L’essentiel
1. Contexte juridique du décret n° 2026-272 sur la protection des données d’une sensibilité particulière
1.1. Le décret n° 2026-272 du 14 avril 2026, publié au Journal officiel de la République française du 16 avril 2026, s’inscrit dans le cadre de la mise en œuvre de l’article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique. Il a pour objet la protection des données stratégiques et sensibles des administrations lorsqu’elles recourent à un service d’informatique en nuage fourni par un prestataire privé. Le texte vise spécifiquement les données d’une sensibilité particulière traitées dans le cadre de l’informatique en nuage (cloud) et encadre les conditions dans lesquelles ces services peuvent être utilisés par les administrations, opérateurs de l’État et groupements d’intérêt public.
1.2. Le décret précise qu’il concerne les administrations (services de l’État, opérateurs de l’État, groupements d’intérêt public) et qu’il a pour finalité de définir les mesures, procédures et conditions propres à assurer la sécurité et la protection des données dans le cadre de services d’informatique en nuage fournis par le secteur privé. Il encadre également les conditions de dérogation à l’application de l’article 31 de la loi du 21 mai 2024, lorsque des projets ont été engagés avec des prestataires ne respectant pas encore les exigences fixées.
1.3. Le texte s’appuie sur un ensemble de références européennes et nationales structurantes : la directive (UE) 2015/1535 du 9 septembre 2015 relative à la procédure d’information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l’information, le règlement (UE) 2016/679 du 27 avril 2016 (RGPD) sur la protection des données à caractère personnel, le règlement (UE) 2023/2854 du 13 décembre 2023 sur les règles harmonisées portant sur l’équité de l’accès aux données et de l’utilisation des données, ainsi que la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 121 à 124. Il se réfère également au décret n° 2009-834 du 7 juillet 2009 portant création de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et au décret n° 2015-350 du 27 mars 2015 relatif à la qualification des produits de sécurité et des prestataires de service de confiance pour les besoins de la sécurité des systèmes d’information.
1.4. Le décret entre en vigueur le lendemain de sa publication au Journal officiel. Il est pris « pour l’application de l’article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique » et vient préciser, de manière opérationnelle, les exigences de sécurité applicables aux services cloud privés utilisés par les entités publiques pour des données d’une sensibilité particulière.
2. Champ d’application : administrations, opérateurs de l’État et groupements d’intérêt public
2.1. Le décret vise les administrations au sens large : services de l’État, opérateurs de l’État et groupements d’intérêt public (GIP). Il s’agit de structures qui, par la nature de leurs missions, manipulent des données stratégiques et sensibles, notamment dans les domaines de la santé, de la sécurité, de la protection sociale, de la prévention de la radicalisation ou encore du logement social.
2.2. L’article 1er du décret dresse la liste précise des groupements d’intérêt public soumis aux obligations de l’article 31 de la loi du 21 mai 2024. Sont ainsi expressément mentionnés :
2.2.1. L’agence du numérique en santé, qui joue un rôle central dans la numérisation du système de santé et traite des données de santé particulièrement sensibles.
2.2.2. Le centre d’accès sécurisé aux données, qui gère des données statistiques et de recherche pouvant comporter des informations sensibles, notamment lorsqu’elles sont croisées ou réutilisées.
2.2.3. Le centre ressources prévention de la radicalisation, qui manipule des données relatives à la sécurité intérieure et à la prévention de la radicalisation, par nature sensibles.
2.2.4. Le collecteur analyseur de données, structure dédiée à la collecte et à l’analyse de données pour le compte des pouvoirs publics, avec un fort enjeu de sécurité des systèmes d’information.
2.2.5. Le GIP modernisation des déclarations sociales, qui traite des données sociales et fiscales relatives aux entreprises et aux particuliers, relevant de la protection des données et de la confidentialité.
2.2.6. Le système national d’enregistrement de la demande de logement social, qui centralise des données personnelles et sociales sur les demandeurs de logement, avec des enjeux de protection des personnes physiques et de sécurité des fichiers.
2.3. En identifiant ces GIP, le décret précise le périmètre des entités tenues de respecter les exigences de sécurité spécifiques lorsqu’elles recourent à un service d’informatique en nuage fourni par un prestataire privé. Ces structures sont au cœur de la gestion de données d’une sensibilité particulière et doivent, à ce titre, maîtriser les risques liés au cloud.
