En préambule, « la CNIL constate que les offres de Cloud reconnues peuvent présenter des niveaux de sécurité supérieurs à ceux que peuvent garantir les PME ». En effet, la protection des données est le cœur de métier d’un hébergeur comme OVH.com. Ses datacentres sont conçus pour offrir une sûreté maximale, avec des portes blindées, des caméras de surveillance, des détecteurs de mouvement, des accès par badge et contrôle digital, ainsi que des vérifications humaines permanentes.
Ces moyens de contrôles sont combinés à une infrastructure Cloud « state of the art ». Chaque serveur, chaque routeur, chaque lien réseau, chaque arrivée électrique est au moins doublée. OVH.com garantit ainsi à ses utilisateurs une disponibilité maximale de leurs services, avec des SLA de plus de 99,99 %. Il s’agit « d’engagements contraignants » selon les propres termes de la CNIL, avec « des pénalités pour le prestataire en cas de non-respect des engagements contractuels ».

« De manière générale, il est constaté que les clients souffrent d’une insuffisance de transparence de la part des prestataires de Cloud quant aux conditions de réalisation des prestations, notamment […] sur la question de savoir si leurs données sont transférées à l’étranger », relève la commission. Chez OVH.com, il n’y a aucune ambiguïté : toutes les données sont hébergées dans ses propres datacentres, en France (Roubaix, Paris, Strasbourg et bientôt Gravelines). Par conséquent, elles ne sont pas soumises aux réquisitions des autorités étrangères.
De plus, OVH.com n’a jamais recours à des sous-traitants. La société maîtrise le circuit de l’hébergement de A à Z : elle conçoit et exploite ses datacentres, construits ses serveurs et gère le suivi de sa clientèle en interne. Il n’y a aucune externalisation et, donc, aucune faille dans la chaîne de fourniture du service, un autre risque pointé par la CNIL.

« Il est de la responsabilité du client de choisir un prestataire qui assure un niveau de protection suffisant aux données qu’il lui confie », estime l’autorité. Une préoccupation partagée par OVH.com, qui héberge les informations de ses utilisateurs sur plusieurs disques durs, dans des serveurs de stockage haute-disponibilité. Une sauvegarde est aussi effectuée quotidiennement dans un autre datacentre de l’entreprise. Le risque de perdre le moindre octet est ici quasi-nul.
Enfin, la CNIL attire l’attention sur une possible « perte de gouvernance » ainsi que sur une « dépendance technologique vis-à-vis du fournisseur de Cloud Computing, c’est-à-dire l’impossibilité de changer de solution (pour un autre fournisseur ou une solution interne) sans perte de données ». Ce n’est pas le cas chez OVH.com. Par exemple, Private Cloud est compatible avec la plupart des solutions de virtualisation du marché. Le client reste libre de ses choix et garde la main sur la totalité de son infrastructure virtuelle.