FR Journal officiel de l'Union européenne C 24/40

Avis du Comité économique et social européen sur «L'informatique en nuage (cloud computing) en Europe» (avis d'initiative)

2012/C 24/08

Rapporteur: M. PIGAL

Le 20 janvier 2011, le Comité économique et social européen a décidé, conformément à l'article 29, paragraphe 2, de son règlement intérieur, d'élaborer un avis d'initiative sur:

«L'informatique en nuage (cloud computing) en Europe».

La section spécialisée «Transports, énergie, infrastructures, société de l'information», chargée de préparer les travaux du Comité en la matière, a adopté son avis le 7 octobre 2011.

Lors de sa 475e session plénière des 26 et 27 octobre 2011 (séance du 26 octobre 2011), le Comité économique et social européen a adopté le présent avis par 143 voix pour, 1 voix contre et 7 abstentions.

1. Conclusions et recommandations

1.1 S’appuyant sur la Stratégie 2020 et notamment l’Agenda numérique, le Comité a souhaité examiner une solution informatique encore en phase de développement fort et prometteur: l'informatique en nuage ou le Cloud Computing (CC). Le présent avis d’initiative vise d’abord à collecter et partager les expériences de terrain d’acteurs du Comité, comme du marché du CC. Dans un deuxième temps, il vise à proposer une liste de recommandations pour encourager l’Europe (1) à se positionner en pointe dans ce domaine prometteur, s’appuyant sur des entreprises leader.

1.2 Le CC s’appuie sur une architecture numérique offrant les avantages suivants: une approche rapide à déployer, facile à élargir et proposant un «paiement à l’usage».

1.3 Sur le terrain, le CC s'appuie sur un modèle économique prometteur:

— un nombre d’utilisateurs potentiels importants: particuliers, entreprises, services publics, etc.;

— la mutualisation des moyens et outils informatiques qui conduit à l'optimisation de leur utilisation;

— la mobilité permise grâce au CC, notamment pour les utilisateurs nomades qui peuvent constamment accéder à leurs données;

— l'intégration facile, ajustable et transparente de ses différents composants techniques: internet, infogérance, applications mobiles, etc.;

— le lissage des coûts tout au long du cycle de vie des systèmes informatiques, sans investissement initial élevé;

— le recentrage des entreprises sur leur activité principale sans se préoccuper de la complexité des systèmes informatiques;

— l'opportunité d'une croissance par de nouvelles activités pour des acteurs majeurs du secteur, les intégrateurs de systèmes (SI), les éditeurs de logiciels.

1.4 À ce jour, le CC démontre aussi un manque de maturité, voire des faiblesses:

— la multiplicité de normes tentant d’encadrer et de contrôler l’usage du CC;

— l'absence d'une autorité de gouvernance européenne et identifiable pour les faire respecter;

— le manque de recul des utilisateurs, les particuliers en tête, pour mesurer les bénéfices affichés et surtout les risques encourus;

— la fragilité intrinsèque d’internet: interruptions en cas d'incidents, attaques cybercriminelles etc.;

— la saturation d’internet: stagnation des performances, forte croissance des volumes échangés (audio, vidéo, spams), limitations du système d’adressage (IP);

— la saturation des serveurs: leur mutualisation et le surbooking en résultant qui peut provoquer des congestions;

— les risques liés à l’externalisation des données et traitements chez une tierce-partie;

— les risques liés à la délocalisation des données et traitements dans un autre pays, avec une réglementation propre;

— le risque social induit par une concentration des activités de développement, hébergement et exploitation;

— les droits et obligations des utilisateurs et des fournisseurs du CC restent imprécis;

— la distinction entre le responsable du traitement des données et celui qui effectue le traitement des données personnelles n'est pas parfaitement claire;

— pour les personnes qui ne disposent pas de connaissances spécialisées, les contrats de fourniture de tels services sont complexes, voire difficilement compréhensibles pour ce qui concerne la collecte, le traitement et le transfert des données sur les consommateurs mais aussi leurs droits découlant de la législation.

1.5 Pour l'Europe, le CC est l'opportunité de s’engager dans un marché prometteur, majeur et stratégique. Pour en assurer le succès, le Comité recommande que les actions suivantes soient menées, potentiellement par la Commission, elle-même, s'appuyant sur les États membres, ou des entreprises européennes du secteur.

1.5.1 Compétences

— lancer une étude de la nécessaire évolution des compétences des informaticiens pour faire face à celle des besoins et des effectifs dans le CC,

— encourager et/ou coordonner la mise en place de programmes de formations,

— valider une certification ou des diplômes spécifiques qui reconnaîtraient et attesteraient les compétences des spécialistes en charge du CC.

