Jurisexpert » contrats

Cloud Computing, droit et contrat

Blandine Poidevin — Tue, 07 Sep 2010 09:02:11 +0000

Le « Cloud Computing » ou « informatique dématérialisée », est un nouveau système de fourniture de ressources informatiques via l’utilisation de la mémoire et des capacités de calcul d’ordinateurs et de serveurs répartis dans le monde entier et liés par un réseau. Le « cloud » permet de se dispenser de la location ou de l’achat de serveurs informatiques, un navigateur web suffisant à accéder aux services informatique souhaités (logiciel, plate-forme ou infrastructure). Ce modèle permet d’obtenir un service sur demande et quasi instantané, avec une concentration des ressources au bénéfice d’une plus grande sécurité.
Il concerne des services aussi divers que la messagerie, la comptabilité, les mailings, le management des ventes, les outils CRM…

Toutefois, un service fourni à une telle échelle ne va pas sans risques, dans la mesure où il entraîne une perte de contrôle du Client sur ses données et applications, lesquelles pourront être amenées à migrer, à un niveau régional voire international et ce en l’absence de législation spécifique.
Il convient donc d’aborder les problématiques juridiques spécifiques à ce service, afin de fournir une grille de lecture et de rédaction des contrats à l’attention de ses utilisateurs.

1.La protection des données.
Les services proposés par le fournisseur d’informatique dématérialisée ou « Cloud Provider » incluent nécessairement le traitement de données personnelles dans un cadre régional, voire international. Il est donc essentiel que le Client définisse le régime de protection des données personnelles qui lui sera applicable.
Les données peuvent concerner tant les salariés que les clients, fournisseurs, partenaires, patients…
1.La protection des données en Europe
En Europe, la Directive 95/46/CE du 24 octobre 19951 est directement applicable à défaut de transposition nationale. En France, la loi Informatique et Libertés (LIL) du 6 janvier 1978, mise en conformité avec la directive 95/46 CE par la loi du 6 août 2004, encadre le traitement des données personnelles.
Selon l’article 3 de la LIL, le responsable du traitement n’est pas de la personne qui effectue le traitement mais celle qui en détermine la nature et les « finalités ». Dans le cadre du « Cloud Computing », le responsable du traitement est donc le Client et l’organe de traitement le « Cloud Provider ». Pèsera sur le responsable du traitement la charge de recueillir le consentement de la personne après l’avoir dûment informée.
L’article 5 de la LIL soumet à la loi française les traitements de données à caractère personnel dont le responsable de traitement est établi sur le territoire français ou dont les moyens de traitement sont situés sur le territoire français, sauf lorsque le traitement consiste uniquement à faire transiter les données. A défaut, le Client devra définir si la législation applicable est la législation d’un autre pays européen selon les mêmes conditions, la législation européenne à défaut de transposition dans le pays concerné, ou la législation d’un pays tiers.

Par conséquent, le responsable du traitement devra procéder dans le respect des principes posés par la législation (équité, légalité, proportionnalité, nécessité du traitement, information des sujets, la sécurité des données,) et sous le contrôle de la CNIL. Le Client sera seul responsable vis-à-vis des autorités ainsi que du sujet dont les données sont traitées, même en cas d’externalisation2 au « Cloud Provider ».
Suivant les principes posés par la Directive, le transfert de ces données dans ou via un pays n’assurant pas un niveau suffisant de protection ne pourra s’effectuer qu’avec l’accord du sujet – obtenu après information exhaustive – ou lorsque d’autres procédures sont en place, qu’elles soient privées (clauses contractuelles standardisées) ou publiques (à l’instar des « Safe Harbour Principles »)
Afin d’éviter la mise en jeu de sa responsabilité, le Client devra vérifier que la clause de protection des données personnelles au sein du contrat reprendra l’ensemble de ses propres obligations en la matière à la charge du « Cloud Provider » ou s’assurera de la coopération de ce dernier. Une part importante sera dédiée à la sécurisation des données.
Le « Cloud Provider » verra sa responsabilité engagée en cas d’illégalité du contenu, responsabilité partagée avec le Client3, ainsi qu’au niveau de la gestion des infrastructures physiques.
Un audit pourra être prévu afin de vérifier la conformité dans la durée des engagements souscrits.
2.La protection des données personnelles hors Europe.

