Cloud computing : évolution de la réglementation

Les organisations de toute taille recourent aux prestations informatiques en libre-service pour leur souplesse et l&rsquo;acc&egrave;s &agrave; des services &agrave; la demande. Le cloud computing, d&eacute;nomm&eacute; le plus souvent &laquo; cloud &raquo;, est un march&eacute; dont la croissance est forte. Le march&eacute; fran&ccedil;ais des solutions de cloud et des services associ&eacute;s est estim&eacute; [1] &agrave; plus de 11 milliards d&rsquo;euros en 2019, repr&eacute;sentant plus de 19 % du march&eacute; des logiciels et services IT en France. Si OVHCloud, entreprise fran&ccedil;aise, figure dans le top 10 du cloud consomm&eacute; en Europe, les 5 majeurs sont d&rsquo;origine am&eacute;ricaine. Sur le plan international, en 2020, les acteurs du secteur ont vu cro&icirc;tre leur chiffre d&rsquo;affaires [2] de 17 % en 2020 pour atteindre 266,4 milliards de dollars, contre 227,8 milliards en 2018. Au-del&agrave; de ce d&eacute;veloppement, quelles sont les tendances de l&rsquo;informatique en nuage ? &Ecirc;tes-vous multicloud ? Le d&eacute;veloppement des usages montre que les organisations ne mettent plus tous leurs œufs dans le m&ecirc;me panier. La r&eacute;partition entre cloud public [3] et priv&eacute; [4] &eacute;volue selon les secteurs. Le maintien d&rsquo;infrastructures internes, dites &laquo; on premise &raquo;, repr&eacute;sente une option. Cependant de nombreux &eacute;diteurs de logiciels migrent leurs offres vers le cloud, et les entreprises voient dans ce cas leur choix se restreindre. Certaines d&rsquo;entre elles se d&eacute;tournent d&rsquo;une offre cloud public exclusive, afin de rapatrier une partie de leurs data dans le cloud priv&eacute;. D&rsquo;autre part, elles abandonnent leur cloud on premise au profit d&rsquo;un service de cloud hybride ou priv&eacute; h&eacute;berg&eacute; (hosted private cloud) permettant de rallier le meilleur des deux mondes : une plus grande ma&icirc;trise des co&ucirc;ts et un niveau de s&eacute;curit&eacute; plus &eacute;lev&eacute;, le tout avec l&rsquo;&eacute;lasticit&eacute; et la scalabilit&eacute; du cloud. Il est &agrave; noter &eacute;galement, dans l&rsquo;&eacute;cosyst&egrave;me du cloud, que le nombre croissant d&rsquo;outils et de plates-formes d&rsquo;automatisation jouent un r&ocirc;le cl&eacute; dans l&rsquo;adoption acc&eacute;l&eacute;r&eacute;e de l&rsquo;Open Source. Pour articuler les diff&eacute;rentes architectures, les infrastructures de cloud hybride permettent d&rsquo;orchestrer les diff&eacute;rents containers. L&rsquo;avantage majeur de la gestion du multicloud, c&rsquo;est-&agrave;-dire ce recours &agrave; diff&eacute;rentes offres, est de ma&icirc;triser les co&ucirc;ts et les risques. Cependant, cette r&eacute;partition n&eacute;cessite une gestion rigoureuse et le recours &agrave; des m&eacute;thodologies sp&eacute;cifiques dont les hyperscalers [5] . La cybers&eacute;curit&eacute; en nuage Comme les organisations ont besoin d&rsquo;un acc&egrave;s constant et s&eacute;curis&eacute; &agrave; leurs ressources informatiques, elles doivent s&rsquo;adapter &agrave; l&rsquo;&eacute;volution de la menace et aux innovations num&eacute;riques. Pour traiter ce sujet de la s&eacute;curit&eacute; dans le cloud, le CLUSIF a publi&eacute; en juillet 2020 un panorama des r&eacute;f&eacute;rentiels [6] , c&rsquo;est-&agrave;-dire des documents en langue fran&ccedil;aise ou anglaise, potentiellement utiles. Au-del&agrave; de la politique de s&eacute;curit&eacute; des entreprises et des outils traditionnels, les acteurs de la cybers&eacute;curit&eacute; d&eacute;veloppent avec les prestataires des solutions int&eacute;gr&eacute;es au cloud. Aujourd&rsquo;hui, les offres cloud mettent en avant le concept de SASE pour Security Access Service Edge. La s&eacute;curit&eacute; des donn&eacute;es, en transit et en stockage, est propos&eacute;e dans cette offre ainsi que la granularit&eacute; des autorisations d&rsquo;acc&egrave;s. Un cloud europ&eacute;en ? Les solutions organisationnelles existent &eacute;galement pour renforcer la technologie du cloud europ&eacute;en. Le projet GAIA-X a &eacute;t&eacute; lanc&eacute; lors du sommet europ&eacute;en de novembre 2020, dans le cadre d&rsquo;une initiative franco-allemande. Il propose aux entreprises, aux administrations et aux acteurs de l'&eacute;cosyst&egrave;me de participer &agrave; l'&eacute;laboration d'une infrastructure cloud de donn&eacute;es europ&eacute;enne standardis&eacute;e et s&eacute;curis&eacute;e et