1.5.2 Recherche et investissements

— encourager les centres de recherche européens à se coordonner pour se maintenir en pointe en termes de connaissance et d'expertise,

— renforcer le développement de la fibre optique en s’appuyant (subvention ou partenariats) sur les acteurs des télécommunications européens.

1.5.3 Partenariat

— favoriser l'émergence de consortiums entre industriels européens pour investir sur des projets communs de CC; par exemple: dans le PCRD (programme-cadre de recherche et développement),

— encourager, voire subventionner, des investisseurs pour la création de «méga-fermes» d’ordinateurs sur le territoire des États membres; s’inspirant ainsi de celles déjà existantes dans d’autres zones,

— utiliser des marchés publics pour stimuler des partenariats,

— regrouper des éditeurs de solutions CC et des entreprises de télécommunications, ces dernières étant par nature dans le contact direct avec les utilisateurs-cibles des solutions CC.

1.5.4 Normes et gouvernance

— encourager les acteurs publics et privés à participer à l’émergence des règles qui encadreront les relations entre, d'une part, les fournisseurs, et, d'autre part, les entreprises ou les citoyens européens,

— profiter de l’avance prise par l’UE en matière de sécurité des données, protection de la vie privée, etc. pour imposer leur stricte application dans les solutions CC,

— mettre en place une agence européenne spécifiquement en charge de veiller au respect des normes ci-dessus,

— légiférer pour limiter la délocalisation de données sensibles en dehors de l'Europe;

— tenir sérieusement compte, dans la prochaine révision de la directive sur la protection des données personnelles, des défis posés par les applications du CC, même si le Comité reconnaît qu'ils sont particulièrement vastes.

2. Introduction

2.1 Le Cloud Computing (CC) s'inscrit dans la lignée d'autres évolutions, de même magnitude, telles que le modèle Client/Serveur ou de l'internet.

2.2 Le CC consiste à combiner et optimiser l'usage de concepts et technologies existants tels que: internet, des «fermes» d’ordinateurs mutualisés, l’infogérance, etc.

Par conséquent, le CC hérite inévitablement des forces et faiblesses de ses composants, par exemple les performances du trafic internet, la protection des données de l'infogérance, le surbooking d’ordinateurs mutualisés, etc.

2.3 Des travaux ont été réalisés par le Comité sur des aspects dont hérite directement le CC par exemple:

— la protection des données (2),

— les systèmes de télécommunications (3),

— les communications électroniques (4),

— la protection des consommateurs (6),

— l'internet des objets – Un plan d'action pour l'Europe (7).

Pour éviter toute redite ou redondance, cet avis se concentrera sur les aspects strictement liés au CC.

2.4 Le Comité n'est pas le seul à s'intéresser au CC; d'autres instances et organismes européens s'en préoccupent, aussi.

2.5 Au Forum économique mondial (World Economic Forum) de Davos, le 27 janvier 2011, Neelie KROES, vice-présidente de la Commission européenne, a présenté sa vision du phénomène:

«S'agissant de l'informatique en nuage, j'ai compris que nous ne pouvions pas attendre une définition qui recueille l'assentiment de tous. Nous devons agir […]. Comme le prévoit la stratégie numérique pour l'Europe, j'ai commencé à travailler sur une stratégie pour l'informatique en nuage couvrant toute l'Europe, selon une approche qui dépasse celle d'un cadre politique. Je ne veux pas me contenter d'une Europe favorable à l'informatique en nuage (“cloud-friendly”), mais souhaite bel et bien une Europe active dans ce domaine (“cloud-active”)».

2.6 La Commission européenne a lancé en 2009 une étude «L'avenir de l'informatique en nuage (8)» sur le CC en s'appuyant sur un groupe d'experts du secteur numérique et de chercheurs.

De plus, elle a lancé une consultation publique (9) dont les résultats alimenteront les travaux de préparation de la stratégie européenne en matière de CC qui sera, elle, présentée en 2012.

Le CC est un élément important pour mettre en œuvre la stratégie 2020 notamment ses deux initiatives phares: l’Agenda numérique et l’innovation.

Le 7e programme cadre de recherche (10) finance déjà des programmes de CC.

2.7 Par ailleurs, l'ENISA (11) a publié en novembre 2009 un rapport intitulé: «Cloud Computing: avantages, risques et recommandations pour la sécurité de l'information».

