I. - A créé les dispositions suivantes :

- Code de commerce

Art. L442-12

II. - Dans un délai de dix-huit mois à compter de la promulgation de la présente loi, l'Autorité de la concurrence remet au Parlement et au Gouvernement un rapport présentant son activité au titre de la pratique d'autopréférence et des améliorations procédurales ou législatives éventuelles.

I. - Pour l'application du présent article et des chapitres II et IV du présent titre, on entend par :
1° « Service d'informatique en nuage » : le service défini au 1° du I de l'article L. 442-12 du code de commerce ;
2° « Frais de transfert de données » : les frais facturés par un fournisseur de services d'informatique en nuage à un client pour l'extraction, par un réseau, des données de ce client depuis l'infrastructure du fournisseur de services d'informatique en nuage vers les systèmes d'un autre fournisseur ou vers une infrastructure sur site ;
3° « Frais de changement de fournisseur » : les frais, autres que les frais de service standard ou les pénalités de résiliation anticipée, imposés par un fournisseur de services d'informatique en nuage à un client pour les actions réalisées pour changer de fournisseur en passant au système d'un fournisseur différent ou à une infrastructure sur site, y compris les frais de transfert des données ;
4° « Client » : le client défini au 3° du I du même article L. 442-12.
II. - Il est interdit à tout fournisseur de services d'informatique en nuage de facturer, dans le cadre des contrats qu'il conclut avec un client, des frais de transfert de données définis au I du présent article dans le cadre d'un changement de fournisseur supérieurs aux coûts supportés par le fournisseur et directement liés à ce changement.
III. - Il est interdit à tout fournisseur de services d'informatique en nuage de facturer, dans le cadre des contrats qu'il conclut avec un client, des frais de changement de fournisseur, autres que ceux mentionnés au 2° du I, supérieurs aux coûts supportés par le fournisseur et directement liés à ce changement.
IV. - Il est interdit à tout fournisseur de services d'informatique en nuage de facturer, dans le cadre des contrats qu'il conclut avec un client, des frais de transfert de données supérieurs aux coûts supportés par chaque fournisseur et directement liés à ce transfert lorsque ce client recourt de manière simultanée à plusieurs fournisseurs de services.
V. - Pour l'application des règles énoncées au II, les frais de transfert de données doivent être facturés dans le respect d'un montant maximal de tarification fixé par arrêté du ministre chargé du numérique après proposition de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.
VI. - Après consultation publique, l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse adopte des lignes directrices portant sur les coûts susceptibles d'être pris en compte dans la détermination des frais de changement de fournisseur de services d'informatique en nuage mentionnés au III et des frais de transfert de données mentionnés au IV.
VII. - Les fournisseurs de services d'informatique en nuage communiquent aux clients et aux potentiels clients de façon claire et compréhensible, notamment avant la signature du contrat, des informations sur les frais de transfert de données et de changement de fournisseur, y compris sur la nature et le montant de ces frais. Ils informent leurs clients de toute évolution relative à ces informations pendant toute la durée du contrat.
Pour les contrats conclus à compter de la promulgation de la présente loi, la nature et le montant de ces frais éventuels doivent être mentionnés dans le contrat.
Pour les contrats en cours à la date de la promulgation de la présente loi, les fournisseurs de services d'informatique en nuage informent expressément leurs clients de la nature et du montant des frais de transfert de données et de changement de fournisseur qui leur sont imputables dans le cadre du contrat.
VIII. - Les obligations définies au présent article ne s'appliquent pas aux services suivants :
1° Les services d'informatique en nuage dont la majorité des caractéristiques principales ont été conçues sur mesure pour répondre aux besoins spécifiques d'un client particulier ou dont tous les composants ont été développés pour les besoins d'un client spécifique et qui ne sont pas offerts à grande échelle sur le plan commercial par l'intermédiaire du catalogue de services du fournisseur de services d'informatique en nuage ;
2° Les services d'informatique en nuage fournis en tant que version non destinée à la production à des fins d'essai et d'évaluation et pour une durée limitée.
Avant la conclusion d'un contrat, le fournisseur de services indique au client potentiel si les services fournis relèvent des 1° ou 2° du présent VIII.

