Ursula von der Leyen : « Nous investirons 20 % du budget de NextGenerationEU dans le numérique »

La présidente de la Commission européenne, Ursula von der Leyen, première femme à ce poste, a prononcé le 16 septembre son premier discours sur l’état de l’Union européenne (exercice annuel) devant les eurodéputés qui étaient cette année réunis à Bruxelles. Edition Multimédi@ revient sur ses ambitions numériques.

Sur le budget total de 672,5 milliards d’euros du plan de
« redressement d’urgence » baptisé NextGenerationEU – « pour aider à réparer les dommages économiques et sociaux immédiats causés par la pandémie du coronavirus, soutenir une reprise économique et construire un avenir meilleur pour la prochaine génération » –, une part non négligeable de 20 % va être consacrée au numérique. Cela représente une enveloppe conséquente de 134,5 milliards d’euros.
Disons-le tout net : c’est sans précédent depuis que la Commission européenne existe, depuis qu’elle s’est réunie pour la première fois en janvier 1958 sous la présidence de l’Allemand Walter Hallstein, soit huit mois avant la naissance de sa compatriote Ursula von der Leyen (photo), qui est à ce poste exécutif depuis une dizaine de mois maintenant. Cette manne sera distribuée aux Vingt-sept sous forme de prêts (53,5 %) ou de subventions (46,5 %). « Les Etats membres peuvent préparer des plans de redressement et de résilience qui définissent un ensemble cohérent de réformes et de projets d’investissement public à mettre en œuvre jusqu’en 2026, afin d’être soutenus », a précisé la Commission européenne. La date limite de soumission des plans de relance par les pays européens intéressés est fixée au 30 avril 2021.

La France devra faire plus en faveur du numérique
Ursula von der Leyen (UVDL) compte sur les eurodéputés pour qu’ils votent « le plus rapidement possible » sur sa proposition législative, afin que le plan NextGenerationEU soit opérationnel « dès le 1er janvier 2021 ». Mais sans attendre, la présidente de l’exécutif européen a dit qu’elle encourageait les Etats membres à présenter leurs avant-projets de plan à partir du 15 octobre 2020, quitte à les finaliser par la suite. Paris a déjà fait savoir qu’il notifiera à Bruxelles, sans doute en octobre, son plan « France Relance » à 100 milliards d’euros présenté début septembre, dont à peine 7 % consacrés au numérique (1), et espère de l’Union européenne 40 milliards d’euros d’aides. Or la Commission européenne attend de chaque plan national au moins 20 % dans le digital. En effet, dans son guide d’orientation à destination des Etats membres (2), la Commission européenne souhaite que « chaque plan de redressement et de résilience comprenne un niveau minimum de 20 % des dépenses liées au numérique » – que cela soit dans la 5G, la 6G – déjà ! –, la fibre optique, la cybersécurité, la blockchain, l’informatique quantique, mais aussi l’éducation au numérique et l’amélioration des services publics grâce aux nouveaux outils numériques.

