Logiciels d'origine russe dans les projets de vidéosurveillance de l'UE (2026) : Examen de la conformité, des sanctions et des marchés publics

Pourquoi cette question est importante dans le cadre des marchés publics de l'UE en 2026

Depuis 2022, l'UE a adopté plusieurs séries de sanctions successives visant la Russie, parallèlement à une évolution des règles de passation des marchés publics dans les États membres. L'impact cumulatif sur l'acquisition de logiciels a été considérable : les autorités contractantes qui ne s'enquéraient pas auparavant de l'origine des logiciels exigent désormais systématiquement la déclaration de cette origine dès la phase de qualification, et les offres ne pouvant justifier d'une origine non soumise à sanctions sont généralement écartées avant l'analyse commerciale.

Les logiciels de conception de systèmes de vidéosurveillance présentent un risque particulier, car les éléments qu'ils produisent (plans d'étage, emplacement des caméras, topologie du réseau, BOM) sont sensibles tant du point de vue de la sécurité que de l'exploitation. Même lorsqu'un instrument de sanctions ne vise pas explicitement un outil de planification de vidéosurveillance spécifique, les autorités contractantes ont tendance à adopter une approche de précaution, notamment dans les secteurs de la défense, de l'administration publique, des infrastructures critiques et des grands projets de santé ou de transport.

Cet article est l'explicatif que nous aurions souhaité trouver lorsque nos clients intégrateurs ont commencé à nous interroger sur l'origine des logiciels dans leurs réponses aux appels d'offres. Il est descriptif, non prescriptif ; son objectif est de présenter le cadre de référence en termes simples afin qu'un concepteur de systèmes de vidéosurveillance puisse poser les bonnes questions à son conseiller en achats, plutôt que de se substituer à cette discussion.

Le cadre actuel des sanctions de l'UE — résumé de haut niveau

Les mesures restrictives de l'UE à l'encontre de la Russie sont mises en œuvre par le biais de règlements du Conseil publiés au Journal officiel de l'Union européenne et actualisés par des amendements successifs. Ce cadre repose sur trois grands axes relatifs aux marchés publics de logiciels.

Outre le cadre européen, des États membres comme l'Allemagne, la France, la Pologne, les pays nordiques et les pays baltes ont introduit leurs propres réglementations en matière de marchés publics, assorties de critères plus stricts. De ce fait, un même fournisseur peut être agréé dans une juridiction de l'UE et écarté dans une autre, même en l'absence de toute mention explicite dans le texte. Les services d'achats ont donc tendance à privilégier la réglementation la plus stricte de l'État membre concerné comme référence interne.

Côté américain : décrets présidentiels relatifs NDAA §889 et à l’ICTS

Du côté américain, deux instruments sont régulièrement cités, même par les responsables des achats de l'UE, comme références informelles. L'article 889 NDAA (loi d'autorisation de la défense nationale John S. McCain pour l'exercice 2019) interdit aux agences fédérales et aux entreprises sous contrat avec le gouvernement fédéral d'acheter ou d'utiliser des équipements de télécommunications et de vidéosurveillance auprès de certains fabricants chinois nommément désignés. Les décrets relatifs aux technologies et services de l'information et de la communication (TIC), principalement le décret 13873 et ses successeurs, confèrent au département du Commerce des États-Unis de larges pouvoirs pour examiner les transactions impliquant des adversaires étrangers.

Aucun de ces instruments ne s'applique de plein droit à un marché public européen classique. Ils sont cependant fréquemment utilisés comme modèles de clauses contractuelles. Une autorité contractante de l'UE, dans le cadre d'un appel d'offres relatif à la vidéosurveillance en 2026, exigera généralement du fournisseur qu'il déclare que ses logiciels, son hébergement et son personnel ne seraient pas exclus en vertu de règles équivalentes à celles de l'article 889, même lorsque ce dernier est sans rapport avec le contrat. Les fournisseurs qui ne peuvent pas faire cette déclaration sont désavantagés sur le plan concurrentiel, indépendamment de la légalité de leur offre.

Impact direct des achats sur les logiciels de conception de vidéosurveillance

Les catégories ci-dessous sont les quatre dans lesquelles nous constatons que les questions relatives à l'origine des logiciels se posent le plus fréquemment dans les projets de vidéosurveillance de l'UE en 2026.

Comment les acheteurs vérifient l'origine des logiciels

Un agent d'approvisionnement chargé de vérifier l'origine d'un produit dispose d'une panoplie d'outils assez standard. Aucune de ces vérifications ne prouve à elle seule l'origine ; elles permettent de reconstituer un tableau recoupé à partir d'informations publiques.

Pour les marchés publics à haut risque (défense, infrastructures critiques), l'évaluation peut s'étendre à la traçabilité du code source, aux tests de sécurité réalisés par un tiers et à un avis juridique indépendant. Le coût marginal de cette évaluation approfondie est non négligeable et les autorités contractantes ne la commandent généralement que lorsque la valeur ou la sensibilité du contrat le justifie.

