Intre tehnologie si drept: unele aspecte privind cloud computing

Serviciile de cloud computing, specifice mediului informatic si prestate de operatori specializati, reprezinta o asemenea provocare adresata dimensiunii juridice a afacerilor si juristilor, in general. Nu mai departe decat in prima jumatate a acestui an, Curtea Suprema a Statelor Unite a avut prilejul sa se pronunte pe materia cloud computing-ului, in cauzele Riley v. California si American Broadcasting Companies v. Aereo, dar in maniere considerate mai degraba contradictorii decat lamuritoare in privinta stabilirii unui raport coerent intre drept si o noua tehnologie. Cele trei subspecii ale acestei tehnologii – software as a service (SaaS), platform as a service (PaaS) si infrastructure as a service (IaaS) – alcatuiesc deja obiectul unor scheme contractuale complexe, aflate la intersectia dintre licentierea de programe informatice si contractele clasice de prestari servicii. Temele juridice principale intalnite in astfel de raporturi contractuale privesc, de regula, protectia datelor cu caracter personal, transferul acestora in afara U.E., rolurile indeplinite de operatorul si, respectiv, de procesatorul datelor, precum si stabilirea legii aplicabile in spatiu. Acest ultim aspect este problematic mai cu seama in materie de cloud storage, tehnologie care permite stocarea fizica a datelor digitale pe servere localizate in numeroase jurisdictii.

In cele ce urmeaza, departe de a realiza o analiza exhaustiva, vom incerca sa testam in ce masura dispozitiile Noului Cod civil (NCC) privitoare la contractul de depozit ar putea forma – evident, in ipoteza in care legea romana este indiscutabil aplicabila – un reazem juridic comod pentru negocierea, incheierea si executarea unui contract avand ca obiect cloud storage-ul privit ca o aplicatie a tehnologiei SaaS. Particularitatea acestor raporturi contractuale rezida in obligatia furnizorului de servicii de a conserva datele primite de la utilizatori, pastrandu-le accesibile si la dispozitia acestora, si de a asigura functionalitatea si protectia mediului hardware de depozitare.

La o prima examinare, un asemenea contract reuneste, in ponderi diferite, specifice situatiei juridice din care deriva, elemente ale licentei de software, ale unui contract de antrepriza, precum si ale contractului de depozit, sau, uneori, ale mandatului. Caracteristicile sale juridice extrem de eterogene ne constrang sa plasam cloud storage-ul in sfera contractelor nenumite. Potrivit art.1168 NCC, contractelor nereglementate de lege li se aplica prevederile capitolului ce consacra teoria generala a obligatiilor, iar daca acestea se dovedesc a fi insuficiente, regulile speciale privitoare la contractul cu care se aseamana cel mai mult. Plecand de la datele oferite de practica, suntem de parere, pe de o parte, ca dispozitiile din materia obligatiilor nu satisfac, in totalitate, exigentele contractuale derivate din natura sofisticata a serviciilor de cloud storage, in special, cu privire la obligatiile provider-ului, iar, pe de alta parte, ca trasaturile contractului de depozit, iar nu ale celui de antrepriza ori ale celui de licenta, prezinta asemanarile cele mai numeroase cu tiparul unui cloud storage agreement.

Din punct de vedere practic, analiza dispozitiilor din NCC referitoare la depozit este folositoare mai ales pentru a vedea care este raportul dintre normele imperative si cele dispozitive, si, in acest context, modul in care utilizatorul de cloud storage este protejat de lege, ca si masura in care sunt permise derogarile contractuale in favoarea depozitarului furnizor de servicii.

Inainte de orice, din nevoia unei corecte calificari juridice, apreciem ca in sfera notiunii de bun mobil din definitia contractului de depozit (art.2103 NCC) pot fi incluse si datele digitale constand in baze de date sau fisiere electronice. Aceasta, deoarece tendinta de dematerializare a valorilor economice, precum si existenta tipurilor de remitere simbolica sau informatica (de tipul predarii unui stick USB continand date) nu pot fi obstaculate de limitele clasice ale unui concept juridic. Observam, in acest sens, cum limbajul juridic al legii civile a devenit adaptabil, putand acoperi realitati generate de noile tehnologii, fapt indicat, de altfel, si de flexibilitatea definirii bunului mobil, exprimata in art.539 alin.2 NCC.