I. - Pour l'application du présent chapitre, on entend par :
1° « Actifs numériques » : tous les éléments au format numérique, y compris les applications, sur lesquels le client d'un service d'informatique en nuage a un droit d'utilisation, indépendamment de la relation contractuelle que le client a avec le service d'informatique en nuage qu'il a l'intention de quitter ;
2° « Équivalence fonctionnelle » : le rétablissement, sur la base des données exportables et des actifs numériques du client, d'un niveau minimal de fonctionnalité dans l'environnement d'un nouveau service d'informatique en nuage du même type de service après le changement de fournisseur, lorsque le service de destination fournit des résultats sensiblement comparables en réponse à la même entrée pour les fonctionnalités partagées fournies au client en application d'un accord contractuel ;
3° « Données exportables » : les données d'entrée et de sortie, y compris les métadonnées, générées directement ou indirectement ou cogénérées par le client par l'utilisation du service d'informatique en nuage, à l'exclusion de tout actif ou des données du fournisseur de services d'informatique en nuage ou d'un tiers, lorsque cet actif ou ces données sont protégés au titre de la propriété intellectuelle ou du secret des affaires.
II. - Les fournisseurs de services d'informatique en nuage assurent la conformité de leurs services aux exigences essentielles :
1° D'interopérabilité, dans des conditions sécurisées, avec les services du client ou avec ceux fournis par d'autres fournisseurs de services d'informatique en nuage pour le même type de service ;
2° De portabilité des actifs numériques et des données exportables, dans des conditions sécurisées, vers les services du client ou vers ceux fournis par d'autres fournisseurs de services d'informatique en nuage couvrant le même type de service ;
3° De mise à disposition gratuite aux clients et aux fournisseurs de services tiers désignés par ces utilisateurs à la fois d'interfaces de programmation d'applications nécessaires à la mise en œuvre de l'interopérabilité et de la portabilité mentionnées aux 1° et 2° du présent II et d'informations suffisamment détaillées sur le service d'informatique en nuage concerné pour permettre aux clients ou aux services de fournisseurs tiers de communiquer avec ce service, à l'exception des services qui relèvent des services mentionnés au III de l'article 29.

I. - L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse précise les règles et les modalités de mise en œuvre des exigences mentionnées au II de l'article 28, notamment par l'édiction de spécifications d'interopérabilité et de portabilité. Elle peut, à cet effet, demander à un ou plusieurs organismes de normalisation de lui faire des propositions.
Pour l'édiction de ces spécifications, l'autorité mentionnée au premier alinéa du présent I fait la distinction entre, d'une part, les services correspondant à des ressources informatiques modulables et variables limitées à des éléments d'infrastructure tels que les serveurs, les réseaux et les ressources virtuelles nécessaires à l'exploitation de l'infrastructure, sans donner accès aux services, logiciels et applications d'exploitation qui sont stockés, traités ou déployés sur ces éléments d'infrastructure, et, d'autre part, les autres services d'informatique en nuage. Elle veille également à la bonne articulation de ces spécifications avec celles édictées par les autorités compétentes des autres Etats membres de l'Union européenne ou figurant au sein des codes de conduite européens relatifs aux services d'informatique en nuage.
II. - Lorsque les exigences mentionnées au II de l'article 28 sont précisées dans les conditions définies au I du présent article, les fournisseurs de services d'informatique en nuage assurent la conformité de leurs services à ces exigences et à ces modalités.
Ils publient et mettent à jour régulièrement une offre de référence technique d'interopérabilité précisant les conditions de mise en conformité de leurs services avec les exigences mentionnées au II de l'article 28, précisées, le cas échéant, par les décisions de l'autorité mentionnée au I du présent article.
III. - Les fournisseurs de services d'informatique en nuage dont les services correspondent à des ressources informatiques modulables et variables limitées à des éléments d'infrastructure tels que les serveurs, les réseaux et les ressources virtuelles nécessaires à l'exploitation de l'infrastructure, sans donner accès ni aux services, ni aux logiciels, ni aux applications d'exploitation qui sont stockés, traités ou déployés sur ces éléments d'infrastructure, prennent les mesures raisonnables en leur pouvoir afin de faciliter une équivalence fonctionnelle dans l'utilisation du service de destination, lorsqu'il couvre le même type de fonctionnalités.
IV. - Les obligations définies au premier alinéa du II et au III ne s'appliquent pas aux services d'informatique en nuage dont la majorité des caractéristiques principales ont été conçues sur mesure pour répondre aux besoins spécifiques d'un client particulier ou dont tous les composants ont été développés pour les besoins d'un client spécifique et qui ne sont pas offerts à grande échelle sur le plan commercial par l'intermédiaire du catalogue de services du fournisseur de services d'informatique en nuage.
Les obligations définies à l'article 28 et au présent article ne s'appliquent pas aux services d'informatique en nuage fournis en tant que version non destinée à la production à des fins d'essai et d'évaluation pour une durée limitée.
Avant la conclusion d'un contrat, le fournisseur de services indique au client potentiel si les exemptions aux obligations prévues à l'article 28 et au présent article s'appliquent aux services fournis.
V. - Les conditions d'application du présent article et le délai de précision des règles et des modalités de mise en œuvre des exigences mentionnées au II de l'article 28 sont précisés par un décret pris après avis de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.

