Le contrat Amazon Web Services : derrière la rose, les épines ?

Les excellents résultats de AWS (Amazon Web Services)  au 2^ème trimestre 2015 confirment l’attractivité de son offre, parfaite implémentation des principes du cloud computing.  Cependant, les entreprises françaises gagneraient à bien mesurer les risques nés des termes du contrat AWS. Car ils sont inhabituels en droit français et justifient des mesures d’accompagnement.

Le cours de l’action Amazon à bondi de 17% dès l’annonce des excellents résultats de sa filiale AWS pour le second trimestre 2015 : un chiffre d’affaires de 1,8 Mrd$, soit une croissance de +81% sur un an. Les clients référencés par AWS sont prestigieux : NetFlix, AirBnB, Spotify, Shazam, Expedia, Siemens, Novartis … Il suffit de visiter le site aws.amazon.com/fr pour être séduit : leader du Gartner Magic Quadrant, ressources à la demande et paiement à l’utilisation, abondant écosystème, gratuité la 1^ère année pour l’offre d’entrée (Amazon EC2). Tout est simple, clair, agréable, ludique. C’est très complet, largement illustré et, bien entendu, rédigé en français. 

Tout en bas de la page d’accueil se trouve ainsi le lien : « Informations juridiques », un peu perdu parmi d’autres sujets bien plus captivants, tels que « Témoignages de réussite »,  « Evènements », « Livres blancs », « Solutions » « Ressources », ...  Sitôt cliqué sur « Informations juridiques », changement de décor ! Exit le français, bonjour l’anglais juridique, bienvenu au royaume du « Legal ».

Après un rapide survol (I), quelques pistes d’actions peuvent être esquissées (II).

(I) Rapide survol du « Legal » AWS

Parmi les sept documents auxquels renvoie le lien « Legal », le premier d’entre eux mérite une attention particulière. Il s’agit du  « AWS Customer Agreement » (1), complété notamment par les documents contractuels annexes désignés par les six autres liens (2).

       (1)   AWS Customer Agreement

Il regroupe les principaux termes du contrat auquel consent tout client AWS.

En cas de conflit avec les autres documents contractuels AWS, ceux du Customer Agreement s’imposent, sauf s’agissant de l’annexe « AWS Services Terms ». Plutôt que d’entrer dans les détails des 14 articles de ce contrat (version du 19/6/2015), il convient de relever quelques règles particulièrement importantes.

        ·  Loi applicable au contrat et juridictions compétentes 

En  cas de conflit, le Client ne pourra que se référer à la loi de l’Etat de Washington et se tourner vers les juridictions du King County, Etat de Washington.

        ·   Changements

De « temps en temps », les services offerts peuvent être modifiés ou arrêtés. Il en va de même pour les SLA (Service Level Agreement) et les APIs (Application Programming Interfaces), avec toutefois un délai de prévenance de 90 jours s’agissant des SLA et une relative stabilité sur 12 mois s’agissant des APIs.

Les termes mêmes du contrat peuvent être modifiés unilatéralement par AWS.

     ·   Résiliation du contrat

Le contrat peut être résilié pour convenance ou pour cause. AWS peut mettre fin au contrat dans un délai de 30 jours pour sa convenance ou immédiatement dans le cas d’une raison assez grave. Quant au client, le délai de prévenance n’est pas précisé s’agissant d’une résiliation pour convenance et il peut être de 30 jours en cas de manquement non réparé dans un délai de 30 jours après notification.

      ·   Support – assistance

Lorsque le contrat n’a pas été résilié pour cause, le client connaît le régime suivant durant les 30 jours post-résiliation : ses « contenus » (données et programmes) ne seront pas effacés; il pourra les retrouver s’il paie tous les montants dus, y compris ceux de l’utilisation post-résiliation des services AWS; AWS fournira la même assistance que celle habituellement disponible pour tous ses clients.

      ·    Responsabilité

Le contrat AWS l’exonère tant et si bien de sa responsabilité que l’on en arrive à se demander dans quels rares cas celle-ci pourrait être engagée. Le sens très large (bien plus que celui de notre Cour de cassation) donné à la Force Majeure parachève l’édifice puisque le contrat qualifie ainsi « toute cause en dehors du contrôle raisonnable » du prestataire. En tout état de cause,  l’indemnisation reste plafonnée par le total des sommes payées par le client à AWS durant les 12 derniers mois.

     ·   Sécurité et données privées

S’agissant de la sécurité des « contenus », c’est le client qui est responsable de leur back-up et de leur protection, devant même aller jusqu’à les encrypter afin de se prémunir contre les accès non-autorisés.

