Le contrat Amazon Web Services : derrière la rose, les épines ?

Les excellents résultats de AWS (Amazon Web Services)  au 2^ème trimestre 2015 confirment l’attractivité de son offre, parfaite implémentation des principes du cloud computing.  Cependant, les entreprises françaises gagneraient à bien mesurer les risques nés des termes du contrat AWS. Car ils sont inhabituels en droit français et justifient des mesures d’accompagnement.

Le cours de l’action Amazon à bondi de 17% dès l’annonce des excellents résultats de sa filiale AWS pour le second trimestre 2015 : un chiffre d’affaires de 1,8 Mrd$, soit une croissance de +81% sur un an. Les clients référencés par AWS sont prestigieux : NetFlix, AirBnB, Spotify, Shazam, Expedia, Siemens, Novartis … Il suffit de visiter le site aws.amazon.com/fr pour être séduit : leader du Gartner Magic Quadrant, ressources à la demande et paiement à l’utilisation, abondant écosystème, gratuité la 1^ère année pour l’offre d’entrée (Amazon EC2). Tout est simple, clair, agréable, ludique. C’est très complet, largement illustré et, bien entendu, rédigé en français. 

Tout en bas de la page d’accueil se trouve ainsi le lien : « Informations juridiques », un peu perdu parmi d’autres sujets bien plus captivants, tels que « Témoignages de réussite »,  « Evènements », « Livres blancs », « Solutions » « Ressources », ...  Sitôt cliqué sur « Informations juridiques », changement de décor ! Exit le français, bonjour l’anglais juridique, bienvenu au royaume du « Legal ».

Après un rapide survol (I), quelques pistes d’actions peuvent être esquissées (II).

(I) Rapide survol du « Legal » AWS

Parmi les sept documents auxquels renvoie le lien « Legal », le premier d’entre eux mérite une attention particulière. Il s’agit du  « AWS Customer Agreement » (1), complété notamment par les documents contractuels annexes désignés par les six autres liens (2).

       (1)   AWS Customer Agreement

Il regroupe les principaux termes du contrat auquel consent tout client AWS.

En cas de conflit avec les autres documents contractuels AWS, ceux du Customer Agreement s’imposent, sauf s’agissant de l’annexe « AWS Services Terms ». Plutôt que d’entrer dans les détails des 14 articles de ce contrat (version du 19/6/2015), il convient de relever quelques règles particulièrement importantes.

        ·  Loi applicable au contrat et juridictions compétentes 

En  cas de conflit, le Client ne pourra que se référer à la loi de l’Etat de Washington et se tourner vers les juridictions du King County, Etat de Washington.

        ·   Changements

De « temps en temps », les services offerts peuvent être modifiés ou arrêtés. Il en va de même pour les SLA (Service Level Agreement) et les APIs (Application Programming Interfaces), avec toutefois un délai de prévenance de 90 jours s’agissant des SLA et une relative stabilité sur 12 mois s’agissant des APIs.

Les termes mêmes du contrat peuvent être modifiés unilatéralement par AWS.

     ·   Résiliation du contrat

Le contrat peut être résilié pour convenance ou pour cause. AWS peut mettre fin au contrat dans un délai de 30 jours pour sa convenance ou immédiatement dans le cas d’une raison assez grave. Quant au client, le délai de prévenance n’est pas précisé s’agissant d’une résiliation pour convenance et il peut être de 30 jours en cas de manquement non réparé dans un délai de 30 jours après notification.

      ·   Support – assistance

Lorsque le contrat n’a pas été résilié pour cause, le client connaît le régime suivant durant les 30 jours post-résiliation : ses « contenus » (données et programmes) ne seront pas effacés; il pourra les retrouver s’il paie tous les montants dus, y compris ceux de l’utilisation post-résiliation des services AWS; AWS fournira la même assistance que celle habituellement disponible pour tous ses clients.

