Le ZenDis (de) vient de publier des propositions sur la souveraineté numérique et le droit des marchés publics en Allemagne.

Le ZenDis (Zentrum Digitale Souveränität - Centre pour la Souveraineté Numérique) est une agence gouvernementale (SARL à capitaux publics) allemande, dont la création avait été annoncée dans une dépêche de 2021 et dont la mission est de « servir d’organe central et de coordination pour la promotion des logiciels libres (OSS) dans l’administration publique ».

Le document « Positionspapier: Digitale Souveränität im Vergaberecht»  met en avant l’importance de renforcer la souveraineté numérique des administrations publiques allemandes face à une situation géopolitique incertaine. Il souligne la volonté politique exprimée dans diverses stratégies et documents officiels depuis 2020, qui prônent l’adoption systématique de standards ouverts et de logiciels open source pour les projets informatiques publics afin de réduire les dépendances aux fournisseurs de technologies propriétaires.

L’utilisation de logiciels open source est présentée comme un levier essentiel pour atteindre cette souveraineté numérique. Les avantages comprennent la flexibilité de changer de fournisseur, la capacité d’adaptation des logiciels aux besoins spécifiques des administrations et une meilleure position de négociation avec les fournisseurs. Toutefois, malgré un cadre juridique favorable, l’open source reste peu utilisé dans la pratique des marchés publics.

Enfin, le texte appelle à utiliser la réforme en cours du droit des marchés publics (Vergabetransformationspaket) pour intégrer de manière plus étendue cette préférence pour l’open source, en s’inspirant d’exemples de législation comme celle de la Thuringe. Le texte met en avant des propositions d’amendements spécifiques au code des marchés publics allemand pour favoriser l’adoption de l’open source, renforcer la souveraineté numérique et réduire les dépendances technologiques au sein des administrations publiques allemandes.

La Commission européenne a publié un avis préliminaire selon lequel Microsoft aurait enfreint les règles antitrust de l’UE en liant Teams à ses suites bureautiques, Office 365 et Microsoft 365, avec pour effet de limiter la concurrence sur le marché des outils de communication et de collaboration.

La Commission a constaté que Microsoft est en position dominante sur le marché mondial des suites bureautiques SaaS pour un usage professionnel. Elle s’inquiète du fait que, depuis au moins avril 2019, Microsoft inclut Teams dans ses suites bureautiques en SaaS, restreignant ainsi la concurrence sur le marché des produits de communication et de collaboration. Cette stratégie empêche les concurrents de Teams de rivaliser efficacement, réduisant ainsi l’innovation au détriment des clients dans l’Espace économique européen.

La Commission juge insuffisants les changements apportés par Microsoft à la distribution de Teams après l’ouverture de l’enquête en juillet 2023. Si ces accusations sont confirmées, elles constitueraient une violation de l’article 102 du Traité sur le fonctionnement de l’Union européenne (TFUE), qui interdit l’abus de position dominante. La Commission pourrait alors interdire ces pratiques et imposer une amende pouvant atteindre 10 % du chiffre d’affaires annuel mondial de l’entreprise, ainsi que des remèdes pour rétablir la concurrence.

Le Conseil National du Logiciel Libre (CNLL) déplore la sous-représentation de la souveraineté numérique dans le débat politique actuel en vue des élections européennes en France. Le CNLL a en effet élaboré et diffusé un questionnaire auprès des principaux partis candidats aux Européennes de juin. Aucun des "grands" partis sollicités à de multiples reprises et par différents canaux n'a donné suite. Cette absence de réponse des grands partis est la marque soit d'un désintérêt, soit d'une absence d'expertise, confirmés pour l'essentiel par l'analyse de Benoît Sibaud dans une dépêche précédente.

Seuls deux "petits" partis, Volt France (leur réponse) et le Parti Pirate (leur réponse), ont répondu à ce questionnaire, en reconnaissant pleinement l'importance de la souveraineté numérique et en proposant des stratégies claires pour intégrer davantage le logiciel libre dans la politique numérique européenne.

En comparaison, tous les grands partis allemands ont répondu à un questionnaire similaire de l'Open Source Business Alliance (OSBA), mettant en lumière le retard préoccupant des partis français en la matière.

Dans ces conditions, le CNLL appelle les électeurs français sensibles aux sujets de la souveraineté numérique européenne et du soutien au logiciel libre à considérer avec attention les listes de ces deux partis lors du scrutin du 9 juin prochain.

