Continuïteit in de cloud

 
Continuïteit in de cloud
Cloudcomputing doet zich voor in vele soorten en maten. Er bestaan dan ook talloze definities en juist dát maakt de juridische duiding van cloudcomputing niet eenvoudig. Het ontbreekt op dit vlak eenvoudigweg aan een eenduidig begrippenkader en algemeen aanvaarde standaarden. Meer nog dan bij het opstellen van klassieke IT-contracten (zoals softwarelicenties) worstelen juristen daardoor met de vraag wat in een goed cloudcontract precies geregeld moet worden. Dit vraagstuk blijkt een veelkoppig monster.
Achter bijvoorbeeld veelgebruikte afkortingen als SaaS, PaaS en IaaS gaan doorgaans complexe techni sche en organisatorische werkelijk-heden schuil, die bovendien inhou delijk per clouddienstverlener van elkaar plegen te verschillen en die dus lastig in heldere contrac tuele termen zijn te vatten. De contractspraktijk wordt bemoeilijkt door vaag jargon en onduidelijke kretologie; zelfs de term cloudcomputing is al een sterk verhullende metafoor. Daar komt bij dat sommige aanbieders van clouddiensten groot en machtig zijn en er niet altijd belang bij hebben om tegenover de afnemers van hun diensten in alle opzichten heldere contracten te hanteren.
Cloudcontracten worden niet zelden aangewend om afhankelijkheidsverhoudingen te bevorderen. Standaardcontracten worden vaak op een ‘take it or leave it’-basis aan afnemers voorgelegd. Maar ook de juridische wereld zelf is ‘a part of the problem’. Zo is tot op heden in Nederland niet echt duidelijk hoe men een SaaS-contract juridisch moet bestempelen en welke wettelijke regels daarop van toepassing zijn. De meeste juristen zien een SaaS-contract als een zogeheten ‘overeenkomst van opdracht’, in gewoon Nederlands: een dienstencontract. Voor dat type overeenkomst bevat de wet een set van eigen spelregels (art. 7:400 Burgerlijk Wetboek e.v.). Echter, op onderdelen heeft een SaaS-contract soms ook trekjes van een softwarelicentie, en die rechtsfi-guur is weer iets heel anders. En niet in de laatste plaats: er valt wellicht ook wel wat te zeggen voor de gedachte dat een SaaS-contract onder de wettelijke regels van de huurovereenkomst valt, al is die gedachte in Nederland overigens nog niet door de 1 Kortom: ook juristen zélf rechter bevestigd. worstelen met de duiding van de cloud en ook dat draagt niet bij aan de rechtszekerheid.
Continuïteit
In deze bijdrage worden - uiteraard - niet alle juri-dische onderwerpen geadresseerd. De focus van dit artikel ligt bij de vraag wat – vanuit de optiek van een klant van een clouddienst – noodzakelijk is voor het zekerstellen van het voortdurende en ongestoorde gebruik en de beschikbaarheid van de eigen data die op de servers van zijn cloudprovider staan. Die vraag is van belang omdat de IT-faciliteiten waarvan een afnemer van clouddiensten gebruikmaakt in de regel (goeddeels) niet in eigen beheer zijn en buiten de eigen bedrijfsruimte staan. Data van de afnemer van de clouddienst worden in het externe datacentrum van de cloud - provider verwerkt en opgeslagen. Hoe kan een afnemer in die context zijn eigen data juridisch zekerstellen? En van wie zijn überhaupt de data? En hoe voorkomt men dat de cloudprovider zijn systeem al dan niet tijdelijk ‘op zwart zet’?
Het vraagstuk van de continuïteit is met name van belang bij clouddiensten op het gebied van bedrijfsadministraties. Voor bestuurders van bedrijven geldt een tamelijk stringente wettelijke administratieplicht. Ieder bedrijf moet, zo zegt artikel 2:10 van het Burgerlijk Wetboek, op zodanige wijze een administratie voeren dat “te allen tijde” de rechten en verplichtingen van het bedrijf kunnen worden gekend. Het naleven van die wettelijke verplichting wordt geweld aangedaan bij discontinuïteit van de clouddienst waarvan bij het voeren van een bedrijfsadministratie gebruik wordt gemaakt. De administratieplicht is nodig in verband met het goede functioneren en besturen van de onderneming en de verantwoordingsplicht van directie aan bijvoorbeeld aandeelhouders. In het verlengde van de administratieplicht bestaat er een wettelijke bewaarplicht van minimaal zeven jaar. 3 Schending van die plichten is niet zonder risico’s. Als je als bedrijf failliet gaat en het valt je als directie te verwijten dat de administra-tie niet aan de curator kan worden afgestaan, dan maak je je schuldig aan een strafbaar feit.4 Dat noopt tot grote zorgvuldigheid bij het selecteren van een cloudprovider en het contracteren met die partij.
