En février, le Canard enchainé révélait qu’EDF avait décidé de faire appel à Amazon Web Services pour gérer une partie des données de ses centrales nucléaires. Il était question de « la "maintenance prédictive" des pièces détachées des centrales », selon nos confrères.

EDF sélectionne plusieurs partenaires IT, dont AWS

L’entreprise avait confirmé dans la foulée : « Pour accompagner dans la durée le parc nucléaire en exploitation, EDF a décidé de moderniser une partie de son système d'information dit de gestion. Dans le cadre de ces travaux, plusieurs partenaires IT (informatique et technologies), dont AWS [Amazon Web Services, ndlr], ont été sélectionnés pour venir compléter l'offre des centres des stockages de données et des compétences internes », comme le rapportait le Figaro au début de l’année.

Une source proche du dossier tempérait les enjeux autour des données : il s’agit de « gérer un catalogue de pièces de rechange, de pompes… pour les centrales », expliquent nos confrères. Mais la question de la souveraineté se pose quand même, d’autant que de nombreux acteurs français et européens existent. Pourquoi alors préférer Amazon ?

Les données confidentielles « ne seront pas sur le cloud »

Luc Rémont, PDG d’EDF, apportait une réponse et souhaitait tempérer le débat, comme le rapportait l’Usine nouvelle : « Nous n’avons pas confié toutes nos données à Amazon. Nous faisons un test avec Amazon sur un certain nombre d’applications comme n’importe quelle entreprise le ferait. Nos données confidentielles sur les centrales nucléaires ne seront pas sur le cloud. Elles restent dans des bases protégées et ne sont évidemment pas partagées ».

À la question de savoir pourquoi Amazon et pas un acteur européen, le patron a une réponse toute prête : « Nous avons déployé un test avec Amazon, grand expert du cloud mais également de la logistique pour nous aider à optimiser la gestion de nos pièces de rechange ».

Amazon refuse finalement le contrat

Patatras, le supercontrat d’une valeur de 860 millions d’euros tombe à l’eau, « Amazon refuse d’héberger en France les données sensibles d’EDF », titre le Canard enchainé. « Derrière cette décision se joue un bras de fer entre services de renseignement américains et français autour de la souveraineté nationale », ajoutent nos confrères. Une histoire qui n’est pas sans rappeler le Health Data Hub avec des données de santé de français chez Microsoft.

Une dizaine de mois après l’annonce du partenariat entre EDF et AWS, les premiers retours semblaient pourtant positifs côté EDF, selon nos confrères.

Ces derniers précisent néanmoins que le Renseignement français était moins emballé et exigerait que les données récupérées par Amazon soient stockées sur des serveurs français. Toujours selon le Canard, « l’américain a refusé de se plier aux exigences de ce "cloud souverain", au prétexte que cela rendrait le contrat avec EDF nettement moins juteux pour lui ».

Pour un haut fonctionnaire interrogé par nos confrères, la vérité serait ailleurs : « Amazon refuse tout simplement d’écrire noir sur blanc qu’il ne fournira pas les données de ses clients français aux services de renseignement américains ou au Département de la Justice ».

EDF pourrait passer par S3NS de « Thales x Google Cloud »

Amazon n’est pas le seul acteur américain concerné, Microsoft l'est également et a même reconnu, auprès de l’autorité de la police écossaise, que l’entreprise ne pouvait pas garantir la souveraineté des données hébergées dans son infrastructure Azure.

• Au Royaume-Uni, Microsoft reconnait l’absence de souveraineté pour les données policières
• Thales et Google détaillent le fonctionnement de S3ns sur le « cloud de confiance »

EDF aurait une solution de secours : passer par S3NS – qui est dans le processus de certification SecNumCloud de l’ANSSI –, le co-entreprise entre Thales et Google, qui serait imperméable au Cloud Act et autres réglementations américaines telles que la Section 702 du Foreign Intelligence Surveillance Act (FISA). C’est du moins la promesse des protagonistes.

Il existe aussi un autre cloud basé cette fois-ci sur les services de Microsoft : Bleu, avec Orange et Capgemini. Bleu aussi vise une certification SecNumCloud et espérait déposer un dossier à l’ANSSI avant la fin de l’année, mais nous sommes sans nouvelle depuis.

• Bleu annonce 12 partenaires et devrait déposer son dossier SecNumCloud à la fin de l’année

La même question « va se poser partout »

Sur X, Jean-Baptiste Soufron, avocat des requérants contre la décision de la CNIL d’autoriser le HDH chez Microsoft (ex-secrétaire général du Conseil national du numérique), élargit le débat : « La même question se pose maintenant aussi pour la plateforme des appels d'offre de l'État - un enjeu souverain s'il en est. Elle va se poser partout ».

Il en profite pour revenir à la charge de manière indirecte sur l’histoire du HDH : « Avec d'un côté, des obligations et des labels en carton pour les entreprises françaises et européennes à qui on a demandé de faire des efforts pour rien. Et de l'autre côté, des entreprises américaines qui s'épargnent ces efforts et engrangeront les marchés au détriment de notre souveraineté, et de la possibilité pour les entreprises et les citoyens français d'être préservés du regard inquisiteur de l'administration américaine ».

« Pour le dire autrement, les acteurs français sont en train de se faire évincer les uns après les autres des marchés de leur propre pays, et ce par des entreprises étrangères qui ne respectent même pas la législation et les contraintes qu'on leur demande à eux de respecter », affirme-t-il en guise de conclusion.

• « Ça va être sanglant » : la CNIL autorise les données de santé chez Microsoft

La question du Health Data Hub monte à la CEDH

Après la validation par le Conseil d’État de l’autorisation de la CNIL de stocker l’entrepôt de données EMC2 du Heralth Data Hub dans Microsoft Azure, Clever Cloud et d’autres sociétés annoncent saisir la Cour européenne des droits de l’Homme (CEDH).

Elles rappellent que cet hébergement chez Amazon expose les données « à de possibles interceptions par les services de renseignement américain en vertu de l’application extraterritoriale du droit du renseignement américain, et notamment du FISA Act ».

• Données de santé : Clever Cloud et d’autres sociétés saisissent la CEDH