La souveraineté par les données, texte par texte

Ce que disent le Cloud Act, SecNumCloud, la loi SREN, le Data Act, DORA et NIS2, et ce que cela change pour une architecture de données

Dans notre série sur les alternatives à Snowflake, Databricks, BigQuery et Microsoft Fabric, nous citons des textes réglementaires. Cette page les rassemble.

Nous ne sommes pas juristes. Nous lisons ces textes pour éclairer des choix d’architecture. Ils ne qualifient pas votre situation juridique, qui relève de votre direction juridique et de votre DPO.

Notre thèse, présentée à Subsurface 2025 dans Escaping the Hadoop Trap [1], tient en une phrase : une plateforme de données doit pouvoir changer de stockage, de format de fichier, de catalogue et de moteur de requête sans réécrire ses données. Nous l’appelons la souveraineté par les données. Chaque texte ci-dessous agit sur une partie de ces quatre couches, aucun ne les couvre toutes.

Lire les références. Chaque fait renvoie à une source numérotée en fin de page. Le signe † marque une source secondaire (presse, cabinet, association) sans équivalent officiel trouvé. Les vérifications datent des 29 septembre et 6 octobre 2026, et les dossiers mouvants le disent.

Qui peut accéder à vos données ?

Cloud Act (États-Unis, 2018). Il ajoute la section 2713 au titre 18 du code fédéral : un fournisseur de communication électronique ou de calcul à distance doit préserver ou communiquer les données de ses clients qui sont en sa possession, sous sa garde ou sous son contrôle, aux États-Unis comme ailleurs [2]. Le critère est le contrôle exercé par le fournisseur, l’emplacement du serveur n’entre pas en compte. Le 10 juin 2025, la commission d’enquête du Sénat sur la commande publique a demandé, sous serment, au directeur des affaires publiques et juridiques de Microsoft France s’il pouvait garantir que les données de citoyens français hébergées chez Microsoft ne seraient jamais transmises à des autorités américaines sans l’accord de la France. Réponse : « Non, je ne peux pas le garantir », en ajoutant que cela ne s’était encore jamais produit [3].

FISA, section 702. Elle autorise les agences de renseignement américaines à collecter les communications de personnes non américaines situées hors des États-Unis, avec l’assistance des fournisseurs. La loi a expiré le 12 juin 2026, pour la première fois depuis 2008. Selon EPIC et l’ACLU, la collecte peut se poursuivre, la Cour FISA ayant recertifié les programmes jusqu’en mars 2027 [5†][6†]. Nous n’avons rien trouvé de postérieur à juin 2026 sur un rétablissement de la loi.

RGPD, Schrems II, Data Privacy Framework. Le RGPD encadre les transferts de données personnelles hors de l’Espace économique européen. L’arrêt Schrems II a invalidé le Privacy Shield en 2020, la Commission a adopté le Data Privacy Framework le 10 juillet 2023, et le Tribunal de l’Union a rejeté le recours de Philippe Latombe le 3 septembre 2025 (T-553/23) [7]. Un pourvoi est pendant (C-703/25 P, déposé le 31 octobre 2025) et Microsoft a été admise à intervenir [8†][9†].

Ce que ces textes ne disent pas. Le Data Privacy Framework rend licites certains transferts de données personnelles vers des entreprises américaines certifiées. Il ne modifie ni le Cloud Act ni la section 702, et il ne concerne pas les données non personnelles, qui peuvent former l’essentiel d’un entrepôt industriel ou financier.

Couches concernées : le stockage et l’opérateur du service. Une table Iceberg hébergée chez un fournisseur soumis au Cloud Act l’est autant qu’une table propriétaire.

Où et chez qui héberger ?