Continuïteitsbedreigingen
Er kunnen diverse continuïteitsbedreigingen worden onderkend. De volgende voorbeelden, ontleend aan de rechtspraktijk, kunnen worden genoemd.
Dataverminking of -verlies
De data die in het datacentrum van de cloudprovider zijn opgeslagen, kunnen verloren gaan of onherstelbaar verminkt raken, zonder dat een kopie beschikbaar is. In de recente rechtspraak hield de rechtbank te Den Haag KPN ten volle aansprakelijk voor het verlies van de data van een van haar zakelijke klanten, welke door KPN werden gehouden in het kader van haar Backup Online 5 Dienstverlening. De rechtbank stond niet toe dat KPN zich beriep op haar algemene voorwaarden, waarin een integrale uitsluiting van aansprakelijkheid voor verlies van data was opgenomen. De aansprakelijkheidsregeling werd door de rechtbank als ‘onredelijk bezwarend’ aangemerkt.
Zowel voor cloudproviders als hun opdrachtgevers is dit een fors risico. Het betreft echter een verze - kerbaar risico, zodat cloudproviders er verstandig aan doen te onderzoeken of zij deze dekking in huis hebben. Gewoonlijk wordt het risico van dataverlies gedekt onder de beroepsaansprake lijkheidsverzekering. Klanten van cloudproviders kunnen trachten hun rechtspositie te versterken door contractueel vast te leggen dat de provider zich voor dit risico verzekerd heeft en zich voor de duur van de dienstverlening verzekerd houdt. Let wel: verzekeringen zijn slechts een vangnet, en geen hangmat! Met een goede verzekering krijg je de verloren data uiteindelijk niet terug.
Betalingsgeschillen en opschorting
Betalingsonwil of betalingsonmacht aan de zijde van de klant kan ertoe leiden dat de cloudprovider zich beroept op het wettelijke recht tot opschorting van zijn diensten. In zo’n geval ontzegt de provider zijn klant de toegang tot zijn systemen, als gevolg waarvan de ongestoorde beschikbaarheid van data in de knel komt. Ook de tekst van veel cloudvoorwaarden zelf voorzien in een recht tot opschorting van de dienstverle ning bij een betalingsachterstand. Voor afnemers van clouddiensten is het opschortingsrecht iets risicovols. Bij onderhandelingen over cloudvoorwaarden krijgt de opschortingsregeling dan ook vaak bijzondere aandacht. Zo kan een afnemer proberen het recht tot opschorting van de dienst - verlening contractueel geheel uit te sluiten of, als zo’n integrale uitsluiting in de onderhandelingen onhaalbaar blijkt, de opschortingsmogelijkheden te beperken. Zo is het denkbaar overeen te komen dat opschorting pas mag gebeuren na twee stevi ge schriftelijke sommaties die niet tot volledige betaling hebben geleid. Ook is het mogelijk te bedingen dat opschorting achterwege blijft als het niet betalen verband houdt met klachten over de kwaliteit van de clouddiensten en de (on)gegrond-heid van de klacht nog onderzocht wordt. Opschorting van de dienstverlening is in de prak tijk een drukmiddel om de klant tot betaling te bewegen. Een cloudprovider moet goed voor ogen houden dat rechters zeer kritisch kunnen kijken naar de wijze waarop een provider dit middel hanteert, met name bij forse afhankelijkheden van de klant. Zelfs als de cloudprovider het middel van opschorting in beginsel ‘op papier’ toekomt, dan nog kan het op zwart zetten van het systeem naar de maatstaven van redelijkheid en billijkheid onaanvaardbaar 6 wordt geacht. Opschorting kan een disproportioneel zwaar middel zijn. Zou een cloudprovider het middel in zo’n geval onterecht hanteren, dan valt hem zelf al snel wanprestatie te verwijten. Voorzichtigheid is dus geboden. Betalingsproblemen aan de zijde van de klant kunnen wellicht uitmonden in een faillissement.