2.8 Le NIST (12) a récemment publié: «Cloud Computing Standards Roadmap (NIST CCSRWG – 092 – July, 5 2011)»

3. Présentation technique liminaire du Cloud Computing

3.1 Des tentatives pour convenir d’une définition unique ont été largement contrariées par les efforts des éditeurs d’estampiller leurs logiciels existants comme des solutions CC ou «cloud ready».

Néanmoins, il y a un large consensus sur le fait que le CC est rapide à déployer, facile à élargir et offre une solution de «paiement à l’usage».

3.2 Quelles sont les caractéristiques du CC?

— Dématérialisation: il s'agit de rendre le moins visible possible à l'utilisateur, un particulier ou une entreprise, la configuration, la localisation ou la maintenance de ses moyens informatiques.

— Facilité d’accès: sous réserve d’un accès à internet, les utilisateurs peuvent accéder à leurs données et leurs applications de n’importe où et de n’importe quel équipement (ordinateur, tablette, smartphone).

— Allocation dynamique: le fournisseur adapte, en temps réel, la capacité informatique fournie en fonction des besoins de l'utilisateur. Ce dernier peut ainsi couvrir ses pics de charge sans avoir à investir dans des moyens informatiques sous-utilisés entre deux pics.

— Mutualisation: le fournisseur peut fournir l'allocation dynamique en mutualisant les moyens informatiques entre plusieurs utilisateurs. Il peut ainsi atteindre la plus grande et meilleure mutualisation des méga-fermes de plusieurs milliers d’ordinateurs.

— Paiement à l'usage: l'utilisateur ne paie que pour l'usage réel des moyens informatiques, autrement dit en tenant compte de l'évolution de ses besoins de capacité informatique. Les modalités contractuelles sont encore souvent ad hoc, mais tendent à se standardiser.

3.3 En entreprise, les premières applications adoptant l'approche CC sont: la messagerie, les outils collaboratifs et de web-conferencing, les environnements de développement et de test, la gestion de la relation client (CRM) et la Business Intelligence.

À l'avenir, la plupart des applications informatiques sont a priori susceptibles d'être disponibles dans une offre CC.

3.4 Le CC est typiquement déployé dans un (ou une combinaison) des 3 modèles allant du plus partiel au plus complet, et s’adressant à des clientèles différentes:

— IaaS (Infrastructure as a Service),– où seule l’infrastructure est couverte par le CC; s’adresse prioritairement aux services informatiques des grandes entreprises,

— PaaS (Platform as a Service),– où l’infrastructure et les logiciels de base sont couverts par le CC; s’adresse aux informaticiens développeurs de logiciels,

— SaaS (Software as a Service):– la solution est totalement couverte par le CC, jusqu’aux logiciels applicatifs; s’adresse d’abord à des utilisateurs finaux, pas nécessairement informaticiens (par exemple l’email pour les particuliers).

3.5 Le «private Cloud Computing» se développe largement; il est déployé en restant au sein d’une entreprise qui peut ainsi profiter de la flexibilité et la productivité du CC sans avoir à se préoccuper des difficultés liées à l’externalisation vers un prestataire CC.

Cette solution semble répondre à différents besoins:

— préparer, avec prudence et en interne (à l’entreprise), une transition des systèmes informatiques existants vers une plateforme fonctionnant en CC,

— placer les directions des services informatiques (DSI) des entreprises dans un mode de fonctionnement, vis-à-vis des autres directions, plus orienté sur les services et plus transparent par une facturation à l’usage.

4. L'impact du Cloud Computing

4.1 Qu'est-ce qu'une entreprise peut attendre du CC?

4.1.1 Comme indiqué précédemment, le CC «hérite» des forces et des faiblesses de certains de ses composants.

4.1.2 Rappelons donc en préambule certains bénéfices, pour les entreprises, qui ne sont pas propres au CC mais plutôt à l'antérieure émergence de l'infogérance:

— rester concentrée sur son cœur de métier;

— bénéficier d'effets de volume par l'industrialisation et la mutualisation du prestataire;

— avoir à sa disposition l'expertise et la qualité de service de spécialistes.

4.1.3 Selon une récente étude, 70 % des coûts d'une DSI sont générés par la gestion de l'existant. Allégée d'une partie de ces contingences, une DSI peut alors libérer les énergies nécessaires à l'innovation et à la recherche de services novateurs.

4.1.4 Suivent quelques-uns des bénéfices le plus souvent mis en avant pour les entreprises:

— Investissement initial réduit: pour les nouvelles solutions numériques, la mise en place ou l'extension d'une informatique ne passent plus par un lourd investissement dans les salles machine, les serveurs, les logiciels, les formations sur des logiciels spécifiques à un éditeur, etc.;

Il faut cependant noter que les solutions existantes, des entreprises comme des éditeurs de logiciels, vont requérir de lourds investissements pour être adaptées et portables sur une plateforme CC.

