La Direction interministérielle du Numerique (Dinum) tempère les ardeurs des administrations qui envisageaient une migration vers l’offre de bureautique dans le cloud de Microsoft, Office 365. Dans une circulaire republiée par Acteurs Publics, le directeur de la DinumNadi Bou Hanna rappelle aux ministères que le passage à une solution type Office 365 n’est pas conforme à la doctrine « Cloud au centre » présentée en début d’année par la Dinum.
Selon la Dinum, le recours à la solution Office 365 va à l’encontre de de la doctrine sur un point spécifique : dans sa règle 9, la doctrine précise ainsi que dans le cas ou le système informatique serait amené à traiter des données « d’une sensibilité particulière », alors « l’offre de cloud commercial retenue devra impérativement respecter la qualification SecNumCloud (ou une qualification européenne d’un niveau au moins équivalent) et être immunisée contre toute réglementation extracommunautaire. » Parmi ces données « d’une sensibilité particulière », la Dinum englobe « des données personnelles des citoyens français, des données économiques relatives aux entreprises françaises, ou d’applications métiers relatives aux agents publics de l’État ».
Des alternatives à considérer
La solution Office 365 de Microsoft propose une suite bureautique entièrement hébergée sur le cloud de Microsoft, Azure, et donc potentiellement soumis au Cloud Act américain. Ce texte de loi voté en 2018 par les États-Unis permet de forcer les opérateurs de services à fournir les communications et les données d’utilisateurs de leurs services sur demande de la justice américaine.
Un risque bien pris en compte du côté de la Dinum, qui recommande aux administrations souhaitant opter pour une solution de bureautique cloud de se tourner vers des acteurs français bénéficiant de la qualification SecNumCloud (ils sont actuellement trois, Oodrive, Outscale et OvhCloud, mais d’autres attendent leurs précieux visas) ou de rester sur les versions « sur site » des produits bureautiques de Microsoft, qui permettent de s’assurer que les données restent sur des serveurs contrôlés par l’organisation cliente. Autre alternative : se tourner vers les produits labellisés « Snap », une gamme de produits labellisés ou développés par la Dinum pour répondre aux besoins des administrations, ou encore en dernier recours attendre l’officialisation de l’offre Bleu par Capgemini et Orange, qui proposera les technologies et offres de Microsoft sur un hébergement maîtrisé et hors de portée des lois américaines.
La Dinum prévoit néanmoins de propose rune dérogation pour les projets de migration vers Office 365 ayant atteint un stade « très avancé » au 5 juillet 2021, mais la direction interministérielle limite cette dérogation aux seuls services de messagerie et drive personnel, et pour une durée maximum de douze mois.