3. Le référentiel de l’ANSSI : socle des exigences de sécurité pour le cloud
3.1. L’article 2 du décret institue un référentiel élaboré par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et approuvé par arrêté du Premier ministre. Ce référentiel détermine les exigences à respecter au titre du deuxième alinéa du I de l’article 31 de la loi du 21 mai 2024 pour assurer la sécurité et la protection des données d’une sensibilité particulière traitées par un service d’informatique en nuage fourni par un prestataire privé.
3.2. Le référentiel fixe un niveau d’exigence requis en fonction de la sensibilité particulière des données concernées et des risques présentés par leur traitement. Il couvre un ensemble de domaines de sécurité structurants, qui encadrent l’organisation, les moyens techniques, les relations contractuelles et la gouvernance de la sécurité des systèmes d’information dans le contexte du cloud.
3.3. Ce référentiel constitue ainsi un outil central pour la maîtrise des risques liés à l’informatique en nuage dans le secteur public, en particulier pour les données stratégiques et sensibles. Il s’inscrit dans la continuité des missions de l’ANSSI, déjà compétente en matière de qualification des produits de sécurité et de prestataires de service de confiance pour la sécurité des systèmes d’information.
4. Organisation de la sécurité, gestion des risques et chaîne de sous-traitance
4.1. Le premier domaine couvert par le référentiel concerne « l’organisation de la sécurité de l’information et de l’exploitation du service ainsi que la gestion des risques, y compris au niveau de la chaîne de sous-traitance ». Il s’agit de définir une gouvernance de la sécurité adaptée aux services d’informatique en nuage, incluant la gestion des risques sur l’ensemble du périmètre du service.
4.2. L’exigence porte sur la mise en place d’une organisation de la sécurité de l’information structurée, avec des responsabilités clairement définies, des processus de gestion des risques documentés et une exploitation du service conforme aux bonnes pratiques de sécurité des systèmes d’information. La gestion des risques doit tenir compte de la sensibilité particulière des données et des menaces spécifiques liées au cloud.
4.3. Le texte insiste sur la prise en compte de la chaîne de sous-traitance. Les prestataires privés de services cloud recourent fréquemment à des sous-traitants pour certaines composantes techniques ou opérationnelles. Le référentiel impose que la gestion des risques couvre également ces acteurs, afin d’éviter que des maillons faibles dans la chaîne ne compromettent la protection des données.
4.4. Cette approche globale de la gestion des risques est cohérente avec les exigences du règlement (UE) 2016/679 en matière de responsabilité des responsables de traitement et des sous-traitants, ainsi qu’avec les principes de sécurité des systèmes d’information promus par l’ANSSI.
5. Gestion des ressources humaines et formation à la sécurité de l’information
5.1. Le deuxième domaine du référentiel porte sur « la gestion des ressources humaines pour les personnels impliqués dans la fourniture du service », incluant « la mise en œuvre d’un plan de formation concernant la sécurité de l’information adapté au service ». La sécurité des données sensibles ne repose pas uniquement sur des mesures techniques, mais aussi sur la compétence et la sensibilisation des personnes qui interviennent sur le service d’informatique en nuage.
5.2. Le référentiel impose donc que les prestataires privés mettent en place une gestion des ressources humaines intégrant des exigences de sécurité : sélection des profils, encadrement des habilitations, contrôle des accès, et surtout plan de formation spécifique à la sécurité de l’information. Ce plan doit être adapté au service, c’est-à-dire tenir compte des particularités techniques et des données d’une sensibilité particulière traitées.
5.3. Cette exigence contribue à réduire les risques humains (erreurs, négligences, comportements malveillants) qui peuvent affecter la sécurité des systèmes d’information et la protection des données. Elle renforce également la capacité des prestataires à répondre aux incidents de sécurité et à appliquer correctement les procédures prévues par le référentiel.
6. Relations avec les tiers et maîtrise de l’écosystème de service
6.1. Le troisième domaine du référentiel concerne « la gestion des relations avec les tiers participant à la mise en œuvre du service ». Dans un environnement de cloud, de nombreux tiers peuvent intervenir : fournisseurs d’infrastructures, éditeurs de logiciels, opérateurs de réseaux, prestataires de maintenance, etc.
6.2. Le référentiel impose que ces relations avec les tiers soient encadrées par des mesures contractuelles et organisationnelles garantissant la sécurité des données et la conformité aux exigences de l’article 31 de la loi du 21 mai 2024. Les administrations et opérateurs de l’État doivent s’assurer que l’ensemble de l’écosystème de service respecte les niveaux d’exigence définis par le référentiel.
6.3. Cette maîtrise des relations avec les tiers est essentielle pour éviter que des prestations externalisées ne créent des vulnérabilités dans la chaîne de traitement des données sensibles. Elle s’inscrit dans une logique de sécurité globale du service d’informatique en nuage.