GDPR et transfert vers un pays tiers

Les articles 44 à 49 GDPR régissent les transferts de données personnelles vers des pays situés en dehors de l'Espace économique européen. En principe, un tel transfert est interdit, sauf si l'une des garanties prévues s'applique : une décision d'adéquation de la Commission européenne, un mécanisme de transfert approuvé tel que les clauses contractuelles types assorties de mesures complémentaires appropriées, ou une dérogation pour des situations spécifiques.

Dans l'arrêt Schrems II (affaire C-311/18, 2020), la Cour de justice de l'Union européenne a clairement établi que les clauses contractuelles types doivent être complétées par une analyse d'impact relative aux transferts de données. Cette analyse doit tenir compte de la législation du pays de destination et de son niveau de protection. La Russie ne figure pas sur la liste d'adéquation de la Commission européenne, et l'interprétation dominante est qu'il est difficile d'assurer une protection « essentiellement équivalente » pour les transferts vers la Russie, compte tenu du contexte juridique russe. Concrètement, tout outil de conception de systèmes de vidéosurveillance qui transmet des données personnelles à des serveurs situés en Russie, ou à des entités relevant de la juridiction russe, est soumis à une obligation d'analyse d'impact relative aux transferts de données significative, contrairement aux outils hébergés dans l'UE.

Pour les projets de vidéosurveillance, cela est crucial car les outils de conception manipulent des données personnelles plus fréquemment qu'on ne le pense : métadonnées du projet, informations du site du client final, adresses e-mail des comptes, contenu des tickets d'assistance. Un acheteur soucieux du respect GDPR exigera la garantie qu'aucune de ces données ne quitte l'UE/EEE d'une manière susceptible de déclencher un contrôle au titre du chapitre V.

Pourquoi CCTVplanner existe-t-il ? — Hébergé et développé par l’UE

CCTVplanner est exploité par DEFENSAR, société enregistrée en Pologne, avec l'interface hébergée en Pologne et le backend sur une infrastructure cloud située dans l'UE. C'est le sens du slogan « 100 % conçu et hébergé dans l'UE » : l'entité juridique, l'ingénierie et l'hébergement sont tous situés au sein de l'Union européenne. Les données essentielles de compte et de projet sont stockées sur des serveurs dans l'UE ; un petit ensemble de sous-traitants ultérieurs (paiements, analytique, e-mail — p. ex. Stripe, Google, Resend) est couvert par les garanties de transfert du GDPR : les SCCs et l'EU–U.S. Data Privacy Framework, tels que nommés dans la politique de confidentialité.

Pour les équipes d'approvisionnement, cela se traduit par une réponse concise et claire aux questions de transparence sur l'origine des données, décrites précédemment. Aucun sous-traitant russe, chinois ou américain n'intervient dans le flux de données. L'analyse d'impact relative aux transferts de données (AIDT) n'est pas requise au titre du chapitre V GDPR car les données ne quittent pas l'UE. Aucun élément de disqualification équivalent à l'article 889 n'est présent dans la chaîne d'approvisionnement. Approuvée par les intégrateurs du monde entier, l'architecture « UE par défaut » est l'élément le plus souvent évoqué dans les discussions sur les achats en 2026.

Changer d'outil de conception CCTV

En 2026, une question pratique que nous entendons souvent de la part des intégrateurs est la suivante : « Nous sommes satisfaits de notre outil de conception de vidéosurveillance actuel, mais l’équipe des achats a identifié la divulgation de l’origine du logiciel comme un risque. Comment se déroule la transition ? » La réponse est principalement technique : exporter le plan d’étage au format DXF, l’importer dans CCTVplanner, remplacer les caméras à partir d’un catalogue de plus de 65 000 modèles, respecter les seuils DORI, refaire le câblage et exporter le document PDF multipage. Nous avons rédigé un guide détaillé, étape par étape, dans le guide de migration accessible ci-dessous. Aucune de ces étapes n’est particulièrement difficile. Le plus difficile est généralement de prendre la décision de changer, et non de changer en soi.

Pour les changements liés aux achats, nous recommandons de documenter la transition par écrit : l’événement déclencheur, les alternatives évaluées, l’outil de remplacement choisi et la date de retrait de l’outil existant du flux de travail. Les juristes d’entreprise et les auditeurs ESG valorisent les décisions documentées, et un journal de transition écrit est un document courant dans les dossiers de vérification préalable.

Clause de non-responsabilité finale

Cet article présente une analyse factuelle fondée sur les normes, réglementations et jurisprudences publiques en vigueur en mai 2026. Il ne constitue pas un avis juridique et ne saurait se substituer aux conseils d'un avocat spécialisé en droit des marchés publics dans votre juridiction. Les sanctions, les contrôles à l'exportation et les règles relatives aux marchés publics évoluent fréquemment et leur interprétation varie d'un État membre de l'UE à l'autre. Toute décision concrète en matière de marchés publics doit être validée par un avocat connaissant bien l'autorité contractante, le secteur et la juridiction concernés.

Aucun propos de cet article ne vise à dénigrer un pays, une entreprise ou une catégorie de fournisseurs. L’objectif est de décrire le cadre des marchés publics tel que les acheteurs le percevront en 2026, afin que les intégrateurs puissent préparer leurs réponses aux appels d’offres et concevoir des processus qui réussissent l’étape de qualification.

Foire aux questions