— Réduction des délais de déploiement: les équipes de développement sont concentrées sur les problématiques métiers sans se préoccuper de l'infrastructure technique, prise en charge par le prestataire CC; notamment la mise à disposition, progressive et sur demande, des ressources matérielles et humaines;

— Comptabilisation et maîtrise des coûts: avec le CC, l’informatique devient une charge de fonctionnement et non de l'immobilisation.

La maintenance s’appuie sur le modèle locatif; notamment, les mises à jour transparentes des outils logiciels ou matériels, le support technique de l'outil défectueux assuré directement et en ligne, soit par l'éditeur du logiciel ou le constructeur du serveur;

— Renforcement du modèle de service: s'appuyant sur les engagements du prestataire CC en matière de qualité, de disponibilité, de sécurité, d'évolutivité des outils dans le temps, il devient plus aisé pour la DSI de proposer à son tour, à ses clients internes, un modèle de service avec des SLA (Service Level Agreement);

— Mobilité des salariés: une solution CC maintient une qualité et facilité d’accès aux données pour tous les salariés de l’entreprise, qu’ils soient nomades ou non.

4.2 Certaines entreprises sont plus particulièrement intéressées par le CC; notamment:

— Les TPE et PME qui voient avec le CC l'opportunité de disposer d'une capacité informatique (matériels, logiciels et compétences) sans «ticket d'entrée» rédhibitoire car trop cher.

— Les start-up, par nature, dans une phase de fort développement, et qui savent que le modèle CC facilitera l'ajustement de leur capacité informatique à la croissance de leur activité.

4.3 Comment les intégrateurs de systèmes se préparent-ils au CC?

4.3.1 Ces intégrateurs de systèmes («system integrators» ou SI) ont pour activité est de mettre en place des solutions informatiques pour leurs entreprises clientes.

Leur place est devenue majeure dans le secteur informatique tant par leurs expertises que leurs effectifs et leur capacité à s'adapter aux fluctuations de charge de travail de leurs clients.

Sur le marché européen, les leaders sont Accenture, Atos, Cap Gemini, HP, IBM, Wipro, etc.

4.3.2 Les développements informatiques étant par nature ponctuels et temporaires, les DSI font appel, au coup par coup, aux SI pour disposer des informaticiens requis pendant la seule phase de développement.

Les équipes permanentes de la DSI ne sont impliquées dans cette phase que pour mieux assurer la suivante, la phase d'exploitation et la maintenance.

4.3.3 Avec le CC, les SI continueront d’être en charge de la conception et du développement des solutions pour leurs entreprises clientes.

Compte tenu des nouveaux travaux que cela représente, l'émergence du CC ne peut qu'être non seulement bien perçue mais même encouragée par les SI.

4.3.4 Se pose cependant la question de la pérennité de cette nouvelle activité. S'agira-t-il d'un surcroît d'activité ponctuel comme le secteur en a connu pour les «bugs de l'an 2000» ou «intégration de l'euro»?

Plusieurs décennies d'innovations et progrès techniques ont conduit à une augmentation de la productivité qui n'a diminué ni la masse des développements, ni le nombre d'informaticiens; au contraire, elle a permis une augmentation considérable du nombre de systèmes informatiques et de leur périmètre.

Le CC s'inscrit logiquement dans cette tendance. Il devrait donc ouvrir les développements informatiques à de nouveaux champs d'activités des SI.

4.4 Comment les éditeurs de logiciels se préparent-ils au CC?

4.4.1 Microsoft, Google, Oracle ou SAP, pour n’en citer que quelques-uns, doivent tous lourdement investir dans la «reconversion» de leurs offres existantes pour qu’elles soient estampillées du label des solutions «cloud computing ready».

4.4.2 Cette transformation requiert d’abord de lourds investissements en nouveaux développements informatiques. C’est surtout une remise en cause radicale de certains business model.

À titre d’exemple, l’offre Office-365 de Microsoft l’écarte radicalement de son modèle basé sur la vente de licences dès le 1er usage d’un de ses logiciels…

4.5 Qu'en est-il des hébergeurs de systèmes vis-à-vis du CC?

4.5.1 Durant les dix dernières années, l'infogérance s'est développée, et notamment son volet majeur l'externalisation de l'hébergement des systèmes (serveurs, réseaux et logiciels de base).

