Le cadre juridique des contrats cloud

1. Salon Med-it CASABLANCA 13-15.11.2012 Le cadre juridique des contrats cloud Points d’attention et précautions à prendre lors de la négociation et de la conclusion d’un contrat de cloudcomputing Me Cathie-Rosalie JOLY Avocat Associé Cabinet Ulys Docteur en droit , thèse sur les paiements en ligne Avocat au barreau de Paris Avocat communautaire au barreau de Bruxelles (Liste E) Chargée d’enseignement à l’Université Paul Cezanne (Aix Marseille III) Responsable de l’Atelier Paiement et monnaie électronique de l’ADIJ Formateur sur le Cloud Computing (formation Comundi) cathierosalie.joly@ulys.net

2. Qu’est-ce que le Cloud Computing ? • Une prestation pas nouvelle mais augmentée • La sous-traitance informatique, un mécanisme connu : infogérance, externalisation/outsourcing, facilities management, ASP, … • Relève des services consistant en la prise en charge de la gestion du système informatique d’une entité, avec ou sans délocalisation, dans le cadre d’une relation pluriannuelle • Qu’ajoute le Cloud ? L’offre est généralement fortement orientée service : • Service à la demande, puissance de stockage et de traitement variable • Peu de visibilité sur les ressources et équipements mis en œuvre pour assurer la prestation • Délocalisation voire pluri-localisation de l’hébergement et des traitements (serveurs « localisés dans le monde entier ») • « Mode de traitement des données d'un client, dont l'exploitation s'effectue par l'internet, sous la forme de services fournis par un prestataire.

3. Qu’est-ce que le Cloud Computing ? Source : http://www.microsoft.com/france/entreprises/decideur-it/cloud/caracteristiques-du-cloud.aspx

4. Qu’est-ce que le Cloud Computing ? Source : http://www.cfo-news.com/Cloud-computing-l-evolution-soutenue-des-usages-depuis-2008-ouvre-a-de-nouvelles-perspectives-d-ici-2012_a14492.html

5. Qu’est-ce que le Cloud Computing ? • Définition proposée par la CNIL • Consultation publique fin 2011 • Définition en fonction des éléments caractéristiques du service : • Simplicité d’un service à la demande • Extrême flexibilité • Accès léger • Virtualisation des ressources • Paiement à l’usage

6. Les questions juridiques posées par le Cloud Computing • Les différents type de CLOUD • Quelle réglementation pour le CLOUD ? • Quelques points d’attention dans les contrats CLOUD • S’assurer d’un service de qualité • Garantir la protection des données • La loi applicable au contrat • Anticiper la rupture

7. Les différents types de cloud

8. Source : http://revevol.fr/2010/07/19/analyse-des-dimensions-du-risque-lie-au-cloud-computing

9. Les questions juridiques posées par le Cloud Computing • Les différents type de CLOUD • Quelle réglementation pour le CLOUD ? • Quelques points d’attention dans les contrats CLOUD • S’assurer d’un service de qualité • Garantir la protection des données • La loi applicable au contrat • Anticiper la rupture

10. Quelle réglementation pour le cloud ? • Pas de réglementation particulière CLOUD • Mais pas d’absence de réglementation : Différents textes trouvent à s’appliquer • Loi Informatique et Libertés, notamment conservation des données sensibles (banque, santé, etc.), • Règles sur les fuites de données, • Commerce électronique, • Protection des consommateurs, • Obligations de conservation de documents comptables et fiscaux, etc. • Obligations spécifiques de sécurité : secteur de la banque et de l’assurance, de la santé, etc.

11. Quelle réglementation pour le cloud ? • Enquête CNIL fin 2011 • Prestataire de cloud présumé sous-traitant ? créer un régime spécifique ? • Critères de rattachement pour détermination de la loi applicable ? • Quel encadrement des transferts de données? • Quels risques spécifiques de sécurité ? • Réflexion au sein de la Commission européenne • Observations européennes et réflexion pour élaborer un projet de lignes directrices applicables aux contrats de cloud : Consultation publique de la Commission courant 2011 : éventualité de modèles de documents contractuels (CG, PAQ, etc.), questions de sécurité des données, de détermination de la personne responsable • Problème des sociétés US, même si données hébergées en Europe application des règles du USA PatriotAct : Contradiction avec droit EU ? • Réforme de la réglementation des données personnelles en Europe 

12. Les questions juridiques posées par le Cloud Computing • Les différents type de CLOUD • Quelle réglementation pour le CLOUD ? • Quelques points d’attention dans les contrats CLOUD • S’assurer d’un service de qualité • Garantir la protection des données • La loi applicable au contrat • Anticiper la rupture

13. Quelques points d’attention dans les contrats cloud • Anticiper les difficultés par l’encadrement contractuel • Des clauses à négocier autant que possible pour éviter : • Risques sur la continuité du service • Exposition au risque de piratage et de vol de données • Manque de maîtrise des coûts • Perte de gouvernance • Dépendance technologique • Interopérabilité et respect des standards • Irresponsabilité du prestataire • Contrat cloud = contrat d’adhésion ? • Conditions générales mises en ligne et modifiables par le prestataire de manière discrétionnaire • Evolutions du service sans information préalable/droit d’opposition du client

14. Comment s’assurer d’une qualité de service maximale ? • Définir les niveaux de services • Délimitation des obligations du prestataire et/ou des sous traitants (pb chaînes de contrat) • Clauses de qualité de service, engagement sur la continuité du service, Interopérabilité et respect des standards, disponibilité, performance, intégrité des données • Outils et procédures de contrôle de la qualité : • Bilans périodiques de qualité (reddition de comptes par le prestataire) • Audit annuel • Recours à un tiers vérificateur