de co-concevoir des services num&eacute;riques bas&eacute;s sur la data. Gr&acirc;ce &agrave; ce projet, que plus de 200 organisations ont d&eacute;j&agrave; rejoint, les entreprises pourront b&eacute;n&eacute;ficier, de la part des fournisseurs de cloud parties prenantes de l'initiative, d'une offre leur garantissant souverainet&eacute;, disponibilit&eacute;, interop&eacute;rabilit&eacute;, portabilit&eacute;, s&eacute;curit&eacute; des donn&eacute;es et transparence. Riposte affich&eacute;e aux grands acteurs am&eacute;ricains du cloud, GAIA-X est maintenant une association internationale, cr&eacute;&eacute;e &agrave; Bruxelles en f&eacute;vrier 2021 par ses 22 organisations fondatrices. Chaque &Eacute;tat membre de l'Union europ&eacute;enne int&eacute;ress&eacute; a &eacute;t&eacute; invit&eacute; &agrave; organiser sur son territoire un hub permettant de f&eacute;d&eacute;rer les diff&eacute;rentes parties prenantes. Les &eacute;volutions juridiques La s&eacute;curit&eacute; de l&rsquo;information dans le cloud est aussi bien une n&eacute;cessit&eacute; qu&rsquo;une obligation. N&eacute;cessit&eacute; car les organisations doivent prot&eacute;ger leurs donn&eacute;es, leurs clients et la continuit&eacute; d&rsquo;activit&eacute;, face au d&eacute;veloppement des cybermenaces. Obligation pour que les organisations se conforment &agrave; certains r&eacute;f&eacute;rentiels de cybers&eacute;curit&eacute;, qu&rsquo;ils soient juridiques et techniques. La volont&eacute; des r&eacute;gulateurs fran&ccedil;ais et europ&eacute;ens est de renforcer la cybers&eacute;curit&eacute;, pour d&eacute;fendre l&rsquo;&eacute;conomie num&eacute;rique de mani&egrave;re syst&eacute;mique et assurer la protection des droits fondamentaux. L&rsquo;&eacute;volution de la r&eacute;gulation tend &agrave; renforcer la responsabilit&eacute; des acteurs. L&rsquo;ensemble des textes fran&ccedil;ais et europ&eacute;ens qui obligent la mise en œuvre de principes de s&eacute;curit&eacute; s&rsquo;appliquent &agrave; toute entreprise qui externalise tout ou partie de son syst&egrave;me d&rsquo;information dans le cloud. Et les prestataires sont &eacute;galement soumis, directement ou indirectement, &agrave; un ensemble d&rsquo;obligations de s&eacute;curit&eacute;, quelle que soit la nature du contrat de service propos&eacute;. Le RGPD a renforc&eacute; l&rsquo;obligation de s&eacute;curit&eacute; et de confidentialit&eacute; des donn&eacute;es personnelles, d&eacute;j&agrave; pr&eacute;sente dans les textes fondateurs de protection des donn&eacute;es, dont la loi fran&ccedil;aise Informatique et Libert&eacute;s de 1978. Le r&ocirc;le des acteurs, entre responsable et sous-traitant, est clarifi&eacute;. Une part importante des sanctions impos&eacute;e par la CNIL et ses homologues, portent sur l&rsquo;insuffisance de la s&eacute;curit&eacute; des donn&eacute;es. Comme la cybers&eacute;curit&eacute; est &eacute;galement un enjeu de souverainet&eacute;, la directive SRI (ou NIS [7] ) a instaur&eacute; des r&egrave;gles communes en mati&egrave;re de cybers&eacute;curit&eacute; des prestataires de services num&eacute;riques. La France a construit un dispositif de cybers&eacute;curit&eacute; de ses infrastructures d&rsquo;importance vitale, depuis la Loi de programmation militaire de 2013, qui obligent les acteurs reconnus comme op&eacute;rateurs d&rsquo;importance vitale &agrave; mettre en œuvre des syst&egrave;mes de d&eacute;tection des &eacute;v&eacute;nements. La loi n&deg; 2018-607 relative &agrave; la programmation militaire pour les ann&eacute;es 2019-2025 a d&eacute;velopp&eacute; ces obligations. Elle comporte, dans son article 34, des dispositions relatives au renforcement des capacit&eacute;s de d&eacute;tection des attaques informatiques. Et son d&eacute;cret en a pr&eacute;cis&eacute; les modalit&eacute;s de mise en application, avec une entr&eacute;e en vigueur au 1er janvier 2019. D&rsquo;autres r&eacute;f&eacute;rentiels ont une application sectorielle, en mati&egrave;re bancaire notamment. Quid du secteur bancaire ? Le secteur bancaire, lorsqu&rsquo;il externalise dans le cloud, reste soumis &agrave; diff&eacute;rentes obligations de s&eacute;curisation. Celles-ci ne sont pas nouvelles car depuis les ann&eacute;es 1990, et son &eacute;volution en novembre 2014 dans le cadre d&rsquo;un arr&ecirc;t&eacute;, la mise en œuvre des dispositifs d&rsquo;&eacute;valuation des risques et de contr&ocirc;le des syst&egrave;mes d&rsquo;information est int&eacute;gr&eacute;e dans le Code mon&eacute;taire et financier [8] . L&rsquo;externalisation n&eacute;cessite le respect d&rsquo;obligations sp&eacute;cifiques, en particulier s&rsquo;il s&rsquo;agit de prestations consid&eacute;r&eacute;es comme essentielles. Par ailleurs, le R&egrave;glement g&eacute;n&eacute;ral de l&rsquo;AMF int&egrave;gre dans la politique de gestion des risques, la s&eacute;curit&eacute; des moyens informatiques et proc&egrave;de &agrave; des contr&ocirc;les sur ce point. Depuis 2018, les r&eacute;gulateurs financiers ACPR [9] et AMF [10] ont renforc&eacute; leur coop&eacute;ration avec l&rsquo;ANSSI [11] dans le cadre d&rsquo;accords. Cette coop&eacute;ration comprend un &eacute;change r&eacute;gulier d&rsquo;informations entre les organisations concernant les incidents affectant la s&eacute;curit&eacute; des syst&egrave;mes d&rsquo;information, ainsi qu&rsquo;une collaboration dans la gestion des crises &eacute;ventuelles et de fa&ccedil;on plus g&eacute;n&eacute;rale en mati&egrave;re de s&eacute;curit&eacute; du num&eacute;rique. Au plan europ&eacute;en, l'importance de l'externalisation dans le cloud est telle que l&rsquo;EBA a formul&eacute; ses Recommandations sur ce sujet en d&eacute;cembre 2017. Ces diff&eacute;rentes recommandations sont applicables aux &eacute;tablissements assujettis depuis le 1er juillet 2018, afin de s&eacute;curiser cette forme d&rsquo;externalisation, et comprennent diff&eacute;rents &eacute;l&eacute;ments : &ndash; des orientations en mati&egrave;re de cybers&eacute;curit&eacute;, notamment par la mise en œuvre de contr&ocirc;les ad&eacute;quats et l'utilisation de technologies de chiffrement ; &ndash; la garantie contractuelle du droit d&rsquo;audit des &eacute;tablissements et des autorit&eacute;s comp&eacute;tentes aupr&egrave;s des fournisseurs de services de cloud ; &ndash; l&rsquo;att&eacute;nuation des risques associ&eacute;s &agrave; l'externalisation &laquo; en cha&icirc;ne &raquo;, lorsque le fournisseur de services cloud sous-traite des &eacute;l&eacute;ments du service &agrave; d'autres fournisseurs ; &ndash; l&rsquo;organisation de plans d'urgence et de strat&eacute;gies de r&eacute;versibilit&eacute;. Ces exigences ont &eacute;t&eacute; encore renforc&eacute;es par les Orientations de l&rsquo;EBA de f&eacute;vrier 2019 [12] . Celles-ci ont fait l&rsquo;objet d&rsquo;une notice de conformit&eacute; de l&rsquo;ACPR en juillet 2019 et sont applicables depuis le 30 septembre 2019 aux contrats nouvellement conclus. Les contrats existants doivent &ecirc;tre mis &agrave; jour avant le 30 septembre 2021. Selon ces Orientations, l&rsquo;analyse pr&eacute;alable &agrave; toute d&eacute;cision d&rsquo;externalisation doit &ecirc;tre renforc&eacute;e pour int&eacute;grer la dimension du risque op&eacute;rationnel et du risque de non-conformit&eacute;. De m&ecirc;me, les conditions de sorties et de r&eacute;versibilit&eacute; doivent &ecirc;tre formalis&eacute;es. Quant &agrave; la contractualisation, les clauses du contrat d&rsquo;outsourcing doivent &ecirc;tre renforc&eacute;es et compl&eacute;t&eacute;es, comme nous le rappellerons ci-apr&egrave;s. Par ailleurs, pour organiser la r&eacute;silience des infrastructures de march&eacute;, les &eacute;tablissements financiers sont &eacute;galement soumis aux r&eacute;f&eacute;rentiels de la BCE. &Agrave; ce titre, le Cyber Resilience Oversight Expectations (CROE) fournit des recommandations visant &agrave; s&eacute;curiser les infrastructures de march&eacute;. Plus largement, le dispositif TIBER (Threat Intelligence-Based Ethical Red Teaming [13] ) fournit le cadre de l&rsquo;organisation d&rsquo;une r&eacute;ponse coordonn&eacute;es &agrave; la simulation d&rsquo;une attaque d&rsquo;une infrastructure de place. Comment encadrer le transfert de donn&eacute;es ? Le transfert de donn&eacute;es dans une infrastructure en dehors de l&rsquo;espace europ&eacute;en, ou soumise &agrave; l&rsquo;application d&rsquo;un droit non-europ&eacute;en, soul&egrave;ve la question de la conformit&eacute; au RGPD. Depuis que la Cour de Justice de l&rsquo;Union europ&eacute;enne a invalid&eacute; le Privacy Shield [14] , en juillet 2020, les cons&eacute;quences sont majeures pour la pratique du cloud. Jusque-l&agrave;, pr&egrave;s de 5 400 entreprises am&eacute;ricaines, dont les op&eacute;rateurs de cloud, pouvaient garantir par une simple adh&eacute;sion au Privacy Shield la protection l&eacute;gale des donn&eacute;es personnelles des clients europ&eacute;ens. Dor&eacute;navant, comment s&rsquo;assurer que les prestations de transfert dans le cloud sont en