7. Sécurité physique, environnementale et gestion des équipements
7.1. Le quatrième domaine du référentiel porte sur « la gestion des équipements mettant en œuvre le service », incluant « des mesures de sécurité physique et environnementale ». Les données d’une sensibilité particulière ne sont pas seulement exposées à des risques numériques, mais aussi à des risques physiques (intrusions, vols, dégradations, sinistres).
7.2. Le référentiel impose donc des mesures de sécurité physique pour les équipements (serveurs, baies de stockage, équipements réseau) qui supportent le service d’informatique en nuage. Cela inclut la protection des centres de données, le contrôle des accès physiques, la surveillance, ainsi que des mesures environnementales (protection contre l’incendie, les inondations, les coupures d’énergie, etc.).
7.3. La gestion des équipements doit être organisée de manière à garantir la disponibilité, l’intégrité et la confidentialité des données sensibles, en cohérence avec les objectifs de sécurité des systèmes d’information et de continuité de l’activité.
8. Sécurité des systèmes d’information, cryptologie et contrôle d’accès
8.1. Le cinquième domaine du référentiel est consacré à « la sécurité des systèmes d’information », avec des mesures portant notamment sur la cryptologie, le contrôle d’accès aux données du service et la gestion des identités des utilisateurs participant à la mise en œuvre du service.
8.2. La cryptologie est un élément clé pour la protection des données d’une sensibilité particulière, tant en stockage qu’en transit. Le référentiel impose l’utilisation de mécanismes cryptographiques robustes, conformes aux recommandations de l’ANSSI, afin de garantir la confidentialité et l’intégrité des données traitées par le service d’informatique en nuage.
8.3. Le contrôle d’accès aux données du service doit être strictement encadré, avec des droits d’accès limités au strict nécessaire et une traçabilité des actions réalisées. La gestion des identités des utilisateurs (administrateurs, opérateurs, personnels de support) est également centrale : authentification forte, gestion des habilitations, révocation des accès, etc.
8.4. Ces exigences techniques complètent les obligations issues du règlement (UE) 2016/679 et de la loi n° 78-17 du 6 janvier 1978 en matière de sécurité des données à caractère personnel, en les adaptant au contexte spécifique des services cloud utilisés par les administrations.
9. Gestion des incidents de sécurité et continuité de l’activité
9.1. Le sixième domaine du référentiel concerne « la gestion des incidents concernant la sécurité de l’information et la continuité de l’activité ». Les services d’informatique en nuage doivent être en mesure de faire face à des incidents de sécurité (intrusions, fuites de données, indisponibilités, attaques) tout en assurant la continuité des activités des administrations et opérateurs de l’État.
9.2. Le référentiel impose la mise en place de procédures de gestion des incidents : détection, analyse, réponse, remédiation, retour d’expérience. Il exige également des dispositifs de continuité de l’activité et de reprise après sinistre, adaptés à la sensibilité particulière des données et aux besoins opérationnels des entités publiques.
9.3. La gestion des incidents et la continuité de l’activité sont des composantes essentielles de la sécurité des systèmes d’information, particulièrement dans un contexte où les données stratégiques et sensibles sont externalisées chez des prestataires privés.
10. Utilisation de la langue française dans les services d’informatique en nuage
10.1. Le septième domaine du référentiel, plus spécifique, porte sur « l’utilisation de la langue française ». Le décret impose que la langue française soit utilisée dans le cadre des services d’informatique en nuage fournis aux administrations, ce qui peut concerner la documentation, les interfaces, les contrats ou encore les supports de communication liés au service.
10.2. Cette exigence vise à garantir la compréhension et la maîtrise des conditions de service, des mesures de sécurité et des procédures par les acteurs publics, en évitant les ambiguïtés liées à l’usage exclusif d’une langue étrangère. Elle s’inscrit dans une logique de souveraineté numérique et de sécurisation des échanges entre les administrations et les prestataires privés.
11. Clauses obligatoires de la convention de service : réversibilité et droit applicable
11.1. Le huitième domaine du référentiel traite des « clauses obligatoires de la convention de service ». Ces clauses portent notamment sur le principe de réversibilité, permettant la récupération des données, ses modalités techniques de mise en œuvre, ainsi que le droit applicable à la convention.