I. - L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut, de manière proportionnée aux besoins liés à l'accomplissement de ses missions et sur la base d'une décision motivée :
1° Recueillir auprès des personnes physiques ou morales fournissant des services d'informatique en nuage les informations ou les documents nécessaires pour s'assurer du respect par ces personnes des obligations mentionnées aux articles 27 à 29 ;
2° Procéder à des enquêtes auprès de ces mêmes personnes.
Ces enquêtes sont menées dans les conditions prévues aux II à IV de l'article L. 32-4 et à l'article L. 32-5 du code des postes et des communications électroniques.
L'autorité veille à ce que les informations recueillies en application du présent article ne soient pas divulguées lorsqu'elles sont protégées par l'un des secrets mentionnés aux articles L. 311-5 à L. 311-8 du code des relations entre le public et l'administration.
II. - En cas de désaccord sur le respect par le fournisseur de services d'informatique en nuage des interdictions et des obligations mentionnées aux II à IV et VII de l'article 27, au II de l'article 28 et aux II et III de l'article 29 de la présente loi, l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut être saisie du différend dans les conditions prévues à l'article L. 36-8 du code des postes et des communications électroniques.
Sa décision est motivée et précise les conditions équitables, d'ordre technique et financier, de mise en œuvre des interdictions et des obligations mentionnées aux II à IV et VII de l'article 27, au II de l'article 28 et aux II et III de l'article 29 de la présente loi.
III. - L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut, soit d'office, soit à la demande du ministre chargé du numérique, d'une organisation professionnelle, d'une association agréée d'utilisateurs ou de toute personne physique ou morale concernée, sanctionner les manquements aux obligations mentionnées aux articles 27 à 29 qu'elle constate de la part d'un fournisseur de services d'informatique en nuage.
Ce pouvoir de sanction est exercé dans les conditions prévues à l'article L. 36-11 du code des postes et des communications électroniques. Par dérogation aux quatrième à dixième alinéas du III du même article L. 36-11, la formation restreinte de l'autorité mentionnée à l'article L. 130 du même code peut prononcer à l'encontre du fournisseur de services d'informatique en nuage en cause une sanction pécuniaire dont le montant est proportionné à la gravité du manquement et aux avantages qui en sont tirés, sans pouvoir excéder 3 % du chiffre d'affaires mondial hors taxes réalisé au cours du dernier exercice clos. Ce taux est porté à 5 % en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive.
IV. - Le président de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse saisit l'Autorité de la concurrence des abus de position dominante et des pratiques entravant le libre exercice de la concurrence dont il pourrait avoir connaissance dans le secteur de l'informatique en nuage. Cette saisine s'effectue dans les conditions prévues à l'article L. 36-10 du code des postes et des communications électroniques.

