Selon cette enquête du média spécialisé dans le numérique, reprise en France par Les Numériques, EPI (European Payments Initiative), le consortium de banques européennes qui développe Wero, a recours, entre autres fournisseurs, aux services d'Amazon Web Services (AWS), une filiale du géant du numérique Amazon, originaire des États-Unis. En clair, une partie des données de Wero transite et est stockée sur des serveurs cloud détenus par l'entreprise états-unienne.
C'est le cas de nombreuses entreprises françaises et européennes, AWS étant considéré comme le leader mondial des services d'infrastructures cloud public. Mais dans le cas d'EPI, cela pose un problème. Wero, en effet, est présenté comme la réponse européenne souveraine à la mainmise d'acteurs états-uniens (Visa, Mastercard, PayPal, Apple Pay, etc.) dans le domaine des paiements électroniques. Autrement dit, un moyen de paiement susceptible de continuer à fonctionner dans le cas (très hypothétique à ce stade) où ces acteurs décideraient d'interrompre leurs services en Europe, sous pression politique par exemple.
« Un risque de fuite considérable »
Cette promesse de souveraineté est-elle compatible avec le recours aux serveurs d'une entreprise états-unienne ? Pour rassurer ses clients européens, dans un contexte de tensions géopolitiques croissantes, AWS s'est récemment engagé à stocker leurs données sur des serveurs situés au sein de l'Union européenne.
Ce n'est toutefois pas suffisant, estime le ministère allemand de l'Intérieur, qui a commandé une étude juridique sur le sujet à l'Université de Cologne, et voit dans l'utilisation de services cloud états-uniens « un risque de fuite considérable ». En effet, une loi états-unienne, le CLOUD act datant de 2018, contraint « les fournisseurs de technologie américains, sous certaines conditions, à divulguer les données aux autorités américaines – même si celles-ci se trouvent en dehors des États-Unis », explique l'article de Netzpolitik.org. En résumé, les autorités états-uniennes pourraient accéder, entre autres, aux données de paiement, des données personnelles considérées comme sensibles, des usagers de Wero.
EPI est conscient du problème. À Netzpolitik.org, le consortium a expliqué y voir en effet « un risque juridique et géopolitique pertinent ». Il a également expliqué disposer « de plans d'urgence et de sortie pour les services technologiques critiques » et se fixer comme objectif, à l'avenir, de collaborer davantage avec des fournisseurs européens.