11.2. Le principe de réversibilité est essentiel pour les administrations et opérateurs de l’État : il garantit qu’en cas de changement de prestataire, de fin de contrat ou de nécessité de rapatrier les données sensibles, celles-ci pourront être récupérées dans des conditions sécurisées, complètes et exploitables. Le référentiel impose que les modalités techniques de cette réversibilité soient clairement définies.
11.3. Le droit applicable à la convention de service est également un enjeu majeur. Le référentiel exige que ce droit soit précisé, afin de garantir que les obligations de sécurité, de protection des données et de confidentialité soient encadrées par un cadre juridique compatible avec les exigences de l’Union européenne et de la France.
11.4. Ces clauses obligatoires renforcent la capacité des entités publiques à maîtriser les risques contractuels liés à l’informatique en nuage et à préserver la maîtrise de leurs données stratégiques et sensibles.
12. Localisation des données, transferts vers des États tiers et contrôle des prestataires
12.1. Le neuvième domaine du référentiel porte sur « la localisation de l’hébergement des données du service », les conditions de transfert de ces données vers un État tiers, la localisation du lieu du siège ou du principal établissement du prestataire et les modalités de son contrôle, notamment au travers de la détention, directe ou indirecte, de son capital social et de ses droits de vote.
12.2. La localisation de l’hébergement des données est un enjeu central de souveraineté numérique et de protection des données sensibles. Le référentiel encadre la possibilité de transfert de données vers un État tiers, en cohérence avec le droit de l’Union européenne et les engagements internationaux de la France. Les administrations doivent s’assurer que les données d’une sensibilité particulière ne sont pas exposées à des risques juridiques ou techniques liés à des législations étrangères incompatibles.
12.3. La localisation du siège ou du principal établissement du prestataire et la structure de son capital (détention directe ou indirecte, droits de vote) sont également prises en compte pour évaluer les risques de contrôle par des entités étrangères. Le référentiel impose une analyse fine de ces éléments pour garantir la maîtrise et le contrôle des prestataires privés qui fournissent des services d’informatique en nuage aux entités publiques.
12.4. Ces exigences contribuent à limiter l’exposition des données stratégiques et sensibles à des risques extraterritoriaux et à renforcer la sécurité juridique des administrations dans leur recours au cloud.
13. Protection contre les accès non autorisés par des autorités publiques d’États tiers
13.1. Le dixième domaine du référentiel vise « la protection des données du service contre tout accès par des autorités publiques d’un État tiers non autorisé par le droit de l’Union européenne ou les engagements internationaux de la France ». Cette exigence répond à la préoccupation croissante liée aux lois extraterritoriales de certains États, qui peuvent permettre à leurs autorités d’accéder à des données hébergées à l’étranger ou par des prestataires soumis à leur juridiction.
13.2. Le référentiel impose que les prestataires privés mettent en place des mesures techniques, organisationnelles et juridiques pour empêcher tout accès non autorisé par des autorités publiques d’un État tiers, sauf si cet accès est conforme au droit de l’Union européenne ou aux engagements internationaux de la France. Cela peut inclure des mécanismes de chiffrement, des clauses contractuelles spécifiques, ou encore des structures de gouvernance limitant l’influence de certaines juridictions étrangères.
13.3. Cette exigence renforce la protection des données d’une sensibilité particulière contre des ingérences extérieures et s’inscrit dans une logique de souveraineté numérique et de sécurisation des données stratégiques de l’État.
14. Qualification, certification et conformité des services d’informatique en nuage
14.1. L’article 2 du décret précise que la conformité d’un service d’informatique en nuage fourni par un prestataire privé aux exigences du référentiel est attestée par une qualification ou une certification. Cette qualification est attribuée dans les conditions prévues par le chapitre III du décret du 27 mars 2015qualification des produits de sécurité et des prestataires de service de confiance, ou par une certification de l’Union européenne ou d’un État partie à l’Espace économique européen d’un niveau au moins équivalent.
14.2. La qualification délivrée dans le cadre du décret n° 2015-350 du 27 mars 2015 constitue un gage de confiance pour les administrations et opérateurs de l’État, en attestant que le service cloud respecte un niveau d’exigence élevé en matière de sécurité des systèmes d’information. De même, une certification européenne ou d’un État de l’Espace économique européen peut être reconnue si elle est jugée d’un niveau au moins équivalent.
14.3. Cette articulation entre référentiel de l’ANSSI, qualification et certification permet de structurer un marché de l’informatique en nuage conforme aux exigences de protection des données sensibles des entités publiques, tout en offrant une visibilité et une lisibilité des offres disponibles.