coh&eacute;rence avec le RGPD ? Le m&eacute;canisme de Clauses Contractuelles Type, auxquelles diff&eacute;rentes entreprises se sont report&eacute;es depuis, est une solution qui reste partielle. En effet, la motivation de l&rsquo;arr&ecirc;t europ&eacute;en du 16 juillet est l&rsquo;insuffisante protection des donn&eacute;es, du fait de la r&eacute;glementation am&eacute;ricaine pr&eacute;voyant la transmission de donn&eacute;es &agrave; diff&eacute;rentes agences gouvernementales. Aujourd&rsquo;hui, les entreprises europ&eacute;ennes s&rsquo;interrogent sur les moyens d&rsquo;assurer la conformit&eacute; de ces transferts et les risques de non-conformit&eacute; au RGPD qu&rsquo;elles prennent. Pour y r&eacute;pondre, le Comit&eacute; europ&eacute;en de Protection des Donn&eacute;es (CEPD) a publi&eacute;, en novembre 2020, une Recommandation [15] sur les mesures permettant d&rsquo;assurer cette conformit&eacute;. Le CEPD indique une m&eacute;thodologie de v&eacute;rification de l&rsquo;ad&eacute;quation des transferts hors UE et des exemples de mesures. Selon cette Recommandation, la m&eacute;thodologie de v&eacute;rification comprend six phases : l&rsquo;identification des donn&eacute;es, la v&eacute;rification des outils de transfert, l&rsquo;&eacute;valuation de la r&eacute;glementation du pays destinataire, l&rsquo;adoption de mesures compl&eacute;mentaires, le respect de proc&eacute;dures formelles et le r&eacute;examen p&eacute;riodique du niveau de protection. Quant aux mesures compl&eacute;mentaires de protection, une annexe de la Recommandation, pr&eacute;sente des exemples de mesures techniques, contractuelles et organisationnelles. Parmi les mesures techniques, le chiffrement figure en bonne place. Le CEPD &eacute;nonce ses exigences li&eacute;es &agrave; l&rsquo;usage de ce chiffrement, dont notamment son mode renforc&eacute;, sa robustesse et l&rsquo;attestation des sp&eacute;cifications du logiciel. Par ailleurs, les mesures contractuelles sont illustr&eacute;es par des exemples d&rsquo;obligations pour l&rsquo;importateur de donn&eacute;es, comme le recours &agrave; des mesures techniques sp&eacute;cifiques ou la transparence des r&egrave;gles l&eacute;gales applicables. Enfin, les mesures organisationnelles peuvent prendre la forme de proc&eacute;dures de minimisation des donn&eacute;es, d&rsquo;usage de certifications et normes, etc. Dans l&rsquo;attente de la formalisation d&rsquo;un nouvel accord entre les &Eacute;tats-Unis et l&rsquo;Union europ&eacute;enne, la clarification apport&eacute;e par la recommandation du CEPD reste en phase avec le haut niveau d&rsquo;exigence de protection des donn&eacute;es. Souverainet&eacute; num&eacute;rique La protection des donn&eacute;es personnelles joue parfois le r&ocirc;le de r&eacute;v&eacute;lateur d&rsquo;une probl&eacute;matique plus large de protection du patrimoine informationnel et d&rsquo;intelligence &eacute;conomique. Le recours au cloud soul&egrave;ve la question de la souverainet&eacute; des donn&eacute;es. Comme la grande majorit&eacute; de fournisseurs de cloud sont am&eacute;ricains, la comp&eacute;tence des autorit&eacute;s am&eacute;ricaines peut &ecirc;tre d&eacute;duite de la seule utilisation des services. L&rsquo;h&eacute;bergement de donn&eacute;es dans un data center situ&eacute; hors de l&rsquo;espace europ&eacute;en, ou sur le territoire europ&eacute;en mais chez un acteur du cloud non europ&eacute;en, peut entra&icirc;ner l&rsquo;application de r&egrave;gles extraterritoriales. Comme les donn&eacute;es h&eacute;berg&eacute;es dans le cloud peuvent &ecirc;tre facilement transf&eacute;r&eacute;es d&rsquo;un territoire &agrave; un autre, en raison de choix techniques du prestataire, cette localisation aura des impacts importants. Notamment, l&rsquo;acc&egrave;s aux donn&eacute;es par des autorit&eacute;s judiciaires et administratives peut repr&eacute;senter un risque du fait du caract&egrave;re intrusif et m&eacute;connu de ces proc&eacute;dures. Prenons l&rsquo;exemple des proc&eacute;dures judiciaires de pre-trial discovery am&eacute;ricaines [16] , qui n&eacute;cessitent qu&rsquo;une entreprise communique &agrave; ses frais &agrave; la partie adverse tous les &eacute;l&eacute;ments de preuve dont elle dispose pour l&rsquo;instruction d&rsquo;une affaire. Depuis l&rsquo;application du Cloud Act (Clarifying Lawful overseas Use of Data Act), le 26 mars 2018, les autorit&eacute;s publiques am&eacute;ricaines ont la possibilit&eacute; de recueillir dans le cadre d'investigations judiciaires, les pi&egrave;ces, en