Réagir vite face à la domination des GAFAM
UVDL estime qu’il est grand temps de réagir face à la domination des GAFAM et de faire des années 2020 « la décennie numérique » de l’Europe qui doit « montrer la voie à suivre dans le domaine du numérique, sinon elle sera contrainte de s’aligner sur d’autres acteurs qui fixeront ces normes pour nous ». Pour entraîner les Vingt-sept, la présidente de la Commission européenne a été très clair : « Nous investirons 20 % du budget de NextGenerationEU dans le numérique. Nous voulons ouvrir la voie, une voie européenne, de l’ère numérique : une voie qui repose sur nos valeurs, notre force, nos ambitions mondiales ». Pour UVDL, l’Europe numérique passe par « la connectivité, les compétences et les services publics numériques », mais aussi par « le droit au respect de la vie privée et à la connectivité, la liberté d’expression, la libre circulation des données et la cybersécurité ». Elle appelle en outre les gouvernements à se référer aux indicateurs de l’indice européen DESI (Digital Economy and Society Index), dont l’état à 2019 a été publié en juin dernier. Par exemple, la France – notée 52,2 et positionnée à la 15e pace du DESI (3) – se situe légèrement en-dessous de la moyenne européenne qui est de 52,6.
Lors de son discours du 16 septembre, UVDL a exprimé le souhait de voir l’Union européenne se « concentrer sur trois domaines » :
• Les données. « En ce qui concerne les données à caractère personnel – dans le commerce entre entreprises et consommateurs – l’Europe a été trop lente et dépend désormais des autres. Il ne faut pas que cela se répète avec les données industrielles », a-t-elle prévenu, déplorant au passage que « 80 % des données industrielles sont collectées mais ne sont jamais utilisées ; c’est du gaspillage ». Aussi, dans le cadre de NextGenerationEU, sera créé un cloud européen « fondé sur Gaia-X », le projet de « cloud de confiance » franco-allemand annoncé en juin dernier et susceptible de fournir ses premiers services en Europe à partir du premier semestre 2021. Mi-juillet, le commissaire européen en charge du Marché intérieur, Thierry Breton, a évoqué un investissement de l’Union européenne de 2 milliards d’euros pour ce qu’il a appelé un « Gaia-UE » (4). Objectif : à la fois mettre en place un projet de cloud commun de données industrielles et créer une fédération européenne des infrastructures et services de cloud. « Les premiers appels à manifestation d’intérêt pour le programme “Europe numérique” (5) pourraient être lancés d’ici la fin de cette année », nous indiquet- on dans l’entourage de Thierry Breton.
• La technologie. La Commission européenne prévoit de proposer dès 2021 « un instrument législatif » encadrant l’intelligence artificielle, les algorithmes et la maîtrise des données à caractère personnel. « Qu’il soit question d’agriculture de précision, de diagnostics médicaux plus fiables ou de conduite autonome sécurisée, l’intelligence artificielle nous ouvrira de nouveaux mondes. Mais ces mondes ont aussi besoin de règles. Nous, en Europe, nous voulons un socle de règles qui place l’humain au centre. Les algorithmes ne doivent pas être une boîte noire, et il faut des règles claires si quelque chose tourne mal », a prévenu UVDL. Notamment, en matière d’identité numérique (e-ID), l’exécutif européen proposera « une identité électronique européenne sécurisée ». Pour la numérisation des entreprises, des aides seront octroyées à l’accélération des décisions et à leur exécution par l’automatisation basée sur l’intelligence artificielle. Cela passe en particulier par le financement de centres d’innovation numérique – Digital Innovation Hub (DIH) – pour soutenir la numérisation de l’industrie et du secteur public, y compris la justice.
• Les infrastructures. « Le coup de fouet que NextGenerationEU va donner à l’investissement est une occasion unique de stimuler la croissance jusqu’au moindre village. C’est pourquoi nous voulons concentrer nos investissements sur la connectivité sécurisée et sur le déploiement de la 5G, de la 6G et de la fibre », a assuré UVDL. Elle trouve d’ailleurs « inacceptable que 40 % des habitants des zones rurales n’aient toujours pas accès à une connexion à haut débit rapide ». Surtout que le confinement généralisé du printemps dernier a enclenché la dynamique du télétravail, de l’éducation à domicile, des achats en ligne ou encore des téléconsultations. L’Europe doit « revitaliser les zones rurales ». Il s’agit là de combler le fossé numérique qui s’est creusé entre zones rurales et zones urbaines, mais aussi de « remédier aux défaillances du marché en ce qui concerne le déploiement de réseaux à très haute capacité ».

Souveraineté digitale et « made in Europe »
Pour Ursula von der Leyen, « ce qui est en jeu, c’est la souveraineté numérique de l’Europe, à petite et à grande échelle ». Ainsi, le « made in Europe » technologique « nouvelle génération » bénéficiera d’investissements non seulement dans les microprocesseurs (6) mais aussi, moyennant 8 milliards d’euros débloqués, dans les superordinateurs. Côté services, la Commission européenne va présenter d’ici la fin de l’année sa proposition législative Digital Services Act (DSA) dans le but de mieux dompter les GAFAM. @

Charles de Laubier

Sécurité des systèmes d’information et des données personnelles : nul ne peut ignorer ses responsabilités

RSI, NIS, OSE, OIV, PSC, EBIOS, RGPD, SecNumCloud, … Derrière ces acronymes du cadre réglementaire numérique, en France et en Europe, apparaissent les risques et les obligations en matière de sécurité des systèmes d’information et des traitements de données personnelles.