NB pratiques: Volt figure sur la liste « Europe Territoires Écologie » (n°31) avec d'autres partis de centre-gauche. Le Parti Pirate (n°10) invite ses électeurs à imprimer leur propre bulletin.

N. D. M. : l'April a aussi extrait les différentes propositions relatives aux sujets de l'association parmi les programmes des 38 listes candidates

Les élections du Parlement européen ou élections européennes visent à élire les députés du Parlement européen. Les prochaines ont lieu du 6 au 9 juin 2024 (suivant les pays). Sur la mandature de 2019, il y avait 705 députés, et en juin ils seront 720. La répartition par pays est déterminée proportionnellement à la démographie du pays (par exemple 96 pour l’Allemagne, 81 pour la France et 6 pour le Luxembourg). Les députés se regroupent ensuite par groupes parlementaires (trans-pays, composés de blocs politiques informels ou encore des indépendants, constituant des coalitions).

Les 27 États membres choisissent chacun le mode de scrutin (scrutin à vote unique transférable, attribution des voix de préférence aux candidats de son choix, vote possible pour des candidats de différentes listes ou scrutin par liste bloquée).

Exemple pour la France : liste nationale par candidat, 5% minimum pour avoir un siège, scrutin en un tour par liste bloquée, chaque liste doit imprimer ses bulletins (coût supérieur à 1M€ remboursé si plus de 3%). D’autres pays demandent un nombre préalable de signatures par exemple.

La France vient de publier la liste des candidats : 37 38 (finalement par arrêté du 23 mai 2024) listes de 81 noms ont été déposées. Elles sont numérotées et ordonnées, aléatoirement, et l’ordre retenu sera utilisé pour placer les bulletins, les affiches, les résultats, etc. Clairement le nombre créé des problèmes logistiques (espace nécessaire, contraintes de placement, types de machines à vote non utilisables, coût induit, etc.), voir par exemple cet article.

On peut aussi mentionner des spécificités nationales dans le comportement vis-à-vis de l’élection. Wikipedia mentionne par exemple que « en France, les partis politiques tendent à nationaliser les enjeux du scrutin. »

Et si on parlait des programmes ?

Le collectif « Convergences Numériques », qui regroupe dix organisations professionnelles du numérique françaises, dont Numeum et le Cigref (mais pas le CNLL), avait organisé jeudi dernier une soirée pour à la fois présenter un « manifeste » concernant la politique européenne du numérique, et pour auditionner 7 représentants des listes candidates aux élections européennes de juin prochain.

Sur les 10 pages du manifeste, une seule proposition concerne le logiciel libre: « Encourager l’Europe à soutenir l’open source : largement adopté par les entreprises et administrations françaises, l’open source est un atout majeur pour répondre aux défis de l’indépendance technologique et de la transition écologique. » C'est peu, compte-tenu notamment du fait que le logiciel libre représente plus de 10% du chiffre d'affaire annuel de la filière informatique (logiciels et services) en France et un peu moins de 10% en Europe (source: étude Markess 2022 pour le CNLL, Numeum et Systematic), et que la stratégie de la Commission pour l'Open Source s'arrête à 2023.

Lors des auditions, seuls deux candidats ont parlé du logiciel libre, y consacrant chacun l'essentiel de leur temps de parole: Sven Franck, co-tête de liste du parti Volt, et Pierre Beyssac, numéro 2 de la liste du Parti Pirate. Sven Franck a notamment présenté l'intérêt du logiciel libre pour la souveraineté et la compétitivité européennes, et Pierre Beyssac l'importance d'une forme de souveraineté numérique « personnelle » en plus d'une vision plus « étatique » de la souveraineté.

Notons enfin que le CNLL a publié en mars un questionnaire adressés aux partis politiques qui souligne l'importance stratégique du logiciel libre pour la souveraineté numérique, l'innovation et les valeurs démocratiques de l'Europe. Il invite les candidats à partager leur vision et leurs propositions sur un large éventail de sujets liés au logiciel libre, notamment la gouvernance numérique, l'éducation et la formation, le soutien aux PME, l'innovation, les politiques spécifiques et la collaboration. Les questions portent sur des aspects concrets tels que la promotion du logiciel libre dans l'administration publique, l'accès aux marchés pour les PME, les programmes de financement, l'interopérabilité, l'inclusion sociale et la durabilité numérique.

À ce jour, aucune réponse n'a été reçue (malgré de multiples relances), et seuls Volt et le Parti Pirate se sont engagés à répondre. Notons pour finir que des propositions en faveur du logiciel libre sont détaillées dans leurs programmes (cliquez sur "lire la suite" pour en savoir un peu plus).