SecNumCloud 3.2 (ANSSI, mars 2022). Ce référentiel qualifie les prestataires cloud. Son chapitre 19.6 traite de la protection contre le droit extra-européen : siège, administration centrale et principal établissement du prestataire dans l’Union [10], et plafonds de détention du capital et des droits de vote par des entités non européennes, de 24 % individuellement et 39 % collectivement d’après des exposés des motifs d’amendements parlementaires [11†]. Nous n’avons pas relu ces plafonds dans le référentiel. Le référentiel précise aussi qu’il n’apporte pas de garanties techniques fortes contre un accès du prestataire aux données, et recommande aux clients de chiffrer avec des moyens qu’ils maîtrisent [10].

Loi SREN, article 31, et ses textes d’application. La loi n° 2024-449 du 21 mai 2024 pose le principe. Le décret n° 2026-272 du 14 avril 2026 en fixe le périmètre : les administrations de l’État, leurs opérateurs et six groupements d’intérêt public, pour leurs données d’une sensibilité particulière [12]. L’arrêté du 12 août 2026 désigne SecNumCloud 3.2 comme référentiel [13]. Il a été publié au Journal officiel du 14 août ; les sources donnent le 15 ou le 22 août pour son entrée en vigueur, à vérifier sur Légifrance avant de citer une date [13]. Une entreprise privée n’est pas dans ce périmètre. Auparavant, la circulaire n° 6282-SG du 5 juillet 2021, dite « cloud au centre », actualisée le 31 mai 2023 [14], orientait déjà les administrations vers un cloud interne de l’État ou un cloud qualifié SecNumCloud pour les données particulièrement sensibles [15].

HDS. Les hébergeurs de données de santé doivent être certifiés HDS. L’Agence du numérique en santé annonce une version 2.1 pour octobre 2026, qui renforce la transparence sur la soumission des hébergeurs à des législations de pays tiers [16].

EUCS. Le schéma européen de certification cloud devait harmoniser ces exigences. Ses projets successifs ont retiré le niveau le plus exigeant, High+, et nous n’avons trouvé aucune adoption [17†]. SecNumCloud reste le référentiel opposable en France sur la juridiction.

S3NS et BigQuery. S3NS (Thales, technologie Google) est qualifié SecNumCloud 3.2 depuis décembre 2025, et son catalogue de services qualifiés inclut BigQuery [18]. La commission d’enquête du Sénat recommande de préférer les technologies intégralement souveraines aux offres hybrides, qui associent un opérateur européen à une technologie étrangère et dont la résilience en cas de coupure du lien technologique n’est pas garantie selon plusieurs experts entendus [4]. S3NS correspond à cette définition par construction.

Ce que ces textes ne disent pas. SecNumCloud qualifie un prestataire et un service. Il ne dit rien du format de stockage de vos données, ni de votre capacité à changer de prestataire. Des tables BigQuery sur S3NS sont protégées d’une injonction américaine, et lisibles par un seul moteur.

Couches concernées : le stockage et l’opérateur du service.

Pouvez-vous partir ?

Data Act, chapitre VI (applicable depuis le 12 septembre 2025). Le règlement (UE) 2023/2854 couvre les services IaaS, PaaS et SaaS, donc Snowflake, Databricks, BigQuery et Fabric [19]. L’article 23 interdit les obstacles au changement de fournisseur, à la migration vers une infrastructure sur site et à l’usage simultané de plusieurs fournisseurs. L’article 25 impose des clauses de préavis (deux mois au plus) et de transition (30 jours). L’article 29 limite les frais de changement aux coûts directs jusqu’au 11 janvier 2027, puis les interdit à partir du 12 janvier 2027. L’article 30 demande, pour l’infrastructure, une équivalence fonctionnelle, et pour les autres services des interfaces ouvertes et l’export de toutes les données exportables dans un format structuré, couramment utilisé et lisible par machine [19].

