La propriétédans les nuages
ou lorsque le droit se saisit du Cloud
Congrès I-Expo
: 14 juin 2012Cloud Gate. Galerie de Graig
S. Flickr
CC by-nc-nd
Michèle BattistiADBS –
Paralipomènes
-
IABD
2
Le Cloud1. Une révolution ?2. Quelles menaces ? 3. Quelles précautions ?
Pour maîtriser ses données dans le Cloud
Se poser quelques questions ?
1. Une révolution ?
Illustr. La liberté
guidant le peuple. Eugène Delacroix.Wikimédia
Commons.
3
incontournable et omniprésent
Vers un web 4.0, un web de plus en plus intelligent et sophistiqué
s’appuyant sur le Cloud
Un recours au Cloud qui se généralise/
Vu récemment • Amazon
crée un service de Cloud d’écoute musical oùl’internaute est invité
à
stocker la musique qu’il a achetée• le cloud
gaming, un «
système de papillonnage vidéoludique
»
Du web 2.0 au web 4.0 en passant par le web 3.0
: où
en sommes‐nous
?Mehdi Zemmama, Cap Gemini Consulting, 30 novembre 2010.
Le Cloud,
Petite histoire du cloud
computing,
Thibaut de Jaegher, L'Usine Nouvelle
, n° 3283, 28 avril 2012
Amazon
était pionnier
lorsqu’il proposait en 2002 de louer des espaces de stockage sur ses serveurs, ceux-ci n’étant réellement utilisés que pendant une partie de l’année, liés à
des pics de consommation
Aujourd’hui tout le monde a entendu parler du Cloud Computing
Head in the
Cloud and
Flow. Picto
Synthesis. CC by-nc
4
5
Avec les revues électroniques, aujourd’hui avec les livres électroniques, on a appris que l’on ne louait qu’un accès temporaire à
des informations et/ou à
des oeuvres
Depuis quelques années, en fonction de nos besoins, on peut louer des espaces de stockage pour nos propres données
; on peut louer diverses applications informatiques pour les traiter, voire des données …
Nos ordinateurs tendent à
se borner à
«
se brancher en mode terminal
»
Le support disparaît ? Oui, mais pas pour tout le mondeToutes ces données sont entreposées dans des serveurs gigantesques, souvent localisés dans des pays lointains, et sont amenées à
circuler périodiquement dans le monde, ce qui représenteune première source de problème juridique
Louer est tendance
Le Cloud incontournable et omniprésent
En octobre 2009, l’infrastructure en nuage d’Amazon représentait 40 000 serveurs répartis dans plusieurs sites dans le monde
I love Solidays. Damien Roué
.Fotopeida. CC by-nc
6
Une révolution
technique ?
Le Cloud computing, évolution ou révolution
?
Paralipomènes, 25/09/10
Un nouveau moyen de consommer l’informatique Externaliser
en fonction de ses besoins, des services informatiques qui nécessitent d'importantes capacités de calcul ou de stockage auprès de n'importe quel serveur disponible appartenant à
un réseau de serveurs connectés à
l'internet
.
comme un banal branchement à
un réseau électrique
Partager des ressources informatiques distribuées sur internet : le résultat d’une évolution de plusieurs techniques arrivées à maturité
Le Cloud
Le Cloud : facilité
d’usage, fourniture à
la demande, prix calculé
selon la consommation, …Bénéficier d’économies d’échelle
Illustr. An exhaust
cloud
engulfs
Launch
Pad 39Aat
NASA’s
Kennedy Space
Centre
in Florida
as space
shuttle
Endeavour
lift). NASA/Sandra Joseph and
Kevin O’Connell. 2010. Public Domain
Wikimédia
Commons
«
tous ceux qui en ont tâténe reviendront pas en arrière
»
7
Le Cloud Une révolution
technique ?