Le marché mondial du cloud est en plein boom, au risque d’échapper aux régulateurs nationaux

Les services de cloud dans le monde devraient franchir cette année la barre des 200 milliards de dollars. Les « as a service » (activité, infrastructure, application, logiciel, …) et les mégadonnées du Big Data font les affaires des prestataires du cloud computing, où les GAFAM s’en donnent à coeur joie.

« Les services en nuage bouleversent vraiment l’industrie.
Les prestataires bénéficient de plus en plus de stratégies cloud-first d’entreprises. Ce que nous voyons maintenant
n’est que le début. D’ici 2022, la croissance de l’industrie
des services infonuagiques sera près de trois fois celle de l’ensemble des services numériques », prévient Sid Nag (photo), vice-président analyste chez Gartner.

Stratégies de cloud-first, voire de cloud-only
Le marché mondial du cloud devrait encore progresser de 17,5 % durant cette année 2019 pour franchir la barre des 200 milliards de dollars, à 214,3 milliards précisément. C’est du moins ce que prévoit le cabinet d’études international Gartner, qui a fait part
de ses projections début avril. Cette croissance exponentielle à deux chiffres a de quoi faire pâlir d’autres secteurs numériques. A ce rythme, après les 200 milliards de dollars franchis cette année, la barre des 300 milliards sera allègrement dépassée en 2022.
Le segment le plus dynamique de ce marché en plein boom est celui du cloud des infrastructures systèmes, appelé IaaS (Infrastructure as a Service), suivi par le cloud des infrastructures d’applications, appelé PaaS (Platform as a Service). La troisième plus forte croissance est aussi celle du premier segment du marché des nuages numériques, à savoir le cloud des services logiciel, appelé SaaS (Software as a Service), qui pèse à lui seul 43,8 % du marché en 2018 et devrait même en représenter 44,6 % en 2022. « D’ici la fin de l’année, plus de 30 % des nouveaux investissements des fournisseurs de technologie dans les logiciels passeront du cloud-firstau cloud-only. Cela signifie que la consommation de logiciels sous licence continuera de chuter, tandis que les modèles de consommation en nuage par abonnement et le SaaS continueront de croître », prévoit Gartner. Les segments du cloud les plus techniques tels que les processus opérationnels, désignés par BPaaS (Business Process as a Service), et le management et la sécurité, désignés a fortiori par MSaaS (Management and Security as a service), continueront de progresser mais dans une moindre mesure par rapport aux autres segments. On retrouve ces tendances d’évolution du marché infonuagiques en France, qui devrait passer de 5,1 milliards de dollars/4,6 milliards d’euros en 2018
à 8,6 milliards de dollars/7,6 milliards d’euros en 2022 (voir tableau ci-dessous). Sur l’Hexagone comme ailleurs, SaaS est le plus gros segment, suivi du BPaaS, de l’IaaS, du PaaS, puis du MSaS.
Selon l’organisme de statistiques européen Eurostat, 26 % des entreprises de l’Union européenne (UE) – soit plus d’une sur quatre – ont acheté des services de cloud computing l’an dernier. La proportion est majoritaire chez les grandes entreprises
(56 %) et bien moindre chez les petites et moyennes entreprises (23 %). La première utilisation qui est faite de ces prestations à distance dans le « nuage informatique » concerne la messagerie électronique (69 %), suivie de près par le stockage des fichiers sous forme dématérialisée (68 %). Viennent ensuite la puissance de calcul achetée pour faire fonctionner leurs propres logiciels (23 %) et l’utilisation de logiciels dans le cloud pour gérer les informations sur la clientèle (29 %).
Pour les entreprises en Europe qui exploitent le Big Data, soit 12 % d’entre elles, les mégadonnées proviennent de sources de données variées : près de la moitié ont d’abord analysé les données de géolocalisation des appareils portables, tels que les smartphones, des connexions sans fil comme le Wifi ou le GPS (49 %). Ensuite, les mégadonnées sont issues des données générées par les médias sociaux et réseaux sociaux (45 %), de dispositifs ou de capteurs intelligents (29 %) ou encore de données provenant d’autres sources (26 %). Si aujourd’hui le Big Data est une expression dépassée par l’IA (l’intelligence artificielle), l’IoT (l’Internet des objets) ou encore la Blockchain, le cloud, lui, prospère tant que les données s’affirment de plus en plus comme le pétrole du XXIe siècle – comme l’a encore montré la 8e édition du Big Data Paris en mars dernier (1).