      ·    Responsabilité

Le contrat AWS l’exonère tant et si bien de sa responsabilité que l’on en arrive à se demander dans quels rares cas celle-ci pourrait être engagée. Le sens très large (bien plus que celui de notre Cour de cassation) donné à la Force Majeure parachève l’édifice puisque le contrat qualifie ainsi « toute cause en dehors du contrôle raisonnable » du prestataire. En tout état de cause,  l’indemnisation reste plafonnée par le total des sommes payées par le client à AWS durant les 12 derniers mois.

     ·   Sécurité et données privées

S’agissant de la sécurité des « contenus », c’est le client qui est responsable de leur back-up et de leur protection, devant même aller jusqu’à les encrypter afin de se prémunir contre les accès non-autorisés.

Quant aux données privées, AWS y range les données à caractère personnel au sens de la CNIL et revendique son adhésion aux « safe harbor programs » développé par le Département du Commerce américain avec l’Union Européenne d’une part et la Suisse d’autre part.

Selon la CNIL, « Safe Harbor » désigne un ensemble de principes de protection des données personnelles publié par le Département du Commerce américain, auquel des entreprises établies aux Etats-Unis adhèrent volontairement afin de pouvoir recevoir des données à caractère personnel en provenance de l'Union européenne. Le Safe Harbor permet donc d’assurer un niveau de protection suffisant pour les transferts de données en provenance de l'Union européenne vers des entreprises établies aux Etats-Unis.

Tout client peut choisir les régions du monde dans lesquelles il souhaite que ses contenus soient stockés. AWS conserve toutefois la faculté de s’affranchir de ce choix à la condition de notifier ce changement.

      ·   Notifications 

Toutes les notifications aux clients peuvent être communiquées par simple affichage sur le site internet AWS. Tous les mails envoyés par AWS sont réputés bien lus par chaque client. Après délai de prévenance, toute modification publiée sera réputée acceptée du fait de l’utilisation postérieure des services.

        (2)  Documents contractuels annexes

Au delà de l’AWS Customer Agreement, six autres documents sont proposés dans la section « Legal ». Il s’agit successivement :

• des règles d’utilisations propres à certains services AW
• des interdictions relatives à l’utilisation des services AW
• des règles protégeant les droits de propriété intellectuelle AW
• des règles relatives à l’utilisation de site internet AWS
• de la politique AWS de respect des données privées
• de renseignements relatifs aux aspects fiscaux.

Dans le cadre du présent survol, un exposé rapide de ces documents annexes n’aurait guère de pertinence. Il suffit de retenir que ces documents annexes sont tous traversés par un même état d’esprit : protéger les droits de AWS, limiter ceux des clients et les responsabiliser.

En cas de conflit de règles avec l’AWS Customer Agreement, celui l’emporte sur les documents annexes, à l’exception des règles d’utilisations propres à certains services AWS. Ce qui paraît de bon sens et n’est rien d’autre que l’application de vieil adage « Specialia generalibus derogant ».

II) Esquisse de pistes d’actions

A l’issue de ce premier survol, il apparaît clairement que le contrat AWS n’est pas fait pour plaire aux directions juridiques des entreprises françaises.  Ce serait même plutôt le contraire.

Plusieurs clauses apparaissent potestatives puisque AWS se laissent de nombreuses possibilités de s’affranchir de ses obligations : certains juges y trouveraient d’ailleurs matière à intervenir. Mais le droit français ne s’applique pas car le contrat impose de se référer à la loi de l’Etat de Washington et de se tourner vers les juridictions du King County. En définitive, chacune de ses règles serait à elle seule une bonne raison de dire « niet » à AWS.

De leur coté, les DSI ne devraient guère apprécier de devoir subir les changements que s’autorise AWS, notamment en matière de services, d’API ou de SLA. Encore moins peut-être de se voir exposées à un délai de prévenance de 30 jours en cas de résiliation. Point de rassurant plan de réversibilité ici ni de zakouskis financiers pour compenser les dysfonctionnements du prestataire.