Quant aux données privées, AWS y range les données à caractère personnel au sens de la CNIL et revendique son adhésion aux « safe harbor programs » développé par le Département du Commerce américain avec l’Union Européenne d’une part et la Suisse d’autre part.

Selon la CNIL, « Safe Harbor » désigne un ensemble de principes de protection des données personnelles publié par le Département du Commerce américain, auquel des entreprises établies aux Etats-Unis adhèrent volontairement afin de pouvoir recevoir des données à caractère personnel en provenance de l'Union européenne. Le Safe Harbor permet donc d’assurer un niveau de protection suffisant pour les transferts de données en provenance de l'Union européenne vers des entreprises établies aux Etats-Unis.

Tout client peut choisir les régions du monde dans lesquelles il souhaite que ses contenus soient stockés. AWS conserve toutefois la faculté de s’affranchir de ce choix à la condition de notifier ce changement.

      ·   Notifications 

Toutes les notifications aux clients peuvent être communiquées par simple affichage sur le site internet AWS. Tous les mails envoyés par AWS sont réputés bien lus par chaque client. Après délai de prévenance, toute modification publiée sera réputée acceptée du fait de l’utilisation postérieure des services.

        (2)  Documents contractuels annexes

Au delà de l’AWS Customer Agreement, six autres documents sont proposés dans la section « Legal ». Il s’agit successivement :

• des règles d’utilisations propres à certains services AW
• des interdictions relatives à l’utilisation des services AW
• des règles protégeant les droits de propriété intellectuelle AW
• des règles relatives à l’utilisation de site internet AWS
• de la politique AWS de respect des données privées
• de renseignements relatifs aux aspects fiscaux.

Dans le cadre du présent survol, un exposé rapide de ces documents annexes n’aurait guère de pertinence. Il suffit de retenir que ces documents annexes sont tous traversés par un même état d’esprit : protéger les droits de AWS, limiter ceux des clients et les responsabiliser.

En cas de conflit de règles avec l’AWS Customer Agreement, celui l’emporte sur les documents annexes, à l’exception des règles d’utilisations propres à certains services AWS. Ce qui paraît de bon sens et n’est rien d’autre que l’application de vieil adage « Specialia generalibus derogant ».

II) Esquisse de pistes d’actions

A l’issue de ce premier survol, il apparaît clairement que le contrat AWS n’est pas fait pour plaire aux directions juridiques des entreprises françaises.  Ce serait même plutôt le contraire.

Plusieurs clauses apparaissent potestatives puisque AWS se laissent de nombreuses possibilités de s’affranchir de ses obligations : certains juges y trouveraient d’ailleurs matière à intervenir. Mais le droit français ne s’applique pas car le contrat impose de se référer à la loi de l’Etat de Washington et de se tourner vers les juridictions du King County. En définitive, chacune de ses règles serait à elle seule une bonne raison de dire « niet » à AWS.

De leur coté, les DSI ne devraient guère apprécier de devoir subir les changements que s’autorise AWS, notamment en matière de services, d’API ou de SLA. Encore moins peut-être de se voir exposées à un délai de prévenance de 30 jours en cas de résiliation. Point de rassurant plan de réversibilité ici ni de zakouskis financiers pour compenser les dysfonctionnements du prestataire.

Plus généralement, les DSI sont placées dans une situation particulièrement inconfortable car elles devront supporter de très nombreuses obligations si elles entendent être irréprochables : encryptage des données, sauvegardes, suivi permanent des notifications et adaptations aux changements …

Dans ces conditions, pourquoi diable s’embarrasser avec AWS ? Pour autant, ses 81% de croissance annuelle résultent-ils d’entreprises irrationnelles ?  Le marché français est-il rendu atypique, voire impénétrable, par les principes protecteurs de son droit ?

En partie oui, mais seulement en partie. Car il est bien évident que les entreprises françaises sont elles aussi soumises aux lois d’airain du business : flexibiliser leurs charges et adapter leurs ressources IT aux besoins du marché. Tandis que les prestataires IT ne sont pas des entreprises philanthropiques.

« Think large, start small, upgrade fast » : le motto à la mode aux premières heures de l’internet trouve dans le cloud sa parfaite illustration, spécialement avec AWS. Quelle start-up, même française,  pourrait résister aux charmes du modèle de l’informatique « élastique » ?  Mais quelle entreprise bien établie accepterait de se rendre trop vulnérable en dépendant d’un prestataire si puissant ?

Pour autant, rejeter systématiquement AWS serait dommage. Comme aimait à le dire J.P. Morgan : « je ne paie pas mon juriste pour qu’il me dise ce que je ne dois pas faire … ».

