Intervention de Michel Paulin

Je suis à 100 % d'accord avec vous. Il faut faire preuve de pédagogie auprès des acheteurs, les former. Il est vraiment très compliqué de comprendre les implications de Schrems II. Il faut former l'ensemble de l'écosystème. Il est nécessaire que l'UGAP aille plus loin dans la transparence des critères de choix. La localisation des données doit être un critère, indépendamment de la nationalité de l'opérateur. Le fait qu'un certain nombre des données de santé soient à Amsterdam n'est pas forcément un problème, mais nous devons le savoir. Il faut qu'ensuite les décideurs prennent les bonnes dispositions.

De la même façon, les critères de certification technique ou légale doivent être des indicateurs accessibles à l'acheteur. Il est utile d'avoir des recommandations par rapport à un certain nombre de sujets. Il est clair qu'il n'est pas toujours indispensable que les données ne transitent pas. Certaines ne sont pas considérées comme sensibles. En revanche, sur certaines données, il est impératif, même dans le cadre du Cercle 3, que le discriminant soit fait sur des acteurs complètement ouverts et transparents sur certains principes. Il faut cette clarté de bout en bout. Cela doit être un critère de choix. Cela ne peut pas être uniquement nice to have. Cela doit être une obligation. L'État et les marchés publics doivent donner des règles, et donner les moyens aux acheteurs de prendre des décisions. Sinon, ce qui prévaudra sera, soit une nationalité unique des acteurs, soit un obscurantisme des conditions du process, qui entraînera la réflexion : « C'est plus simple avec l'acteur qui remporte tout », first takes all et c'est terminé. Ce sera un monopole de fait.

Il faut faire de la pédagogie et imposer. Pour l'UGAP par exemple, les appels d'offres publics doivent être très clairs sur les conditions d'attribution sur l'ensemble de la chaîne. Certains appels d'offres intégrateurs produisent des sites web. Il convient de savoir où sont hébergés ces sites web, comment, où sont les données, comment elles transitent. Ces informations doivent apparaître de manière claire, pour que le cahier des charges donne de la visibilité. Une fois que tout cela est décrit et certifié, chacun décide en toute connaissance de cause. En revanche, sur un certain nombre de données sensibles, considérées par l'État comme stratégiques et devant être gérées par des opérateurs souverains, il convient de voter une loi. Les données des OIV, des grands acteurs doivent rester dans des conditions de souveraineté totale.