Les enjeux juridiques liés à l’essor du cloud computing

La dématérialisation des données a pris un écho particulier avec le développement du cloud computing. Cette solution permet un accès simplifié et économique à certains services sans achat de matériel, du fait d’un stockage de données accessibles à tout moment par un accès sécurisé sur internet via des serveurs externalisés.

La mise en place de solutions de cloud computing génère des questions techniques nombreuses pour les DSI (localisation, certification, garantie de niveau de services…). Les enjeux juridiques ne doivent pas être négligés, afin de prévenir les conséquences de dommages éventuels et déterminer les responsabilités.

A l’image du droit de l’internet, le cloud computing a connu un essor rapide ayant nécessité une détermination du droit applicable à cette nouvelle pratique, en vue de protéger ses utilisateurs tout en encadrant juridiquement son utilisation.

Une entreprise qui fait appel à un prestataire pour l’externalisation de ses données conserve le statut de responsable de traitement au sens de la loi dite « Informatique et libertés ». Elle sera ainsi responsable des conséquences de l’utilisation frauduleuse ou de la perte de ses données, alors même qu’elle n’a plus le contrôle sur ces données qui sont, par définition, externalisées.

Une attention toute particulière devra être donnée aux clauses limitatives de responsabilité qui sont valables dans la mesure où elles ne vident pas de toute substance l’obligation essentielle du contrat.

Il conviendra de prévoir dans les contrats de services intégrant du cloud computing des mécanismes de limitation d’accès et de sécurisation renforcée des données sensibles. Par ailleurs, afin de pouvoir récupérer les données au moment voulu, il est très fortement conseillé d’introduire une faculté de réversibilité et d’en préciser le contenu et les modalités d’application.

Au cœur des préoccupations des entreprises se trouve également la question de la confidentialité, notion variable selon la nature des données stockées et le niveau de protection souhaité.

Outre le contrôle des conditions d’accès, la protection de la confidentialité dépend étroitement du lieu de stockage des données, qu’il est souvent difficile de connaître avec certitude. En effet, à défaut de limitation au moment de la conclusion du contrat, les serveurs de stockage peuvent être hébergés n’importe où. En effet, en dehors de l’Union Européenne et sans accords d’entreprises spécifiques ou accords de Safe Harbour, un niveau de protection adéquat des données ne peut être garanti. Il conviendra alors d’insérer au contrat avec le prestataire une clause spécifique imposant le stockage des données dans un pays assurant un niveau de protection suffisant au regard des règles communautaires.

En fin d’année dernière, la presse spécialisée s’est fait l’écho de la qualité moyenne des contrats de « cloud » de certains prestataires, notamment étrangers. Il est dans l’intérêt aussi bien des prestataires que des clients d’avoir un contrat de qualité. Le développement commercial d’un service dépend également de son environnement contractuel…