Les évolutions règlementaires

Revenons à l’échelle nationale. L’année 2020 et le début 2021 ont été l’occasion de nombreuses
avancées sur la thématique du Numérique Responsable.

LA LOI AGEC (ANTI-GASPILLAGE ET POUR UNE ÉCONOMIE CIRCULAIRE)

La loi AGEC (Anti Gaspillage et pour une Économie Circulaire), entrée en vigueur le 10 février 2020, vise à favoriser l’allongement de la durée de vie des terminaux, en développant les filières de réparation et de recyclage, mais également à développer la communication envers les consommateurs sur les impacts environnementaux du numérique. Les fournisseurs d’accès
internet doivent désormais afficher les quantités de données consommées et les émissions de gaz à effet de serre correspondantes.

La loi de finance 2021 intègre un dispositif d’éco-conditionnalité à l’abattement de la TICFE (Taxe Intérieure sur la Consommation Finale d’Électricité) dont bénéficient les Datacenters. Anciennement CPSE, la TICFE a pour but de financer la péréquation spatiale et le développement des énergies renouvelables.

A compter du 1er janvier 2022, afin de pouvoir bénéficier d’un tarif réduit de TICFE, les opérateurs de Datacenter doivent :

Mettre en place un Système de Management de l’énergie conforme, basé sur le principe d’amélioration continue de la performance énergétique, reposant sur l’analyse des consommations d’énergie, pour identifier les secteurs de consommation significative d’énergie et les potentiels d’amélioration. Ce système doit être certifié par un organisme de certification ;

Adhérer à un programme, reconnu par une autorité publique, nationale ou internationale, de mutualisation des bonnes pratiques de gestion énergétiques des centres de données.

RÉGLEMENTATION RGPD

La réglementation issue du RGPD, qui signifie « Règlement Général sur la Protection des Données », encadre le traitement des données personnelles sur le territoire de l’Union européenne. Avec la croissance des usages numériques, le législateur européen a souhaité harmoniser et rendre communes et uniques les règles en ce qui concerne la sécurisation du traitement des données
personnelles. Dans ce contexte, les entreprises du numérique sont directement concernées par ces exigences réglementaires contraignantes mais vertueuses. Parmi ces entreprises, les centres de données sont soumis à cette réglementation à deux niveaux :

• Pour leur propre compte : les centres de données collectent et traitent avant tout des données qui sont internes à savoir : les données personnelles de leurs collaborateurs, les données personnelles de leurs sous-traitants et les données personnelles de leurs clients. Cette collecte et ce traitement de données sont nécessaires pour sécuriser les accès physiques et logiques au site. Outre les exigences liées au RGPD, les centres de données sont généralement contraints par des exigences de confidentialité imposées par leur client.
• Pour le compte de leurs clients : les centres de données, tel que leur nom l’indique, ont comme principale activité d’héberger les données de leurs clients. À ce titre, ils s’engagent contractuellement auprès d’eux sur deux principaux enjeux :

               > L’assurance de la continuité de service et le maintien en condition opérationnelle des bâtiments ;
               > L’assurance de la sécurité physique et logique du site, ainsi que la stricte protection des données hébergées. 

Ainsi, la protection des données personnelles a toujours fait partie de l’ADN des centres de données. Mais le RGPD a donné un cadre européen de règles à appliquer dans ce domaine. Par exemple, dans le cadre d’un incendie survenu dans un centre de données début 2021, la CNIL (Commission nationale de l’informatique et des libertés) a rappelé les obligations de notification
en cas de violation, d’indisponibilité ou de destruction de données personnelles. L’hébergeur des données a l’obligation de documenter la violation des données dans un registre tenu en interne et d’informer les clients de l’incident, afin que ces derniers puissent à leur tour documenter l’incident dans leur registre des violations des données personnelles. 

En outre, certaines données personnelles peuvent être issues des secteurs bancaire ou de la santé. Par conséquent, au-delà des exigences liées à la réglementation RGPD, les centres de données liés à ces secteurs d’activité ont une obligation contractuelle d’obtention de certifications (ISO 27001, HDS, HIIPAA, PCI DSS…). Ces certifications sont en ligne avec le RGPD, et leur obtention par les centres de données est une garantie du respect et de la mise en oeuvre opérationnelle des exigences de protection physique et logique des données personnelles hébergées.

PUBLICATION DE LA FEUILLE DE ROUTE NUMÉRIQUE ET ENVIRONNEMENT

La feuille de route Numérique et Environnement détaille la stratégie nationale pour faire converger les transitions numériques et écologiques. Elle vise à améliorer la connaissance des différents impacts du numérique sur l’environnement, à maîtriser cet impact et à mettre son potentiel d’innovation au service de la transition écologique. 15 fiches actions sont articulées autour des 3 axes suivants :

À l’échelle européenne, Le Pacte Vert pour l’Europe ou Green Deal, présente la feuille de route proposée par la Commission européenne en décembre 2019. Associé à un plan d’investissement de 1000 milliard d’euros, le Green Deal vise à l’échelle de l’Union européenne une réduction de 55% (par rapport à 1990) des émissions de gaz à effet de serre à horizon 2030 et d’atteindre la neutralité carbone à horizon 2050. Ses objectifs sont de :