Plus généralement, les DSI sont placées dans une situation particulièrement inconfortable car elles devront supporter de très nombreuses obligations si elles entendent être irréprochables : encryptage des données, sauvegardes, suivi permanent des notifications et adaptations aux changements …

Dans ces conditions, pourquoi diable s’embarrasser avec AWS ? Pour autant, ses 81% de croissance annuelle résultent-ils d’entreprises irrationnelles ?  Le marché français est-il rendu atypique, voire impénétrable, par les principes protecteurs de son droit ?

En partie oui, mais seulement en partie. Car il est bien évident que les entreprises françaises sont elles aussi soumises aux lois d’airain du business : flexibiliser leurs charges et adapter leurs ressources IT aux besoins du marché. Tandis que les prestataires IT ne sont pas des entreprises philanthropiques.

« Think large, start small, upgrade fast » : le motto à la mode aux premières heures de l’internet trouve dans le cloud sa parfaite illustration, spécialement avec AWS. Quelle start-up, même française,  pourrait résister aux charmes du modèle de l’informatique « élastique » ?  Mais quelle entreprise bien établie accepterait de se rendre trop vulnérable en dépendant d’un prestataire si puissant ?

Pour autant, rejeter systématiquement AWS serait dommage. Comme aimait à le dire J.P. Morgan : « je ne paie pas mon juriste pour qu’il me dise ce que je ne dois pas faire … ».

Encore une fois, le bon équilibre se trouve probablement dans les modalités de mise en œuvre de l’externalisation.  Délimiter les domaines candidats, identifier les risques associés, fixer ses mesures d’accompagnement et valoriser tous les coûts associés restent indispensables. Bien entendu, l’étude comparative des solutions concurrentes, sans oublier les françaises, devra faire partie du processus de décision. Et une fois le contrat signé, il s’agira de le faire vivre opérationnellement pour mitiger ses risques.  Mais ceci est une autre histoire …

Michel PASOTTI

Paris, le 5  août 2015.

Le Cloud à la lumière de la CNIL : des recommandations pédagogiques mais à compléter

Le 25 juin 2012, la CNIL a publié ses recommandations relatives au Cloud Computing. Si elles sont particulièrement pédagogiques (I), elles restent largement à compléter (II).

(I)              Des recommandations pédagogiques

Intitulé « Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing », ce document est issu d’une consultation lancée par la CNIL à l’automne 2011.

Au total, sept recommandations sont faites :

1. Identifier clairement les données et les traitements qui passeront dans le Cloud
2. Définir ses propres exigences de sécurité technique et juridique
3. Conduire une analyse de risques afin d’identifier les mesures de sécurité essentielles
4. Identifier le type de Cloud pertinent (public, privé ou hybride ; SaaS, PaaS ou IaaS)
5. Choisir un prestataire présentant des garanties suffisantes
6. Revoir la politique de sécurité interne
7. Surveiller les évolutions dans le temps.

C’est surtout la cinquième recommandation qui est développée par la CNIL. Elle rappelle que le prestataire pourrait être considéré comme conjointement responsable du traitement dès lors qu’il participerait à la détermination des finalités et des moyens de traitement des données à caractère sensible (cf. Directive 95/46/CE art.2).

A ce titre, une obligation de confidentialité et sécurité incombe au prestataire et, de surcroît, il doit notamment apporter son concours au client afin de garantir les droits des personnes concernées : accès, rectification, effacement, …

La nécessité d’être vigilant en matière de clauses contractuelles est largement soulignée. Plusieurs modèles de clauses  sont judicieusement proposés par la CNIL en annexe. Elles s’appuient notamment sur les BCR (Binding Corporate Rules) ou les clauses contractuelles types pour l’encadrement des transferts de données.

(II)             Des recommandations à compléter

Le préambule du document précise que ces recommandations sont tournées notamment vers les PME.

L’intention est louable. Il s’agit pour la CNIL d’être opérationnel et d’apporter un « kit » prêt à l’emploi. Mais c’est en cela que le bât blesse.

Car la démarche Cloud ne se cantonne pas au domaine des données.

Au contraire, elle trouve sa source dans un besoin plus global : l’optimisation des services du système d’information et leur alignement avec les besoins-métiers de l’entreprise.