s'adressant non pas directement aux entreprises fran&ccedil;aises, mais en passant par les services num&eacute;riques qui h&eacute;bergent leurs donn&eacute;es. Ce Cloud Act, qui ne s&rsquo;applique pas restrictivement au cloud, est un dispositif permettant &agrave; l&rsquo;administration am&eacute;ricaine de contraindre les fournisseurs de services bas&eacute;s aux &Eacute;tats-Unis, par mandat ou assignation, &agrave; fournir les donn&eacute;es en transit ou stock&eacute;es sur des serveurs situ&eacute;s dans des pays &eacute;trangers. Dans les enqu&ecirc;tes relatives &agrave; une infraction grave, existe un droit de communication au b&eacute;n&eacute;fice des autorit&eacute;s am&eacute;ricaines, des donn&eacute;es recherch&eacute;es, sans consid&eacute;ration du lieu, pour toutes les soci&eacute;t&eacute;s am&eacute;ricaines et celles qu&rsquo;elles contr&ocirc;lent. Les conventions internationales applicables jusque-l&agrave; aux proc&eacute;dures judiciaires, ont &eacute;t&eacute; mises &agrave; mal par le Cloud Act, &agrave; savoir la convention de La Haye du 18 mars 1970 sur l&rsquo;obtention de la preuve &agrave; l&rsquo;&eacute;tranger et le R&egrave;glement du Conseil du 28 mai 2001 relatif &agrave; la coop&eacute;ration entre les juridictions des &Eacute;tats membres dans le domaine de l&rsquo;obtention de preuves en mati&egrave;re civile et commerciale. Selon le rapport parlementaire de juin 2019 sur la souverainet&eacute; de la France et de l&rsquo;Europe [17] , dit Rapport Gauvain, nous pouvons assister &agrave; une instrumentalisation des proc&eacute;dures extrajudiciaires par les pouvoirs publics am&eacute;ricains. Sur les 24 plus grosses condamnations du minist&egrave;re de la Justice am&eacute;ricain (Department of Justice), dans des affaires de corruption, 14 concernent des entreprises europ&eacute;ennes. Mais ant&eacute;rieurement au Cloud Act, diff&eacute;rentes r&eacute;glementations &agrave; port&eacute;e extraterritoriales ont prolif&eacute;r&eacute; depuis la fin des ann&eacute;es 1990. L&rsquo;&eacute;diction de ces normes, essentiellement d&rsquo;origine am&eacute;ricaine, existent dans diff&eacute;rents domaines, parmi lesquels la fiscalit&eacute; [18] , la lutte contre le blanchiment d&rsquo;argent et financement du terrorisme [19] ou la r&eacute;gulation financi&egrave;re et comptable [20] . Ces lois &agrave; effet extraterritorial &eacute;largissent la comp&eacute;tence normative des &Eacute;tats-Unis, en permettant aux autorit&eacute;s am&eacute;ricaines de poursuivre aux &Eacute;tats-Unis des personnes physiques ou morales &eacute;trang&egrave;res suspect&eacute;es d&rsquo;avoir commis une infraction, m&ecirc;me si les faits ont eu lieu en dehors du territoire am&eacute;ricain. La recherche de solutions juridiques qui peuvent &ecirc;tre apport&eacute;es dans le droit national, serait selon le rapport Gauvain, une &eacute;ventuelle r&eacute;vision du R&egrave;glement 2271/96 du 22 novembre 1996 portant protection contre les effets de l&rsquo;application extraterritoriale d&rsquo;une l&eacute;gislation adopt&eacute;e dans un pays tiers. Les solutions contractuelles Pour s&eacute;curiser le service de cloud, en fonction du p&eacute;rim&egrave;tre et de l&rsquo;analyse de risque, diff&eacute;rentes solutions existent et la contractualisation rev&ecirc;t une grande importance. Entre l&rsquo;entreprise utilisatrice et l&rsquo;op&eacute;rateur de cloud, le contrat devra naturellement int&eacute;grer les exigences r&eacute;glementaires applicables &agrave; l&rsquo;entreprise. Quant &agrave; la construction contractuelle, les points sur lesquels il faudra &ecirc;tre vigilant porteront notamment sur le droit applicable, la localisation des donn&eacute;es, leur s&eacute;curisation et confidentialit&eacute;, pr&eacute;voyant notamment l&rsquo;organisation d&rsquo;audits de s&eacute;curit&eacute;. Les conditions d&rsquo;information en cas de faille de s&eacute;curit&eacute; compl&egrave;teront ce th&egrave;me. Lorsque le contrat porte sur des prestations essentielles ou PSEE, l&rsquo;arr&ecirc;t&eacute; de 2014 pr&eacute;cit&eacute; exige la formalisation de certaines dispositions sp&eacute;cifiques : le respect des niveaux de qualit&eacute;, la mise en œuvre de dispositifs de secours, l&rsquo;accord de l&rsquo;&eacute;tablissement avant de modifier le PSEE, la mise en œuvre de contr&ocirc;les et audits, et un reporting en cas de graves difficult&eacute;s. Quand le contrat est soumis aux Orientations de l&rsquo;ABE du 25 f&eacute;vrier 2019 pr&eacute;cit&eacute;es, des