L encadrement juridique du Cloud computing

Transcription

1 L encadrement juridique du Cloud computing Héloïse Deliquiet, avocat associé, FIDAL Sophie Guicherd, doctorante en droit, Grenoble II H.D., S.G. - ADIRA

2 I. Le cadre juridique et le fonctionnement du Cloud = régime de base La notion de cloud computing recouvre différentes situations et donc des types de services et contrats distincts, selon la prestation effectivement fournie Contrat détermine le régime juridique applicable : important pour apprécier l étendue des obligations et de la responsabilité de chacun H.D., S.G. - ADIRA

3 Dénomination juridique du contrat relatif au Cloud Assimilation des contrats ASP / SaaS, PaaS et IaaS Opportunités de tels contrats: Organisationnelles Financières H.D., S.G. - ADIRA

4 Fonction du juge Déterminant = quel régime juridique applicable: Nécessité de définition claire par les parties Pour le Cloud : contrat d entreprise H.D., S.G. - ADIRA

5 Le schéma contractuel Recours à la sous-traitance Le prestataire principal, maître d œuvre Quels documents constituent le contrat? CGU, CP et annexes Contrat cadre, contrats d application et annexes H.D., S.G. - ADIRA

6 Le contrat d entreprise Exécutable dans le temps Pas d obligation de fixation du prix à la formation du contrat (/ vente) Différentes obligations des parties H.D., S.G. - ADIRA

7 Obligations des parties dans le contrat d entreprise (1) Le prestataire: Délivrance si nécessaire / obligation de conformité, respect des délais. Dans le cadre du Cloud, ça peut être le matériel et les logiciels nécessaires à sa mise en œuvre Information / conseil (essentiel) Garanties légales et conventionnelles : Conformité Vices cachés Eviction H.D., S.G. - ADIRA

8 Obligations des parties dans le contrat d entreprise (2) Le client: Rédaction d un cahier des charges + Collaboration (// information) Paiement du prix (abonnement, forfait) et/ou de la redevance convenue dans le contrat H.D., S.G. - ADIRA

9 Les obligations complémentaires : les clauses contractuelles Clauses relatives à l objet du contrat : Logiciels mis à disposition Services visés (et prestataires en charge de les effectuer / intuitu personae) SLA pour relever le degré d exigence - Outil précieux pour : La qualité de la prestation Les délais = rapidité d intervention, disponibilité des données et du prestataire Clauses relatives à la durée (courte) et au prix de la prestation (en fonction du nombre de postes et d utilisateurs ayant accès à l application / forfait et/ou redevance) Clauses de propriété intellectuelle (ASP endusers agreements) : conditions strictes Les garanties supplémentaires / la responsabilité du prestataire H.D., S.G. - ADIRA

10 Les obligations complémentaires : les clauses contractuelles Clauses d audit : Au bénéfice du prestataire Au bénéfice du client Modalités, procédure, incidences sur le contrat Les clauses sur la responsabilité: Validité du plafond? L exclusion des indirects? Faire un lien avec la police d assurance? La réversibilité / récupération des données et continuité de service : Quelles obligations pour le prestataire? Modalités de mise en oeuvre? Prise en charge du coût? H.D., S.G. - ADIRA

11 II. Les différents types de données et le cadre juridique applicable Distinction entre les données relatives à l activité de l entreprise : protection particulière Et les données à caractère personnel : doivent être collectées, traitées, conservées, protégées... dans le respect des règles applicables H.D., S.G. - ADIRA

12 Le cadre juridique affecté à la sécurité et la confidentialité des données Quelle loi applicable? Caractère protecteur du droit français et du droit européen (contrairement aux US : Safe Harbor Principles) Adoption par la Commission européenne de clauses types pour l exportation de données personnelles vers un pays-tiers (pour favoriser la protection) / 5 février 2010 Directive 95/46/CE du 24 oct, 1995: Fixe le cadre européen de protection des données personnelles; NB: Projet de Règlement européen Loi 6 janvier 1978 informatique et libertés obligation de sécurité renforcée pour le traitement des données à caractère personnel Loi 2004 : protection des personnes physiques dans le traitement des données à caractère personnel H.D., S.G. - ADIRA

13 Le rôle / la responsabilité du prestataire et du client (1/2) Qui est le responsable de traitement? Définition : Il détermine les finalités et les moyens du traitement de données Il assume l obligation du bon respect de la loi vis-à-vis des personnes dont les données sont traitées H.D., S.G. - ADIRA

14 Le rôle / la responsabilité du prestataire et du client (2/2) Le prestataire agit en principe en tant que «soustraitant» du client, au sens de la loi info. et libertés (art. 35), c est-à-dire sur ses instructions Le client est en général le responsable de traitement : il assume l obligation du bon respect de la loi (responsabilité civile et pénale) H.D., S.G. - ADIRA

15 Le prestataire et le client peuvent-ils être responsables conjoints des traitements? Oui, tout dépend du type de cloud / du service fourni A priori, non si cloud privé A priori, oui si cloud public Raisonner selon un faisceau d indices (cf. rapport CNIL) Niveau d instruction Degré de contrôle Valeur ajoutée du prestataire Degré de transparence H.D., S.G. - ADIRA

16 Le transfert de données (1/4) Le stockage, l accès, la consultation... de données depuis un autre pays est un transfert de données H.D., S.G. - ADIRA

17 Le transfert de données (2/4) Transfert UE Union européenne Niveau de protection garanti Directive 95/46/CE Vérif. décla. CNIL et info. des personnes H.D., S.G. - ADIRA

18 Le transfert de données (3/4) Transfert hors UE - Vers pays ayant niveau de protection adéquat (Canada, Suisse...) ou vers US avec adhésion aux Safe Harbor - Rentrant dans les exceptions art. 69 : consentement exprès (exception); exécution d un contrat... Décla. Normale + Annexe transfert et info. des personnes H.D., S.G. - ADIRA

19 Le transfert de données (4/4) Transfert hors UE - Vers pays sans niveau de protection adéquat ou vers US sans adhésion aux Safe Harbor - Hors exceptions art Clauses contractuelles types ou BCR + Autorisation CNIL (sauf si relève d une NS ou AU) et info. des personnes H.D., S.G. - ADIRA

20 Le rôle du contrat (1/2) Le contrat est essentiel à la protection des données : Dispositif par des clauses imposant : Le respect de l intégrité et de la confidentialité des données (obligation de résultat, avec archivage et codage ASCII) La sécurité des données : dans le cadre européen dans le cadre international (jusqu à l interdiction de stockage de données sous l empire de lois défavorables) H.D., S.G. - ADIRA

21 Le rôle du contrat (2/2) Demander la liste des pays où sont situés les data center Prévoir des obligations générales et spécifiques à la charge du prestataire : Sur la fourniture d informations utiles permettant au client de déclarer le traitement Sur la sécurité et la confidentialité des données (politique de sécurité, audit...) Sur la restitution, destruction des données à la fin du contrat Sur les failles de sécurité (obligation d informer le client) Etc. H.D., S.G. - ADIRA

22 Vos contacts Héloïse Deliquiet : heloise.deliquiet@fidal.fr Spécialiste en droit des nouvelles technologies Correspondant Informatique et libertés de FIDAL Sophie Guicherd : sophie.guicherd@yahoo.fr Diplômée du Master II Propriété intellectuelle de Grenoble Doctorante en droit civil des obligations et droit des nouvelles technologies Chargée d enseignements à la Faculté de droit, Grenoble II H.D., S.G. - ADIRA