I. - Lorsque les administrations de l'Etat, ses opérateurs dont la liste est annexée au projet de loi de finances ainsi que les groupements d'intérêt public comprenant les administrations ou les opérateurs mentionnés précédemment et dont la liste est fixée par décret en Conseil d'Etat ont recours à un service d'informatique en nuage fourni par un prestataire privé pour la mise en œuvre de systèmes ou d'applications informatiques, ils respectent les dispositions du présent article.
Si le système ou l'application informatique concerné traite de données d'une sensibilité particulière, définies au II, qu'elles soient à caractère personnel ou non, et si leur violation est susceptible d'engendrer une atteinte à l'ordre public, à la sécurité publique, à la santé ou à la vie des personnes ou à la protection de la propriété intellectuelle, l'administration de l'Etat, ses opérateurs et les groupements mentionnés au présent I veillent à ce que le service d'informatique en nuage fourni par le prestataire privé mette en œuvre des critères de sécurité et de protection des données garantissant notamment la protection des données traitées ou stockées contre tout accès par des autorités publiques d'Etats tiers non autorisé par le droit de l'Union européenne ou d'un Etat membre.
II. - Sont qualifiées de données d'une sensibilité particulière au sens du I :
1° Les données qui relèvent de secrets protégés par la loi, notamment au titre des articles L. 311-5 et L. 311-6 du code des relations entre le public et l'administration ;
2° Les données nécessaires à l'accomplissement des missions essentielles de l'Etat, notamment la sauvegarde de la sécurité nationale, le maintien de l'ordre public et la protection de la santé et de la vie des personnes.
III. - Lorsque, à la date d'entrée en vigueur du présent article, l'administration de l'Etat, son opérateur ou le groupement mentionné au I a déjà engagé un projet nécessitant le recours à un service d'informatique en nuage, cette administration, cet opérateur ou ce groupement peut solliciter une dérogation au présent article.
IV. - Le I est applicable au groupement mentionné à l'article L. 1462-1 du code de la santé publique.
V. - Dans un délai de six mois à compter de la promulgation de la présente loi, un décret en Conseil d'Etat précise les modalités d'application du présent article, notamment les critères de sécurité et de protection, y compris en termes de détention du capital, des données mentionnés au I. Ce décret précise également les conditions dans lesquelles une dérogation motivée et rendue publique peut être accordée sous la responsabilité du ministre dont relève le projet déjà engagé et après validation par le Premier ministre, sans que cette dérogation puisse excéder dix-huit mois à compter de la date à laquelle une offre de services d'informatique en nuage acceptable est disponible en France, et fixe éventuellement les critères selon lesquels une telle offre peut être considérée comme acceptable.
VI. - Dans un délai de dix-huit mois à compter la promulgation de la présente loi, le Gouvernement remet au Parlement un rapport évaluant les moyens supplémentaires pouvant être pris afin de rehausser le niveau de la protection collective face aux risques et aux menaces que les législations extraterritoriales peuvent faire peser sur les données qualifiées d'une sensibilité particulière par le présent article ainsi que sur les données de santé à caractère personnel. Ce rapport évalue également l'opportunité et la faisabilité de soumettre les fournisseurs de services d'informatique en nuage établis en dehors de l'Union européenne à un audit de chiffrement certifié par l'Agence nationale de la sécurité des systèmes d'information.

I.-A modifié les dispositions suivantes :

- Code de la santé publique

Art. L1111-8

II.-Le b du 1° du I entre en vigueur à une date fixée par décret, qui ne peut être postérieure au 1er juillet 2025.

I. - Les fournisseurs de services d'informatique en nuage publient et tiennent à jour sur leur site internet les informations suivantes :
1° Les informations relatives aux juridictions compétentes eu égard à l'infrastructure déployée pour le traitement des données dans le cadre de leurs différents services ;
2° Une description générale des mesures techniques, organisationnelles et contractuelles mises en œuvre par le fournisseur de services d'informatique en nuage afin d'empêcher tout accès non autorisé aux données à caractère non personnel détenues dans l'Union européenne ou le transfert de ces données par des Etats tiers, dans les cas où ce transfert ou cet accès est contraire au droit européen ou au droit national.
Les sites internet mentionnés au premier alinéa du présent I sont mentionnés dans les contrats de tous les services d'informatique en nuage offerts par les fournisseurs de services d'informatique en nuage.
II. - Les fournisseurs de services d'informatique en nuage publient des informations sur l'empreinte environnementale de leurs services, notamment en matière d'empreinte carbone, de consommation d'eau et de consommation d'énergie.
III. - Un décret précise le contenu, les modalités d'application et les délais de mise en œuvre de l'obligation mentionnée au II ainsi que les seuils d'activité en deçà desquels les fournisseurs de services d'informatique en nuage n'y sont pas assujettis.

- Code des postes et des communications électroniques

Art. L32, Art. L32-4, Art. L36-6, Art. L36-11

I. - Les I à III de l'article L. 442-12 du code de commerce, dans sa rédaction résultant de l'article 26, les articles 27 à 30 et l'article 33 de la présente loi s'appliquent aux fournisseurs de services d'informatique en nuage établis en France ou hors de l'Union européenne.
II. - Lorsque les conditions mentionnées au a du paragraphe 4 de l'article 3 de la directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique ») sont remplies et au terme de la procédure prévue au b du paragraphe 4 ou, le cas échéant, au paragraphe 5 du même article 3, les I à III de l'article L. 442-12 du code de commerce, dans sa rédaction résultant de l'article 26, les articles 27 à 30 et l'article 33 de la présente loi s'appliquent également aux fournisseurs de services d'informatique en nuage établis dans un autre Etat membre de l'Union européenne, dans un délai qui ne peut être supérieur à un an à compter de la publication de l'arrêté du ministre chargé du numérique. L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut proposer au ministre la désignation de ces personnes et fournit à l'appui tous les éléments de nature à justifier sa proposition. L'arrêté est pris après avis de l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, sauf lorsqu'il fait suite à une proposition de l'Autorité portant sur chacun des fournisseurs désignés par cet arrêté.