dispositions contractuelles suppl&eacute;mentaires sont rendues obligatoires. Il s&rsquo;agit notamment de l&rsquo;assurance, de l&rsquo;externalisation de second rang, de l&rsquo;accessibilit&eacute; et de la s&eacute;curit&eacute; des donn&eacute;es et de la formalisation des pouvoirs de l&rsquo;autorit&eacute; de r&eacute;solution comp&eacute;tente. Dans tous les cas, le respect des exigences de qualit&eacute; du service sera encadr&eacute; par des SLA (Service Level Agreement) permettant de suivre le niveau de prestation et de pr&eacute;voir les modalit&eacute;s de contr&ocirc;le. Le recours &agrave; la sous-traitance par le prestataire devra &ecirc;tre formalis&eacute;e, ainsi que les contours de la responsabilit&eacute; des parties. Dans un esprit de pr&eacute;vention des risques, seront &eacute;galement importantes les clauses relatives &agrave; l&rsquo;&eacute;volution des conditions contractuelles et de la r&eacute;glementation. Afin d&rsquo;envisager la fin des prestations, les conditions de r&eacute;versibilit&eacute;, devront &ecirc;tre d&eacute;taill&eacute;es, permettant de rapatrier les donn&eacute;es ou de les transf&eacute;rer &agrave; d&rsquo;autres prestataires. Le CEPD Contr&ocirc;leur a publi&eacute; des recommandations, dans le cadre d&rsquo;un cadre d&rsquo;un contrat qui liait Microsoft et les institutions europ&eacute;ennes, en juillet 2020 [21] . Apr&egrave;s avoir r&eacute;alis&eacute; une enqu&ecirc;te, le Comit&eacute; a rendu publiques ses conclusions et recommandations portant sur les conditions contractuelles. Les critiques majeures portaient sur la possibilit&eacute; pour Microsoft de modifier unilat&eacute;ralement les clauses, la port&eacute;e limit&eacute;e des obligations du prestataire et l&rsquo;absence de finalit&eacute; du traitement de donn&eacute;es personnelles. Les actions du l&eacute;gislateur europ&eacute;en La Commission europ&eacute;enne souhaite r&eacute;guler le march&eacute; du num&eacute;rique et les agissements des g&eacute;ants du num&eacute;rique associ&eacute;s avec ses projets de r&egrave;glements DMA (Digital Markets Act) et DSA (Digital Services Act), pr&eacute;sent&eacute;s le 15 d&eacute;cembre 2020. Le texte DMA vise en particulier les &laquo; plateformes structurantes &raquo; du monde de la publicit&eacute; digitale, des r&eacute;seaux sociaux, des moteurs de recherche, des syst&egrave;mes d&rsquo;exploitation ou encore des services online, telles que Facebook, Apple, Google ou encore Amazon&hellip; Avec ce r&egrave;glement, les g&eacute;ants de la tech ne pourront pas favoriser leurs propres services ni exploiter les donn&eacute;es de clients professionnels pour leur faire concurrence plus facilement par la suite. Le DMA est en effet construit autour de r&egrave;gles de concurrence, pour permettre aux autorit&eacute;s de la concurrence d&rsquo;agir en amont et rapidement sur les &laquo; plateformes structurantes &raquo;. Alors qu&rsquo;aujourd&rsquo;hui, celles-ci n&rsquo;agissent qu&rsquo;en aval sur plainte ou enqu&ecirc;te et sur un tempo lent. Outre des sanctions financi&egrave;res, d&rsquo;autres iront jusqu&rsquo;au d&eacute;mant&egrave;lement des organisations qui ne respecteraient pas ces r&egrave;gles de concurrence. Le DSA traite des contenus. Le r&egrave;glement a pour ambition d&rsquo;en faciliter le contr&ocirc;le et d&rsquo;&eacute;liminer plus facilement des contenus illicites en unifiant les proc&eacute;dures et les sanctions. Ces deux textes sont loin d'&ecirc;tre adopt&eacute;s. Les n&eacute;gociations devraient prendre entre un et trois ans, et les g&eacute;ants du num&eacute;rique ont d&eacute;j&agrave; engag&eacute; une intense campagne de lobbying. Et le cloud de demain ? Des ph&eacute;nom&egrave;nes r&eacute;cents, tels que le r&eacute;seau 5G ou l&rsquo;Internet des Objets, auront un impact sur le d&eacute;veloppement du cloud. Le volume et la vitesse des donn&eacute;es augmentant, leur transmission vers un cloud s&rsquo;accro&icirc;t &eacute;galement. Dans son &eacute;tude sur la cybers&eacute;curit&eacute; des produits de f&eacute;vrier 2021 [22] , l&rsquo;OCDE consacre un chapitre &agrave; la s&eacute;curit&eacute; du cloud. Pour accompagner ce d&eacute;veloppement de cette gestion p&eacute;riph&eacute;rique, dite edge, des technologies se d&eacute;veloppent pour que les entreprises transportent ou stockent uniquement les donn&eacute;es dont elles ont besoin. Avec un traitement et une analyse en temps r&eacute;el, des mini-centres de donn&eacute;es distribu&eacute;s compl&egrave;teront les services