Over de vraag of de curator van een failliete klant toegang heeft tot de bedrijfsadministratie bij de cloudprovider is in ons land al een aantal malen geprocedeerd. 7 Er bestaan daarover een aantal onzekerheden. Om de positie van de curator ten opzichte van cloudproviders te versterken denkt de regering thans na over een wetsaanpassing.
Een voorontwerp van de Wet Versterking Positie Curator is vorig jaar gepubliceerd. Volgens dat voorontwerp zal een cloudprovider desgevraagd aan de curator de administratie ter beschikking moeten stellen, zo nodig met inbegrip van de middelen (zoals wachtwoorden) om de inhoud binnen redelijke tijd leesbaar te maken. Ook als de curator de diensten niet kan betalen, dan nog blijft de cloudprovider verplicht de diensten te verstrekken, aldus het voorontwerp.
Opzegging en de opzegtermijn van het cloudcontract
Een cloudcontract kan op talloze wijze eindigen. Tot de meest voor de hand liggende risico’s op het gebied van discontinuïteit behoort de kwade kans dat de cloudprovider failliet gaat en de curator vervolgens een einde aan de cloudovereenkomst maakt. Maar ook andere situaties rondom con - tractsbeëindiging kunnen de beschikbaarheid en bruikbaarheid van de data onder druk zetten. In de Nederlandse praktijk heeft zich bijvoorbeeld het geval voorgedaan waarin een cloudprovider het cloudcontract met een klant heeft opgezegd, overigens keurig met inachtneming van de over eengekomen opzegtermijn van drie maanden. De cloudprovider in kwestie wenste eenvoudigweg te stoppen met zijn cloudbusiness teneinde zich op andere activiteiten te kunnen richten; van een geschil met de desbetreffende klant dat aanlei - ding gaf tot de opzegging was geen sprake. Het probleem in deze kwestie was echter dat de data in een bijzonder, niet algemeen gangbaar dataformaat bij de cloudprovider waren opgeslagen en dat migratie naar een andere provider veel meer dan drie maanden zou gaan duren. Alleen al de selectie van een andere provider kostte de klant meer dan die tijd. Om de transitie naar een andere provider mogelijk te maken moest bovendien eerst nieuwe software ontwikkeld worden om de dataconversie naar een meer gangbaar formaat mogelijk te maken. Over de vraag wie die ont-wikkelingskosten van die software moest dragen ontstond vervolgens wel een netelig geschil. Ook beriep de klant zich er op dat de overeengekomen, relatief korte opzegtermijn niet al te letterlijk moest worden genomen, gegeven de belangen van opdrachtgever met betrekking tot de onge - stoorde beschikbaarheid van de data. Het geschil is uiteindelijk in een mediation bij de Stichting Geschillenoplossing Automatisering in der minne opgelost.8 Opdrachtgevers doen er verstandig aan een gede tailleerde exit-regeling in het cloudcontract met hun provider overeen te komen. In voorkomend geval moet daarbij gelet worden op onderwerpen zoals:
• de opzegtermijn en de gronden die beëindiging van het cloudcontract rechtvaardigen;
• een teruggaveplicht met betrekking tot de data bij het einde van het contract;
• de ‘scope’ van de zorgplicht van de cloudprovider, in het bijzonder de vraag óf, en zo ja, welke software voor het gebruik c.q. lezen van de data benodigd is;
• de kosten van uitvoering van de zorgplicht door de cloudprovider;
• de vorm en het formaat waarin de teruggave van data geschiedt;
• de vraag wat precies aan de klant wordt gege - ven: zowel data als datamodellen?
• de vraag of de teruggave alleen actuele data betreft of ook oude (historische) bestanden;
• het moment van teruggave;
• de vraag of, hoe en op welke termijn de klant controleert of hij alles goed en volledig heeft terug verkregen;
• de vraag hoe lang de provider na einde van het contract de data van de klant nog moet/mag bewaren;
• een auditrecht van de klant ten aanzien van de systemen van de provider.