La protection des données personnelles dans des pays tiers implique la rédaction de clauses standardisées mettant à la charge du « Cloud Provider » des obligations en matière de protection des données personnelles semblables à celles qu’impose la Directive.
Cas particulier : Les difficultés d’application des Safe Harbour Principles

Les « Safe Harbour Principles » sont des principes de bonne conduite élaborés par le ministère du commerce américain afin que les entreprises nationales respectent la Directive Européenne 95 /46/CE pour les données en provenance de l’Union Européenne. Toutefois, ces principes n’ont manifestement pas été respectés au nom du « Patriot Act », lequel donne au gouvernement Américain le droit d’accéder à toute donnée stockée sur son territoire, en cas d’urgence ou s’il juge que cela est nécessaire pour assurer la sécurité nationale.
La Commission européenne a lancé un projet de mandat de négociation d’accord avec les Etats-Unis sur le transfert des données bancaires à des fins de lutte contre le terrorisme, projet contenant d’importantes garanties en matière de protection des données personnelles. Dans l’intervalle, la révision annoncée du « Patriot Act » devrait permettre une meilleure protection des données personnelles.

En toute hypothèse, il est utile de connaître le lieu d’implantation des serveurs et de prévoir, notamment pour les sauvegardes, une procédure d’anonymisation des données.

2.Confidentialité

Les informations confiées au « Cloud Provider » peuvent nécessiter un secret absolu, d’où l’importance d’une clause ou d’un accord de confidentialité ainsi que du niveau d’engagement attend, les personnes concerneés et sa durée. Il est important qu’elle s’applique aux salariés et aux propres sous-traitants du prestataire.
En cas d’intrusion dans le système par un tiers non autorisé, la confidentialité des données du Client sera mise à mal, provoquant un préjudice tant pour le fournisseur que pour le Client. Le « Cloud Provider » pourra agir sur le fondement des articles L 323-1 et suivants du Code pénal. Le Client, quant à lui, devra prouver cette atteinte, opération nécessitant les informations techniques dont dispose le fournisseur. Par conséquent, il sera nécessaire que le Client prenne des garanties contractuelles pour s’assurer de la coopération du « Cloud Provider » afin de faire valoir son préjudice (par exemple, via la communication au Client d’un rapport en cas d’atteinte au système).
3.Propriété intellectuelle
Dans le cadre d’un service fournissant logiciels, plateformes et infrastructures informatiques, les droits de propriété intellectuelle sont inévitables. Ces droits peuvent constituer l’apport du Client, à savoir les services, données et applications transférés au « Cloud Provider ». Il peut également s’agir de droits créés par l’utilisation du service, à savoir le développement d’un logiciel via une plate-forme fournie par le « Cloud Provider », ou de procédés mis au point par les deux parties, à l’instar d’un système de gestion des données. En l’absence de clauses définissant les droits de chacun, ces objets originaux risquent d’être réutilisés en dehors du service par une des parties sans l’accord de l’autre, provoquant un contentieux nuisible au service.
Les parties doivent donc déterminer au sein du contrat quels sont leurs droits respectifs sur les objets qu’elles apportent ou entendent réaliser ainsi que leurs possibilités respectives d’utilisation desdits objets (possibilité de concéder une licence à un tiers ou pas par exemple, allocation d’une redevance à l’autre partie, etc.).
4.Faute professionnelle
En cas de défaillance du service externalisé, plusieurs responsabilités sont susceptibles d’être engagées : responsabilité du fournisseur de service vis-à-vis de son Client, du Client vis-à-vis de ses propres Clients, du Client vis-à-vis de ses salariés. Par conséquent, lors de la conclusion du contrat, il convient d’établir toutes les responsabilités pouvant être soulevées en relation avec le service fourni et effectuer un partage de ces responsabilités au sein de la clause limitative de responsabilité ou clause responsabilité.
La question de la réparation (et de son assurance) doit être abordée, elle nécessite de définir les fonctions stratégiques de l’entreprise cliente et les impacts possibles d’une défaillance sur son activité.
5.Intuitu personae
Que le contrat soit négocié ou non par le Client, ce dernier contracte avec le « Cloud Provider » pour partie du fait de sa réputation. En ce sens, le contrat conclu est un contrat intuitu personae. Par conséquent, cette relation de confiance sera mise en danger en cas de rachat du prestataire par un tiers, ou l’arrivée d’un nouvel actionnaire ou en cas de recours du prestataire à un sous -raitant. Si le Client souhaite prévenir ces éventualités, il devra en fixer les termes dans le contrat.
Conclusion
En l’absence de législation harmonisée et mondialement partagée, il est nécessaire que le Client prête une extrême attention aux documents contractuels auxquels il adhèrera ou qu’il négociera, l’outil contractuel étant son principal atout pour se protéger, de « l’envol de ses données dans le nuage ». Ces contrats renverront fréquemment à des Service Level Agreement (SLA) spécifiques par objectif (ex : sécurité, anonymisation des données hébergées, sauvegarde etc.).