En France, la loi SREN plafonne les frais de transfert de données lors d’un changement de fournisseur. Sur proposition de l’Arcep (décision n° 2025-0340), l’arrêté du 17 novembre 2025, publié le 30 novembre, les fixe à zéro euro. L’Arcep a publié le 2 juillet 2026 des lignes directrices sur les autres frais de changement [20].

Ce que le Data Act ne dit pas. Pour une plateforme de données, il garantit un export lisible par machine. Il ne garantit pas de retrouver ailleurs vos tables, leur historique, votre catalogue, vos droits d’accès et votre lignage dans un état exploitable. Un export de fichiers Parquet respecte le texte sans constituer une plateforme. La fin des frais en 2027 laisse entiers les coûts d’ingénierie, de tests et de réécriture. Le format de table et le catalogue pèsent ici : une table Iceberg déclarée dans un catalogue exposant l’API REST Iceberg est lisible, sans conversion de format, par les moteurs qui implémentent la spécification (voir plus bas).

DORA (secteur financier, applicable depuis le 17 janvier 2025). Le règlement (UE) 2022/2554 s’applique aux banques, assurances et autres entités financières. L’article 28, paragraphe 8, impose des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes. L’article 29 demande d’évaluer le risque de concentration avant de contracter. L’article 30 fixe des clauses contractuelles, dont une période de transition. L’article 31 organise la supervision directe des prestataires critiques [21]. Le 18 novembre 2025, les autorités européennes ont publié la première liste de ces prestataires [22]. Elle compte 19 noms selon Morgan Lewis, dont AWS, Google Cloud, Microsoft, Oracle, SAP et Deutsche Telekom selon PayTechLaw [23†]. Nous n’avons pas relu la liste complète, publiée sur le site de l’EBA [22].

Ce que DORA ne dit pas. À notre lecture, le règlement ne contient aucune exigence de localisation des données ni de nationalité du prestataire. Il n’interdit ni Snowflake, ni Databricks, ni un hyperscaler américain. Il impose à l’entité financière de pouvoir en sortir, et de le documenter.

Couches concernées : les quatre. Si vos tables sont dans un format ouvert, sur un stockage que vous contrôlez et lisibles par un second moteur, votre stratégie de sortie se vérifie en lançant des requêtes.

Sécurité et résilience : NIS2 et Cyber Resilience Act

NIS2. La directive (UE) 2022/2555 impose des mesures de gestion des risques cyber à des entités essentielles et importantes de 18 secteurs, avec une transposition attendue avant le 17 octobre 2024 [24†]. La loi française de transposition, dite « Résilience », n’est pas promulguée : son examen à l’Assemblée nationale est programmé à partir du 7 octobre 2026 [25†], et la Commission européenne a saisi la Cour de justice de l’Union contre la France le 8 juillet 2026 pour défaut de transposition [26†]. Nous n’y avons pas trouvé d’exigence de localisation des données.

Cyber Resilience Act. Le règlement (UE) 2024/2847 impose des exigences de sécurité aux fabricants de produits comportant des éléments numériques, logiciels compris. Il est entré en vigueur le 10 décembre 2024. Le signalement des vulnérabilités activement exploitées (article 14) s’applique depuis le 11 septembre 2026, et le reste du texte à partir du 11 décembre 2027 [27].

Ce que le format garantit, et ce qu’il ne garantit pas

Le Data Act vous donne le droit de récupérer vos données. Ce que vaut le format chez un autre moteur se vérifie. Voici l’état pour Apache Iceberg au 29 septembre 2026, à revérifier avant toute citation.

Une spécification, cinq implémentations. Iceberg est implémenté en Java, Python, Rust, Go et C++. La page d’état officielle montre des écarts : ORC et Puffin seulement en Java, l’expiration de snapshots seulement en Java et en Go, et pas d’écriture en C++. Cette page peut retarder sur les versions récentes [28].