cloud. Cette explosion du p&eacute;rim&egrave;tre du r&eacute;seau se produit en m&ecirc;me temps qu&rsquo;un autre changement massif : le d&eacute;veloppement de l&rsquo;intelligence artificielle. Comme le cloud, l'IA est l&rsquo;un des piliers de l'innovation num&eacute;rique. Les capacit&eacute;s cognitives et de machine learning de l&rsquo;IA reposent sur d'&eacute;normes volumes de donn&eacute;es, qui &agrave; leur tour deviennent &eacute;volutives et instantan&eacute;ment accessibles dans le cloud. Quant au contexte international du cloud, la forte croissance [23] du march&eacute; chinois est &agrave; observer, stimul&eacute;e par les initiatives d&rsquo;intelligence artificielle et soutenue par la construction de nouveaux datacenters. Demain avec les &Eacute;tats-Unis, sachant que les observateurs politiques annoncent une politique davantage orient&eacute;e vers le multilat&eacute;ralisme, comment la confrontation entre les int&eacute;r&ecirc;ts am&eacute;ricains et europ&eacute;ens &eacute;voluera-t-elle dans le domaine num&eacute;rique ? La strat&eacute;gie nationale pour le cloud pr&eacute;sent&eacute;e le 17 mai par le Gouvernement pourrait faire bouger les lignes. Aux c&ocirc;t&eacute;s de la transformation num&eacute;rique du secteur public et d&rsquo;une politique industrielle ambitieuse, cette strat&eacute;gie comprend un label &laquo; cloud de confiance &raquo;. Ce label ne pourra &ecirc;tre accord&eacute; qu&rsquo;aux entreprises europ&eacute;ennes et poss&eacute;d&eacute;es par des Europ&eacute;ens, disposant de serveurs op&eacute;r&eacute;s en France et d&rsquo;un haut niveau de cybers&eacute;curit&eacute;. Et afin que les utilisateurs puissent avoir acc&egrave;s aux services des meilleurs op&eacute;rateurs mondiaux, &agrave; ce jour non europ&eacute;ens, le label pourra &ecirc;tre attribu&eacute; &agrave; des entreprises proposant ces services &laquo; sous licence &raquo; de ces op&eacute;rateurs. Une mani&egrave;re de retrouver une ind&eacute;pendance par rapport au caract&egrave;re extra-territorial des lois am&eacute;ricaines ? 1 Selon Markess. 2 Selon Gartner. 3 Infrastructure informatique accessible via internet, dans laquelle un fournisseur de services met des ressources &agrave; la disposition des utilisateurs. 4 Infrastructure informatique accessible via internet, r&eacute;serv&eacute;e &agrave; un ensemble restreint d'utilisateurs s&eacute;lectionn&eacute;s plut&ocirc;t qu'au grand public. 5 L&rsquo;hyperscale ou hyper-convergence est la capacit&eacute; d&rsquo;une architecture &agrave; &eacute;voluer d&rsquo;une mani&egrave;re appropri&eacute;e &agrave; mesure qu&rsquo;une demande est transmise au syst&egrave;me. 6 CLUSIF, Panorama des r&eacute;f&eacute;rentiels, 16 juillet 2020. 7 Directive 2016/1148 du 6 juillet 2016 concernant des mesures destin&eacute;es &agrave; assurer un niveau &eacute;lev&eacute; commun de s&eacute;curit&eacute; des r&eacute;seaux et des syst&egrave;mes d'information dans l'Union. 8 Arr&ecirc;t&eacute; du 3 novembre 2014 relatif au contr&ocirc;le interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement soumises au contr&ocirc;le de l'Autorit&eacute; de contr&ocirc;le prudentiel et de r&eacute;solution. 9 Accord du 19 janvier 2018. 10 Accord du 19 f&eacute;vrier 2018. 11 Agence nationale de s&eacute;curit&eacute; des syst&egrave;mes d&rsquo;information. 12 EBA Guidelines on outsourcing arrangements du 25 f&eacute;vrier 2019 et notice de conformit&eacute; de l&rsquo;ACPR du 15 juillet 2019. 13 Tiber-EU Framework, ECBB, mai 2018. 14 Arr&ecirc;t CJUE 62018CJO311 du 16 juillet 2020, Data Protection Commissionner v. Facebook Ireland &amp; Maximillian Schrems. 15 EDPB Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, 10 November 2020 (EN). 16 Federal Rules of Evidence, Amendments, 1st December 2006. 17 R&eacute;tablir la souverainet&eacute; de la France et de l&rsquo;Europe et prot&eacute;ger nos entreprises des lois et mesures &agrave; port&eacute;e extraterritoriale, rapport minist&eacute;riel du 26 juin par Rapha&euml;l Gauvain, Claire D&rsquo;Urso et Alain Damas 18 Foreign Account Tax Compliance Act ou FATCA du 18 mars 2010. 19 Patriot Act du 26 octobre 2001. 20 Loi Sarbanes-Oxley de 2002. 21 European Data Protection Supervisor, Outcome of own-investigation into EU institution&rsquo;s use of Microsoft products and services, 2 July 2020. 22 Understanding the digital security of products, OECD in-depth Analysis, f&eacute;vr. 2021. 23 Selon Canalys, 65 % d&rsquo;augmentation des d&eacute;penses durant le 3e trimestre de 2020.

