L'informatique en nuages : aspects juridiques

L'informatique en nuage ou Cloud computing, est le nom donné à une technique, un système qui permet d'accéder à des ressources, des infrastructures, des services, voire des logiciels de messagerie ou autre, à distance, via l'internet.

Sans rentrer dans les détails techniques et outre le fait qu'il peut être public ou privé, il existe trois principaux types de "Cloud" :

• SaaS ou Software as a Service qui permet l'accès aux logiciels directement sur internet, sans acquisition de licences et sans installation sur les postes informatiques locaux

• PaaS ou Plateform as a Service pour le développement d'applications

• IaaS ou Infrastructure as a Service pour les capacités de traitement

L'informatique en nuages permet ainsi d'accéder aux ressources souhaitées, capacités de stockage, logiciels, messagerie etc... sur simple demande et sans investissements, ce qui se traduit comptablement par des charges d'exploitation (alors que les investissements classiques entrent généralement dans la définition des immobilisations).

Devant le succès croissant de cette forme d'externalisation dont le but est avant tout de permettre de réduire les coûts, la CNIL a lancé en octobre dernier, une consultation auprès des professionnels.

En effet, l'informatique en nuages n'est pas sans conséquences sur le plan juridique et pose divers problèmes, notamment en ce qui concerne la confidentialité, la protection des données personnelles ou la propriété intellectuelle mais pas seulement.

Car derrière cette grande facilité, qui permet de changer de service par simple souscription à des options supplémentaires, se cachent de véritables contrats d'adhésions qui peuvent réserver quelques surprises. Pourtant, les enjeux de ce type d'externalisation pour les entreprises contractantes devraient les pousser à davantage négocier ces contrats.

Les contrats d'adhésion sont des contrats qui s'imposent à la partie la plus faible. Le choix des clauses est donc très restreint en la matière et il conviendra d'y apporter une attention toute particulière. Parmi les clauses que l'on peut rencontre dans ce type de contrat, on peut citer :

• La loi applicable au contrat qui sera souvent celle d'un pays tiers et plus particulièrement celle d'un Etat des Etats-Unis.

• Le fait que le prestataire de services également appelé cloud Provider s'exonère de toute responsabilité même en cas de négligence de sa part

• Les clauses qui permettent au prestataire de modifier unilatéralement, à tout moment, le contrat, les services proposés, les prix ou encore la qualité du service alors qu'en droit français, ces modifications nécessitent l'accord des parties
  
  

En fonction des besoins de l'entreprise, de ses obligations en cas de stockage de données à caractère personnel et de ses impératifs en matière de sécurité, la négociation des clauses des contrats de fournitures de services dématérialisés sera particulièrement importante.

La confidentialité
Renforcer les clauses de confidentialité pourra s'avérer nécessaire, surtout lorsque l'entreprise cliente est tenue au secret. La clause de confidentialité pourra prévoir par exemple une durée plus longue que la durée du contrat, les personnes concernées (notamment les salariés et sous-traitants du prestataire).

La protection des données
En vertu de la loi dite informatique et libertés, le client, parce qu'il détermine la nature et les finalités du traitement informatique (même si le traitement lui-même est effectué par le Cloud Provider ou prestataire), reste seul tenu des obligations liées à la protection des données personnelles qu'il recueille.

C'est au client de recueillir les autorisations nécessaires au traitement des données personnelles et c'est à lui qu'incombe l'obligation de recueillir le consentement des personnes physiques concernées, notamment lorsque les données sont stockées ou transitent via des pays qui ne garantissent pas (ou de manière moindre) cette protection des données personnelles.

Certains auteurs¹ proposent ici au client de négocier la reprise de ses propres obligations dans le contrat de Cloud, le prestataire devant alors respecter les mêmes obligations ou coopérer.

La qualité du service
Un autre axe de négociation peut être la qualité du service proposé et les délais de réaction du fournisseur en cas de panne, d'incidents, notamment lorsque l'entreprise souhaite tout dématérialiser. Une telle clause devrait être assortie de sanctions (dommages et intérêts).

Les conséquences d'une résiliation

Enfin, devront être envisagées, les conséquences de la rupture du contrat. La question de savoir si les données seront récupérées, de quelle manière (quelles seront les modalités techniques de cette récupération) est ici particulièrement importante.