Le CC étend cette approche, en mutualisant entre un nombre indéterminé d’utilisateurs (entreprises ou particuliers) les ressources externalisées.

4.5.2 Le CC tend donc à faciliter l'externalisation, mais surtout à concentrer les installations d’hébergement qui se traduisent par de gigantesques «fermes d’ordinateurs». L’émergence du CC devrait donc amener à une réorganisation du secteur, avec le renforcement de la concurrence entre les fournisseurs, des concentrations rendues nécessaires pour répondre aux besoins gigantesques d’investissement, et inévitablement un impact social comme en ont connu d’autres secteurs qui on traversé ces phases de concentration.

4.6 Le secteur public voit-il le CC différemment du secteur privé?

4.6.1 Le secteur public s'appuie sur des stratégies, des cultures, des hommes et des organisations qui connaissent des objectifs, contraintes et modes de fonctionnement similaires au secteur privé.

4.6.2 Par conséquent, les bénéfices attendus du CC par les entreprises (cf. ci-dessus) le sont tout autant par les administrations publiques.

De plus, grâce au CC, le service public aux citoyens pourra être amélioré par une meilleure disponibilité, accessibilité, etc.

4.6.3 Cependant le secteur public connaît des spécificités:

— Le climat général d'austérité Il conduit à une rigueur budgétaire qui oblige à des coupes dans les programmes d'investissements publics, y compris ceux en matière d'informatique. Dans ce contexte, le modèle CC trouve toute sa justification; en effet il permet de développer une capacité informatique sans nécessiter un investissement initial.

— La recherche publique Si celle-ci existe naturellement aussi dans le secteur privé, elle est très présente dans le secteur public à travers les centres nationaux de recherche, les centres universitaires, des partenariats entre le public et le privé. Or la recherche peut requérir des pics de capacité informatique, ce à quoi justement le CC peut tout à fait répondre.

— Les investissements publics Ils pourraient, par un effet de levier, initier et encourager des acteurs privés nationaux ou européens à investir dans le CC; particulièrement, les opérateurs de télécommunications. Par le passé certains investissements publics ont agi comme des catalyseurs pour les investissements et le positionnement stratégique du secteur privé. Par exemple, l'aéronautique et l'aérospatiale, la téléphonie mobile, le train à grande vitesse, etc.

— Certains États membres ont déjà investi massivement pour la transposition des logiciels de leurs administrations vers des architectures CC.

4.7 Le CC impacte-t-il aussi les particuliers?

4.7.1 Des solutions CC sont spécialement destinées aux particuliers. Notamment, et à titre d’exemple, les offres iCloud d’Apple, Office365 de Microsoft, Picasa, etc.

4.7.2 Bien peu nombreux sont les particuliers prêts à acheter un ou plusieurs serveurs, une infrastructure réseaux, etc. Par ailleurs, tous ne peuvent ou ne veulent pas se préoccuper de la maintenance de cette infrastructure, y compris sur un PC individuel.

4.7.3 Des produits jusque là disponibles sur (le disque dur) des PC individuels (traitement de texte, impression, stockage de photos, sauvegarde de données, etc.) se voient graduellement remplacés par des services internet, sur le modèle SaaS (cf. ci-dessus).

4.7.4 L'utilisation de ces services est gratuite dans sa version de base. Cette gratuité trouve souvent son financement dans la possibilité, pour le fournisseur, de construire une liste d'utilisateurs particuliers, autant de cibles marketing et publicitaires potentielles. Une version Premium, payante, est le plus souvent proposée, avec plus d'espace de stockage, des fonctionnalités supplémentaires, etc.

4.7.5 Pour les particuliers, le modèle CC répond aussi à la complexité croissante des outils informatiques, en offrant une simplification par une prise en charge extérieure. Il s'agit aussi d'un modèle pay-on-demand qui convient tout à fait à l'usage limité et épisodique des outils et ressources informatiques par les particuliers.

4.7.6 Enfin, l’accès nomade et constant aux données, est un facteur croissant d’attraction. Plusieurs fournisseurs (13) proposent dorénavant aux utilisateurs de pouvoir écouter leurs musiques, voir leurs photos, etc., un peu partout.

4.8 Au-delà de l'impact économique et commercial, quel sera l'impact social du CC?

4.8.1 Les informaticiens sont les populations les plus susceptibles d'être affectées par l'émergence du CC.

4.8.2 Les SI (System Integrators) ne devraient connaître aucune baisse d'activité du fait du CC, voire même une hausse sensible pour la mise en place initiale. Même si les informaticiens de ces entreprises devront faire l'effort d'acquérir de nouvelles compétences pour développer des solutions CC, leurs effectifs ne devraient pas en être affectés.