Les enchères en temps réel, ou Real-Time Bidding (RTB), sont une technologie publicitaire omniprésente sur les sites web et applications mobiles commerciaux. Selon un rapport publié en novembre dernier, cette technologie soulève de sérieuses préoccupations en matière de confidentialité, car elle permet la diffusion de données sensibles sur les utilisateurs à un grand nombre d’entités, sans garanties de sécurité adéquates. Le système RTB expose les utilisateurs à des risques potentiels de la part d’acteurs étatiques et non étatiques malveillants.

La technologie RTB permet à des entités étrangères et à des acteurs non étatiques d’accéder à des informations confidentielles sur le personnel sensible et les dirigeants clés en Europe. Ces données peuvent être obtenues directement via l’exploitation de plateformes de demande (DSP) ou indirectement à partir d’autres entités. De plus, les entreprises de RTB transmettent souvent ces données personnelles en Russie et en Chine, où les lois locales permettent aux agences de sécurité d’y accéder. La large diffusion des données RTB auprès de multiples entreprises au sein de l’UE augmente également le risque d’accès par des acteurs indésirables.

Les données RTB contiennent souvent des informations personnelles telles que la localisation, les horodatages et d’autres identifiants, ce qui facilite l’identification des individus. Cela peut inclure des informations sensibles sur leur situation financière, leur santé, leurs préférences sexuelles et leurs activités en ligne et hors ligne. Même les personnes utilisant des appareils sécurisés à des fins professionnelles ne sont pas à l’abri, car leurs données circulent toujours via le RTB à partir de leurs appareils personnels, de ceux de leurs familles ou de leurs contacts.

Le texte final du CRA, projet de directive qui a pour objectif d’améliorer la cybersécurité des produits numériques en Europe, a été adopté par à l’issue du trilogue entre les institutions de l’Union Européenne. Il est probable qu’il sera adopté prochainement lors d’un vote au Parlement européen, et qu’il entrera en vigueur dans environ deux ans. À la clef, des pénalités très fortes pour les entreprises qui ne respecteront pas les critères.

Le texte prévoit que la Commission doit préparer des guides, notamment à l’intention des PME :

La Commission devra élaborer des guides pour aider les opérateurs économiques, en particulier les micro, petites et moyennes entreprises, à appliquer le présent règlement. Ces guides devront porter notamment sur le champ d’application du présent règlement, en particulier la notion de traitement des données à distance et les implications pour les développeurs de logiciels libres, l’application des critères utilisés pour déterminer la période de maintenance des produits comportant des éléments numériques, l’interaction entre le présent règlement et d’autres textes législatifs de l’Union et la notion de « modifications substantielles ».

Par ailleurs, l’UE a chargé le CEN/CENELEC d’élaborer des normes de développement de logiciels sécurisés et invite les communautés du logiciel libre à contribuer à ce processus, directement ou indirectement:

(6b) Lors de l’élaboration des mesures de mise en œuvre du présent règlement, la Commission consulte et tient compte des avis des parties prenantes concernées, tels que les autorités compétentes des États membres, le secteur privé, y compris les micro, petites et moyennes entreprises, la communauté des logiciels libres, les associations de consommateurs, le monde universitaire et les agences ou organes de l’Union compétents ou les groupes d’experts établis au niveau de l’Union.

Le consensus des observateurs sur le document final semble être que celui-ci a « patché » les problèmes les plus graves qui ont été soulevés par les acteurs du logiciel libre au cours du processus législatif. Néanmoins il reste à la fois des problèmes de fond (le texte donne une définition des « logiciels libres et open source » qui se démarque sensiblement des définitions de la FSF et de l’OSI) dont l’impact juridique à long terme n’est pas encore connu, ainsi que toutes les questions pratiques de la mise en œuvre de la directive et des normes associées par les entreprises, avec un surcoût pour les PME qui reste estimé à 30% des coûts de développement.

Comme l'écrivait l’un des membres du conseil d'administration de l’April : « C’est souvent compliqué de « donner à voir après » comment l’April a contribué. Difficile aussi d'évaluer « l’influence » réelle de nos plaidoyers, mais, là, quoi qu'il en soit, c'est une bonne illustration de ce que l’April fait et peut faire ».

En tant que présidente de l'April, je vais donc essayer de vous « donner à voir » comment l’April a œuvré cette fois !

Tout commence en 2021 (ouais… il y a quasiment deux ans), lorsque le projet de loi visant à « Encourager l’usage du contrôle parental sur certains équipements et services vendus en France et permettant d’accéder à Internet » (mais que c'est long comme nom de projet !) est discuté dans l’une des chambres parlementaires.

