Après en avoir délibéré le 17 décembre 2024 :
1. Contexte de la saisine
La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (ci-après « loi SREN ») a confié de nouvelles compétences à l'ARCEP portant sur la régulation des services d'informatique en nuage (ci-après « cloud »). Plus précisément, elle introduit en droit français, par anticipation, certaines dispositions du règlement (UE) 2023/2854 en date du 13 décembre 2023 concernant des règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données (ci-après « règlement sur les données »).
Parmi ces dispositions, les 1°, 2° et 3° du II de l'article 28 de la loi SREN imposent aux fournisseurs de services cloud d'assurer la conformité de leurs services avec des exigences essentielles d'interopérabilité, de portabilité et d'ouverture des interfaces de programmation d'applications. Le I de l'article 29 indique que l'ARCEP a pour mission de préciser les règles et les modalités de mise en oeuvre de ces exigences essentielles, notamment par l'édiction de spécifications d'interopérabilité et de portabilité.
En outre, le II de l'article 29 prévoit que les fournisseurs de services cloud doivent publier et mettre à jour régulièrement une offre de référence technique d'interopérabilité précisant les conditions de mise en conformité de leurs services avec ces exigences essentielles précisées, le cas échéant, par les décisions de l'Autorité.
Le V de ce même article prévoit que le décret qui en précise les conditions d'application et le délai de précision des règles et des modalités de mise en œuvre des exigences essentielles est pris après avis de l'ARCEP.
Par un courrier en date du 19 novembre 2024, enregistré à l'Autorité le 26 novembre 2024, le directeur général des entreprises a saisi l'ARCEP pour avis sur un projet de décret pris en application du V de l'article 29 mentionné ci-dessus.
2. Présentation des dispositions qui font l'objet d'une saisine de l'ARCEP
L'article 1er du projet de décret prévoit que l'ARCEP précise les règles et modalités de mise en œuvre des exigences essentielles après avoir mené une consultation du public, et fixe le délai de précision de ces règles et modalités de mise en œuvre par l'Autorité au plus tard le 12 septembre 2025.
En outre, il précise les objectifs poursuivis par les spécifications d'interopérabilité, en reprenant les termes du règlement sur les données.
L'article 2 du projet de décret précise le contenu minimal de l'offre de référence technique d'interopérabilité du II de l'article 29 de la loi SREN :
- d'une part, les procédures disponibles pour le changement de fournisseur et le portage vers le service d'informatique en nuage, y compris les méthodes et les formats de changement de fournisseur et de portage disponibles, ainsi que les restrictions et les limitations techniques connues du fournisseur de services d'informatique en nuage ;
- d'autre part, les modalités d'accès aux informations prévues par l'exigence essentielle relative aux interfaces de programmations d'applications du 3° du II de l'article 28 de la loi SREN.
3. Observations de l'ARCEP
Ce projet de décret est aligné avec les objectifs de la loi SREN et du règlement sur les données, qui visent à lever les barrières techniques au changement de fournisseur et au multi-cloud. Il n'appelle à ce titre pas d'observations particulières de l'ARCEP.
L'Autorité tient à mentionner qu'elle a d'ores et déjà soumis à consultation du public ses premiers constats et orientations quant au marché de l'informatique en nuage ce qui permettra de respecter l'échéance du 12 septembre 2025.
Le présent avis sera transmis au directeur général des entreprises et sera publié au Journal officiel de la République française.