Droit de l’internet, 20/05/10, Paris

Blandine Poidevin — Mon, 17 May 2010 15:07:09 +0000

J’animerai cette journée consacrée au droit de l’internet et organisée par Comundi (Reedbusiness). J’évoquerai plus particulièrement le droit des consommateurs.

DROIT DE L’INTERNET : LES NOUVELLES CONTRAINTES JURIDIQUES

Dates : 20/05/10

Lieu : au centre d’affaires REGUS – 54/56 avenue Hoche – 75008 Paris.

Rendez-vous à : 8h30 (jusqu’à 17h)

Aspects juridiques du cloud computing, Clusif, Paris, 14/04/10

Blandine Poidevin — Thu, 08 Apr 2010 07:51:51 +0000

Je participerai à ce débat organisé par le CLUSIF : une conférence relative à la Sécurité du Cloud Computing et de la virtualisation, mercredi 14 avril à 16h

Cet événement est organisé en partenariat avec Orange Business Services

pour s’inscrire

Sur le web CLUSIF ou par e-mail

Présentation de cette conférence

Le Cloud Computing est le secteur des services informatiques qui devrait connaitre la plus forte croissance dans les prochaines années (selon une enquête de l’IDC de 971 M€ en 2008 à 6 000 M€ en 2013).

Pour les entreprises et plus particulièrement les directions des systèmes d’information, cette nouvelle organisation leur permettra d’offrir l’informatique à volonté, instantanément disponible, sans engagement et à la demande. Cela devrait ainsi satisfaire aux attentes de leurs utilisateurs.

La sécurité des informations ainsi déployées et offertes devient alors la problématique à résoudre. Les risques identifiés portent aussi bien sur les conditions de protection physique du site d’hébergement, que sur celles des accès logiques et de la séparation entre les différentes données.

Le risque juridique acquiert dans ce type de configuration une acuité particulière : comment prouver la conformité aux exigences légales et/ou réglementaires sur le traitement des informations (plus particulièrement les données nominatives), comment identifier la chaine de responsabilités dans le cas d’un recours en responsabilité civile ou encore comment conserver preuves et indices dans une action au pénal ?

Conditions d’inscription

Conférence gratuite pour les adhérents CLUSIF (inscription obligatoire, voir le lien ci-dessous), payante pour les extérieurs. Nous vous rappelons aux adhérents du CLUSIF qu’ils peuvent se faire remplacer par un collègue ou collaborateur s’ils ne sont pas eux-même disponibles. Et, comme à chaque fois, un cocktail sera ensuite l’occasion de discussions informelles.

Programme de cet événement

Le programme est en cours de constitution, le nom de certains intervenants sera confirmé très prochainement.

La conférence sera articulée autour de 4 interventions :

Maître Blandine Poidevin, avocate, abordera les aspects de droit des données personnelles, de propriété intellectuelle, de confidentialité et de régime de responsabilités.
M. Stéphane Duproz, TelecityGroup, abordera les questions de sécurité physique des datacenters.
(sous réserves) M. Pascal Sauliere, Microsoft, fera une présentation de la sécurité du Cloud Computing.
Un retour d’expérience sur la mise en œuvre d’un projet de virtualisation dans une grande administration française.

Inscription

L’inscription est obligatoire pour tous :

soit sur le web CLUSIF : http://www.clusif.asso.fr/fr/infos/event/#conf100414
soit par email : secretariat@clusif.asso.fr
Avez-vous bien noté l’horaire ? Début de la conférence à 16h. Accueil à partir de 15h40.

Quid de l’exercice du droit de rétractation en dehors des heures ouvrables ?

Blandine Poidevin — Thu, 23 Apr 2009 20:34:19 +0000

Si un client exerce son droit de rétractation en dehors des heures ouvrables, sa prise en compte par le vendeur ne peut se faire qu’à compter de la prochaine heure ouvrable.

Or, la Loi CHATEL du 3 janvier 2008 prévoit que la totalité des sommes versées doit être remboursée dans les meilleurs délais suite à l’exercice d’un droit de rétractation. Ce texte oblige le professionnel à recréditer le compte dès réception de la rétractation, en ce compris les agios éventuellement dus du fait du décalage survenant dans le remboursement.

A ce titre, le Code de la Consommation prévoit, dans son article L. 121-20, que le délai pour exercer son droit de rétractation est de sept jours francs, étant précisé que lorsque le délai de sept jours expire un samedi, un dimanche ou un jour férié ou chômé, il est prorogé jusqu’au premier jour ouvrable suivant.