Corrélativement, les clauses d’un contrat Cloud ne devraient pas se focaliser sur les données, comme un lecteur pressé desdites recommandations pourrait le penser.

En effet, réversibilité, traçabilité, confidentialité, responsabilité, convention de services et pénalités (SLA), audit et PAQ (Plan d’Assurance Qualité), notamment, ne sauraient se limiter au prisme des données.

Bien au contraire, il paraît nécessaire de se référer et d’intégrer lesdites recommandations au sein d’un référentiel plus large, tel que celui proposé par ITIL notamment en matière de gestion de la capacité, de la disponibilité, de la continuité et de la sécurité.

Quant aux SLA, s’il est certainement utile de les revisiter profondément en matière de Cloud, la CNIL n’apporte guère d’outils et encore moins d’exemples.

De surcroît, en dépit d’une simplicité apparente, diverses questions viennent complexifier le tableau : lois civile et pénale applicables, juridiction(s) compétente(s), durée et conditions financières de sortie, adéquation des unités d’œuvre, …

En définitive, au delà des séductions du nuage à la mode et du prêt à porter contractuel, il nous reste encore quelques efforts à faire ...

Paris, le 1er juillet 2012

Fichier Preventel : les clients des opérateurs telecom menacés de manière licite ou illicite ?

Le GIE Preventel gère un fichier recensant les informations relatives aux impayés des abonnés des principaux opérateurs de télécommunication. Toute personne inscrite peut se voir refuser la possibilité de contracter avec un opérateur téléphonique. Cette situation est-elle licite ?

Le nombre considérable de personnes s’estimant lésées par le fichier Preventel justifie un rappel du cadre légal posé par la CNIL (1), sa confrontation avec les pratiques constatées (2) puis celle des moyens de défense en cas de fichage abusif (3).

1) Le cadre légal posé par la CNIL : une autorisation sous condition

Le fichier Preventel a été déclaré à la CNIL en 1996. Le 21 septembre 2004, son régime a été précisé par une délibération prise en séance plénière, à l’occasion d’une demande du GIE pour abaisser à 30 Euros le montant d'un impayé pouvant conduire à une inscription dans le fichier.

Faisant application pour la première fois des dispositions de l'article 25 de la loi du 6 janvier 1978 «Informatique et libertés», la CNIL imposait son autorisation préalable aux traitements du fichier Preventel, en remarquant qu’ils étaient susceptibles d’exclure des personnes du bénéfice d’un contrat.

À cette occasion, la CNIL reconnaissait la légitimité de s’assurer de l’absence de dettes d’un futur client envers un autre opérateur, dans un but de prévention d’impayés supplémentaires.

Cependant, la CNIL imposait simultanément une condition : le respect de mesures de mise en œuvre de nature à assurer la préservation des droits et intérêts des personnes. Elle précisait aussi que seuls des incidents de paiement « caractérisés » pouvaient être enregistrés dans une base mutualisée.

2) Les pratiques constatées : les mauvaises surprises des clients

En pratique, les clients sont confrontés à plusieurs difficultés.

Lors de la signature du contrat, ils ne sont guère informés de la possibilité d’être fichés en cas d’impayés. Les conditions générales d’achat des opérateurs telecom n’échappent pas à la règle qui veut qu’elles soient particulièrement denses et peu lisibles. En pratique, la plupart des clients renoncent à le faire, d’autant plus qu’ils considèrent qu’il n’y a pas matière à choisir entre les opérateurs, ni à négocier : elles sont à prendre ou à laisser !

Au moment où intervient un litige en matière de paiement, le client n’est guère prévenu du fait qu’il est inscrit dans le fichier Preventel. Parfois, seule l’éventualité de son fichage lui est rappelée, banalement mentionnée entre les lignes d’une demande de paiement.

Le fichage intervient dans la foulée, sans aucune discussion avec le client. De fait, celui-ci n’a aucun moyen de contester le bien-fondé de la cause de son enregistrement dans le fichier. Certains témoignages font état d’erreurs administratives ou matérielles imputables à l’opérateur mais qui auraient entraîné une inscription dans le fichier Preventel.