Amazon et Microsoft en tête, suivis de Google
Le nuage informatique permet aux entreprises de créer un « lac de données », ou Data Lake (stockage des données dans leurs formats originaux ou peu modifiés), à partir duquel l’analyse des données et de leur valorisation peut s’opérer (data mining, marchine learning, business intelligence, cognitive search, master data management, …). Plus de dix ans après que l’expression « Big Data » ait été prononcée – le 22 décembre 2008 dans leur livre blanc (2) par trois chercheurs universitaires de la Computing Research Association américaine –, le cloud est un marché multimilliardaire à la croissance insolente. On estime que le tournant du cloud-first a été pris au cours des années 2013-2016, avec les GAFAM qui se sont engouffrés sur ce marché porteur pour leur plus grand profit. Amazon vient de doubler ses bénéfice grâce au cloud sur le premier trimestre 2019. Sa filiale AWS (Amazon Web Services), qui compte parmi ses clients Apple, Netflix ou encore Pinterest, est le numéro un mondial du secteur. Microsoft arrive en deuxième position grâce à Azure. Google Cloud est aussi à l’offensive avec le Français Sébastien Marotte, son vice-président pour la région EMEA. Le géant du Net compte parmi ses clients européens Airbus, Alstom, Sky, BNP Paribas, Drouot Digital, GRDF, Philips ou encore Veolia (3). L’entrée en vigueur il y a près d’un an en Europe – le 25 mai 2018 – du règlement général sur la protection des données (RGPD) ne semble pas freiner les ardeurs des GAFAM qui ont plus que jamais la tête dans les nuages. « Le “Cloud Act” américain est-il une menace pour les libertés des citoyens européens ? », s’était interrogé l’avocat franco-américain Winston Maxwell dans Edition Multimédi@ après l’affaire controversée « Microsoft » (4). Le Cloud Act fut adopté aux Etats-Unis il y a plus d’un an maintenant (5) – promulgué le 23 mars 2018. Ce texte de loi fédéral et sécuritaire américain prévoit une base juridique permettant
au gouvernement des Etats-Unis de conclure des accords avec des gouvernements étrangers concernant l’accès aux données détenues par les prestataires de services américains, et vice versa. En clair : les autorités publiques et les agences de renseignement américaines sont en droit d’obtenir – des opérateurs télécoms, des fournisseurs d’accès à Internet (FAI) et des fournisseurs de services de cloud – des informations et/ou enregistrements stockés sur leurs serveurs, que ces données et contenus « soient localisés à l’intérieur ou à l’extérieur des Etats-Unis ».

Cloud Act américain et RGPD européen
En outre, ce Cloud Act permet aux Etats-Unis de passer des accords bilatéraux avec d’autres pays, lesquels pourront à leur tour obtenir des informations de la part des fournisseurs de services américains. Or l’article 48 du RGDP dispose que « toute décision d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un responsable du traitement ou d’un sous-traitant qu’il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu’à la condition qu’elle soit fondée sur un accord international ». Mais dans son amicus brief de 2017 dans l’affaire « Microsoft » (6), la Commission européenne estime que le RGPD tolérait – malgré son article 48 – des transmissions de données notamment sur le fondement de l’intérêt légitime ou de l’intérêt public. @

Charles de Laubier

Le « Cloud Act » américain est-il une menace pour les libertés des citoyens européens ?

La controverse née avec l’affaire « Microsoft » sur la localisation
des données prend fin avec le « Cloud Act » dans lequel le Congrès américain précise que la localisation physique de données n’est pas
un élément pertinent lorsqu’un juge américain émet un mandat de perquisition.

La Commission européenne veillera à ce qu’Android de Google et iOS d’Apple respectent l’Internet ouvert

Après une occasion manquée en 2010 de légiférer en Europe en faveur de la
« neutralité des terminaux », l’Arcep remonte au créneau – via le Berec – pour que la neutralité du Net ne se limite pas à l’accès aux réseaux. Il y a urgence à
ce que la Commission européenne s’empare du problème.