Le Cyber Resilience Act ou CRA est un sujet qui a déjà été évoqué sur ces pages.

Il s’agit d’un projet de directive qui a pour objectif louable d’améliorer la cybersécurité des produits numériques en Europe. Cependant, c’est un texte “buggé” qui va faire l’objet d’un vote crucial cette semaine, le 19 juillet, au sein du comité ITRE du Parlement européen, et qui pourrait être adopté dans la foulée, sans vote en session plénière, par le Parlement lui-même. Si rien de change d’ici son adoption finale, il aura des conséquences particulièrement lourdes pour les petites et moyennes entreprises (PME) évoluant dans le domaine du logiciel libre, et plus généralement sur la filière du logiciel libre, une composante essentielle de l’économie numérique européenne.

Quels sont les principaux problèmes que pose le texte du comité ITRE pour la filière européenne du logiciel libre ?

Nous en discutons de manière plus détaillée dans cette dépêche, qui reprend, en très grande partie, un communiqué du CNLL.

Le 10 juillet 2023, la Commission européenne a adopté une « décision d’adéquation » au sujet du cadre de protection des données de l’Union européenne et des États-Unis. Sur la base de cette décision, les données à caractère personnel peuvent de nouveau circuler librement de l’UE vers les entreprises des États-Unis.

Cette décision est pour le moins controversée. Maximilian Schrems, lors de sa keynote à l’OSXP 2022, l’avait prévue, et annoncé par avance une action à venir auprès de la Cour de justice de l’union européenne (CJEU), qui, espérons-le, aboutira à une nouvelle invalidation, après les arrêts Schrems et Schrems II. Dans un communiqué, NOYB, l’association de Max Schrems, dénonce: « Le prétendu “nouveau” cadre transatlantique de protection des données personnelles est en grande partie une copie du “bouclier de protection des données” qui a échoué. Malgré les efforts de relations publiques de la Commission européenne, la législation américaine et l’approche adoptée par l’UE n’ont guère changé. Le problème fondamental de la loi FISA 702 n’a pas été abordé par les États-Unis, qui considèrent toujours que seuls les ressortissants américains peuvent prétendre à des droits constitutionnels. » (Les différents points juridiques évoqués ici sont clairement expliqués dans la keynote de Max Schrems à l’OSXP, ou détaillés dans le communiqué de NOYB).

Philippe Latombe, député français (MODEM) de Vendée, a posté dans un communiqué rageur: « Si mes espoirs restaient ténus, je dois dire que je ne m’attendais pas à un abandon aussi déshonorant, en rase campagne, des intérêts européens. […] Autant de mises en garde que la Commission européenne, faisant fi des avertissements du Parlement, et donc du Parlement lui-même, a balayées d’un revers de main, se livrant à un troc déshonorant qui peut se résumer ainsi : investissements américains en matériel militaire dans le conflit ukrainien et gaz d’outre-Atlantique, contre les données des Européens. […] Le temps joue en faveur du plus fort. Le capharnaüm juridique ainsi entretenu permet aux multinationales américaines des technologies de l’information et de la communication d’agir comme elles l’entendent, ou presque, de creuser leur avance, déjà considérable, au détriment de l’écosystème européen, et plus généralement de l’économie du vieux continent qui risque de ne pas s’en remettre. »

Le CRA (Cyber Resilience Act) est un projet de directive européenne qui vise à améliorer la cybersécurité des produits et des services numériques dans l’Union européenne (UE). Malheureusement le texte actuellement proposé par la Commission et en cours d’examen au Parlement et au Conseil représente une menace existentielle pour la filière européenne du logiciel libre. C’est ce qui a été mis en évidence depuis la publication du texte par les experts de la filière du logiciel libre (cf. références).

Dans un communiqué commun et une lettre ouverte aux eurodéputés et aux représentants du Conseil de l’Union européenne publiés ce jour, les institutions signataires, représentatives de la communauté des logiciels libres, soulèvent les principaux problèmes avec le CRA, notamment que:

• Si le CRA est mis en œuvre dans sa rédaction actuelle, cela aura un effet profondément dissuasif sur le développement et l’utilisation des logiciels libres en Europe, ce qui aurait pour effet de compromettre les objectifs de l’UE en matière d’innovation, de souveraineté numérique et de prospérité future.
• Le CRA ne prend pas en compte les besoins et les perspectives uniques des logiciels libres, notamment en tant que méthodologie moderne utilisée pour créer des logiciels.
• La communauté des logiciels libres n’a pas été suffisamment consultée lors de l’élaboration du CRA, malgré le fait que les logiciels libres représentent plus de 70% des logiciels intégrés dans les produits numériques en Europe.
• Il est essentiel qu’à l’avenir, toute législation qui impacte l’industrie européenne du logiciel prenne en compte les besoins et les perspectives uniques des logiciels libres, qui jouent un rôle critique dans l’économie numérique, et représentent environ 100 milliards d’euros d’impact économique en Europe.