Une conformité en construction. Le 16 septembre 2026, le projet a annoncé le dépôt apache/iceberg-verification, avec des fixtures de types et des tables de référence, en lecture d’abord. L’adhésion est volontaire, il n’existe pas de matrice de résultats, et le comportement du protocole REST en direct est hors périmètre selon le README de l’auteur du dépôt. Il a déjà relevé un écart : PyIceberg refuse des déclarations decimal avec des espaces autour des paramètres, que Java accepte [29].

Un catalogue REST qui se complète. Iceberg 1.11.0 (19 mai 2026) a ajouté l’enregistrement de vues, la planification de scan côté serveur et une spécification des fonctions SQL. La version 1.12.0 n’était pas publiée au 29 septembre [28].

Les vues sont portables entre catalogues, pas entre dialectes. Une vue porte ses métadonnées, son historique et une représentation SQL par dialecte. Le 8 septembre 2026, un membre du PMC a rappelé que le projet n’automatise pas la traduction entre dialectes et ne garantit pas la cohérence des résultats : c’est à l’auteur de la vue de la vérifier [30]. Le migrateur de catalogues d’Apache Polaris 1.1.0, publié le 28 septembre 2026, déplace les vues en masse [31]. Le catalogue et l’espace de noms par défaut d’origine restent dans les métadonnées : après un changement de catalogue, la résolution des références est à valider.

Catalogue	Tables par l’API REST Iceberg	Vues par l’API REST Iceberg
Unity Catalog (Databricks)	Oui, lecture et écriture des tables managées [32]	Non, les moteurs externes ne peuvent pas les lire [32]
Horizon (Snowflake)	Tables Iceberg gérées par Snowflake uniquement, appels facturés [33]	Non documenté dans les pages consultées
OneLake (Fabric)	Lecture seule des métadonnées [34]	Non documenté dans les pages consultées
Lakehouse for Apache Iceberg (Google)	Oui	Non vérifié
Apache Polaris	Oui	Oui, selon l’auteure de la fonctionnalité [31]

Les vues matérialisées sont encore en discussion, avec un vote attendu après la réunion du 1er octobre 2026 selon un bulletin de la communauté [35†]. Ne construisez rien dessus avant.

Le format ouvert donne la possibilité technique de partir, à tester avant d’en avoir besoin. Lire une table avec un second moteur prend une journée. Migrer une vue et vérifier ses résultats prend plus longtemps, et c’est là que se trouve le travail.

Synthèse

Texte	Question	Ce qu’il impose	Ce qu’il ne dit pas
Cloud Act [2]	Accès	Communication des données sous le contrôle du fournisseur, où qu’elles soient	Rien sur le format ni sur la sortie
FISA 702 [5†]	Accès	Assistance à la collecte de renseignement	Loi expirée le 12 juin 2026, collecte poursuivie jusqu’en mars 2027
RGPD, Data Privacy Framework [7]	Accès	Encadrement des transferts de données personnelles	Ne neutralise pas le Cloud Act
SecNumCloud 3.2 [10]	Hébergement	Protection contre le droit extra-européen, exigences de sécurité	Rien sur le format ni sur la réversibilité
Loi SREN art. 31, décret, arrêté [12][13]	Hébergement	SecNumCloud pour les données sensibles de l’État	Hors périmètre pour les entreprises privées
HDS [16]	Hébergement	Certification, transparence sur les lois de pays tiers (v2.1)	Rien sur le format
Data Act, chap. VI [19]	Sortie	Droit de changer, 30 jours de transition, frais supprimés en 2027	Un export lisible par machine suffit pour une plateforme de données
Loi SREN, frais de transfert [20]	Sortie	Frais de transfert plafonnés à zéro euro	Les autres frais de changement relèvent de lignes directrices
DORA art. 28 à 31 [21]	Sortie	Stratégies de sortie, risque de concentration	Aucune exigence de localisation ni de nationalité, à notre lecture
NIS2 [24†]	Sécurité	Gestion des risques cyber	Loi de transposition non promulguée
Cyber Resilience Act [27]	Sécurité	Signalement des vulnérabilités, sécurité des produits	Rien sur l’hébergement