4.8.3 Les informaticiens «maison» (des entreprises clientes des SI) en charge des développements devraient être privés de leur mission principale: participer aux développements aux côtés des spécialistes des SI, pour mieux assurer la maintenance une fois ces derniers repartis. Or si le CC tient ses promesses, notamment prendre en charge une partie de la maintenance, les effectifs des développeurs maison devraient diminuer dans la même proportion.

4.8.4 Les informaticiens en charge de l'exploitation informatique devraient être plus affectés. Il est important de rappeler qu'ils l'ont déjà largement été par l'émergence de l'infogérance qui a fait passer les équipes sous la responsabilité de prestataires d'infogérance. Avec le CC, l’infogérance va continuer de se développer, mais dans un secteur en forte concentration et avec plus de facilité à la délocalisation. On peut donc attendre une nouvelle réduction des effectifs de l’exploitation et l’hébergement informatiques.

4.8.5 L'externalisation de tout ou partie des départements informatiques éloigne les informaticiens des utilisateurs finaux des solutions informatiques. Cette distanciation, organisationnelle ou même géographique, réduira les interactions entre ces deux populations. Or ces interactions sont porteuses d'échanges collaboratifs directs et efficaces, et surtout de lien social qui permet aux informaticiens de mieux comprendre et répondre aux difficultés et aux attentes des utilisateurs.

4.9 Quelles sont les points d'attention pour un contrat de solution CC?

4.9.1 La relation entre consommateur et fournisseur (de CC) se distingue par deux possibilités: services gratuits, services payants. Cependant cette distinction n'est pas toujours très claire. Par exemple, des services gratuits peuvent imposer des coûts non financiers, tels que de la publicité contextuelle ou la possibilité pour le fournisseur de réutiliser les données du consommateur.

4.9.2 Les services gratuits ou à bas coût s'adressent typiquement à des particuliers. Il n'en reste pas moins que ces derniers doivent porter une attention particulière aux «conditions générales» qui paraissent moins formelles bien qu'elles aient valeur d'engagement contractuel. De plus, même pour les particuliers les informations confiées à un fournisseur ont de la valeur. En cas de problème, la gratuité du service peut se révéler bien couteuse en perte de temps, voire en perte d'informations.

4.9.3 Pour une entreprise, le contenu du contrat CC doit être examiné, là aussi, avec beaucoup d'attention, idéalement par des spécialistes. En effet, l'entreprise confie à un prestataire extérieur des informations et des outils de valeur, ce qui, en cas de défaut, pourrait la mettre en très grande difficulté.

4.9.4 Les contrats de CC sont rarement négociables et la plupart des fournisseurs requièrent que leurs souscripteurs potentiels adoptent leur formulaire contractuel standard; pourtant, comme toujours, un contrat d'une valeur ou d'un intérêt stratégique suffisants peut encourager un fournisseur à accepter un accord «ajusté».

4.9.5 Gratuit ou payant, standard ou spécifique, le contrat doit clarifier les points suivants:

— le niveau de service CC (IaaS, PaaS, SaaS);

— le niveau de disponibilité des données garanti, et les responsabilités en cas de perte ou de dommage;

— le niveau de mutualisation des ressources entre plusieurs utilisateurs (risque de surbooking);

— les conditions de flexibilité des ressources disponibles et utilisées, et les taux de facturation en fonction de la consommation;

— les droits ou obligations du fournisseur de CC de révéler des informations à un tiers, par exemple: une autorité judiciaire;

— l'identité précise des parties fournissant réellement les services, notamment du fait de l'approche fréquente en niveaux multiples;

— les possibilités de dénoncer le contrat, et l'assistance prévue par le fournisseur pour la période de transition;

— la réglementation et la juridiction (nationales ou internationales) dont dépend le contrat, notamment, en cas de litige.

5. Les faiblesses du Cloud Computing

5.1 Le CC s'appuie sur l'internet dont il dépend largement. Or celui-ci semble proche d'avoir atteint plusieurs de ses limites, notamment en termes de performance.

Le nombre toujours croissant d'utilisateurs et d'utilisations, le volume de données échangées qui explose (notamment avec l'audio et la vidéo), le souhait des utilisateurs pour des temps de réponse toujours plus courts, sont autant de facteurs qui ont mis l'accent sur des problèmes potentiels de performance d'internet. Le trafic lié au CC ne pourrait qu'accentuer ces problèmes en ajoutant du volume de données échangées, mais surtout en abaissant encore les temps de réponse acceptables par les utilisateurs.