Een discussie die in dit verband in de contract praktijk vaak ontstaat is de vraag wie zich de eigenaar van de data mag noemen. Soms doen cloudcontracten over die vraag een uitspraak door expliciet te bepalen dat de data te allen tijde eigendom van de klant blijven. Dat soort clausules lijkt echter weinig beschermend. Immers, een meerderheid van de juristen is namelijk van oordeel dat data überhaupt geen voorwerp van eigendom kunnen zijn omdat eigendom volgens de Nederlandse wet is voorbehouden aan stof felijke voorwerpen die voor menselijke beheersing vatbaar zijn. Data zijn volgens die stroming niet stoffelijk. 9 Het is dus goed om voor ogen te houden dat cloudcontracten op dit vlak soms in juridische placebo’s voorzien; een bepaling over eigendom van data geeft wellicht een behaaglijk gevoel, maar het is zeer de vraag wat de bescher mende waarde ervan is. Waarschijnlijk erg weinig.
Het faillissement van de cloudprovider
Vanzelfsprekend is een mogelijk faillissement van de cloudprovider een groot risico voor de continu iteit van de clouddienst. Zo is het voorstelbaar dat de cloudprovider in verband met zijn faillissement niet langer gebruik kan maken van de door hem ingeschakelde hostingpartij of dat hij de door een ISV (Independent Software Vendor) aan hem ter beschikking gestelde software niet langer mag gebruiken. Anders gezegd: wegens het faillisse-ment van de cloudprovider kan de ongehinderde inzetbaarheid van de IT-infrastructuur, benodigd voor het verlenen van de clouddienst, in de lucht komen te hangen. De klanten van de cloudprovi - der kunnen daarvan uiteraard de dupe worden. De curator van de failliete cloudprovider kan tegen die achtergrond beslissen de contracten met de klanten niet langer gestand te doen, waardoor de klant met lege handen kan komen te staan.
Er bestaan echter adequate mogelijkheden voor klanten om zich op voorhand (dat wil zeggen zolang er nog geen faillissement van de provider in zicht is) te beschermen tegen een faillisse - mentsrisico. Bescherming kan met name worden gevonden in de inschakeling van een gespeci aliseerd escrow-bureau dat tevens zogeheten CloudSecure-diensten verzorgt. 10 Idealiter worden de beschermende mogelijkheden daarvan reeds in overweging genomen bij het begin van de zakelijke en contractuele verhouding van de cloudprovider en klant. De contractspraktijk laat zien dat cloudproviders ter bescherming van hun klan ten steeds vaker standaard dergelijke diensten gebruiken, als ware het een soort ‘verzekering’.
CloudSecure betreft een dienst die de vorm heeft van een combinatie van een separate stichting en een set van enkele specifieke contracten. De stich-ting heeft, kort gezegd, de taak te voorzien in een dienstenopvolger op het moment dat de cloud - provider failliet gaat, zonder dat de curator van de failliete provider dat kan frustreren. Een goed bestuurder van een bedrijf dat bedrijfskritische data bij een externe cloudprovider onderbrengt, is in mijn ogen gehouden de mogelijkheden van dergelijke beschermingsmaatregelen te onderzoeken. Het nalaten ervan zou wel eens als onbehoorlijk bestuur kunnen worden gezien.
Veelkoppig monster
Continuïteit en discontinuïteit van de toegang tot de eigen data en de voortdurende en onge stoorde beschikbaarheid ervan zijn onderwerpen van immens groot belang voor de praktijk van cloudcomputing. Het vraagstuk is een veelkop - pig monster. Naast hetgeen hierboven in deze korte beschouwing is genoemd, bestaan er nog vele andere (juridische) deelvraagstukken. Alle maatregelen moeten juridisch goed zijn ingebed. Zonder twijfel moet de juridische wereld zich op dit vlak, in het belang van de contractspraktijk rondom cloudcomputing, nog stevig ontwikkelen.
Mr. Peter van Schelven (Peter.van.schelven@gmail.com) is zelfstandig IT-jurist bij ‘BIJ PETER - Wet & Recht’.

Tag

Onderwerp



Niet gevonden? Vraag het de redactie!

Heeft u het antwoord op uw vraag niet gevonden, of bent u op zoek naar specifieke informatie? Laat het ons weten! Dan zorgen we ervoor dat deze content zo snel mogelijk wordt toegevoegd, of persoonlijk aan u wordt geleverd!

Stel uw vraag