Morning Chronicle - JO-2024 de Paris: Atos hébergera les données sensibles pour le compte du chinois Alibaba

"On va arriver à une solution pragmatique et intelligente", glissait à l'AFP Christophe Dubi, directeur Jeux olympiques pour le Comité international olympique (CIO) lors d'une visite fin août à Paris.

Selon des sources industrielles et proches du milieu olympique, le choix a été fait de prendre l'entreprise française Atos pour agir comme "tiers de confiance" et assurer la gestion des données sensibles, notamment les données personnelles, au nom d’Alibaba, qui conservera par ailleurs la gestion directe de toutes les autres données.

La situation était en effet assez complexe et objet de réunions depuis près d'un an au plus haut sommet de l’État, notamment avec l'Autorité nationale en matière de sécurité et de défense des systèmes d'information (Anssi).

Il était prévu qu'Alibaba, au titre des "top sponsors" du CIO, abrite notamment le fichier des accrédités des Jeux olympiques et paralympiques de Paris 2024 dans son "cloud".

Mais en découvrant que ce fichier, qui comprend des dizaines de milliers de coordonnées (invités, autorités publiques, médias, etc.) relevait de cette entreprise chinoise, l’État français, en particulier le ministère de l'Intérieur, avait été sérieusement chiffonné, avaient rapporté à l'AFP à l'automne 2021 plusieurs sources.

- "Risques d'exfiltration" -

Peut-on laisser des données personnelles de policiers français dans un fichier hébergé par une entreprise chinoise, s'insurgeaient alors ces sources.

Cette crainte est relayée dans un rapport provisoire de la Cour des comptes sur la sécurité remis cet été: le fichier accrédités traitera "un important volume de données personnelles et de données étatiques. Ces données présentent un caractère particulièrement sensible incompatible avec un hébergement par Alibaba", écrit la Cour. Et de relever "des risques d’exfiltration des bases de données des systèmes d’information olympiques à des fins stratégiques ou d'espionnage économique, d’exploitation des interconnexions entre les systèmes d'information olympiques et ceux des différents services de l’État, voire de pré-positionnement pour mener des actions ultérieures, ou encore de coupure du fonctionnement des infrastructures en cas de tensions internationales".

Elle conclut en demandant "un arbitrage dans les plus brefs délais".

- Serveurs en France -

Interrogé par l'AFP sur cet arbitrage, le comité d'organisation des JO de Paris (Cojo) a expliqué cette semaine qu'il cherchait à "garantir les meilleurs standards en matière de protection des données" et travaille avec ses partenaires pour "assurer la protection des données pendant les Jeux dans le respect des règles européennes en matière de RGPD", le Réglement général européen sur la protection des données et "partagera le résultat de ses travaux prochainement".

De son côté, Alibaba, interrogé par l'AFP, a indiqué qu'il ne commentait ni les "rumeurs" ni les "spéculations".

Il faut dire que cette affaire sportivo-diplomatico-technico-économique se passe largement en coulisses. En cours de route, la Commission informatique et libertés (Cnil) a d'ailleurs été mise dans la boucle et a joué son rôle de conseil.

Point important: Alibaba va payer Atos pour ce rôle de "tiers de confiance" et l'hébergement de ces données sensibles, qui seront d'ailleurs hébergées physiquement en France, a-t-on aussi appris de sources concordantes.

Une source industrielle a également précisé à l'AFP que le cloud d'Atos qui sera utilisé est celui dédié à ses contrats militaires et sécuritaires avec l’Etat. Quant aux données en transit jusqu'à cette infrastructure, elles seront chiffrées, a-t-on encore précisé de mêmes sources, de façon à ce qu'il y ait une parfaite étanchéité.

D'après ces sources, le comité d'organisation des JO de Paris n'aura pas de dépenses supplémentaires liées à cette opération, à l'heure où il examine chaque ligne de son budget en raison d'une révision budgétaire en fin d'année qui va le conduire à trouver des économies.

A.White--MC-UK