Du Cloud public …
le plus naturel
Mais aussi
du Cloud privé
(rien que pour soi)du Cloud hybride (privé/public)du Cloud communautaire (par «
affinités
»)
Un peu de jargon
Iaas
Infrastructure as a servicePaas
Platform
as a serviceSaas
Software as a service
3 couches de services Des donnéesqui voyagent constamment autour du monde pour répondre à
la nécessité
de refroidir les serveurs
SaaS, PaaS, IaaS, Cloud
: définitions, François Daniel Giezendanner,
SMS, SPIP, 10 mars 2010
Etang du Méjean. Photos de F. Moreno, CC by-nc-nd
Une révolution
contractuelle?8
Un contrat qui ressemble fort à
une banale externalisation
des données ou contrat d’infogérance
Les données personnelles et la confidentialité
(la question la plus sensible) La sécurité
des données (où
se trouvent-elles ? et le souci de transparence)
La réversibilité
et l’interopérabilité
pour pouvoir se retirer du Cloud Les garanties
en cas de perte de données ( .. clashs informatiques de tous ordres)
La fixation du prix (critère déclenchant le paiement : mois ? nombre de personnes ? transaction ?) Le droit applicable en cas de litige (sans traité
international, une question
complexe), …
Le Cloud
Le Cloud computing, une révolutioncontractuelle
? Paralipomènes, 24/10/10
Contrat de CloudLes points clefs
9
Le Cloud Une révolution
contractuelle?
De l’outsourcing
classique
Le buzz autour du Cloud lui donne ne dimension psychologique particulière
La tentation de la personnalisation au risque de perdre les bénéfices (économiques) du Cloud et de rendre la réversibilité
et l’interopérabilité
délicate
Des données très mobiles. Comment le mettre en œuvre
un audit «
lorsque les
données sont au Pôle nord ?
»
Des contrats d’adhésion (petits comptes ou individus) Non négociables ; pas d’avenant mais un simple courriel d’acceptation quand un service est modifié
et une
durée volontairement courte au terme de laquelle «
on adhère ou on sort
»
Pour les entreprises, généralement ,des licences à
négocier
L’angle abordé
aujourd’hui
10
Le Cloud Une révolution
contractuelle?
Le Cloud un révélateur detravers du passéL’occasion de simplifier la rédaction de contrats d’outsourcing
qui contiennentdes «
SLA farfelues
»des plans d’assurance qualité
se traduisant par des «
pavés incompréhensibles
»
aux non juristes mais où
l’essentiel est absent
des plans de sécurité
avec des «
mesures alambiquées
»
qui ne seront jamais mises en œuvre, etc
…
PRAGMATISME Cloud : de l’informatique à
consommer
tendance vers une offre standardisée qui étonne et inquiète car il s’agit de données
mais serait l’approche la plus pertinente
PERSONNALISATIONarticuler Cloud public et Cloud privé
mais
perdre les bénéfices en termes de coûts, des souplesse et d’adaptabilité
Fin 2010 Donner une réponse rapide, un accompagnement avec un dialogue soutenu entre juristes et techniciens risque : confusion entre les aspect
s juridiques et techniques
un cadre contractuel non stabilisé, avec des clauses adaptables et réversibles, et des solutions hybrides donnant une large place au feed-back
Le client face aujourd’hui à
«
du pas très sec
»Des juristes très
en amont sur le
Cloud
Des juristes très
en amont sur le
Cloud
11
2. Quelles menaces ?
Windows to the sun. Jacob Ion.Fotocommunity. CC by-nc-nd
Quelles menaces ?
Qu’en est-il
de la sécurité
des données ? du cas, très sensible, des données personnelles ? de la réversibilité
?
Court-on plus de risques que dans une banale externalisation informatique dans un système non mutualisésur un serveur dédié
?
Approaching
Asperatus
Cloud. BJ Bumgarner
Flickr
By-nc-sa
Le Cloud12
13
La sécurité
des données
Disponibilité, intégrité, confidentialité
Sécurité
Illustr. Nuages
de vent. Solea
20. CC 2.0 by-nc-sa. Flickr
La disponibilité
Le Cloud démultiplie les supports physiques d’une même machine virtuelle
un problème …
et l’on change de machine
.
Un Cloud élastique une adaptation immédiate à
toute situation
une augmentation instantanée de la puissance d’une machine virtuelle, sans devoir l’arrêter, comme dans un hébergement informatique classique
Paradoxe ! Le Cloud donne des garanties très fortes
dans un Cloud ouvert aux 4 vents ?