5.2 La résilience du réseau est, pour le CC, un autre risque lié à internet. Des incidents techniques, des attaques cybercriminelles ou des décisions de responsables politiques ont récemment interrompu son fonctionnement et montré d'abord sa fragilité et surtout la dépendance de ses utilisateurs par rapport à ce réseau public. Le modèle CC ne fera qu'accentuer encore le besoin de sécurité pour ce réseau qui n'avait pas été conçu, au départ, pour des usages commerciaux.

5.3 Une autre faiblesse majeure et multifactorielle du CC est la sécurité des données liée principalement à leur externalisation, délocalisée ou non.

Se pose d'abord le problème de la continuité d'accès à des données dont la disponibilité quasi-immédiate peut être critique, voire vitale pour un utilisateur de CC. Se pose ensuite le problème de la confidentialité des données stockées et gérées par un prestataire extérieur.

Cette question est particulièrement pertinente pour des données à forte valeur ajoutée, notamment dans le contexte d'espionnage industriel.

5.4 Les solutions sont d’autant plus attaquables et donc vulnérables qu’elles représentent, pour les hackers, une cible dont l’attractivité augmente avec la taille, la visibilité et la criticité des fermes de serveurs conçues et construites pour les supporter. Des efforts et des experts supplémentaires seront donc requis pour contrer cette attractivité accrue.

Mais il faut aussi noter que les fournisseurs de services informatiques (Outsourcing, CC, etc.) sont déjà très sensibilisés à la sécurité et à la cybercriminalité et sans doute mieux préparés que la plupart de leurs entreprises clientes.

À titre de métaphore, le coffre d’une banque est certes très attractif, cependant il protège mieux les bijoux qui auraient été, à défaut, rangés dans une boîte à bijoux dans la chambre parentale!

5.5 À ce risque s'ajoute la difficulté de déterminer quelle réglementation doit s'appliquer soit celle du propriétaire des informations, soit celle de l'hébergeur?

De plus quelle autorité de contrôle peut être saisie soit pour veiller à l'application de la réglementation, soit pour régler tout litige entre propriétaire et hébergeur?

Sur ce sujet, il est important de rappeler l'existence de la directive 95/46/CE («protection des données à caractère personnel») du Parlement européen et du Conseil et de l'avis du Comité (14).

Le régime européen de protection des données agit comme un frein très fort contre les transferts de toutes sortes en dehors de l'Europe. La nature internationale du CC soulève des questions sur les possibilités de transfert des données, soit entre le client et le fournisseur, soit au sein des infrastructures du fournisseur.

Dans ce contexte, l'absence de gouvernance (mondiale) d'abord d'internet et plus précisément du CC s'annonce comme une faiblesse supplémentaire.

À la protection des données s'ajoute aussi la question des droits d'auteur. En effet, les informations sous le coup de ces droits pouvant transiter ou être dispersées entre plusieurs sites, il devient difficile de déterminer les règles de protection, rémunération et contrôle qui doivent s'appliquer.

5.6 L'innovation informatique a permis à certains acteurs d'acquérir une position dominante; c'est par exemple le cas de Microsoft ou d'Apple pour les équipements individuels (PC, téléphone mobile, etc.), mais aussi de Google, de Facebook (moteur de recherche et réseaux sociaux). L'Europe a toujours été vigilante afin que ces positions ne deviennent pas telles qu'elles nuisent aux intérêts des autres acteurs du secteur comme des consommateurs.

Le CC, qui combine plusieurs technologies majeures, cumule l'attrait mais aussi les risques d'une position dominante; l'Europe devra donc être d'autant plus vigilante.

5.7 La question de l'interportabilité n'est pas uniquement technique, mais aussi commerciale. En effet, sans cette interportabilité, la solution CC choisie par un utilisateur devient captive et ne lui permet plus de transférer ses ressources hébergées vers un autre fournisseur; il s'agit alors d'une entrave à la mise en concurrence entre plusieurs fournisseurs. Utiliser des normes ouvertes et garantir l'interopérabilité des services et applications pourrait offrir des solutions pour assurer le transfert simple et rapide des données d'un fournisseur à l'autre, sans coût particulier pour l'utilisateur.

5.8 Toutes ces faiblesses apparaissent comme autant d'écueils dangereux pour le déploiement et la généralisation du modèle CC. La médiatisation (presse, média, réseaux sociaux, etc.) de problèmes liés à ces faiblesses, ou de litiges en résultant, pourrait nuire gravement au CC et entraîner la perte de confiance des utilisateurs dans le modèle comme dans les fournisseurs.