Après la lutte anti-spam, une nouvelle époque arrive, la lutte contre les fausses nouvelles (ou infox, fake-news) et la désinformation. Quelques informations ont fuité d'un laboratoire bordelais et en voici la teneur.

Comme il est évident que la détection des fausses nouvelles par des méthodes algorithmiques serait aussi complexe que hasardeuse, c'est bien un système basé sur l'Intelligence Artificielle sous licence libre qui est mis en œuvre. La machine qui est actuellement en cours d'apprentissage serait opérationnelle prochainement.

Dans l'objectif de « renforcer les liens des juridictions financières avec les citoyennes et citoyens », la Cour des comptes a ouvert une plateforme de consultation afin de permettre à celles et ceux qui le souhaitent de proposer des thèmes nouveaux sur lesquels l'institution pourrait exercer sa mission de contrôle de l'action publique. L'une des propositions, de Stéfane Fermigier, est d'« évaluer les dépenses de logiciels et de services en ligne des administrations centrales ». Une excellente proposition que l'April appelle à largement soutenir.

L'objectif de la proposition est de couvrir le plus large spectre possible des dépenses informatiques de l'État, notamment en ventilant ces dépenses selon plusieurs critères (type d'acquisition, type de logiciels, taille des fournisseurs, etc.). Une telle évaluation semble en effet très pertinente pour mieux appréhender la réalité des dépendances de l'État à certaines solutions privatrices, et en tout état de cause, un prérequis à la mise en œuvre d'une politique un tant soit peu ambitieuse pour un plus plus grand usage du logiciel libre au sein des administrations publiques.

La plateforme de consultation, basée sur le logiciel libre Decidim, est ouverte à toute personne jusqu'au 20 mai 2022. Il est nécessaire de se créer un compte pour participer, il est possible de s'inscrire sous pseudonyme et la seule donnée personnelle demandée est une adresse courriel.

La cour des comptes précise que la consultation aura deux utilités ; « pendant et à l’issue de la consultation, l’ensemble des contributions seront étudiées par la Cour. Les contributions éligibles seront intégrées dans une base de données rendue publique. » Puis, dans un second temps, elle sélectionnera six thèmes parmi les contributions éligibles sur la base de six critères : nouveauté, auditabilité, plus-value de la Cour, popularité, diversité des sujets, adéquations des moyens. « À l’issue de ses délibérations, la Cour communiquera les contributions sélectionnées et inscrites à son programme de travail pour l’année suivante. Les rapports élaborés sur cette base seront rendus publics. »

Noyb, l’ONG autrichienne de défense des droits numériques, porte plainte contre la DPC (l’homologue irlandaise de la CNIL) pour corruption en faveur de Facebook et dévoile des documents liés à sa procédure contre Facebook dans ses « lectures de l’Avent ». On y découvre notamment un régulateur irlandais défendant les intérêts de la firme américaine dans la procédure lancée par Noyb mais aussi auprès des autres autorités nationales de protection des données du continent.

La législation française évolue plus ou moins fréquemment autour du numérique et d’Internet. Parmi les derniers changements (effectifs, proposés ou en discussion) :

