Expertises des Systèmes d'information - Mai 2021 - N°468 - Le mensuel du droit de l'informatique et du multimédia - 196

D

O

C

T

R

I

N

E

Dans un cas comme dans l'autre,
ces clauses d'indemnification, qui
ont par la même occasion vocation à
aménager notre garantie d'éviction
en droit français, sont courantes.
Elles ont, dans les contrats digitaux
et quand elles concernent la propriété intellectuelle, pour fonction de
convenir par avance que dans
l'hypothèse où un élément remis
par une partie à une autre pour les
besoins de l'exécution du contrat
est à l'origine d'actions de tiers (le
contenu du client d'une part  ; le
service du prestataire d'autre part),
la partie propriétaire de l'élément
doit indemniser l'autre de tous les
frais auxquels elle serait exposée du
fait de cette action de tiers.
Sauf spécificité, puisque le prestataire a autant à craindre que le
contenu remis par son client lui
pose un problème, que le client
a à craindre que le service qu'il
utilise lui en pose un, les clauses
de recours de tiers en matière de
propriété intellectuelle devraient
donc atteindre un certain équilibre
dans leur portée et dans les conditions de leur déclenchement en fin
de négociation.
Nous noterons toutefois qu'en
fonction de l'objet du service cloud
concerné, les clauses d'encadrement de recours de tiers deviennent
des clefs majeures de la négociation.
Pour des solutions SaaS complexes
mêlant données téléchargées par
le client, application d'intelligence
artificielle/data analytics, et génération de données sortantes sur
la base desquelles des décisions
opérationnelles
stratégiques
peuvent être prises par l'entreprise
(par rapport à ses clients ou ses
produits), le risque de recours de
tiers grandit et ne se limite plus aux
simples violations de leurs droits de
propriété intellectuelle21.
Il faut donc les aborder avec une
attention renouvelée.

L'orageuse négociation des
clauses de responsabilité
En termes de responsabilité, les
risques assumés par les parties

196

dans le cadre de l'exécution de
leur contrat cloud sont bien identifiés mais la façon de les couvrir
contractuellement varie.
Côté prestataire, les risques de
violation de données et d'une
éventuelle
indisponibilité
du
service sont persistants et d'un
point de vue contractuel, le
prestataire encadre ces risques
de deux manières. D'une part,
l'indisponibilité de son service
est spécifiquement réparée par
des pénalités libératoires (cf.
supra «  La continuité du service  :
un enjeu majeur selon l'objet du
service »), ce qui lui permet d'avoir
une visibilité précise sur l'étendue
de son risque. D'autre part, le
prestataire prévoit expressément
que sont exclus du champ de sa
responsabilité certains dommages
qui pourraient découler directement d'une indisponibilité ou
d'un défaut de sécurité de son
service  : perte de revenus (pour
des outils de productivité indisponibles plusieurs jours d'affilée par
exemple), dommages de valeur
(cf. supra «  La sécurisation des
données  : l'enjeu central  » pour
ce qui est du risque de violation
des données) et perte de profits
ou d'opportunités d'affaires (pour
des solutions d'hébergement de
plateformes de vente en ligne par
exemple).
L'argument du prestataire du
service cloud est qu'il met à
disposition le service en tant
que marchandise  : selon lui,
les dommages subis par une
entreprise qui choisit de manière
discrétionnaire la façon dont elle
utilise le service et les données
qu'elle y télécharge devraient être
pris en charge par l'entreprise
car elle seule décide des moyens
mis en place pour sa continuité
d'activité et pour le stockage de
ses données (le service cloud
n'étant qu'une de ces moyens).
Cette argumentation s'entend
surtout pour des services de type
Infrastr uct ure/Platfor m-as-aService où les clients pourront
utiliser le service pour des cas
EXPERTISES Mai 2021

d'usage variés  : hébergement
de
ressources
informatiques
internes, plateformes à vocation
commerciale
stratégiques
ou
simple espace de stockage temporaire, etc.
Côté client, bien entendu, la position est diamétralement opposée
puisqu'il considère qu'il s'agit de
risques de dommages inhérents
au service fourni par le prestataire
de service cloud qui doit prendre
en compte, dans l'évaluation de
son risque, l'impact qu'une indisponibilité ou qu'un manque de
sécurisation des données pourrait
avoir spécifiquement pour ses
clients. En particulier pour ce
qui est d'une indisponibilité qui
durerait dans le temps, les droits
du client devraient rester saufs
afin d'obtenir une réparation
adéquate de son préjudice (et
donc ces droits ne devraient pas
se limiter aux pénalités de la
convention de niveaux de service).
De la même façon pour ce qui est
de la sécurisation des données, il
faudrait considérer qu'en réalité,
l'obligation du prestataire est de
fournir un service digital sécurisé
de traitement de données - l'obligation de sécuriser l'environnement de traitement de contenu
serait implicite car quel intérêt en
effet pour le client d'acheter des
espaces d'hébergement de ses
données, si par contrat, le fournisseur de ces espaces se dégage de
toute responsabilité relative à une
violation des données hébergées ?
Par conséquent, même si in fine,
la responsabilité du prestataire est
maîtrisée sous l'angle du nécessaire plafond de responsabilité,
il semble exister dans la pratique
une incompréhension juridico-conceptuelle sur ce qu'est le
service fourni sous l'empire du
contrat cloud, que les juridictions pourraient être amenées à
trancher. L'obligation essentielle
du prestataire cloud au titre du
contrat est-elle la mise à disposition d'une solution digitale ou la
mise à disposition continue d'une
solution digitale sécurisée ?
Expertises des Systèmes d'information - Mai 2021 - N°468 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2021 - N°468 - Le mensuel du droit de l'informatique et du multimédia