Ces textes couvrent deux des quatre couches d’une plateforme de données. Le Cloud Act, SecNumCloud et la loi SREN portent sur le stockage et l’opérateur : ils disent chez qui vos données peuvent être hébergées. Le Data Act et DORA portent sur la sortie : ils vous donnent le droit de partir et, dans la finance, l’obligation de pouvoir le faire. Aucun ne dit comment rendre cette sortie techniquement possible pour une plateforme analytique. Ce choix se fait au niveau du format de table et du catalogue, et il vous revient.

Références

1. Charly Clairmont (Synaltic), Escaping the Hadoop Trap : Apache Iceberg, the long-term technical debt shield, Subsurface 2025 : https://youtu.be/0buykj29KbY
2. CLOUD Act, section 103 créant 18 U.S.C. § 2713 : https://www.usdoj.gov/d9/pages/attachments/2019/04/09/cloud_act.pdf
3. Sénat, commission d’enquête sur la commande publique, audition de Microsoft France, 10 juin 2025 : https://www.senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html
4. Sénat, rapport n° 830 (2024-2025), sur les offres hybrides : https://www.senat.fr/rap/r24-830-1/r24-830-115.html
5. † EPIC, 11 juin 2026 : https://epic.org/fisa-section-702-almost-certain-to-expire-after-house-votes-against-extension-epic-continues-to-urge-reforms/
6. † States Newsroom, 12 juin 2026 : https://newjerseymonitor.com/2026/06/12/repub/us-spying-law-expires-national-security/
7. Hogan Lovells (cabinet), Transatlantic data transfers: EU General Court upholds Data Privacy Framework : https://hlc.com/en/publications/transatlantic-data-transfers-eu-general-court-upholds-dat-privacy-framework
8. † Digital Policy Alert, appel C-703/25 P : https://digitalpolicyalert.org/event/35459
9. † Solutions Numériques, intervention de Microsoft : https://www.solutions-numeriques.com/data-privacy-framework-microsoft-defend-les-transferts-de-donnees-ue-etats-unis/
10. ANSSI, référentiel SecNumCloud v3.2, mars 2022 : https://cyber.gouv.fr/sites/default/files/document/secnumcloud-referentiel-exigences-v3.2.pdf
11. † Assemblée nationale, amendement n° 757 (16 mars 2023), exposé des motifs décrivant l’article 19.6 : https://www.assemblee-nationale.fr/dyn/16/amendements/0939/AN/757.pdf
12. Ministère de l’Économie (DAJ), décret d’application de l’article 31 : https://www.economie.gouv.fr/daj/publication-du-decret-dapplication-de-larticle-31-de-la-loi-sren-relatif-la-protection-des-donnees-dune-sensibilite-particuliere-de-letat ; Banque des Territoires (Localtis) pour les six GIP : https://www.banquedesterritoires.fr/secnumcloud-6-gip-assujettis-les-donnees-sensibles-enfin-definies
13. Légifrance, arrêté du 12 août 2026 : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054678082
14. Légifrance, circulaire n° 6404/SG du 31 mai 2023, actualisation de la circulaire n° 6282-SG du 5 juillet 2021 : https://www.legifrance.gouv.fr/circulaire/id/45446
15. Assemblée nationale, réponse du Gouvernement à la question écrite n° 11842 : https://www.assemblee-nationale.fr/dyn/16/questions/QANR5L16QE11842.pdf ; question écrite n° 1692 : https://www.assemblee-nationale.fr/dyn/17/questions/QANR5L17QE1692.pdf
16. Agence du numérique en santé, Référentiel HDS v2.1, 15 juillet 2026 : https://esante.gouv.fr/index%2Ephp/actualites/referentiel-hds-v21-les-evolutions-anticiper-des-maintenant
