{"id":2314,"date":"2026-09-24T12:03:17","date_gmt":"2026-09-24T11:03:17","guid":{"rendered":"https:\/\/sooma.com\/?p=2314"},"modified":"2026-09-24T12:33:14","modified_gmt":"2026-09-24T11:33:14","slug":"huit-questions-qu-un-organisme-public-devrait-poser-a-son-fournisseur-d-e-mail","status":"publish","type":"post","link":"https:\/\/sooma.com\/fr\/oito-perguntas-que-uma-entidade-publica-devia-fazer-ao-seu-fornecedor-de-email\/","title":{"rendered":"Huit questions qu\u2019un organisme public devrait poser \u00e0 son fournisseur d\u2019e-mail"},"content":{"rendered":"

En juin 2026, la d\u00e9cision de la Cour supr\u00eame des \u00c9tats-Unis dans l\u2019affaire Trump v. Slaughter a mis fin \u00e0 l\u2019ind\u00e9pendance de la Federal Trade Commission. Pour la plupart des gens, c\u2019\u00e9tait une nouvelle de politique am\u00e9ricaine. Pour quiconque g\u00e8re les syst\u00e8mes d\u2019information d\u2019un organisme public portugais, c\u2019\u00e9tait autre chose\u202f: la disparition de l\u2019une des pi\u00e8ces qui soutiennent l\u2019accord permettant le transfert des donn\u00e9es des Europ\u00e9ens vers les \u00c9tats-Unis.<\/strong><\/em><\/p>\n

C\u2019est le troisi\u00e8me choc en dix ans. Le Safe Harbor est tomb\u00e9 en 2015, le Privacy Shield est tomb\u00e9 en 2020, et l\u2019accord qui les a remplac\u00e9s est aujourd\u2019hui contest\u00e9. Aucun de ces \u00e9pisodes ne r\u00e9sulte de la mauvaise foi des n\u00e9gociateurs. Ils r\u00e9sultent d\u2019une incompatibilit\u00e9 fondamentale entre deux fa\u00e7ons de concevoir la souverainet\u00e9, qu\u2019aucun accord politique ne peut r\u00e9soudre.<\/p>\n

Pendant ce temps, nos homologues europ\u00e9ens agissent. En France, la doctrine cloud r\u00e9serve les syst\u00e8mes de l\u2019\u00c9tat contenant des donn\u00e9es sensibles \u00e0 des infrastructures qualifi\u00e9es, immunis\u00e9es contre les l\u00e9gislations extra-europ\u00e9ennes. En Italie, les donn\u00e9es publiques ont \u00e9t\u00e9 class\u00e9es par criticit\u00e9 et les plus sensibles concentr\u00e9es dans des infrastructures nationales qualifi\u00e9es. En Allemagne, un Land a migr\u00e9 la messagerie de toute son administration, plus de quarante mille bo\u00eetes mail, vers des solutions ouvertes. Aux Pays-Bas, le Parlement a approuv\u00e9 des motions visant \u00e0 stopper les migrations inutiles de l\u2019administration vers des fournisseurs cloud am\u00e9ricains.<\/p>\n

Le Portugal a approuv\u00e9 son plan national pour le cloud souverain, \u00e0 mettre en \u0153uvre au cours des prochaines ann\u00e9es. C\u2019est la reconnaissance officielle que la d\u00e9pendance actuelle est un risque. Mais un organisme donn\u00e9, avec une proc\u00e9dure de march\u00e9 \u00e0 lancer dans les six prochains mois, ne peut pas attendre la fin de la d\u00e9cennie.<\/p>\n

Voici les huit questions \u00e0 poser avant cette proc\u00e9dure. Elles n\u2019exigent pas de connaissances techniques. Elles exigent des r\u00e9ponses claires.<\/p>\n

1. \u00c0 quel droit l\u2019entit\u00e9 qui exploite le service est-elle soumise, et qui la contr\u00f4le\u202f?<\/h2>\n

C\u2019est la question qui englobe toutes les autres, et elle n\u2019est presque jamais pos\u00e9e. Ne la confondez pas avec la localisation des serveurs. Une soci\u00e9t\u00e9 constitu\u00e9e aux \u00c9tats-Unis, ou contr\u00f4l\u00e9e par une soci\u00e9t\u00e9 am\u00e9ricaine, reste soumise au droit am\u00e9ricain o\u00f9 qu\u2019elle installe ses \u00e9quipements.<\/p>\n