« Le cadre protégeant l’ouverture d’Internet étant aujourd’hui européen, il conviendrait que le législateur européen s’empare de ce sujet [de savoir si les terminaux numériques, smartphones en tête, respectent la neutralité de Internet, ndlr]. La dimension éminemment internationale des fabricants de terminaux et des éditeurs de systèmes d’exploitation conduit également à penser qu’à terme, l’échelle pertinente pour agir devrait être européenne », a conclu l’Arcep dans son rapport publié mi-février et intitulé « Smartphones, tablettes, assistants vocaux, … : les terminaux, maillon faible
de l’Internet ouvert » (1).

La balle est dans le camp de Bruxelles
Mais afin que Bruxelles fasse des propositions de mesures pour que les fabricants de terminaux – tels que Apple sous iOS ou Samsung sous Android (Google) – respectent le règlement « Internet ouvert » du 25 novembre 2015, l’Organe des régulateurs européens des communications électroniques (Berec) va l’y aider. Selon les informations obtenues auprès de Jennifer Siroteau (photo), responsable de l’analyse économique et de l’intelligence numérique à l’Arcep, « le Berec va publier à l’issue
de sa plénière des 8 et 9 mars son propre rapport sur les terminaux, intitulé “Report
on the impact of premium content on ECS (2) markets and effect of devices on the Openness of the Internet use” » (3). Si l’Arcep a bien l’intention de « mettre en oeuvre dès maintenant à l’échelle nationale » les pistes d’action qu’elle a formulées dans son rapport, c’est, dit-elle, « avec l’ambition de stimuler des démarches européennes ». D’ailleurs, le Bureau européen des unions de consommateurs (Beuc) et une demie douzaine de responsables européens d’entreprises font partie des personnes auditionnées, ayant participé aux ateliers ou répondu à la consultation publique de l’Arcep. Mais l’on peut regretter et s’étonner que celle-ci n’ait pas eu affaire à au moins un représentant de la Commission européenne. Qu’à cela ne tienne. Depuis le fameux règlement du 25 novembre 2015 « établissant des mesures relatives à l’accès à un Internet ouvert » (4) et les lignes directrices du 30 août 2016 édictées par le Berec
« pour la mise en oeuvre de ces nouvelles règles par les autorités de régulation nationales » (5) depuis avril 2016, la protection de la neutralité de l’Internet – que
ces textes ont préféré appeler « Internet ouvert » – est un engagement à l’échelle de l’Europe. Et les terminaux n’échappent pas à ce cadre protecteur pour les consommateurs. A preuve : le règlement européen mentionne une quinzaine de fois le terme « terminaux » ! De plus et surtout, le premier paragraphe de son article 3 lève toute ambiguïté : « Les utilisateurs finals ont le droit d’accéder aux informations et aux contenus et de les diffuser, d’utiliser et de fournir des applications et des services et d’utiliser les équipements terminaux de leur choix, quel que soit le lieu où se trouve l’utilisateur final ou le fournisseur, et quels que soient le lieu, l’origine ou la destination de l’information, du contenu, de l’application ou du service, par l’intermédiaire de leur service d’accès à l’Internet ». Les eurodéputés ont ainsi voulu dissocier le terminal –
les smartphone en tête, mais aussi les tablettes, les ordinateurs ou encore les assistants vocaux – de l’offre d’accès des, justement, fournisseurs d’accès à Internet (FAI).
Surtout que ce même article 3 du règlement « Internet ouvert » prévoit que l’exercice par les internautes et les mobinautes des droits énoncés dans ce premier paragraphe ne peut pas être limité par « des accords (…) sur les conditions commerciales et techniques et les caractéristiques des services d’accès à l’internet, telles que les prix, les volumes de données ou le débit, et toutes pratiques commerciales mises en oeuvre par les [FAI] ». Bref, pour l’Union européenne, la neutralité du Net ne s’arrête pas aux réseaux d’accès des opérateurs télécoms : les fabricants de terminaux et éditeurs de systèmes d’exploitation – comme iOS pour Apple et Android pour Google – sont eux aussi concernés. D’autant que les mobiles évoluent dans des écosystèmes
« propriétaires » capables de limiter leurs utilisateurs dans l’accès à certains contenus et services sur Internet, et, partant, d’en restreindre les usages en violation de l’Internet ouvert.

