Le Cloud Computing

Le « Cloud Computing » ou « informatique dématérialisée », est un nouveau système de fourniture de ressources informatiques via l’utilisation de la mémoire et des capacités de calcul d’ordinateurs et de serveurs répartis dans le monde entier et liés par un réseau. Le « cloud » permet de se dispenser de la location ou de l’achat de serveurs informatiques, un navigateur web suffisant à accéder aux services informatique souhaités (logiciel, plate-forme ou infrastructure). Ce modèle permet d’obtenir un service sur demande et quasi instantané, avec une concentration des ressources au bénéfice d’une plus grande sécurité.

Il concerne des services aussi divers que la messagerie, la comptabilité, les mailings, le management des ventes, les outils CRM…

Toutefois, un service fourni à une telle échelle ne va pas sans risques, dans la mesure où il entraîne une perte de contrôle du Client sur ses données et applications, lesquelles pourront être amenées à migrer, à un niveau régional voire international et ce en l’absence de législation spécifique.

Il convient donc d’aborder les problématiques juridiques spécifiques à ce service, afin de fournir une grille de lecture et de rédaction des contrats à l’attention de ses utilisateurs.

1.La protection des données.

Les services proposés par le fournisseur d’informatique dématérialisée ou « Cloud Provider » incluent nécessairement le traitement de données personnelles dans un cadre régional, voire international. Il est donc essentiel que le Client définisse le régime de protection des données personnelles qui lui sera applicable.

Les données peuvent concerner tant les salariés que les clients, fournisseurs, partenaires, patients…

1.La protection des données en Europe

En Europe, la Directive 95/46/CE du 24 octobre 19951 est directement applicable à défaut de transposition nationale. En France, la loi Informatique et Libertés (LIL) du 6 janvier 1978, mise en conformité avec la directive 95/46 CE par la loi du 6 août 2004, encadre le traitement des données personnelles.

Selon l’article 3 de la LIL, le responsable du traitement n’est pas de la personne qui effectue le traitement mais celle qui en détermine la nature et les « finalités ». Dans le cadre du « Cloud Computing », le responsable du traitement est donc le Client et l’organe de traitement le « Cloud Provider ». Pèsera sur le responsable du traitement la charge de recueillir le consentement de la personne après l’avoir dûment informée.

L’article 5 de la LIL soumet à la loi française les traitements de données à caractère personnel dont le responsable de traitement est établi sur le territoire français ou dont les moyens de traitement sont situés sur le territoire français, sauf lorsque le traitement consiste uniquement à faire transiter les données. A défaut, le Client devra définir si la législation applicable est la législation d’un autre pays européen selon les mêmes conditions, la législation européenne à défaut de transposition dans le pays concerné, ou la législation d’un pays tiers.

Par conséquent, le responsable du traitement devra procéder dans le respect des principes posés par la législation (équité, légalité, proportionnalité, nécessité du traitement, information des sujets, la sécurité des données,) et sous le contrôle de la CNIL. Le Client sera seul responsable vis-à-vis des autorités ainsi que du sujet dont les données sont traitées, même en cas d’externalisation2 au « Cloud Provider ».

Suivant les principes posés par la Directive, le transfert de ces données dans ou via un pays n’assurant pas un niveau suffisant de protection ne pourra s’effectuer qu’avec l’accord du sujet – obtenu après information exhaustive – ou lorsque d’autres procédures sont en place, qu’elles soient privées (clauses contractuelles standardisées) ou publiques (à l’instar des « Safe Harbour Principles »)

Afin d’éviter la mise en jeu de sa responsabilité, le Client devra vérifier que la clause de protection des données personnelles au sein du contrat reprendra l’ensemble de ses propres obligations en la matière à la charge du « Cloud Provider » ou s’assurera de la coopération de ce dernier. Une part importante sera dédiée à la sécurisation des données.

Le « Cloud Provider » verra sa responsabilité engagée en cas d’illégalité du contenu, responsabilité partagée avec le Client3, ainsi qu’au niveau de la gestion des infrastructures physiques.

Un audit pourra être prévu afin de vérifier la conformité dans la durée des engagements souscrits.

2.La protection des données personnelles hors Europe.

La protection des données personnelles dans des pays tiers implique la rédaction de clauses standardisées mettant à la charge du « Cloud Provider » des obligations en matière de protection des données personnelles semblables à celles qu’impose la Directive.

Cas particulier : Les difficultés d’application des Safe Harbour Principles

Les « Safe Harbour Principles

...