Cloud : "Le Patriot Act est agité à tort comme un épouvantail"

Héberger ses données dans un cloud public aux États-Unis présente des risques bien connus en termes de confidentialité, dès lors qu'il s'agit d'invoquer le Patriot Act. Réunis au salon Cloud Computing World Expo à Paris, plusieurs acteurs de l'industrie émettent leurs suggestions et nuancent ces risques.

À l'automne 2012, la France renforçait son offre en matière de cloud dit souverain, avec le lancement de Cloudwatt et Numergy. L'un des arguments de ces offres d'infrastructures en tant que service (IaaS) : les données sont localisées en France. Elles ne sont de fait pas soumises au Patriot Act américain, ce qui est le cas lorsqu'elles sont stockées chez Amazon par exemple.

Si la France apporte des alternatives, la réflexion est aussi menée à l'échelon européen. Mais pas de la bonne manière, juge Eric Pigal, membre du conseil économique et social européen, et présent à une table ronde sur le sujet au Cloud Computing World Expo 2013 de Paris. « L'Europe a fait part fin 2012 de sa stratégie cloud mais elle manque d'ambition car elle ne se concentre que sur les usages ».

L'Europe prend le problème à l'envers

Selon lui, la Commission européenne devrait d'abord se pencher sur la « base de la pyramide », à savoir les infrastructures, les datacenters, or « elle n'a rien proposé en ce sens, alors que les États-Unis ont justement adopté cette méthode, et avec succès ». Eric Pigal estime en outre qu'elle devrait se focaliser sur le « milieu de la pyramide », soit les services et le développement de solutions, ce qui n'est pas le cas.

Le plus grave d'après le rapporteur du conseil économique, c'est que « si l'Europe ne se renforce pas sur les trois couches en même temps, le cloud va détruire des emplois ». La Commission estime de son côté que 2,5 millions de postes pourraient voir le jour à terme. Enfin, d'un point de vue stratégique, et c'est surtout ce qui fait débat, Eric Pigal dénonce le fait de stocker des données sensibles à l'étranger, sans savoir vraiment où.

Le Patriot Act, pas si dangereux ?

Un point de vue que pondère toutefois Jérôme Brun, du groupe cloud computing au Syntec Numérique. Le Patriot Act, qui permet à l'État américain de consulter des données en cas d'enquête antiterroriste « est souvent agité à tort comme un épouvantail ». D'abord, il rappelle que tous les États possèdent un dispositif similaire - la LOPPSI 2 en France. Ensuite, il distingue les données de connexion de celles liées au contenu.

Si dans le premier scnéario la présence d'un juge n'est pas nécessaire, il en va tout autrement dans le second. « Il ne faut pas croire que le Patriot Act peut accéder au contenu si facilement », argue-t-il. Exemple à l'appui : « Lorsque les États-Unis ont voulu enquêter sur OVH car ils hébergeaient une partie des documents de WikiLeaks, le dossier a atterri sur le bureau d'un juge de Béthune, qui n'a pas fait suite. »

La France « ne doit pas être qu'un pays de services »

Là où le bât blesse selon le représentant du Syntec, c'est que les prestataires de services n'ont pas l'obligation d'informer leurs clients sur ces procédures. Pour autant, il appelle à une vraie distinction selon la nature des données : « Je suis d'accord pour être vigilent sur des données liées à la défense ou le nucléaire, mais lorsqu'un distributeur considère que ses tickets de caisse sont critiques, je trouve cela exagéré. »

De la même manière que l'État a encouragé puis aidé Orange et SFR à mettre en place leurs clouds respectifs, Eric Pigal est d'avis que la Commission européenne doit soutenir cette filière, quitte à ce que cela passe par les telcos , afin de construire plus de datacenters. Au niveau français, il s'agirait de ne pas limiter le pays aux services, et de déléguer à l'Allemagne tout le pan industriel. Et sans pour autant boycotter les États-Unis.


À lire également :

• Cloudwatt et Numergy: la souveraineté, argument insuffisant ?