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Archive

Stratégies Data

Cloud computing : évolution de la réglementation

À retrouver dans la revue

Banque de détail

[Web Only] Tarifs bancaires : les banques amortissent l’inflation

Blockchain/Cryptoactifs

Les garanties bancaires
sont d’excellents cas d’usage

Banque de financement et d'investissement (BFI)

« Paris est le centre de gravité
pour tous les instruments financiers traités en euros »

Paiements

Le droit de la responsabilité civile appliqué à des virements frauduleux en devises

Archive

Panorama réglementaire des actifs numériques

Archive

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

Archive

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Suivez-nous

RECHERCHEZ UN ARTICLE, UNE CHRONIQUE, PARMI L'ENSEMBLE DES PUBLICATIONS

RECHERCHEZ UN AUTEUR

Stratégies Data

Cloud computing : évolution de la réglementation

À retrouver dans la revue

[Web Only] Tarifs bancaires : les banques amortissent l’inflation

Les garanties bancaires sont d’excellents cas d’usage

« Paris est le centre de gravité pour tous les instruments financiers traités en euros »

Le droit de la responsabilité civile appliqué à des virements frauduleux en devises

Panorama réglementaire des actifs numériques

Sberbank : une valeur anéantie à zéro en fonds de portefeuille

La transformation repose sur des directions responsables et des équipes pluridisciplinaires

Les garanties bancaires
sont d’excellents cas d’usage

« Paris est le centre de gravité
pour tous les instruments financiers traités en euros »