15. Régime transitoire et dérogations pour les projets déjà engagés
15.1. L’article 3 du décret organise un régime de dérogation pour les administrations, opérateurs de l’État ou groupements mentionnés à l’article 1er qui ont engagé un projet relevant de l’article 31 de la loi du 21 mai 2024 avant la date de publication du décret, en recourant à un service d’informatique en nuage fourni par un prestataire privé non conforme aux exigences définies à l’article 2.
15.2. Dans ce cas, l’entité concernée doit solliciter une dérogation auprès du ministre dont relève le projet, selon des modalités fixées par un arrêté du Premier ministre qui précise notamment le contenu du dossier de demande. Le ministre compétent décide, dans un délai de deux mois, d’accorder ou non la dérogation, après validation par le Premier ministre, selon des modalités également fixées par cet arrêté.
15.3. Le décret distingue deux situations :
15.3.1. Si une offre de services d’informatique en nuage acceptable pour le projet concerné est disponible en France, la dérogation est accordée pour une durée maximum de dix-huit mois, courant depuis la date à laquelle cette offre est disponible en France.
15.3.2. À défaut d’une telle offre, la dérogation est accordée pour une durée d’un an renouvelable jusqu’à ce qu’une offre acceptable soit disponible.
15.4. Une offre de services d’informatique en nuage conforme aux exigences définies à l’article 2 est considérée comme acceptable si elle répond au besoin fonctionnel de l’administration ou de l’organisme concerné pour son projet, en prenant en considération son coût. Cette définition articule les exigences de sécurité avec les contraintes opérationnelles et budgétaires des entités publiques.
15.5. La décision accordant ou refusant la dérogation est rendue publique avec sa motivation sur un site internet relevant du Premier ministre. Cette publicité renforce la transparence du régime de dérogation et permet un suivi des projets concernés.
16. Mise en œuvre et responsabilités ministérielles
16.1. L’article 4 du décret confie la mise en œuvre du texte au ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique et au ministre de l’action et des comptes publics, chacun pour ce qui le concerne. Ils sont chargés de l’exécution du décret, qui sera publié au Journal officiel de la République française.
16.2. Cette répartition des responsabilités reflète la dimension à la fois économique, numérique et budgétaire de la protection des données stratégiques et sensibles des administrations dans le cadre de l’informatique en nuage. Elle souligne également le rôle central du Premier ministre dans l’approbation du référentiel de l’ANSSI et dans la validation des dérogations.
16.3. Le décret est signé par le Premier ministre et contresigné par le ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique ainsi que par le ministre de l’action et des comptes publics, marquant l’engagement du gouvernement dans la sécurisation des données d’une sensibilité particulière traitées par des prestataires privés de cloud.
17. Enjeux globaux de la protection des données sensibles en cloud privé
17.1. L’ensemble des dispositions du décret n° 2026-272 du 14 avril 2026 traduit une volonté de maîtriser les risques liés au recours à des services d’informatique en nuage fournis par des prestataires privés pour le traitement de données d’une sensibilité particulière par les administrations, opérateurs de l’État et groupements d’intérêt public.
17.2. En s’appuyant sur un référentiel élaboré par l’ANSSI, approuvé par arrêté du Premier ministre, le décret structure un cadre d’exigences de sécurité couvrant l’organisation de la sécurité de l’information, la gestion des risques, la gestion des ressources humaines, les relations avec les tiers, la sécurité physique et environnementale, la sécurité des systèmes d’information (cryptologie, contrôle d’accès, gestion des identités), la gestion des incidents et la continuité de l’activité, l’utilisation de la langue française, les clauses obligatoires de la convention de service (réversibilité, droit applicable), la localisation des données, les transferts vers des États tiers, le contrôle des prestataires et la protection contre les accès non autorisés par des autorités publiques d’États tiers.
17.3. Le dispositif de qualification et de certification des services d’informatique en nuage, combiné au régime de dérogation pour les projets déjà engagés, permet une transition maîtrisée vers un écosystème cloud conforme aux exigences de sécurité et de protection des données stratégiques et sensibles de l’État. Il articule les impératifs de souveraineté numérique, de protection des personnes physiques et de régulation de l’espace numérique avec les besoins opérationnels des entités publiques.
17.4. En encadrant de manière détaillée la protection des données d’une sensibilité particulière dans le cloud privé, le décret contribue à renforcer la sécurité des systèmes d’information de l’État et à structurer un marché de l’informatique en nuage aligné sur les exigences du droit de l’Union européenne, de la loi n° 2024-449 du 21 mai 2024 et de la loi n° 78-17 du 6 janvier 1978.
RGPD & protection des données
Approfondir ce sujet :