérieurs et des destinataires, avec leur localisation, et une déclaration sur les transferts vers des pays tiers.
4. Combien de temps les journaux de trafic sont-ils conservés, et sur quelle base ?
De nombreux prestataires conservent les métadonnées de communication pendant des mois ou des années, par inertie technique. Il vaut la peine de rappeler le cadre actuel : le Tribunal constitutionnel portugais a déclaré inconstitutionnelles, avec force obligatoire générale, les règles qui imposaient la conservation générale des données de trafic pendant un an, puis a de nouveau déclaré inconstitutionnelle une tentative ultérieure de conservation indiscriminée pendant trois mois.
Autrement dit, la conservation prolongée de métadonnées sans finalité précise n’est plus une obligation aujourd’hui. C’est un risque.
Ce qu’il faut demander : les durées de conservation précises par type de journal, et la finalité qui les justifie.
5. Comment les demandes des autorités sont-elles traitées, y compris celles d’autorités étrangères ?
Un organisme public a un intérêt particulier à savoir ce qui se passe si quelqu’un demande l’accès à ses données, et surtout si ce quelqu’un est une autorité d’un autre pays.
Ce qu’il faut demander : une description de la procédure interne d’examen des demandes, et une déclaration sur le traitement des demandes directes émanant d’autorités de pays tiers, qui doivent suivre les mécanismes de coopération judiciaire impliquant les autorités portugaises. Demandez aussi si le prestataire publie un rapport de transparence.
6. Comment le secret administratif et professionnel est-il protégé ?
Procédures disciplinaires, données de santé, informations classifiées, communications avec des avocats. Si ces matières transitent par une infrastructure soumise à la juridiction d’un pays tiers, le devoir de secret ne dépend plus seulement de l’organisme.
Ce qu’il faut demander : une déclaration sur l’accès du prestataire au contenu des communications, et sur les circonstances dans lesquelles cet accès peut avoir lieu.
7. Le prestataire assume-t-il le rôle de sous-traitant, et fournit-il un contrat de
traitement des données ?
Pour les données stockées dans les boîtes mail, l’organisme public est le responsable du traitement et le prestataire est le sous-traitant. Cela exige un contrat écrit dont le contenu est fixé à l’article 28 du Règlement général sur la protection des données. Un prestataire qui n’en propose pas n’est pas en mesure de contracter avec un organisme public.
Ce qu’il faut demander : un projet de contrat de traitement des données, avec des annexes sur les sous-traitants ultérieurs et les mesures de sécurité.
8. Que se passe-t-il à la fin du contrat ?
La réversibilité est souvent oubliée au moment de contracter et douloureuse au moment de résilier.
Ce qu’il faut demander : les formats et protocoles d’export des données, la durée de conservation après la fin du contrat, le délai et la méthode de suppression, et si une assistance est fournie pour la transition vers un autre prestataire.
Une dernière remarque sur ce qui est en jeu
Aucune de ces questions ne porte sur la technologie. Toutes portent sur la responsabilité.
Celui qui décide de l’infrastructure de communication d’un organisme public ne choisit pas seulement un service. Il détermine sous quel ordre juridique tomberont les communications entre l’État et les citoyens qu’il sert. C’est une décision de souveraineté, prise dans un cahier des charges.
La bonne nouvelle, c’est que rien de tout cela n’exige d’attendre des plans nationaux. Il suffit de poser huit questions, et de choisir en fonction des réponses.