Encore une fois, le bon équilibre se trouve probablement dans les modalités de mise en œuvre de l’externalisation.  Délimiter les domaines candidats, identifier les risques associés, fixer ses mesures d’accompagnement et valoriser tous les coûts associés restent indispensables. Bien entendu, l’étude comparative des solutions concurrentes, sans oublier les françaises, devra faire partie du processus de décision. Et une fois le contrat signé, il s’agira de le faire vivre opérationnellement pour mitiger ses risques.  Mais ceci est une autre histoire …

Michel PASOTTI

Paris, le 5  août 2015.

Le Cloud à la lumière de la CNIL : des recommandations pédagogiques mais à compléter

Le 25 juin 2012, la CNIL a publié ses recommandations relatives au Cloud Computing. Si elles sont particulièrement pédagogiques (I), elles restent largement à compléter (II).

(I)              Des recommandations pédagogiques

Intitulé « Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing », ce document est issu d’une consultation lancée par la CNIL à l’automne 2011.

Au total, sept recommandations sont faites :

1. Identifier clairement les données et les traitements qui passeront dans le Cloud
2. Définir ses propres exigences de sécurité technique et juridique
3. Conduire une analyse de risques afin d’identifier les mesures de sécurité essentielles
4. Identifier le type de Cloud pertinent (public, privé ou hybride ; SaaS, PaaS ou IaaS)
5. Choisir un prestataire présentant des garanties suffisantes
6. Revoir la politique de sécurité interne
7. Surveiller les évolutions dans le temps.

C’est surtout la cinquième recommandation qui est développée par la CNIL. Elle rappelle que le prestataire pourrait être considéré comme conjointement responsable du traitement dès lors qu’il participerait à la détermination des finalités et des moyens de traitement des données à caractère sensible (cf. Directive 95/46/CE art.2).

A ce titre, une obligation de confidentialité et sécurité incombe au prestataire et, de surcroît, il doit notamment apporter son concours au client afin de garantir les droits des personnes concernées : accès, rectification, effacement, …

La nécessité d’être vigilant en matière de clauses contractuelles est largement soulignée. Plusieurs modèles de clauses  sont judicieusement proposés par la CNIL en annexe. Elles s’appuient notamment sur les BCR (Binding Corporate Rules) ou les clauses contractuelles types pour l’encadrement des transferts de données.

(II)             Des recommandations à compléter

Le préambule du document précise que ces recommandations sont tournées notamment vers les PME.

L’intention est louable. Il s’agit pour la CNIL d’être opérationnel et d’apporter un « kit » prêt à l’emploi. Mais c’est en cela que le bât blesse.

Car la démarche Cloud ne se cantonne pas au domaine des données.

Au contraire, elle trouve sa source dans un besoin plus global : l’optimisation des services du système d’information et leur alignement avec les besoins-métiers de l’entreprise.

Corrélativement, les clauses d’un contrat Cloud ne devraient pas se focaliser sur les données, comme un lecteur pressé desdites recommandations pourrait le penser.

En effet, réversibilité, traçabilité, confidentialité, responsabilité, convention de services et pénalités (SLA), audit et PAQ (Plan d’Assurance Qualité), notamment, ne sauraient se limiter au prisme des données.

Bien au contraire, il paraît nécessaire de se référer et d’intégrer lesdites recommandations au sein d’un référentiel plus large, tel que celui proposé par ITIL notamment en matière de gestion de la capacité, de la disponibilité, de la continuité et de la sécurité.

Quant aux SLA, s’il est certainement utile de les revisiter profondément en matière de Cloud, la CNIL n’apporte guère d’outils et encore moins d’exemples.

De surcroît, en dépit d’une simplicité apparente, diverses questions viennent complexifier le tableau : lois civile et pénale applicables, juridiction(s) compétente(s), durée et conditions financières de sortie, adéquation des unités d’œuvre, …

En définitive, au delà des séductions du nuage à la mode et du prêt à porter contractuel, il nous reste encore quelques efforts à faire ...

Paris, le 1er juillet 2012

Cloud computing et contrats informatiques : du nouveau ou du bruit ?

Le cloud computing est devenu omniprésent dans le jargon des nouvelles technologies. Rupture  technologique ou simple effet de mode ? À travers le prisme du droit des contrats, le bilan des nouveautés est décevant !