• la probable extension de la redevance copie privée au secteur du reconditionné (voir par exemple le dernier article NextInpact et les précédents), donc un surcoût à prévoir pour les mobiles et tablettes d’occasion par exemple ;
• les accords autour de l’article 15 de la directive européenne droit d’auteur (dépêche LinuxFr.org), instaurant un droit à rémunération des éditeurs et agences pour l’usage fait de leur titre par les réseaux sociaux ou encore les moteurs de recherche (voir par exemple l’Alliance de la Presse d’Information Générale et Facebook chez NextInpact, ou précédemment Droits voisins : Les éditeurs de presse et Google trouvent un accord chez ZDNet) ;
• toujours autour de la directive européenne droit d’auteur, l’arrêté) concernant l’article 17 sur les seuils de filtrage (voir aussi l’article NextINpact) : les plateformes concernées sont celles ayant une finalité commerciale, plus de 400 000 visiteurs uniques par mois et un nombre d’œuvres mises à disposition supérieur aux seuils de l’arrêté (d’après ces informations, je dirais que seul le premier critère exclut clairement LinuxFr.org des concernés) ;
• des propositions de députés/sénateurs pour un droit opposable à un Internet fixe de qualité, pour moderniser la lutte contre la contrefaçon de marque notamment en ligne ou pour une obligation de vérification d’identité à l’entrée des plateformes (merci NextINpact 1, 2 et 3) ;
• les procédures en cours pour faire bloquer les principaux sites pornographiques au niveau des principaux fournisseurs d’accès à Internet ;
• un peu de jurisprudence sur la contrefaçon de logiciels (sur la même thématique voir aussi CUJE : un contrat de licence utilisateur final ne peut interdire la décompilation d’une application  ;
• l’adoption de la fusion Hadopi-CSA avec ajout de nouveaux outils contre le piratage, avec la naissance de l’Arcom, avec le projet de loi « relatif à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique » (dossier Assemblée nationale, décision du Conseil Constitutionnel, loi publiée au Journal officiel, merci à @rabenou pour les deux derniers liens) ;
• le décret n° 2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique qui sera discuté en seconde partie de dépêche.

Le 6 juillet a été voté une loi européenne dite "ePrivacy" qui instaure de manière dérogatoire (durée maximum de trois ans) une surveillance automatisée de masse des échanges numériques afin de lutter contre la pédopornographie.
À cette occasion l'eurodéputé Patrick Breyer (membre du Parti Pirate allemand) a écrit un article de blog intitulé "La fin de la vie privée pour la correspondance numérique". Cette dépêche propose une traduction en français de l'article de blog.

Le nom de Pierre Laffitte est probablement connu de celles et ceux qui fréquentent le site (ou le Libre) depuis longtemps. Par connu, j’entends déjà lu, probablement souvent dans le triptyque Laffitte Trégouet Cabanel par exemple. Cet ancien sénateur français est décédé le 7 juillet 2021. L’objectif n’est pas ici d’avoir une nécrologie complète (autant aller voir sa page Wikipédia ou la presse généraliste 1 ou 2 par exemple), mais plutôt de parcourir les évocations de son nom sur le site au cours des années (donc de suivre son étiquette pierre_laffitte sur LinuxFr.org).

(Pierre Laffitte - CC BY-SA 3.0 par David Monniaux)

Le sujet de la souveraineté numérique, vue comme une autonomie stratégique pour l’Union européenne et les États membres dans l’espace du numérique, est un sujet qui revient de plus en plus souvent dans l’actualité, compte-tenu notamment de la prise de conscience collective de l’influence grandissante et sans doute excessive des GAFAM.

La Commission européenne, dans sa Communication d’octobre 2020 sur sa stratégie open source, en faisait un principe fondateur, et mettait en avant de nombreux arguments faisant le lien entre logiciel libre et souveraineté numérique.

Le gouvernement allemand a décidé au mois d’avril 2021 de créer un « centre pour la souveraineté numérique » (ZenDiS) dont la mission première sera la promotion des logiciels libres dans l’administration publique.

Le CNLL a récemment publié son étude de la filière du logiciel libre en France qui met en avant cette année, entre autres, ce sujet, et notamment l’implication des entreprises de l’écosystème français et des propositions concrètes. Voir en particulier les pages 59 à 93 du rapport détaillé.

Stefane Fermigier, co-président du CNLL, a été auditionné la semaine dernière par la mission d’étude de l’Assemblée nationale sur la souveraineté numérique, et a détaillé l’ensemble de ces points. La vidéo de ses échanges avec le rapporteur de la mission, le député Philippe Latombe, ainsi qu’une transcription, sont à présent disponibles.

Sur les cinq dernières années, nous avons assisté un ballet impressionnant de changements de licences dans les « bases de données » (au sens large ici) libres (SQL ou NoSQL) : on parle ici de MariaDB (base relationnelle), Elasticsearch (moteur de recherche)/Kibana (visualisation de données), MongoDB (base orientée documents), Redis (base clé valeur), Confluent (gestion d’événements), CockroachDB (SQL distribué), Graylog (gestion de journaux système), et j’en oublie peut-être.