6. Défis et opportunités pour l'Europe

6.1 La Commission européenne établit comme objectif que l'Europe soit «cloud-active» (cf., le discours de Neelie KROES ci-dessus). Or le terme d’ «active» ne clarifie pas s’il s’agit soit de la simple utilisation du CC, soit de son développement. La 1ère interprétation ferait preuve d’un manque flagrant d’ambition. Chercher à rendre l'Europe «cloud-productive» est beaucoup plus explicite; autrement dit, que l'Europe fournisse des solutions CC plutôt que de simplement utiliser celles des autres.

6.2 Le secteur numérique est largement dominé par des acteurs étrangers, qu'il s'agisse de services, de produits ou de contenu, les acteurs sont majoritairement issus d'Amérique du nord ou d’Asie.

Dans le secteur des télécommunications, en revanche, l'Europe peut se targuer de faire jeu égal avec les autres zones. Des opérateurs tels que Deutsch Telekom, Orange ou Telefonica sont des acteurs de pointe.

6.3 À l'heure où l'industrie numérique est un moteur de la croissance, l'Europe est au pied du mur.

Elle a, dans un passé récent, montré combien elle pouvait être leader et dominante dans certains secteurs; c'était le cas notamment de la téléphonie mobile, même si sa position s'y est plus récemment dégradée.

6.4 L'émergence du CC est une nouvelle opportunité de «rebattre les cartes». Autrement dit, tous les acteurs vont pouvoir à nouveau concourir pour le leadership mondial; les acteurs dominants actuels se retrouvant remis en cause par d'autres ou de nouveaux arrivants.

6.5 Le caractère mondial du CC exige le développement de principes et de normes mondiales. L'Union européenne doit continuer à coopérer avec les organisations internationales pour développer desdits principes et normes. Il convient qu'elle joue un rôle de chef de file dans cet effort de développement de principes et de normes mondiaux et de puissance garante pour certifier que ces principes et normes assureront le niveau élevé de protection des données personnelles prévu par la législation européenne.

6.6 L'Europe possède des atouts majeurs en entrant dans cette nouvelle compétition mondiale:

— elle possède une excellente infrastructure numérique. La fibre optique se développe largement. L'infrastructure est contrôlée et gérée par un petit nombre d'acteurs historiques qui peuvent influer sur les standards télécom et les investissements à réaliser;

— elle peut/sait avoir une politique d'investissements publics forte qui peut servir de catalyseur aux investissements privés;

— ses PME régionales ou nationales attendent des interlocuteurs de proximité et donc des acteurs CC européens;

— certains secteurs (ex.: la santé, l’armée, les transports publics, le secteur public) sont régis par des règles et des contraintes nationales, voire européennes, qui leur feront préférer des fournisseurs CC nationaux ou européens; d’autres secteurs (ex.: les banques, l’assurance, l’énergie, la pharmacie) sont tenus par la sécurité des données qui les réfrènera dans le choix des fournisseurs hors de leur périmètre national ou européen.

Bruxelles, le 26 octobre 2011. Le président du Comité économique et social européen Staffan NILSSON

(1) Dans le reste du document les termes «Europe» ou «Union Européenne» ou «UE» seront utilisés indifféremment.

(2) Avis CESE sur la «Protection des données à caractère personnel», JO C 248 du 25.10.2011, p. 123.

(3) Avis CESE sur les «Réseaux de communications électroniques», JO C 224, 30.8.2008, p. 50.

(4) Avis CESE sur les «Réflexions sur le service universel de communications électroniques», JO C 175, 28.7.2009, p. 8.

(5) Avis CESE sur le thème «Faire progresser l’internet», JO C 175, 28.7.2009, p. 92.

(6) Avis CESE sur le thème «Contenus créatifs en ligne dans le marché unique», JO C 77, 31.3.2009, p. 63.

(7) JO C 77, 31.3.2009, p. 60 et JO C 255, 22.9.2010, p. 116.

(8) European commission / Information Society and Media – Expert Group Report – rapporteur for this report: Lutz Schubert.

(9) Du 16 mai au 31 août 2011.

(10) Ou FP7 (7th Framework Programme).

(11) Agence européenne chargée de la sécurité des réseaux et de l'information ou European Network and Information Security Agency.

(12) National Institute of Standards and Technology (USA).

(13) Cloud Drive d’Amazon, et iCloud d’Apple.

(14) JO C 159, 17.6.1991, p. 38 (CESE 569/1991).