Reglementand obligatiile depozitarului profesionist (provider-ul de cloud storage), art. 2107 alin.2 NCC afirma ca, in absenta unei stipulatii contrare, el are obligatia de a pastra bunul cu prudenta si diligenta, raspunzand si pentru greseala cea mai mica. Totusi, remarcam posibilitatea ingaduita de lege, ca partile sa deroge de la acest principiu, ceea ce ii confera unui furnizor de servicii inzestrat cu putere considerabila de negociere sansa de a impune, prin contract, o limitare a raspunderii sale, cu toate ca un asemenea demers este apt sa mareasca nejustificat de mult riscurile la care se expune deponentul.

In privinta dovedirii proprietatii asupra datelor informatice depozitate, codul pare sa nu mai acorde partilor contractante dreptul de a face derogari, art.2110 NCC stabilind ca, daca nu se prevede altfel prin lege, depozitarul nu poate solicita deponentului sa faca dovada ca este proprietar al bunului depozitat.

Aceasta regula poate fi motivata de nevoia eliminarii unor formalitati ce pot consuma timp in procesul de incheiere a contractului. Nu mai putin insa, in practica internationala s-a ridicat adesea problema continutului ilegal depozitat la un provider. Riscurile ce s-ar naste de aici pentru depozitar ar putea fi contracarate prin recursul la conditiile limitarii de raspundere, consacrate de art.14 din Legea nr.365/2002 privind comertul electronic in favoarea celui ce ofera un serviciu de stocare hosting, precum si prin introducerea, in contract, a unor declaratii si garantii ale deponentului, prin care acesta din urma sa afirme legalitatea continuturilor depozitate si a titlului cu care detine respectivele continuturi.

O norma utila pentru deponent, prevazuta de art.2111 NCC cu titlu imperativ, il obliga pe depozitar sa schimbe locul si felul pastrarii datelor digitale, daca aceasta schimbare este reclamata de nevoia evitarii riscurilor de pieire, pierdere, sustragere sau stricaciune a datelor, fiind atat de urgenta incat consimtamantul deponentului nu ar putea fi asteptat. Totusi, chiar inainte de efectuarea schimbarii, depozitarul are obligatia de a-l informa pe deponent in baza art.1634 alin.5 NCC, care stabileste necesitatea notificarii creditorului in cazul unui eveniment ce provoaca imposibilitatea de executare a obligatiilor. Pentru a preveni riscul unui eventual conflict de legi, partile ar putea conveni in contract ca schimbarea locului de stocare sa nu se faca in alta jurisdictie.

Cloud storage-ul nu exclude eventualitatea unei subcontractari, iar art.2112-2114 NCC permit recursul la un subdepozitar, fie in cazul unor imprejurari deosebite ce impun transferul datelor digitale, fie atunci cand partile au prevazut expres in contract dreptul depozitarului de a subcontracta. In acest din urma caz, art. 2113 alin.1 NCC pune pe umerii depozitarului o diligenta speciala in alegerea subcontractantului, precum si cu privire la instructiunile pe care i le transmite. Cu privire la acest aspect, se impune sa subliniem necesitatea evitarii a ceea ce in practica se numeste vendor lock-in sau riscul absentei compatibilitatii sau a interoperabilitatii dintre depozitar si subdepozitar, inclusiv in privinta software-ului folosit in prestarea serviciului. De aceea, contractul ar trebui sa anticipeze si sa prevada expres conditiile pe care trebuie sa le indeplineasca un subdepozitar, atunci cand se vor dovedi necesare serviciile sale, in scopul mentinerii nealterate a datelor transferate si al asigurarii accesului deponentului la ele.