15. Protection des données de l’entreprise dans le CLOUD • Risque d’e-réputation Mai 2011 Piratage de SONY : Online Entertainment : 24 millions de comptes ont été " visités ". 12 700 numéros de cartes de crédit non américaines issus d'une vieille base de données ont été raflés par les pirates. (http://lexpansion.lexpress.fr/high-tech/reseaux-pirates-quelle-facture-pour-sony_254765.html ) • Risque de perte de clientèle • Risque de favoriser la concurrence • Etc,

16. Protection des données de l’entreprise dans le CLOUD • Les normes applicables relatives aux données sensibles, les données à caractère personnel : Directive 95/46/CE, Loi Informatique et libertés, recommandations CNIL • Les obligations du prestataire en matière de protection des données : conservation et préservation des données • Intégrer le sous-traitant dans le périmètre de la sécurité de l’entreprise (plan de sécurité des systèmes d’information, plan de continuité d’activité, etc.) • Politique de droit d’accès : Personnes habilitées, information accessible, dispositifs d’accès (identifiant+mot de passe), conservation des traces, surveillance et blocage des accès

17. Protection des données de l’entreprise dans le CLOUD • Sécuriser les accès : Niveaux de sécurité différents selon les informations (données bancaires, etc.) • Dispositifs d’accès plus élaborés : certificat électronique sur clé USB, carte, voire biométrie • Transmissions sécurisées : cryptage des données • Sécurisation de l’hébergement • Obligations du prestataire en cas d’incident : Alerte, rapport incidents

18. Protection des données de l’entreprise dans le CLOUD • Circulation des données en Europe : pas de conditions • Transfert hors UE : • Vers un pays assurant un niveau de protection adéquat (ex. Canada, Argentine) : pas de condition supplémentaire • Vers un pays non adéquat (ex. USA) : interdiction, sauf si : • Autorisation de la personne concernée ou • Exception art. 69 (sauvegarde vie, ordre public, action en justice..) ou • Signature des clauses contractuelles types de la Commission européenne ou • Participation du sous-traitant à un système de protection des données (Safe Harbour) ou • Adoption de règles internes d’entreprise imposées au sous-traitant (« bindingcorporaterules » ou BCR)

19. Protection des données de l’entreprise dans le CLOUD • Notification des fuites de données Aujourd’hui applicable aux fournisseurs au public de services de communications électroniques sur les réseaux de communications électroniques ouverts au public. 3 conditions (art. 34 bis de la loi informatique et libertés) : • Il faut qu'il y ait un traitement de données à caractère personnel ; • mis en œuvre par un fournisseur de services de communications électroniques ; • dans le cadre de son activité de fourniture de services de communications électroniques Article 226-17-1 du code pénal: Non notification => cinq ans d'emprisonnement et de 300 000 € d'amende. 

20. Protection des données de l’entreprise dans le CLOUD • Seraient constitutifs d'une violation : • Une intrusion dans la base de données de gestion clientèle d'un fournisseur d'accès internet (FAI) ; • Une faille dans la boutique en ligne d'un opérateur mobile permettant de récupérer les numéros de cartes de crédits des clients ayant commandé un nouveau téléphone associé à un forfait (car ce sont les données clients collectées en tant qu'opérateur) ; • Un email confidentiel destiné à un client d'un FAI, diffusé par erreur à d'autres personnes ; • La perte d'un contrat papier d'un nouveau client par un agent commercial d'un opérateur mobile dans une boutique. http://www.cnil.fr/la-cnil/actualite/article/article/la-notification-des-violations-de-donnees-a-caractere-personnel/?tx_ttnews%5BbackPid%5D=2&cHash=aa91fbb3043b82345928f38efeeb7da2

21. QUELLE loi applicable au contrat • Loi applicable • Clause spécifique du contrat désignant la loi applicable • A défaut, application du Règlement n° 593/2008 du 17 juin 2008 dit Rome 1 : « le contrat de prestation de services est régi par la loi du pays dans lequel le prestataire de services a sa résidence habituelle » (art. 4, b) • Juridiction compétente : Règlement (CE) n°44/2001: Juridiction compétente = celle de l’Etat membre dans lequel le demandeur a son domicile • Application des lois de police Loi I&L : Responsable de traitement résidant en France ou résidant hors UE et qui a recours à des moyens de traitement situés en France (art. 5 Loi I&L)

22. Anticiper la rupture • définition de l’objet et de la durée du contrat, • les clauses de reprise des données, réversibilité (processus, évènements déclencheurs, coût, délai…) • selon le niveau de criticité des données : Effacement, Restitution des supports de stockage , Destruction physique • Prévoir les garanties : définir les cas où la responsabilité est engagée, le cas de la résiliation

23. Salon Med-it CASABLANCA 13-15.11.2012 Me JOLY Cathie-Rosalie Avocat Associé Cabinet UlysDocteur en droit , thèse sur les paiements en ligneAvocat au barreau de Paris Avocat communautaire au barreau de Bruxelles (Liste E)Chargée d’enseignement à l’Université Paul Cezanne (Aix Marseille III)Responsable de l’Atelier Paiement et monnaie électronique de l’ADIJFormateur sur le Cloud Computing (formation Comundi)cathierosalie.joly@ulys.net