17. † Le Monde Informatique, SecNumCloud en danger à cause de la certification EUCS : https://www.lemondeinformatique.fr/actualites/lire-secnumcloud-en-danger-a-cause-de-la-certification-eucs-94699.html
18. Thales, communiqué S3NS annonce la qualification SecNumCloud de son offre Cloud de Confiance PREMI3NS, 18 décembre 2025 (URL à ajouter)
19. Règlement (UE) 2023/2854 (Data Act), EUR-Lex : https://eur-lex.europa.eu/eli/reg/2023/2854/oj/eng
20. Arcep, communiqué du 2 juillet 2026 sur les lignes directrices relatives aux frais de changement de fournisseur : https://www.arcep.fr/actualites/actualites-et-communiques/detail/n/cloud-020726.html
21. Règlement (UE) 2022/2554 (DORA), EUR-Lex : https://eur-lex.europa.eu/eli/reg/2022/2554/oj?locale=fr
22. EBA, communiqué du 18 novembre 2025 sur la désignation des prestataires TIC critiques : https://www.eba.europa.eu/publications-and-media/press-releases/european-supervisory-authorities-designate-critical-ict-third-party-providers-under-digital%5C
23. † Morgan Lewis, nombre de prestataires : https://www.morganlewis.com/blogs/sourcingatmorganlewis/2025/11/dora-eu-regulators-announce-list-of-critical-ict-third-party-providers ; PayTechLaw, noms cités : https://paytechlaw.com/en/esas-publish-list-of-critical-ict-third%E2%80%91party-providers/
24. † Banque des Territoires, communiqué de la CSNP du 18 mars 2026 : https://www.banquedesterritoires.fr/cybersecurite-la-csnp-presse-le-parlement-dexaminer-sans-delai-le-projet-de-loi-de-resilience
25. † Next, 23 septembre 2026 : https://next.ink/briefs/le-brief-du-23-septembre-2026/
26. † IT-Connect, 14 juillet 2026 : https://www.it-connect.fr/nis2-transposition-france-saisine-cjue/
27. Règlement (UE) 2024/2847 (Cyber Resilience Act), article 71, texte du Journal officiel reproduit par Springlex : https://www.springlex.eu/en/packages/cra/cra-regulation/article-71/
28. Apache Iceberg, versions : https://iceberg.apache.org/releases/ ; état d’implémentation : https://iceberg.apache.org/status/
29. Liste de développement d’Iceberg, annonce d’iceberg-verification, 16 septembre 2026 : https://lists.apache.org/thread/xjvwzfdwdb1gnq62whq3y5n11998vb4n ; écart sur decimal : https://github.com/apache/iceberg-verification/pull/9
30. Liste de développement d’Iceberg, message de Daniel Weeks, 8 septembre 2026 : https://mail-archive.com/dev@iceberg.apache.org/msg15040.html
31. Apache Polaris, Iceberg Catalog Migrator 1.1.0, 28 septembre 2026 : https://github.com/apache/polaris-tools/releases/tag/apache-polaris-iceberg-catalog-migrator-1.1.0
32. Databricks, What is Apache Iceberg in Databricks? : https://docs.databricks.com/aws/en/iceberg/
33. Snowflake, Access Apache Iceberg tables with an external engine through Snowflake Horizon Catalog : https://docs.snowflake.com/en/user-guide/tables-iceberg-access-using-external-query-engine-snowflake-horizon
34. Microsoft, Getting started with OneLake table APIs for Iceberg (page datée de 2025) : https://learn.microsoft.com/en-us/fabric/onelake/table-apis/iceberg-table-apis-get-started
35. † Alex Merced (Dremio), Apache Data Lakehouse Weekly, 15 au 23 septembre 2026, utilisé comme index : https://dev.to/alexmercedcoder/apache-data-lakehouse-weekly-september-15-to-23-2026-41mi