Avantajoasa pentru deponent este dispozitia art. 2113 alin. 3 NCC potrivit careia, subdepozitarul raspunde fata de deponent pentru fapta sa, nascandu-se astfel un nou raport obligational, distinct de cel principal. De asemenea, deponentul se bucura si de prevederea art.2114 NCC, ce consacra raspunderea depozitarului chiar si pentru cazul fortuit, atunci cand, fara a avea acest drept, a schimbat locul sau felul pastrarii ori s-a folosit de datele depozitate sau le-a incredintat unui tert, cu exceptia situatiei in care probeaza ca datele ar fi pierit chiar si daca nu si-ar fi depasit drepturile.

Anumite probleme se ridica in legatura cu incetarea contractului de cloud storage din initiativa partilor. Astfel, art.2115 alin.1 NCC confera deponentului dreptul de a solicita oricand restituirea datelor stocate, chiar in interiorul termenului contractual convenit cu provider-ul. In astfel de circumstante, deponentul va fi insa obligat sa ramburseze depozitarului cheltuielile pe care le-a facut in considerarea acestui termen. De exemplu, este posibil ca depozitarul sa fi efectuat anumite investitii in scopul extinderii spatiului de stocare ori al imbunatatirii conditiilor de securitate.

De cealalta parte, art.2115 alin.3 NCC ingaduie depozitarului sa-l constranga pe deponent sa reprimeasca datele informatice, daca exista motive grave pentru aceasta, chiar inaintea expirarii termenului convenit. Contractul ar trebui, cel putin cu titlu de exemplu, sa defineasca motivele grave, astfel incat demersul depozitarului sa nu devina abuziv. Alin.4 al art.2115 mai recunoaste dreptul depozitarului, atunci cand partile nu au stabilit un termen, sa restituie oricand datele primite spre stocare, in schimbul obligarii la plata unor despagubiri, daca restituirea este intempestiva sau inoportuna pentru deponent. Evitarea unor asemenea probleme poate fi preintampinata, daca partile contractante vor conveni expres durata contractului, rapind astfel depozitarului prerogativa unei denuntari unilaterale riscante pentru deponent.

Un ultim aspect are in vedere maniera totala de restituire a datelor informatice la incetarea contractului, apta de a nu mai lasa nicio urma pe serverele depozitarului. Discutiile purtate intre practicieni tind sa constate absenta, din NCC, a unui text adecvat in aceasta privinta, consecinta nemijlocita a faptului ca normele noii legi civile nu si-au propus sa acopere aspecte particulare ale mediului virtual. In ceea ce ne priveste, credem ca ingrijorarea nu este neaparat justificata. Art. 2103 alin.1 vorbeste despre restituirea in naturaa bunului mobil, expresie care este suficienta de clara pentru a sugera realitatea conform careia depozitarul nu mai trebuie sa pastreze nimic din datele informatice retransmise deponentului. Depozitarul are, astfel, o obligatie de rezultat, inclusiv in privinta eliminarii si obliterarii integrale, de pe propriile servere, a oricaror elemente informatice pe baza carora ar putea fi regasite si recreate datele informatice stocate in folosul deponentului.

Desigur ca aceasta sumara analiza a materiei depozitului in corelatie cu un cloud storage agreement nu epuizeaza aria problemelor juridice contractuale ce ar mai putea fi discutate. Textele din NCC au aptitudinea de a fi instrumente utile in negocierea si configurarea unui contract bine securizat din perspectiva deponentului. Desigur, ar fi gresit sa absolutizam aplicarea normelor legale ce guverneaza contractul de depozit, cat timp, dupa cum am aratat, cloud storage-ul infatiseaza trasaturi si ale altor contracte. Astfel, distinct de operatiunea stocarii, contractul va trebui sa cuprinda si elemente ce tin de natura antreprizei, cum ar fi continuitatea prestarii serviciu, inclusiv clauze de tip service level agreement, solutiile in cazul intreruperii temporare a serviciului si managementul diverselor categorii de riscuri, auditarea prestarii serviciului, conformitatea cu legea si alte asemenea aspecte.