Polytechnique suspend sa migration vers Microsoft 365

L’École polytechnique vient d’annoncer la suspension de son projet de migration vers Microsoft 365, mettant fin à sept mois de controverses qui ont secoué le monde de l’enseignement supérieur français. Cette décision, obtenue après une mobilisation sans précédent des défenseurs de la souveraineté numérique, marque un tournant dans la politique d’adoption des outils cloud américains par les établissements publics français.

Une décision prise sous pression juridique

Le Conseil National du Logiciel Libre (CNLL) avait engagé une procédure précontentieuse contre l’établissement, déterminé à utiliser tous les leviers juridiques disponibles pour faire respecter la législation en vigueur. Cette offensive juridique s’appuyait sur plusieurs textes fondamentaux, notamment l’article L123-4-1 du Code de l’éducation qui impose aux établissements d’enseignement supérieur d’utiliser en priorité les logiciels libres. Le projet de migration, initié discrètement par la directrice générale Laura Chaubard sans concertation avec les instances représentatives, contrevenait également à plusieurs avis de la CNIL sur la protection des données personnelles.

Des risques sécuritaires et juridiques majeurs

La migration vers Microsoft 365 exposait Polytechnique au droit extraterritorial américain, notamment le Cloud Act et le Foreign Intelligence Surveillance Act (FISA). Ces législations permettent aux autorités américaines d’accéder aux données stockées par des entreprises américaines, même lorsqu’elles sont hébergées en Europe, sans en informer les utilisateurs concernés. Pour une école sous tutelle du ministère des Armées qui héberge des Zones à Régime Restrictif (ZRR) et mène des recherches dans des domaines stratégiques comme la cybersécurité, le quantique ou les technologies duales, ces risques étaient rédhibitoires.

Les ZRR au cœur des préoccupations

Les Zones à Régime Restrictif sont des espaces de recherche à accès réglementé dans le cadre de la protection du potentiel scientifique et technique national. Le député Philippe Latombe avait soulevé cette problématique dans sa question écrite n°5346 adressée au ministère de l’Enseignement supérieur, pointant les contradictions flagrantes entre ce projet et les impératifs de protection de ces zones sensibles. La réponse ministérielle, jugée insuffisante par le CNLL, n’a traité que d’aspects techniques à court terme en éludant le problème structurel de la dépendance technologique.

Un contexte européen défavorable à Microsoft

Cette suspension intervient dans un climat particulièrement tendu pour Microsoft en Europe. L’autorité autrichienne de protection des données (DSB) a récemment jugé illégal l’usage de Microsoft 365 Education, constatant plusieurs violations du RGPD. L’enquête de l’association NOYB a révélé que Microsoft utilisait des cookies de traçage sans consentement et ne répondait pas correctement aux demandes d’accès aux données personnelles des étudiants. Plus problématique encore, Microsoft a tenté de transférer l’intégralité de la responsabilité de la conformité aux écoles locales, qui n’ont aucun contrôle réel sur l’utilisation des données par la plateforme.

Un modèle structurellement incompatible

Stéfane Fermigier, co-président du CNLL, estime que le modèle des clouds américains est structurellement incompatible avec le droit européen. Les données collectées par Microsoft 365 Education peuvent être utilisées à des fins commerciales, notamment pour le « business modeling » ou l’efficacité énergétique, et potentiellement transmises à LinkedIn, OpenAI ou la société de tracking Xandr. Cette opacité dans le traitement des données rend impossible pour les écoles et les autorités nationales de respecter leurs obligations en vertu des articles 13 et 14 du RGPD.

Une mobilisation collective payante

Le recul de Polytechnique résulte d’une mobilisation inédite combinant plusieurs leviers d’action. En interne, les chercheurs et personnels se sont opposés frontalement à une décision prise sans concertation. Le député Philippe Latombe a joué un rôle déterminant en adressant une question écrite au gouvernement, mettant en lumière les infractions aux circulaires ministérielles, notamment la doctrine « Cloud au centre » de 2021 qui préconise le recours à des offres SecNumCloud. La presse a également contribué à alerter l’opinion publique sur les enjeux de souveraineté numérique liés à ce contrat.

Les implications pour l’enseignement supérieur français

Cette victoire symbolique dépasse le cas de Polytechnique et interroge l’ensemble de la stratégie numérique des établissements publics d’enseignement supérieur. Le ministère de l’Éducation nationale avait lui-même attribué à Microsoft un accord-cadre d’un montant maximum de 152 millions d’euros sur quatre ans, en contradiction totale avec ses propres directives de 2022 appelant à « arrêter tout déploiement ou extension » d’Office 365. Cette incohérence entre les discours politiques en faveur de la souveraineté numérique et les pratiques réelles d’achat public soulève des questions sur la crédibilité de la politique digitale française.

Le référentiel SecNumCloud comme alternative

Face aux risques posés par les législations extraterritoriales américaines, le référentiel français SecNumCloud, délivré par l’ANSSI, apparaît comme la solution la plus protectrice. Dans sa version 3.2, ce référentiel impose l’application exclusive du droit européen au fournisseur cloud et exclut toute loi extraterritoriale américaine, faisant ainsi bouclier au Cloud Act et au FISA. Cette qualification, la plus exigeante à l’échelle européenne, sert d’ailleurs de modèle à l’élaboration d’une certification cloud européenne dans le cadre du projet EUCS.

Des risques au-delà de la conformité réglementaire

L’exposition au Cloud Act ne se limite pas à une question de conformité juridique, elle représente un véritable risque d’espionnage industriel. Les résultats de recherche, brevets, négociations et projets confidentiels développés dans les laboratoires de Polytechnique auraient pu devenir accessibles aux autorités américaines, sans aucune garantie que ces informations ne soient pas exploitées indirectement par des acteurs économiques concurrents. Pour les secteurs stratégiques comme la défense, l’énergie ou la santé, cette vulnérabilité peut compromettre la continuité des activités et la compétitivité nationale.

Le précédent autrichien et ses enseignements

La décision de l’autorité autrichienne contre Microsoft 365 Education confirme que les problématiques identifiées en France ne sont pas isolées. L’enquête, qui a duré plus de deux ans, a démontré qu’aucune base légale ne justifie le traitement intrusif des données d’étudiants par Microsoft. Les autorités autrichiennes ont ordonné la suppression des données collectées illégalement et exigé de Microsoft qu’il explique clairement l’usage commercial qu’il fait des données éducatives. Ce précédent juridique pourrait influencer d’autres décisions au niveau européen et renforcer la position des établissements qui refusent ces solutions américaines.

Une première victoire

Bien que le CNLL salue cette suspension comme une victoire majeure, l’organisation reste vigilante. Il s’agit d’une suspension et non d’un renoncement définitif. Le contexte géopolitique actuel, marqué par des tensions transatlantiques croissantes et une prise de conscience des enjeux de souveraineté numérique, rend néanmoins peu probable un retour en arrière sans garanties substantielles. La question reste désormais de savoir si d’autres établissements d’enseignement supérieur suivront l’exemple de Polytechnique ou persisteront dans l’adoption de solutions non souveraines malgré les risques juridiques et stratégiques avérés.

Source