En fait, c’est lorsqu’une personne entend souscrire un nouveau contrat avec un opérateur différent qu’elle apprend qu’elle est inscrite dans le fichier Preventel.

Les conséquences sont alors sévères. Soit le client « douteux » se voit demander une somme importante en dépôt, soit il se voit refuser le droit de contracter avec le nouvel opérateur.

3) Les moyens de défense en cas de fichage abusif

Pour être désinscrit du fichier Preventel, il faut faire preuve de ténacité et de patience, tout en restant soumis à l’arbitraire de ses interlocuteurs. Il est légitime que le client s’estimant victime des agissements de son opérateur souhaite faire valoir ses droits devant un tribunal.

Deux conditions sont nécessaires : il faut que l’opérateur ait méconnu l’une des obligations nées du contrat et que le client démontre l’étendue du préjudice qu’il a subi.

Aux termes du 3^ème alinéa de l’article 1134 du Code Civil, les conventions doivent être exécutées de bonne foi : l’opérateur est donc tenu à une obligation de bonne foi.

Dès 2003, un tribunal d’instance a partiellement fait droit à la demande d’un client poursuivant SFR pour inscription abusive au fichier Preventel (TI Bordeaux – 25 novembre 2003). Toutefois, la modicité des dommages-intérêts accordés, d’un montant de 267 euros, apparaissait de nature à dissuader les clients mécontents d’agir, compte tenu des coûts inhérents au procès civil.

Depuis la loi 6 Août 2004 et la délibération de la CNIL du 21 septembre 2004, le client devrait pouvoir invoquer la méconnaissance par l’opérateur des conditions édictées à cette occasion : d’une part l’absence de mesures effectives assurant la préservation de ses droits, d’autre part l’absence de « caractérisation » de l’incident de paiement.

En d’autres termes, la CNIL posait la règle suivante : le client ne doit pas être sanctionné sans pouvoir faire entendre ses arguments et se défendre. A défaut, c’est son droit à un procès équitable qui lui est dénié : le client est sanctionné par la personne morale qui instruit à charge contre lui.

Il y a là d’intéressantes perspectives pour qui souhaiterait placer le litige sur le terrain des droits de l’homme.

Le comportement de l’opérateur peut aussi s’envisager du point de vue du droit pénal.

L’article 226-21 du Code Pénal punit notamment le détournement de la finalité pour laquelle les données ont été collectées. Le non-respect des règles édictées par la CNIL conditionnant l’autorisation d’un traitement est-il constitutif d’un détournement au sens dudit article ?

Est-il possible d’y voir des agissements intentionnels, encouragés, organisés ou tolérés dans le but d’exercer une pression psychologique sur les clients afin d’obtenir des avantages commerciaux ?

Dans l’affirmative, ceci permettrait aux plaignants de bénéficier de tous les avantages de la mise en mouvement de l’action publique : économie et efficacité des moyens d’investigation, énergie de la sanction pénale.

Pour autant, la question de l’évaluation du préjudice reste délicate. Comme toujours, le préjudice est apprécié souverainement par les tribunaux et il revient au demandeur d’en prouver l’étendue.

Au delà du préjudice patrimonial, se pose la question du préjudice moral subi du fait de l’impossibilité de disposer d’un téléphone mobile.

Le 10 juin 2009, le Conseil Constitutionnel consacrait la liberté d'accéder aux services de communication au public en ligne, en tant que composante de la liberté de communication et d'expression, énoncée à l'article 11 de la Déclaration des droits de l'homme et du citoyen de 1789.

Il est permis de soutenir que le droit de disposer d’un téléphone mobile mérite d’être protégé au même titre, tant il est vrai que l’exclusion menace les personnes qui en seraient privées et que cette menace peut être exploitée à des fins commerciales.

Plus que jamais, l’intérêt général commande le contrôle strict du fichage Preventel et justifient des sanctions sévères en cas de manquement.

Michel PASOTTI – Avocat au Barreau de Paris – Docteur en Économie – Paris, le 25/10/2009