La trame

Les entreprises qui éditent ces bases se voient attaquées dans leur modèle (double licence libre et payante, open core, service, etc.). Selon ces entreprises, d’autres acteurs leur taillent des croupières, leur piquent leur chiffre d’affaires, se placent en intermédiaires captant la valeur, souvent avec une approche « base de données à la demande » de type opérateur d’infrastructure de cloud (mais ça pourrait aussi être un simple intégrateur de solution), et le tout sans contribuer.

Et souvent la solution retenue pour stopper ce qui est perçu comme une dérive est un changement de licence, vers une licence non-libre, respectant généralement les critères suivant :

• le code est visible / disponible (on part quand même d’une solution libre/open source, si le code n’était pas visible le changement serait brutal)
• « ça change rien pour toi utilisateur final » (soit tu ne payais pas et c’est encore le cas, soit tu payais déjà (pour le service, le support, etc.) et ça va continuer identiquement)
• il est interdit de faire du « à la demande » sans publier le code qui te permet de le faire.

La Mission Bothorel « ayant pour objet la politique de la donnée et des codes sources de l’État », lancée en juin dernier, vient de rendre son rapport au Premier Ministre qui « assure d’ores et déjà que des mesures seront prises pour mettre en œuvre les recommandations formulées. » Le Conseil National du Logiciel Libre (CNLL) avait été auditionné par la mission et était intervenu lors de la consultation publique qui a eu lieu en octobre et novembre.

Le rapport fait 215 pages et il contient 37 recommandations. Il est difficile de le résumer en quelques lignes, nous nous contenterons de saluer ici la reconnaissance des « logiciels libres comme composants stratégiques de nos systèmes d’information », et parmi les propositions, celle-ci: « Créer un “Open Source Program Office” (OSPO) […], chargé d’aider l’administration à ouvrir et à réutiliser les codes sources publics, d’identifier les enjeux de mutualisation et de créer des liens avec les communautés open source existantes et d’accompagner les talents français dans ce domaine ».

On pourrait regretter que des sujets comme la politique d’achat de logiciels de l’État (autrement dit, la notion de « priorité », de « préférence » ou même d’« encouragement » pour le logiciel libre) ou la politique industrielle de soutien à la filière du logiciel libre ne soient pas abordés dans le rapport, mais on observera que ces sujets ne faisaient pas partie de la commande passée par le Premier Ministre à la Mission.

La FFII lance un appel urgent à donation à toutes les entreprises européennes du logiciel ainsi qu’à la communauté du logiciel libre et de l’Open Source (FLOSS) afin de pouvoir financer un dépôt de plainte constitutionnelle contre le projet du brevet unitaire.

La Cour UPC (la Cour de justice unifiée dédiée aux brevets) va promouvoir les trolls des brevets et des destructions d’emplois, sans que la CJEU (la Cour de justice de l’Union européenne) puisse avoir son mot à dire en matière de brevets, et les brevets logiciels en particulier. Seule la Cour constitutionnelle de Karlsruhe peut nous tenir à l’abri de l’UPC et de ses trolls sur les brevets.

Le brevet unitaire est la troisième tentative d’imposer les brevets logiciels en Europe, par la jurisprudence de ces cours spécialisées en brevets.

Le lundi 7 septembre ont démarré les audiences en vue de l’extradition de Julian Assange vers les États‑Unis. Visé par dix‑huit charges, il risque cent soixante‑quinze années de prison.

Il est jugé à Londres pour les États‑Unis. Il n’est ni accusé ni poursuivi en Grande‑Bretagne.

La Commission européenne a publié le 21 octobre sa stratégie sur le logiciel libre pour la période 2020-2023.

Dans un document en français de seize pages, on peut prendre connaissance de la vision de la Commission : « [exploiter] la puissance de transformation, d’innovation et de collaboration du code source ouvert en encourageant le partage et la réutilisation de solutions logicielles, de connaissances et d’expertise, afin de fournir de meilleurs services européens qui visent à réduire les coûts pour la société et l’enrichissent », de son lien avec la stratégie de la Commission en matière de souveraineté numérique (« il est encore temps pour parvenir à une souveraineté technologique dans certains domaines technologiques essentiels »), de sa volonté de partager et de contribuer (« Nous partageons notre code et rendons possible les contributions incidentes aux projets à code source ouvert associés. […] Nous nous efforçons d’être un membre actif de l’écosystème diversifié du code source ouvert. »), et enfin des leviers et actions concrets envisagés par la Commission, dont, par exemple :

• privilégier les solutions « open source » lorsqu’elles sont équivalentes en matière de fonctionnalités, de coût total et de cybersécurité (ce principe a déjà été adopté par la Commission en 2018 et discuté dans ce communiqué) ;
• adopter une culture de travail fondée sur les principes du code source ouvert, le partage et la réutilisation ;
• s’assurer que les codes utilisés et partagés sont exempts de failles en appliquant des tests de sécurité continus ;
• encourager des normes et spécifications ouvertes qui sont mises en œuvre et diffusées selon le principe du code source ouvert ;
• mettre en place un bureau de programme open source (OSPO, Open Source Program Office) qui agira en tant que facilitateur pour toutes les activités décrites dans la stratégie et le plan d’action ; il aidera les spécialistes des différents domaines concernés, encouragera les directions générales et contribuera à équilibrer les priorités internes et les activités externes.