Le Journal Officiel du 6 juin 2010 définit l’informatique en nuage comme le « Mode de traitement des données d'un client, dont l'exploitation s'effectue par l'internet, sous la forme de services fournis par un prestataire ».
Il est ensuite précisé : « L'informatique en nuage est une forme particulière de gérance de l'informatique, dans laquelle l'emplacement et le fonctionnement du nuage ne sont pas portés à la connaissance des clients. »
De cette définition, il ressort que le Cloud Computing impose trois conditions cumulatives :

• Internet
• Externalisation
• Incertitude quant à l’emplacement et au fonctionnement du service. 

En définitive, la seule spécificité du Cloud Computing est constituée par l’incertitude quant à l’emplacement et au fonctionnement du nuage.

Celui-ci ne connaissant aucune frontière, la question du droit applicable se pose. 

Dès l’année 1910, la Cour de Cassation apportait la réponse en affirmant le principe d’autonomie : « La loi applicable est celle choisie par les parties ». (Civ. 5/12/1910 - Arrêt American Trading)

La convention de Rome du 19 juin 1980 ne fait rien d’autre que reprendre ce principe.

Ainsi, le choix exprès de la loi applicable permet aisément aux parties de réduire l’insécurité juridique résultant du fonctionnement en nuage.

De même, une clause attributive de juridiction apporte la faculté de désigner par avance le tribunal compétent en cas de litige.

Ces règles générales connaissent quelques exceptions, notamment lorsqu’elles se heurtent à une loi de police ou atteignent la protection de la partie faible.

Mais ces exceptions viennent précisément conforter la sécurité juridique et sont donc de nature à rassurer ceux qui font appel aux services de l’informatique en nuage.

Reste ensuite la question des transferts hors du territoire français des données à caractère personnel.

Ceux-ci sont encadrés par la loi du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés.

Mais l’article 69 de ladite loi prévoit que le transfert de données à caractère personnel peut être effectué vers un État, quel qu’il soit, « si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ».

Un tel consentement est déjà chose courante chez les professionnels de l’externalisation.

En synthèse, l’informatique en nuage ne soulève guère de difficultés spécifiques d’un point de vue juridique.

Pourtant, les inquiétudes concernant la sécurité et la confidentialité représentent en pratique le plus grand obstacle à l’adhésion au cloud computing.

Et la fameuse élasticité promise par le Cloud Computing (qui n’est que la « scalabilité » des années 1995) impose des engagements de niveaux de services particulièrement précis.

C’est donc par un travail d’équipe, combinant intimement contrats, Service Level Agreements et certifications SAS 70 Type II ou ISO 27001 que l’informatique en nuage pourra continuer à se développer.

Michel PASOTTI - Avocat au Barreau de Paris - Paris, le 23 janvier 2011

Janvier 2011 : changement de ligne éditoriale !

Aller toujours plus vite ... C'est la dure loi qui s'impose pratiquement à tous.

Celle-ci me conduit dorénavant à privilégier les brefs articles d'humeur, en fonction de l'air du temps.
Il reste que les deux années précédentes d'archives conservent leur actualité. Je pense notamment à la place grandissante des chartes dans le domaines des TIC. Ainsi, Ch. Soc. 15 décembre 2010 :

"Mais attendu que la cour d’appel, qui a relevé que l’utilisation de sa messagerie pour la réception et l’envoi de documents à caractère pornographique et la conservation sur son disque dur d’un nombre conséquent de tels fichiers constituaient un manquement délibéré et répété du salarié à l’interdiction posée par la charte informatique mise en place dans l’entreprise et intégrée au règlement intérieur, a pu en déduire que ces agissements, susceptibles pour certains de revêtir une qualification pénale, étaient constitutifs d’une faute grave".

Je pourrais aussi citer la place centrale de l'article 1382, qui  restera encore longtemps notre "couteau Suisse".

Quant aux bonnes vieilles règles du Droit International Privé, elles nous indiqueront probablement souvent la solution.

Mais tablettes et cloud computing (habilement défini par le Journal Officiel du 6 juin 2010) ne manqueront pas de soulever de nouvelles questions.

Meilleurs voeux aux lecteurs de ce blog !

PS : Définition de l'informatique en nuage

JORF n°0129 du 6 juin 2010 page 10453

texte n° 42


VOCABULAIRE
Vocabulaire de l'informatique et de l'internet

NOR: CTNX1012892X


informatique en nuage
Domaine : Informatique/Internet.
Définition : Mode de traitement des données d'un client, dont l'exploitation s'effectue par l'internet, sous la forme de services fournis par un prestataire.
Note : L'informatique en nuage est une forme particulière de gérance de l'informatique, dans laquelle l'emplacement et le fonctionnement du nuage ne sont pas portés à la connaissance des clients.
Voir aussi : gérance de l'informatique, nuage.
Équivalent étranger : cloud computing.