Le Cloud14
Sécurité
Risques lorsque le prestataire a potentiellement accès à
nos espaces de stockage, ou lorsque les accès du prestataire sont «
compromis »
L’intégrité
et la confidentialité Une perte de maîtriseUn matériel que l’on ne peut plus contrôler, des logiciels imposés qui empêchent certaines mesures de sécurité
des masters mal sécurisés, voire compromis car présentant des portes dérobées
Se fier à
un faux sentiment de sécurité
donné
par le marketing du prestataire
Risques techniquesPartage des ressources de la machine physique pour plusieurs machines virtuelles liées entre elles par un hyperviseur : une communication accidentelle entre machines virtuelles
en raison de problèmes liés à
l’isolation du stockage, de la mémoire, des processeurs ou encore du réseau.
Un type de faille rare et des attaques complexes
Risques liés à
l’interface de gestion des services (manière dont on gère ses comptes dans le Cloud). Des failles dans les outils d’authentification qui se traduisent par la suppression de serveurs ou de services, des vols de données ou des transferts de services
Aucune garantie sur l’effacement des données (en fonctionnement normal ou en fin de contrat) sur tous les supports existants
Plus risqué, plus complexe
dans un Cloud ouvert aux 4 vents ?
Le Cloud15
La fuite de données se constate a posteriori
L’alerte ne s’applique qu’à
des données ou à
des faits
préalablement définis
Des outils de sécurisation rarement déployés, par ignorance ou en raison de leurs coûts
Un travail dans l’urgence qui s’avère être la raison majeure des problèmes de sécurité
rencontrés
Certifications invalides ou impossiblesLe prestataire doit autoriser un audit de certification sur ses équipementsMAISComment organiser un test d’intrusion en raison du principe de territorialité pour les huissiers et des difficultés liées à
l’intégrité d’une copie d’une mise en ligne sur internet
Que se passe-t-il si, pour établir un constat les autres machines virtuelles
de clients sont arrêtées ?
Si, lors de son constat, l’huissier « prend tout » ? ’
Sécuritédans un Cloud ouvert aux 4 vents ?
Le Cloud16
17
Les données personnelles
Données personnelles 18
La question la plus sensible Des données qui circulent et qu’on peine à
localiser Une question essentielle à
régler
Qui est responsable du traitement ?
Une chaîne de responsabilité
entre le responsable du traitement
qui dispose des moyens du traitement
et en définit la finalité son sous‐traitant avec qui il signe un contrat
Un prestataire qui dispose de marges de manœuvresGoogle, par exemple, impose à des petites entreprises des conditions
non négociables, sans se percevoir comme responsable d’un traitement
Un faisceau d’indices pour déterminer le degré
de responsabilité
de
chaque acteur à
partir de plusieurs critères :
• le niveau des instructions données • le niveau de contrôle de l’exécution des prestations• la transparence • l’expertise
Le Cloud
19
la loi «
Informatique et Libertés
»
ne s’applique qu’aux responsables du traitement résidant sur le territoire français ou lorsque le traitement est effectué
sur le sol français.
Données personnelles
Les données circulant, divers droits sont susceptibles de s’appliquer dans les territoires qui émaillent leur pérégrination dans le monde
Des faisceaux d’indices pour déterminer si le responsable des moyens de traitement
entend
viser un public français
Un lien suffisant, substantiel ou significatif entre le service proposé
et le client
pour définir que l’on s’adresse à
un public
français et que la loi applicable sera françaiseLandscape –Photo. This photo
is licensed under a CC by-nc-nd
License.
Le Cloud
20
Transfert de donnéeshors de l’Union européenne
Il sont interdits sauf si le niveaude protection est jugé
adéquat
Autorisés s’ils sont encadrés par des clauses contractuelles type reconnues par la Commission européenne
-
dans le cadre du Safe Harbor qui lie la Commission européenne et la Federal
Trade
Commmision
aux États-Unis
- des Binding Corporate Rules (BCR), codes de bonne conduite définis au sein d’une entreprise
-
dans les quelques cas exceptionnels mentionnés dans la loi «Informatique et Libertés
»
Les clauses contractuelles qui conduisent à
créer une «
toile
»
d’araignée
»
de contrats, ne donnent aucune sécurité.
