Décret français sur la protection des données sensibles dans le cloud : cadre renforcé pour les administrations

Contexte et objectifs du décret

Le décret n°2026-272, signé le 14 avril 2026 par le Premier ministre, concrétise les dispositions de l’article 31 de la loi n°2024-449 du 21 mai 2024 relative à la sécurisation et à la régulation de l’espace numérique. Il vise à encadrer la protection des données particulièrement sensibles traitées par des prestataires de cloud privés pour le compte des administrations d’État, des opérateurs et des groupements d’intérêt public.

Entités concernées et obligations spécifiques

Six groupements d’intérêt public sont désignés comme soumis aux obligations de l’article 31 :

• l’agence nationale de santé numérique ;
• le centre d’accès sécurisé aux données ;
• le centre de ressources de prévention de la radicalisation ;
• l’organisme de collecte et d’analyse de données ;
• l’organisme de modernisation des déclarations sociales ;
• le système national d’enregistrement des demandes de logement social.

Cadre sécuritaire et exigences techniques

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est chargée d’élaborer un référentiel définissant les exigences de sécurité dans dix domaines clés :

• organisation de la sécurité de l’information ;
• gestion des ressources humaines ;
• gestion des tiers ;
• sécurité physique ;
• cryptologie ;
• contrôle d’accès ;
• gestion des incidents ;
• usage de la langue française ;
• clauses contractuelles incluant la réversibilité des données, la localisation des données et la protection contre les accès non autorisés par des autorités publiques de pays tiers.

La conformité doit être attestée par une qualification au titre du décret n°2015-350 ou par une certification équivalente au sein de l’Union européenne ou de l’Espace économique européen.

Mécanismes de transition et dérogations

Le décret prévoit un dispositif dérogatoire pour les projets en cours utilisant des prestataires non conformes. Une dérogation pouvant aller jusqu’à dix-huit mois est accordée dès lors qu’une offre française conforme est disponible. À défaut, une dérogation renouvelable d’un an peut être octroyée jusqu’à l’émergence d’une telle offre.

Source : Digital https://digitalpolicyalert.org/