L\u2019affaire qui l\u2019a prouv\u00e9 n\u2019\u00e9tait pas th\u00e9orique. En 2013, la justice am\u00e9ricaine a exig\u00e9 d\u2019une entreprise technologique qu\u2019elle remette le contenu d\u2019un compte e-mail stock\u00e9 dans un centre de donn\u00e9es \u00e0 Dublin. L\u2019entreprise a refus\u00e9 et a gagn\u00e9 devant les tribunaux. En 2018, le Congr\u00e8s a adopt\u00e9 une loi imposant la remise des donn\u00e9es en possession, sous la garde ou sous le contr\u00f4le de ces entreprises, quel que soit le pays o\u00f9 elles sont stock\u00e9es. L\u2019affaire s\u2019est termin\u00e9e par la remise des donn\u00e9es.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> l\u2019identification de l\u2019entit\u00e9 contractante, son si\u00e8ge social, sa structure de propri\u00e9t\u00e9 et de contr\u00f4le, et le droit auquel elle est soumise.<\/p>\n

2. O\u00f9 les donn\u00e9es sont-elles physiquement situ\u00e9es, et qui a acc\u00e8s aux locaux\u202f?<\/h2>\n

La localisation ne r\u00e8gle pas la question de la juridiction, mais elle reste pertinente. Vous devez savoir dans quel pays se trouvent les \u00e9quipements, qui exploite l\u2019espace physique, et si cet exploitant a un acc\u00e8s logique aux syst\u00e8mes.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> la localisation des centres de donn\u00e9es, l\u2019identification du prestataire d\u2019h\u00e9bergement physique, et une d\u00e9claration expresse indiquant si ce prestataire a ou non acc\u00e8s aux donn\u00e9es.<\/p>\n

3. Y a-t-il des transferts vers des pays tiers, m\u00eame occasionnels\u202f?<\/h2>\n

La question doit tout couvrir, pas seulement le service principal. Analyse du trafic du site web, outils d\u2019assistance client, traitement des paiements, polices charg\u00e9es depuis des serveurs externes. Chacun de ces \u00e9l\u00e9ments peut constituer un transfert.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> une liste compl\u00e8te des sous-traitants ult\u00e9rieurs et des destinataires, avec leur localisation, et une d\u00e9claration sur les transferts vers des pays tiers.<\/p>\n

4. Combien de temps les journaux de trafic sont-ils conserv\u00e9s, et sur quelle base\u202f?<\/h2>\n

De nombreux prestataires conservent les m\u00e9tadonn\u00e9es de communication pendant des mois ou des ann\u00e9es, par inertie technique. Il vaut la peine de rappeler le cadre actuel\u202f: le Tribunal constitutionnel portugais a d\u00e9clar\u00e9 inconstitutionnelles, avec force obligatoire g\u00e9n\u00e9rale, les r\u00e8gles qui imposaient la conservation g\u00e9n\u00e9rale des donn\u00e9es de trafic pendant un an, puis a de nouveau d\u00e9clar\u00e9 inconstitutionnelle une tentative ult\u00e9rieure de conservation indiscrimin\u00e9e pendant trois mois.<\/p>\n

Autrement dit, la conservation prolong\u00e9e de m\u00e9tadonn\u00e9es sans finalit\u00e9 pr\u00e9cise n\u2019est plus une obligation aujourd\u2019hui. C\u2019est un risque.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> les dur\u00e9es de conservation pr\u00e9cises par type de journal, et la finalit\u00e9 qui les justifie.<\/p>\n

5. Comment les demandes des autorit\u00e9s sont-elles trait\u00e9es, y compris celles d\u2019autorit\u00e9s \u00e9trang\u00e8res\u202f?<\/h2>\n

