Quelle exigence de cloud retenir pour votre organisme public ?

Dans l’ordre

1. Identifier l’organisme et les règles qui le visent
2. Qualifier les données et les effets d’une violation
3. Définir le service et les conditions qui doivent être couverts
4. Demander les pièces correspondant à ce périmètre

Pourquoi ce choix

• L’article 31 de la loi SREN nomme des catégories d’organismes et des conditions précises.
• Les données personnelles et les données d’une sensibilité particulière ne sont pas des catégories identiques.
• Une exigence portant sur un traitement n’impose pas automatiquement de remplacer toute la suite.

Premier embranchement : quel organisme prend la décision ?

L’article 31 vise les administrations de l’État, ses opérateurs dont la liste est annexée au projet de loi de finances, ainsi que des groupements d’intérêt public précisés par décret. Son IV vise également le groupement mentionné à l’article L. 1462-1 du code de la santé publique. Le décret du 14 avril 2026 nomme six GIP dans son article 1. Le régime examiné ici concerne le recours à un service d’informatique en nuage fourni par un prestataire privé.

La bonne question n’est donc pas « sommes-nous publics ? », mais « quel texte vise précisément notre personne morale ? ». Pour une collectivité, ne déduisez pas l’application de l’article 31 de son seul caractère public. Faites examiner les règles effectivement applicables, y compris celles de votre organisation et des données en cause.

Si l’entité ou son statut reste incertain, nous suspendrions la conclusion juridique, pas tout le travail : vous pouvez inventorier les usages et préparer les questions à poser. La comparaison des fonctions ne remplace pas la réponse sur le cadre.

Deuxième embranchement : les deux conditions sur les données

L’article 31 distingue les données d’une sensibilité particulière, qu’elles aient ou non un caractère personnel. Il mentionne les secrets protégés par la loi et les données nécessaires aux missions essentielles de l’État. Le texte ajoute une condition relative aux conséquences d’une violation : atteinte possible à l’ordre public, à la sécurité publique, à la santé ou à la vie des personnes, ou à la protection de la propriété intellectuelle.

La fiche de la DAJ, mise à jour le 21 août 2026, insiste sur le caractère cumulatif de ces deux conditions et sur l’analyse au cas par cas. La présence de données personnelles, à elle seule, ne constitue pas la démonstration complète de ce périmètre. Cela n’écarte aucune autre obligation de protection.

Pour la collaboration, décrivez les informations qui circulent dans les fichiers, les messages, les invitations et les comptes invités. Un espace d’équipe peut contenir plusieurs niveaux de sensibilité. L’analyse doit porter sur les traitements réels, sans supposer qu’un seul mot classe toute l’organisation.

Troisième embranchement : quelle preuve demander au service ?

L’article 2 du décret prévoit un référentiel élaboré par l’ANSSI et approuvé par arrêté. L’arrêté du 12 août 2026 approuve la version 3.2 du référentiel SecNumCloud. Sa version consolidée indique une entrée en vigueur au 15 août 2026.

L’article 2 de cet arrêté prévoit une qualification délivrée par l’ANSSI ou une certification de l’Union européenne ou d’un État de l’Espace économique européen reconnue comme équivalente par cette agence. « Européen », « hébergé en France » ou une certification citée sans cette correspondance ne démontrent pas à eux seuls cette attestation.

Demandez ensuite le nom du service couvert, ses dates et ses conditions d’usage. Une application hébergée sur une infrastructure qualifiée n’hérite pas automatiquement d’une qualification SaaS. Et si le service est couvert pour le navigateur mais pas pour l’application mobile prévue, cette différence doit être traitée avant le choix.

Une contrainte ciblée n’impose pas toujours une suite entière

Notre préférence reste de déplacer le traitement qui doit l’être, puis de définir ce qui peut rester. Si les échanges sensibles passent dans un espace distinct, il faut examiner les accès, les copies et les intégrations qui pourraient les faire ressortir de ce périmètre. Une simple consigne « utilisez le nouvel outil » ne suffit pas à décrire cette frontière.

Le remplacement complet peut être cohérent si la contrainte et les usages portent sur tout l’environnement. Il doit alors être motivé comme tel. Nous ne le déduirions ni du statut public de l’organisme ni de la présence d’un service qualifié dans le catalogue.

Le coût et la reprise fonctionnelle restent à examiner. Le décret définit notamment une offre acceptable, dans son cadre de dérogation, en prenant en compte la réponse au besoin fonctionnel du projet et son coût. Cela ne crée pas une dérogation automatique lorsqu’une solution est chère ou peu pratique.

Un pilote et un compte invité ne sont pas hors du périmètre

Pour un essai, nous commencerions avec des données fictives ou des copies rendues anonymes, puis ferions autoriser tout usage de données réelles par les responsables compétents. L’objet est de tester les tâches sans déplacer inutilement un traitement sensible avant que sa destination soit acceptée. Nous n’affirmons pas qu’une démonstration gratuite bénéficie d’une exemption.

Pour un partenaire, écrivez ce qu’il doit consulter, déposer ou modifier et quand son accès doit s’arrêter. La CNIL recommande de limiter les habilitations aux seules personnes autorisées et de configurer les permissions des ressources cloud. Notre règle pratique est de contrôler un accès invité et son retrait sur un dossier d’essai avant d’ouvrir un espace réel.

L’organisme partenaire peut relever d’autres règles. Son accord pour utiliser un outil n’établit pas que votre propre traitement y est acceptable.

Que faire si le projet actuel ne répond pas à l’exigence ?

Ne présentez pas la continuité de service comme une dispense automatique. Le décret contient un régime de dérogation, avec décision motivée et rendue publique, intervention ministérielle et validation du Premier ministre. La procédure détaillée renvoie aussi à un arrêté du 14 avril 2026.

Nous n’avons pas examiné ici ce dossier procédural complet ni déterminé l’éligibilité de votre projet. Si vous pensez relever de ce cas, faites analyser les textes et les pièces du projet avant d’annoncer une durée ou un droit à dérogation. Vous pouvez, en parallèle, préparer les scénarios de déplacement et leur coût sans interrompre un outil sur la base de cette seule page.

La sortie utile : une note qui précède la sélection

Le livrable que nous retiendrions tient en une note courte : organisme et fondement applicable ; données et conséquences analysées ; périmètre fonctionnel ; attestation exigée ; accès autorisés ; points non tranchés et responsable de leur réponse. Ajoutez les pièces datées qui soutiennent chaque conclusion.

Cette note permet de demander la même preuve aux candidats, puis de comparer leur réponse fonctionnelle. Si une information manque, nommez-la : « statut du service à confirmer » ou « accès mobile hors pièce fournie » est plus utile qu’un oui/non global à « conforme ». La décision devient alors vérifiable par une autre personne.

À vérifier

Lecture de l’article 31, des articles du décret et de l’arrêté identifiés, des pages 1 à 3 de la fiche DAJ et de la fiche CNIL. Annexe technique intégrale, procédure détaillée de dérogation, règles de passation des marchés, HDS et Diffusion Restreinte non examinés ici. Les règles propres à votre organisme et les pièces de votre traitement restent à faire confirmer.

Preuves et sources

Les faits documentaires et déclarations sont distingués de nos avis et méthodes. Comment nous travaillons.