La Commission nationale de l’informatique et des libertés (Cnil) a élaboré des « recommandations pour les entreprises qui envisagent de souscrire à des services de cloud computing ».

Parmi les éléments essentiels devant figurer dans un contrat, elle mentionne : une indication claire et exhaustive des pays hébergeant les centres de données du prestataire où les données seront traitées ; l’assurance d’une protection adéquate à l’étranger, notamment grâce à des clauses contractuelles types ou à des règles contraignantes d’entreprise ou BCR (Binding Corporate Rules) ; éventuellement la possibilité de limiter les transferts de données uniquement vers des pays membres de l’espace économique européen ou vers des pays tiers reconnus comme assurant un niveau de protection adéquat par décision de la Commission européenne.