L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse est l'autorité compétente en matière de services d'intermédiation de données, en application de l'article 13 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données).
L'autorité est consultée sur les projets de lois et de décrets relatifs aux services d'intermédiation de données. Elle est associée, à la demande du ministre chargé du numérique, à la préparation de la position française dans les négociations internationales dans le domaine des services d'intermédiation de données. Elle participe, à la demande du même ministre, à la représentation française dans les organisations internationales et européennes compétentes en ce domaine.
Afin de veiller à une application coordonnée et cohérente de la réglementation, l'autorité participe au comité européen de l'innovation dans le domaine des données institué à l'article 29 du même règlement et coopère avec les autorités compétentes des autres Etats membres de l'Union européenne et avec la Commission européenne.

I. - L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut, de manière proportionnée aux besoins liés à l'accomplissement de ses missions et sur la base d'une décision motivée :
1° Recueillir auprès des personnes physiques ou morales fournissant des services d'intermédiation de données les informations ou les documents nécessaires pour s'assurer du respect par ces personnes des exigences définies au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ou dans les actes délégués pris pour son application ;
2° Procéder auprès des mêmes personnes à des enquêtes dans les conditions prévues aux II à IV de l'article L. 32-4 et à l'article L. 32-5 du code des postes et des communications électroniques.
Elle veille à ce que les informations recueillies en application du présent article ne soient pas divulguées lorsqu'elles sont protégées par l'un des secrets mentionnés aux articles L. 311-5 à L. 311-8 du code des relations entre le public et l'administration.
II. - L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut se saisir d'office ou être saisie par toute personne physique ou morale concernée, notamment par le ministre chargé des communications électroniques, par une organisation professionnelle ou par une association agréée d'utilisateurs, des manquements aux exigences énoncées au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité de la part d'un prestataire de services d'intermédiation de données.
Elle exerce son pouvoir de sanction dans les conditions prévues à l'article L. 36-11 du code des postes et des communications électroniques.
Par dérogation au sixième alinéa du I du même article L. 36-11, le prestataire de services d'intermédiation de données qui a fait l'objet, de la part de l'autorité, d'une mise en demeure consécutive à un manquement aux exigences mentionnées au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité doit s'y conformer dans un délai maximal de trente jours.
Par dérogation aux quatrième à dixième alinéas du III de l'article L. 36-11 du code des postes et des communications électroniques, la formation restreinte de l'autorité mentionnée à l'article L. 130 du même code peut prononcer à l'encontre du prestataire de services d'intermédiation de données en cause l'une des sanctions suivantes :
1° Une sanction pécuniaire dont le montant tient compte des critères fixés à l'article 34 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité, sans pouvoir excéder 3 % du chiffre d'affaires mondial hors taxes du dernier exercice clos, ce taux étant porté à 5 % en cas de nouvelle violation de la même obligation. A défaut d'activité permettant de déterminer ce plafond, la sanction ne peut excéder un montant de 150 000 euros, porté à 375 000 euros en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive ;
2° La suspension de la fourniture du service d'intermédiation de données ;
3° La cessation de la fourniture du service d'intermédiation de données, dans le cas où le prestataire n'aurait pas remédié à des manquements graves ou répétés malgré l'envoi d'une mise en demeure en application du troisième alinéa du présent II.

L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse saisit, avant toute décision, la Commission nationale de l'informatique et des libertés des pratiques des prestataires de services d'intermédiation de données de nature à soulever des questions liées à la protection des données à caractère personnel et tient compte de ses observations éventuelles.
Dans des conditions fixées par décret, cette autorité tient compte, le cas échéant, des observations éventuelles du président de la Commission nationale de l'informatique et des libertés lorsqu'elle traite :
1° Des demandes formulées par les prestataires de services d'intermédiation de données en application du paragraphe 9 de l'article 11 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ;
2° Des réclamations des personnes physiques ou morales ayant recours aux services d'intermédiation de données relatives au champ d'application du même règlement.
L'autorité informe le président de la Commission nationale de l'informatique et des libertés de toute procédure ouverte en application de l'article 37 de la présente loi. Elle lui communique, dans des conditions fixées par décret, toute information utile lui permettant de formuler ses observations éventuelles sur les questions liées à la protection des données à caractère personnel dans un délai de quatre semaines à compter de sa saisine. Le cas échéant, l'autorité tient la commission informée des suites données à la procédure.
La Commission nationale de l'informatique et des libertés communique à l'autorité les faits dont elle a connaissance dans le cadre de sa mission de contrôle du respect des exigences en matière de protection des données à caractère personnel et qui pourraient constituer des manquements des services d'intermédiation de données à leurs obligations prévues au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité.

- Code des postes et des communications électroniques

Art. L130