Le professionnel a donc tout intérêt à préciser dans ses conditions générales applicables que tout droit à rétractation exercé en dehors des heures de bureau (du lundi au vendredi, de 9 h à 18 h, par exemple) sera pris en compte à la date du prochain jour ouvrable.

Droit d’auteur et paiement de la TVA

Blandine Poidevin — Thu, 19 Mar 2009 11:12:57 +0000

Qui est redevable du paiement de la TVA dans une relation entre l’auteur et l’éditeur ?

Le dispositif de retenue à la source prévu par l’article 285B du CGI prévoit que l’éditeur qui verse des droits d’auteur doit, sauf lorsque l’auteur a renoncé à ce dispositif, retenir sur le montant de ces droits la taxe sur la valeur ajoutée due par l’auteur et acquitter cette taxe au Trésor.

Toutefois, devant les conflits et les enjeux tant en cas de succès que d’échecs, il est préférable de stipuler expressément dans les contrats le sort de la TVA et ses modalités de paiement.

Escroqueries sur internet

Blandine Poidevin — Wed, 21 Jan 2009 12:44:53 +0000

Les escroqueries sur internet se multiplent. Que faire si on est confronté à un problème de ce type ?Le gouvernement a mis en place une ligne téléphonique spécifique : le 08 11 02 02 17 (numéro info-escroqueries- et une plate-forme internet : www.internet-signalement.gouv.fr

Les infractions es plus fréquentes concernent les escroqueries dites à la nigériane (demande d’aide d’urgence dans un contexte des plus fantaisistes) ou autre abus de confiance.

Selon les premiers bilans, le standard téléphonique recevrait environ 200 appels par jour et 66000 connnexions internet sur la plate-forme.

Soyons donc très vigilants à tous ces bons plans qu’on nous propose sur internet !

L’une des premières obligations de la LCEN reste l’identification du vendeur, à toujours vérifier.

Droits des consommateurs : projet de directive

Blandine Poidevin — Mon, 01 Dec 2008 10:36:41 +0000

Tous les acteurs du commerce électronique devraient lire les annexes II et III de ce projet de directive présenté le 08/10/08 relative aux droits des consommateurs.L’annexe II concerne les clauses contractuelles réputées abusives en toutes circonstances et l’annexe III les clauses contractuelles présumées abusives.

La directive

CCI Grand Lille : Droit du commerce en ligne 13/11/08

Blandine Poidevin — Thu, 13 Nov 2008 15:01:58 +0000

Conférence débat animée par Blandine Poidevin à Douai ce 13/11 à 18h30.
contact : B Pujols : B.PUJOLS(at)grand-lille.cci.fr

Droit des logiciels 08/09/08 à Paris

Blandine Poidevin — Tue, 02 Sep 2008 08:47:55 +0000

Une journée consacrée à l’étude du droit des logiciels, des logiciels libres et des contrats.
www.connaissance-network.com

Clauses abusives : loi du 4 août 2008

Blandine Poidevin — Mon, 11 Aug 2008 10:58:16 +0000

La loi n°2008-776 du 4/08/08 en ses articles 85 et 86 ajoute une nouvelle clause abusive en matière bancaire afin de protéger davantage encore le consommateur.

Les clauses abusives sont toutes reprises à l’article L. 132-1 du code de la consommation. Cet article prévoit que les clauses suivantes sont abusives :

1. Clauses ayant pour objet ou pour effet :

a) D’exclure ou de limiter la responsabilité légale du professionnel en cas de mort d’un consommateur ou de dommages corporels causés à celui-ci, résultant d’un acte ou d’une omission de ce professionnel ;

b) D’exclure ou de limiter de façon inappropriée les droits légaux du consommateur vis-à-vis du professionnel ou d’une autre partie en cas de non-exécution totale ou partielle ou d’exécution défectueuse par le professionnel d’une quelconque des obligations contractuelles, y compris la possibilité de compenser une dette envers le professionnel avec une créance qu’il aurait contre lui ;

c) De prévoir un engagement ferme du consommateur, alors que l’exécution des prestations du professionnel est assujettie à une condition dont la réalisation dépend de sa seule volonté ;

d) De permettre au professionnel de retenir des sommes versées par le consommateur lorsque celui-ci renonce à conclure ou à exécuter le contrat, sans prévoir le droit, pour le consommateur, de percevoir une indemnité d’un montant équivalent de la part du professionnel lorsque c’est celui-ci qui renonce ;

e) D’imposer au consommateur qui n’exécute pas ses obligations une indemnité d’un montant disproportionnellement élevé ;