Un organisme public a un int\u00e9r\u00eat particulier \u00e0 savoir ce qui se passe si quelqu\u2019un demande l\u2019acc\u00e8s \u00e0 ses donn\u00e9es, et surtout si ce quelqu\u2019un est une autorit\u00e9 d\u2019un autre pays.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> une description de la proc\u00e9dure interne d\u2019examen des demandes, et une d\u00e9claration sur le traitement des demandes directes \u00e9manant d\u2019autorit\u00e9s de pays tiers, qui doivent suivre les m\u00e9canismes de coop\u00e9ration judiciaire impliquant les autorit\u00e9s portugaises. Demandez aussi si le prestataire publie un rapport de transparence.<\/p>\n

6. Comment le secret administratif et professionnel est-il prot\u00e9g\u00e9\u202f?<\/h2>\n

Proc\u00e9dures disciplinaires, donn\u00e9es de sant\u00e9, informations classifi\u00e9es, communications avec des avocats. Si ces mati\u00e8res transitent par une infrastructure soumise \u00e0 la juridiction d\u2019un pays tiers, le devoir de secret ne d\u00e9pend plus seulement de l\u2019organisme.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> une d\u00e9claration sur l\u2019acc\u00e8s du prestataire au contenu des communications, et sur les circonstances dans lesquelles cet acc\u00e8s peut avoir lieu.<\/p>\n

7. Le prestataire assume-t-il le r\u00f4le de sous-traitant, et fournit-il un contrat de<\/h2>\n

traitement des donn\u00e9es\u202f?<\/p>\n

Pour les donn\u00e9es stock\u00e9es dans les bo\u00eetes mail, l\u2019organisme public est le responsable du traitement et le prestataire est le sous-traitant. Cela exige un contrat \u00e9crit dont le contenu est fix\u00e9 \u00e0 l\u2019article 28 du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es. Un prestataire qui n\u2019en propose pas n\u2019est pas en mesure de contracter avec un organisme public.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> un projet de contrat de traitement des donn\u00e9es, avec des annexes sur les sous-traitants ult\u00e9rieurs et les mesures de s\u00e9curit\u00e9.<\/p>\n

8. Que se passe-t-il \u00e0 la fin du contrat\u202f?<\/h2>\n

La r\u00e9versibilit\u00e9 est souvent oubli\u00e9e au moment de contracter et douloureuse au moment de r\u00e9silier.<\/p>\n

Ce qu\u2019il faut demander\u202f:<\/strong> les formats et protocoles d\u2019export des donn\u00e9es, la dur\u00e9e de conservation apr\u00e8s la fin du contrat, le d\u00e9lai et la m\u00e9thode de suppression, et si une assistance est fournie pour la transition vers un autre prestataire.<\/p>\n

Une derni\u00e8re remarque sur ce qui est en jeu<\/h2>\n

Aucune de ces questions ne porte sur la technologie. Toutes portent sur la responsabilit\u00e9.<\/p>\n

Celui qui d\u00e9cide de l\u2019infrastructure de communication d\u2019un organisme public ne choisit pas seulement un service. Il d\u00e9termine sous quel ordre juridique tomberont les communications entre l\u2019\u00c9tat et les citoyens qu\u2019il sert. C\u2019est une d\u00e9cision de souverainet\u00e9, prise dans un cahier des charges.<\/p>\n

 <\/p>\n

La bonne nouvelle, c\u2019est que rien de tout cela n\u2019exige d\u2019attendre des plans nationaux. Il suffit de poser huit questions, et de choisir en fonction des r\u00e9ponses.<\/strong><\/em><\/p>","protected":false},"excerpt":{"rendered":"

Une liste de contr\u00f4le de souverainet\u00e9 num\u00e9rique, \u00e0 utiliser avant la prochaine proc\u00e9dure de passation de march\u00e9.<\/p>","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_titles_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_fb_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"8 perguntas a fazer ao fornecedor de email p\u00fablico | Sooma","_seopress_social_twitter_desc":"Uma checklist de soberania digital para entidades p\u00fablicas, com oito perguntas a fazer ao fornecedor de email antes do pr\u00f3ximo procedimento.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[35],"tags":[],"class_list":["post-2314","post","type-post","status-publish","format-standard","hentry","category-sector-publico"],"_links":{"self":[{"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/posts\/2314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/comments?post=2314"}],"version-history":[{"count":0,"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/posts\/2314\/revisions"}],"wp:attachment":[{"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/media?parent=2314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/categories?post=2314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sooma.com\/fr\/wp-json\/wp\/v2\/tags?post=2314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}