On n’est jamais certain qu’un contrat soit signé
pour chaque transfert, et elles deviennent très vite obsolètes
LeSafe Harbor n’offre de garantie qu’aux grosses entreprises,
Les BCR
ne créent de zones de sécurité
qu’au sein d’un groupe
ou lorsque ils sont adoptés par toutes les entreprises sous-traitantes
Des exceptions inadaptées : La CNIL en
fait une interprétation restrictive ; elles ne concernent que des transferts ponctuels d’un petit nombre de données
Données personnelles
Des instruments inadaptés
Le Cloud
Données personnelles
Prochainement
Un Règlement européen relatif à
la protection des
personnes physiques à
l'égard du traitement
des données à
caractère personnel et à
la libre circulation
de ces données. Projet diffusé
le 25 janvier 2012
t
L’Europe et les données personnelles au prisme du Cloud, Paralipomènes, 24 février 2012
Les défis à
relever- la qualification juridique du prestataire de Cloud- l’encadrement des transferts de données personnelles hors de l’Union européenne
Le Cloud
21
21
La réversibilité
22
23
revenir à
une situation ou une
organisation intérieure .
Sortir non pour revenir mais pour aller ailleurs Favoriser le passage d’un prestataire à un autre
Obliger un prestataire à
s’entendre avec un autre prestataire,
Même, voire surtout, s’il s’agit d’un concurrent
Sortir du cloud
ou de la réversibilité
et de l’interopérabilité
Paralipomènes , mars 2011
Réversibilité
En sortir
Éviter une situation de blocagesans possibilité
de
retour ; éviter d’être lié
à
un
prestataire unique
Le Cloud
24
En sortir
Un préalable : l’interopérabilité«
capacité
que possède un produit ou un système dont les interfaces sont intégralement connues à
fonctionner avec d’autres produits ou systèmes existants ou futurs
(Wikipédia)
Cloud computing
: une norme ISO en préparation, L’Usine nouvelle, mars 2012
Unicode Yi
Syllables. asvensson
on Flickr; CC by-,c
Des normes pour favoriser l’interopérabilité ? Rappel : une norme est une assurance sur les moyens mis en œuvre pour garantir la sécurité
et non sur un résultat
Normes : des gardes fous comme les contrats-types ? Pour régler la question ou pour la compliquer ?
Le Cloud
25
3. Quelles précautions ?NX0864
: Caution Large Waves. Andy Farrington
CC by-sa
26
Et sécurité
Cloud over
a mountain
public domain
image picture
in galleryMountain
is
in public domain.
Une assurance ? Elle ne règle que les conséquences des problèmes rencontrés
Des clauses ad hoc dans le contratLe client peut exiger une transparence sur les tiers, mais doit s’assurer de la fiabilité
du service proposépar le prestataire
Dans un contrat B2B : exiger de connaître les composantes du service que l’on achète, pour répondre à
une obligation de sécurité
des données personnelles où
des assurances fortes doivent être données
Les prestataires peuvent se faire certifier Ce n’est pas toujours jugé
suffisant et des preuves surla manière d’assurer la sécurité
des données doivent Être également exigées par le client
Se focaliser sur ce qui est important ou risqué
Un client souvent plus exigeant pour autrui
que pour lui-même
Le Cloud
Et réversibilité27
Rain clouds seen from Märket. Taivasalla. CC by-nc-sa
Une clause de réversibilité accompagnée d’un plan de réversibilité
détaillé
dans ses annexes
A noter Les difficultés varient selon l’endroit du cloud
(Paas, Iaas, Saas) où
l’on se trouve plus grandes dans le cadre du Paas, celui des plateformes de développement étant le marché
permettant de contrôler plus facilement le client, moindres dans le cadre du Saas, celui des logiciels
Être vigilant sur les outils, les normes et les standards utilisés par le fournisseur permettant d’assurer l’interopérabilité, et contrôler les processus mis en œuvre par celui-ci pour garantir à
tout moment la réversibilité
Difficulté
à
définir les techniques et leur coût, notamment parce qu’il est difficile d’anticiper les évolutions techniques et économiques rapides qui agitent ce marché
émergent pour les entreprises (contexte BtoB)
Le Cloud
Ouvrir le nuagePour garder la maîtrise de son système d’information (*)
Cloud computing + Open Source
Caractéristiques-
Ouverture du code et des formats utilisés-
Reproductibilité
des services offerts
-
Interopérabilité
entre les données et les applications
-
Transparence des contrats de service et du prestataire …
L’Open Cloud
Vidéo Solution de gestion de l’information en Saas
et Cloud.Vidéo sur le site de l’ADBS
L’Open Cloud : garder la maîtrisede son système d’information, Documentaliste-Sciences de l’information, 2/2012
Le Cloud28
SAVOIR PLUS
Un défi29
Le Cloud, un avatar de l’industrie informatique, une simple évolution
Mais de banales questions liées à
l’externalisation de
services informatiques qui se présentent à
une échelle
inédite, élargissant le cercle des personnes concernées au sein d’une entreprise, mais aussi à
l’ensemble des
internautes.Une chaîne contractuelle complexe
Pour les juristes, un travail en amont pour construireDes
contrats type, aider les opérationnels à
répondre
aux questions des clients, les aider à
se poser
les «
bonnes »
questions
Et un couple contrat/assurance : une chaîne de l’assurabilité
Démystifier les aspects juridiques du CloudComputing, Paralipomènes, 4 novembre 2012
Le Cloud, souvent révélateur
d’anciennes lacunes !