f) D’autoriser le professionnel à résilier le contrat de façon discrétionnaire si la même faculté n’est pas reconnue au consommateur, ainsi que de permettre au professionnel de retenir les sommes versées au titre de prestations non encore réalisées par lui, lorsque c’est le professionnel lui-même qui résilie le contrat ;

g) D’autoriser le professionnel à mettre fin sans un préavis raisonnable à un contrat à durée indéterminée, sauf en cas de motif grave ;

h) De proroger automatiquement un contrat à durée déterminée en l’absence d’expression contraire du consommateur, alors qu’une date excessivement éloignée de la fin du contrat a été fixée comme date limite pour exprimer cette volonté de non-prorogation de la part du consommateur ;

i) De constater de manière irréfragable l’adhésion du consommateur à des clauses dont il n’a pas eu, effectivement, l’occasion de prendre connaissance avant la conclusion du contrat ;

j) D’autoriser le professionnel à modifier unilatéralement les termes du contrat sans raison valable et spécifiée dans le contrat ;

k) D’autoriser les professionnels à modifier unilatéralement sans raison valable des caractéristiques du produit à livrer ou du service à fournir ;

l) De prévoir que le prix des biens est déterminé au moment de la livraison, ou d’accorder au vendeur de biens ou au fournisseur de services le droit d’augmenter leurs prix sans que, dans les deux cas, le consommateur n’ait de droit correspondant lui permettant de rompre le contrat au cas où le prix final est trop élevé par rapport au prix convenu lors de la conclusion du contrat ;

m) D’accorder au professionnel le droit de déterminer si la chose livrée ou le service fourni est conforme aux stipulations du contrat ou de lui conférer le droit exclusif d’interpréter une quelconque clause du contrat ;

n) De restreindre l’obligation du professionnel de respecter les engagements pris par ses mandataires ou de soumettre ses engagements au respect d’une formalité particulière ;

o) D’obliger le consommateur à exécuter ses obligations lors même que le professionnel n’exécuterait pas les siennes ;

p) De prévoir la possibilité de cession du contrat de la part du professionnel, lorsqu’elle est susceptible d’engendrer une diminution des garanties pour le consommateur sans l’accord de celui-ci ;

q) De supprimer ou d’entraver l’exercice d’actions en justice ou des voies de recours par le consommateur, notamment en obligeant le consommateur à saisir exclusivement une juridiction d’arbitrage non couverte par des dispositions légales ou à passer exclusivement par un mode alternatif de règlement des litiges, en limitant indûment les moyens de preuves à la disposition du consommateur ou en imposant à celui-ci une charge de preuve qui, en vertu du droit applicable, devrait revenir normalement à une autre partie au contrat.

r) De permettre à une banque ou un établissement financier de ne pas rendre effective immédiatement la dénonciation d’un compte joint par l’un des cotitulaires du compte.

2. Portée des points g, j et l :

a) Le point g ne fait pas obstacle à des clauses par lesquelles le fournisseur de services financiers se réserve le droit de mettre fin au contrat à durée indéterminée unilatéralement, et ce, sans préavis en cas de raison valable, pourvu que soit mise à la charge du professionnel l’obligation d’en informer la ou les autres parties contractantes immédiatement ;

b) Le point j ne fait pas obstacle à des clauses selon lesquelles le fournisseur de services financiers se réserve le droit de modifier le taux d’intérêt dû par le consommateur ou dû à celui-ci, ou le montant de toutes autres charges afférentes à des services financiers, sans aucun préavis en cas de raison valable, pourvu que soit mise à la charge du professionnel l’obligation d’en informer la ou les autres parties contractantes dans les meilleurs délais et que celles-ci soient libres de réaliser immédiatement le contrat.

Le point j ne fait pas non plus obstacle à des clauses selon lesquelles le professionnel se réserve le droit de modifier unilatéralement les conditions d’un contrat de durée indéterminée pourvu que soit mis à sa charge le devoir d’en informer le consommateur avec un préavis raisonnable et que celui-ci soit libre de résilier le contrat ;

c) Les points g, j et l ne sont pas applicables aux :

– transactions concernant les valeurs mobilières, instruments financiers et autres produits ou services dont le prix est lié aux fluctuations d’un cours ou d’un indice boursier ou d’un taux de marché financier que le professionnel ne contrôle pas ;

– contrats d’achat ou de vente de devises, de chèques de voyage ou de mandats-poste internationaux libellés en devises ;

d) Le point l ne fait pas obstacle aux clauses d’indexation de prix pour autant qu’elles soient licites et que le mode de variation du prix y soit explicitement décrit.

Le point « r » est celui ajouté par cette loi.