Marchés publics et SaaS : les clauses de souveraineté qu'on vous demandera

Les clauses de souveraineté d'un marché public ont tendance à être écrites tard, copiées du marché précédent, et découvertes inapplicables au stade de l'évaluation, généralement par la personne qui doit expliquer pourquoi la seule offre conforme est aussi la plus chère.

Elles sont bien plus faciles à bien poser au départ. Voici ce qui revient, et ce qu'il faut vérifier avant que le cahier des charges ne parte, plutôt qu'après.

D'où viennent les exigences

Trois sources, ce qui explique qu'elles paraissent éparpillées.

Le droit des données personnelles. Le RGPD n'interdit pas de recourir à un fournisseur non européen, mais il encadre les transferts hors EEE et il fait du responsable de traitement, vous, le garant de la chaîne. Conséquence pratique : vous devez pouvoir décrire où vont les données personnelles et qui peut les atteindre.

Les règles de marchés publics. Les codes de marchés permettent de fixer des exigences techniques proportionnées à l'objet du marché. L'emplacement d'hébergement et le droit applicable peuvent en faire partie lorsque les données le justifient. « Proportionné » est le mot qui compte, et c'est là que les recours atterrissent.

Les règles sectorielles. Action sociale, santé, contrôle, infrastructures critiques : chacune apporte les siennes, et elles priment généralement sur le cas général.

Les clauses qui reviennent

Six, à peu près dans l'ordre où elles posent problème.

1. L'emplacement d'hébergement

Facile à écrire et facile à satisfaire, ce qui explique qu'elle soit rarement suffisante à elle seule. Précisez la région, et précisez si c'est contractuel ou de bonne volonté. Demandez si les sauvegardes et les copies de reprise sont couvertes par la même clause ; elles ne le sont très souvent pas.

2. Le droit applicable et la nationalité du fournisseur

La clause qui discrimine réellement entre les offres, et celle qu'on oublie le plus souvent. L'emplacement d'hébergement est une décision d'hébergement ; le droit auquel une société répond est un fait sur cette société, et aucune quantité d'infrastructure européenne ne le change. Le mécanisme juridique derrière cette distinction tient dans ce que l'hébergement en Irlande ne règle pas. Demandez l'entité contractante, son pays d'immatriculation, et sa maison mère ultime. C'est sur la dernière que les filiales à consonance européenne se défont.

3. La chaîne de sous-traitance

Un fournisseur entièrement européen avec un prestataire d'analytique américain, un relais de messagerie américain et un support américain a une chaîne américaine. Exigez la liste, avec les pays, et exigez d'être averti avant qu'elle ne change.

4. La réversibilité

Tout le monde écrit cette clause. Je n'ai encore vu personne la tester. « Le prestataire restitue les données en fin de contrat » n'est pas une spécification, c'est un sentiment.

Écrivez plutôt : dans quel format, sous combien de jours, pièces jointes comprises, historique compris, et à la charge de qui. Puis exigez un test de réversibilité en cours de contrat. Un prestataire incapable de produire vos données sur demande en année deux ne le sera pas davantage en année cinq, et l'année deux est le moment où vous pouvez encore agir.

5. Audit et transparence

Le droit d'auditer, ou de recevoir les rapports d'audit du prestataire. Et une obligation précise : que le prestataire vous informe, dans la mesure où la loi le permet, de toute demande d'une autorité étrangère concernant vos données.

6. Continuité et changement de contrôle

Ce qui se passe si le prestataire est racheté. Pour une exigence de souveraineté, ce n'est pas théorique : le rachat est précisément la façon dont un prestataire conforme devient non conforme, sans que rien ne change dans le service. C'est la première réserve à opposer à un fournisseur européen.

Les questions qui trient le plus vite

Quatre, au stade du questionnaire, avant que quiconque n'écrive une offre.

1. Nommez l'entité contractante, son pays d'immatriculation, et celui de sa maison mère ultime.
2. Listez tous les sous-traitants ayant accès aux données, avec les pays.
3. Décrivez concrètement la procédure de réversibilité : format, délai, périmètre, coût.
4. Indiquez si vous êtes soumis à un droit non européen vous obligeant à divulguer des données sous votre contrôle.

La quatrième est la bonne. La réponse est oui ou non, la question est courte, et elle est inconfortable à esquiver par écrit.

Une note sur la proportionnalité

Il vaut la peine de résister à la tentation de mettre des exigences de souveraineté maximales dans tous les marchés. Un marché de réservation de salles de réunion n'a pas besoin des clauses ci-dessus, et un cahier des charges qui en fait trop est un cahier des charges qui se fait attaquer, ou qui produit une seule offre conforme à un prix indéfendable.

Ajustez les clauses aux données. Les données de citoyens, les dossiers de contrôle et les pièces de marché les justifient. La plupart des autres choses, non.

Où nous nous situons

Nous répondons à ces quatre questions de la même façon à chaque fois, autant le faire ici : société belge, pas de maison mère ailleurs, hébergement dans des centres de données européens (Scaleway en France, Hetzner en Allemagne) ou sur vos propres serveurs, et soumis à aucun droit non européen de divulgation.

Klaro Cards est utilisé par des collectivités pour la voirie, les bâtiments publics et le suivi des prestataires. Si vous rédigez le remplacement de quelque chose qu'on retire, Jira Data Center par exemple, les clauses ci-dessus valent la peine d'être réglées avant que le calendrier ne les règle pour vous.

Cet article décrit une pratique. Ce n'est pas un conseil juridique. Faites relire toute clause par votre propre service juridique avant qu'elle n'entre dans un cahier des charges.