Dans une ordonnance rendue publique ce jour, le Conseil d’État, saisi par le collectif Santenathon, reconnaît que le gouvernement des États‑Unis peut accéder sans contrôle aux données de santé des Français hébergées par le Health Data Hub chez Microsoft, et demande des garanties supplémentaires.

Cette décision est justifiée par l’arrêt de la Cour de justice de l’Union européenne (CJUE) du 16 juillet 2020, dit « Schrems II », qui juge que la surveillance exercée par les services de renseignements américains sur les données personnelles des citoyens européens est excessive, insuffisamment encadrée et sans réelle possibilité de recours. La CJUE en a déduit que les transferts de données personnelles depuis l’Union européenne vers les États‑Unis sont contraires au règlement général sur la protection des données (RGPD) et à la Charte des droits fondamentaux de l’Union européenne, sauf à apporter des garanties particulières ou dans certains cas dérogatoires.

Les jours sont donc bien comptés pour cette plate‑forme développée depuis deux ans, sans appel d’offre, et au mépris de l’offre des sociétés françaises et européennes, notamment des acteurs du logiciel libre. Le Gouvernement a en effet exprimé, jeudi dernier devant le Sénat, sa volonté de transférer le Health Data Hub sur des plates‑formes françaises ou européennes. Dans l’intervalle, la juge du Conseil d’État demande au Health Data Hub de travailler à minimiser ce risque, notamment en concluant un nouvel avenant avec Microsoft, et à ce que la CNIL instruise les demandes d’autorisation des projets de recherche utilisant le Health Data Hub en vérifiant que l’intérêt du projet, compte tenu de l’urgence sanitaire actuelle, est suffisant pour justifier le risque encouru et que le recours à la plate‑forme est nécessaire.

Le 15 mai 2020, en séance plénière, le Parlement européen a approuvé plusieurs rapports de décharge budgétaire qui comprennent des amendements invitant les institutions de l’UE à utiliser principalement des solutions open source. En pratique, à partir de maintenant, toutes les solutions informatiques développées par et pour les institutions de l’UE devront d’abord être évaluées par rapport à la possibilité d’utiliser des solutions open source. Les évaluations devront ensuite être rapportées à la commission du contrôle budgétaire du Parlement sur une base annuelle, lors de la procédure de décharge.

Le texte exact et officiel de la résolution concernant la préférence pour le logiciel libre :

« [Le parlement] reconnaît la valeur ajoutée que les logiciels libres et ouverts peuvent apporter au Parlement ; souligne en particulier leur rôle dans l’amélioration de la transparence et dans la prévention des effets de blocage des fournisseurs ; reconnaît également leur potentiel en matière d’amélioration de la sécurité étant donné qu’ils permettent de relever et de corriger les faiblesses ; recommande vivement que tout logiciel développé pour l’institution soit rendu public sous licence de logiciel libre et ouvert »

Une autre résolution concernant les formats ouverts :

[Le parlement] reconnaît que la production de données publiques sous un format ouvert, lisible par machine, facilement accessible et réutilisable offre de grandes possibilités tant pour la transparence envers le public que pour l’innovation ; salue les initiatives en cours visant à créer et à convertir une partie de ses données qui revêtent un intérêt pour le public sous ce format ; souligne la nécessité d’adopter une approche plus conviviale, systématique et coordonnée pour de telles initiatives, dans le cadre d’une politique bien définie des données ouvertes du Parlement »

Merci au Parti pirate européen, et en particulier à l’eurodéputé tchèque et vice‑président du Parlement européen, Marcel Kolaja, qui sont à l’origine des amendements en question.

Précisons que ces résolutions ne concernent que les institutions de l’UE, et pas celles des États membres. Elles donnent néanmoins un signal fort dont on espère qu’il sera aussi suivi par les gouvernements nationaux, et en particulier le nôtre, qui s’est avéré très timide sur la promotion du logiciel libre depuis trois ans.