Droit : toutes les questions à se poser avant de migrer dans le cloud

Sommaire du dossier :

​- Data centers : leur localisation en questions
- Droit : toutes les questions à se poser avant de migrer dans le cloud​
​- 3 solutions cloud au banc d'essai : du grand public à l'entreprise
- Le cloud, paradis de l'e-facturation

Rencontre avec Éric Barbry, avocat au barreau de Paris et directeur du pôle « droit du numérique » au sein du cabinet Alain Bensoussan Avocats – Lexing.

Quelles questions une entreprise doit-elle se poser avant de migrer dans le cloud ?

Une entreprise qui souhaite migrer dans le cloud doit impérativement se poser quatre questions - même s’il y en a bien plus. Mais les quatre questions impératives sont :

1. Ai-je le droit de migrer dans le cloud et puis-je le faire sur toutes mes données ? Il arrive en effet qu’en fonction du secteur d’activité ou de la qualité des données traitées il ne soit pas possible ou pas acceptable de passer dans le cloud. C’est souvent le cas des données très sensibles ou des données gérées pour le compte de client qui eux ne souhaitent pas que leurs données passent en cloud.
2. Quel impact sur mes contrats en cours ? Beaucoup d’entreprises se lancent dans une opération « cloud » pour faire des économies et oublient d’étudier les engagements qu’elles ont souscrits et qui dans bien des cas les contraignent à résilier des contrats en cours et payer des frais de dédits conséquents. L’opération peut alors apparaître bien moins attractive que prévue, voire contre-performante sur un plan économique.
3. Quel cloud choisir ? L’offre cloud est immense avec des gros opérateurs ou des plus petits, des clouds sur étagère, des clouds privés, publics, hybrides… Bref, il faut savoir quelle est la solution la plus adaptée au besoin de l’entreprise.
4. Où sont mes données ? C’est une question très importante, notamment au regard de la loi informatique et libertés, car il faut rappeler que, sauf exception, il est normalement interdit de procéder à des flux de données en dehors de l’Union européenne.

Quelles sont les informations indispensables qui doivent figurer dans un contrat entre un client et un fournisseur de cloud ?

La réponse est aussi vaste que le type et le nombre de contrats cloud. Cela dépend aussi de la possibilité ou non de négocier ledit contrat. Mais pour les points essentiels, il faut bien travailler les clauses de garanties notamment de disponibilité et de sécurité, de continuité de service  et d’amélioration continue. La réversibilité, la responsabilité, la propriété des données, la gestion d’éventuels défauts de sécurité (data breach) et l’inévitable plafond de réparation qui est souvent dérisoire au regard des risques encourus par l’entreprise qui migre dans le cloud doivent aussi retenir l’attention. Il ne faut pas oublier les clauses sur les données personnelles et pour cela se référer aux clauses types proposées par la Cnil. Lorsque le contrat est « négociable », il faut alors bien travailler aussi les clauses relatives aux aspects financiers et la maîtrise des coûts, voire à l’optimisation financière et au ROI (Return on investement) ou ROG (return on goal).

Comment s'assurer de la réversibilité des données exportées dans le cloud ?

En matière de cloud la réversibilité est souvent un faux problème, car ce qui compte avant tout est d’avoir une bonne garantie d’accessibilité. Si tel est le cas alors l’entreprise cliente peut, sans grande difficulté, récupérer ces données. Reste à savoir dans quel format et pour les mettre où. C’est là effectivement que la clause de réversibilité peut avoir du sens. Mais plus que la clause elle-même l’entreprise qui se lance dans le cloud doit exiger que lui soit communiqué le « plan de réversibilité » et s’assurer que celui-ci sera mis à jour pendant toute la période contractuelle.

Assiste-t-on à une envolée des contentieux entre les fournisseurs de cloud et leurs clients ?

Pas vraiment, car le cloud est encore jeune et lorsqu’il y a des difficultés les prestataires font tout pour éviter un contentieux. Mais il serait faux de penser qu’il n’y a pas de problème ni de litige. Nous avons évidemment été saisis de dossiers par nos clients avec les mêmes questions : comment prouver la faute du prestataire, d’une part, et, d’autre part, comment obtenir une réparation supérieure au plafond de réparation qui est toujours dérisoire.