Une occasion manquée entre 2010 et 2014
Pour autant, souligne l’Arcep dans son rapport, « si le règlement européen sur l’Internet ouvert consacre la liberté de choix et d’usage du terminal, il n’impose pas d’obligation spécifique aux équipementiers et constructeurs de terminaux, ni aux autres maillons logiciels de la chaîne technique [entre l’utilisateur final et les contenus, voir schéma
ci-dessous, ndlr] ». Le régulateur français a eu le mérite de suggérer dès 2010 « un renforcement de la surveillance de la neutralité au niveau des terminaux et de leur couche logicielle ». Car la neutralité des réseaux suppose aussi une neutralité des terminaux. L’Arcep appelait alors dans un rapport sur la neutralité de l’Internet (6) à
un « renforcement de la neutralité des terminaux » en incitant déjà la Commission européenne à prendre des mesures dans ce sens. A l’époque, l’Arcep suggérait d’inscrire les dispositions en faveur de la neutralité des terminaux dans le cadre de
la révision de la directive européenne RTTE de 1999 sur les équipements de radio et terminaux de télécommunications (7). Sans succès : ce texte communautaire, abrogé en 2016, fut bien remplacé par la nouvelle directive RED de 2014 sur les équipements radioélectriques (8), mais celle-ci a in fine fait l’impasse sur la neutralité des terminaux. Et ce n’est pas faute pour l’Arcep d’avoir pointé il y a près de huit ans maintenant « la généralisation d’environnements propriétaires fermés limitant la liste et le type des applications pouvant être installées, des navigateurs utilisables, ou des sites accessibles – ceci de manière relativement indépendante des opérateurs ».

Applis préinstallées : choix imposés
Aujourd’hui, l’absence de neutralité des terminaux s’est doublée d’un risque d’abus de position dominante au détriment de la neutralité du Net. « Outre les barrières à l’entrée résultant des effets de club qui caractérisent les marchés de plateformes en général, le succès de systèmes d’exploitation mobiles concurrents à Android et iOS paraît donc compliqué. Faute de l’aiguillon d’une concurrence intense, les éditeurs de systèmes d’exploitation en place pourraient adopter des comportements susceptibles de remettre en cause l’ouverture d’Internet », met en garde le gendarme des télécoms. Pour autant, comme le souligne Jennifer Siroteau, « l’Arcep constate qu’il n’y a pas lieu, à ce jour, de considérer que les fabricants de terminaux ne respectent pas le règlement de 2015 : en effet, ces derniers ne sont pas visés par ce règlement ». Sans préjuger de ce que fera la Commission européenne, interpellée par la France et par le Berec au niveau européen, l’on constate qu’elle n’est pas insensible à la question des terminaux – en particulier des mobiles où sont préinstallées, outre le système d’exploitation (vente liée), des applications telles que moteur de recherche, service de messagerie, espace de cloud, service de vidéo, cartographie ou encore navigateur. Sauf exception, les mobinautes téléchargent rarement des applications aux mêmes fonctionnalités que
des « applis » préinstallées dont les choix sont imposés au client. En avril 2015, la Commission européenne a ouvert une enquête antitrust sur l’écosystème d’Android de Google sur lequel fonctionnent la très grande majorité des smartphones en Europe (Samsung en tête). En avril 2016, la procédure a été notifiée à sa maison mère Alphabet accusée d’abus de position dominante sur son système d’exploitation Android, son magasin d’applications Google Play Store et son moteur de recherche sur mobile Google Search. Le verdict était attendu pour… décembre 2017.
Bruxelles pointe notamment l’obligation faite aux fabricants de smartphones sous Android de préinstaller des applis Google s’ils souhaitent fournir l’accès à Google Play Store. Concernant cette fois la transparence des critères de référencement et de classement utilisés par les App Stores (mais aussi de politiques éditoriales, de règles
et délais de validation, de suppression des contenus, de documentation ouverte, …), la Commission européenne a prévu pour le printemps 2018 l’élaboration d’un « règlement sur la transparence des relations contractuelles entre entreprises et plateformes ». @

Charles de Laubier