Le Cloud Un défi passionnant
llustr. An exhaust
cloud
engulfs
Launch
Pad 39A at
NASA’s
Kennedy Space
Centrein Florida
as space
shuttle
Endeavour
lift). NASA/Sandra Joseph and
Kevin O’Connell. 2010. Public Domain
Wikimédia
Commons
Le temps du
juriste
et le temps informatiquedes temps différents
Glissement
du
champ des anticipations
Non anticiper
ses
besoins
en ressources informatiques
avec le Cloud elles
sont
disponibles
à
tout moment et en tout lieu
Mais
anticiper
dans
le domaine
juridiquepour ne
pas devoir accepter un contrat
d’adhésion
dans
l’urgence
Low Key running hourglaso by Tijs
Zwinkels112. Flickr
CC by-sa
Le Cloud Un défi passionnant30
Illu
str. Banksy
street
art, Chalk
farm. Scottroberts.CC
by-nc-nd. Flickr
Découvrir
Le Cloud Un défi passionnant
Un travail en amont
«
Faire le ménage »
dans ses donnéesDéfinir les données réellement sensibles et celles qui doivent rester en France pour répondre à
des obligations légales; Les données qui pourront entrer dans le Cloud et celles pour lesquelles d’autres formes de stockage doivent être envisagées
Documenter les procédures
adoptées
pour assurer
la sécurité
des données,
une
obligation souvent
négligée
par les entreprises
Mener une réflexion sur ce dont l’entreprise a besoin et les risques
réellement encourus
Risque : Frilosité
et ne pasbénéficier des avantages
du Cloud
32
Remerciements
aux animateurs d’un atelier de l’ADIJ
consacré
au Cloud Cmputing
• Mme Helle Jul-Hansen, VP et Assistant General
Counsel
VMWare
EMEA
•
Me Béatrice Delmas-Linel, avocate au Barreau de Paris, associée du cabinet de Gaulle
Fleurance et associés• M. David Feldman,
dirigeant du cabinet de conseil
DFConsulting
Un atelier pour : cerner
le concept de cloud
computing, évaluer l’impact contractuel
de cette pratique,
mettre l’accent sur les données personnelles,
la sécurité, la réversibilité
et l’interopérabilité
ainsi que sur les assurances,
présenter
l’évolution de la question en novembre 2011 depuis la première réunion, en septembre 2010
reprendre la question des données personnelles, après la diffusion, le 25 janvier 2012, d’un projet de règlement européen sur les données personnelles (1) (2)
Liens vers les comptes rendus sur le blog
Paralipomènes.
Blog
de l’Atelier Cloud Computing
33
Cloud computing
et contrats informatiques : du nouveau ou du bruit ?
Jean-Michel Pasotti, Entreprise, Internet & Droits de la personne, 23 janvier 2011
Les aspects juridiques du Cloud Computing
(ppt)
, Alexandre Nappey, Slideshare, 23 novembre 2011
Les points clés des contrats de Cloud Computing, Benjamin Jacob, Legavox, 19 janvier 2011
Le cloud
computing
: pour y voir plus clair dans la nébulosité
juridique
, Cabinet Feral-Shuhl
/ Sainte-Marie, Archimag, juillet-août
2010
Le Cloud computing, un mode d'exploitation risqué?
Des réponses contractuelles, Actualités du droit de l’information (ADI), septembre 2009
Autres sources consultées
34Des questions ?
FLE.Poser
une question. Marion Chareau.
CC 2.0 by‐nc‐nd.Flickr
Top Related