Depuis trois ans, le cloud computing, l’informatique dans les nuages, a le vent en poupe dans les entreprises. Il est vrai que ce mode de location des ressources informatiques (logiciels, espace de stockage, puissance de calcul) présente bien des avantages : une maintenance allégée, des mises à jour régulières, la possibilité de faire évoluer très vite le nombre d’utilisateurs en fonction des montées en charge. Les DRH n’échappent pas au phénomène. Que ce soit dans le cadre d’un changement complet du SIRH ou seulement pour l’intégration d’un module (gestion du temps, des compétences…), elles sont de plus en plus nombreuses à choisir une solution en cloud computing. Une étude réalisée en 2014 par le cabinet Markess auprès de 145 décideurs RH indique que 56 % des entreprises ont recours au Saas (location de logiciels sous forme de service hébergé) pour la gestion de tout ou partie de leurs processus RH.

Mais ce choix du cloud doit faire l’objet d’une attention particulière : « Les données que peuvent gérer les RH sont des informations sensibles pour l’entreprise. Il faut par exemple éviter que les rémunérations deviennent accessibles à tout le monde », souligne Garance Mathias, avocate au barreau de Paris. Lors du choix du prestataire, il convient de savoir chez qui ce dernier va héberger les données. Si l’éditeur de la solution est français mais l’hébergeur étranger, il peut y avoir des problèmes de confidentialité. En vertu du Patriot Act, notamment, les juges américains peuvent exiger de consulter les données hébergées par les fournisseurs états-uniens dans n’importe quel pays du monde. « En signant le contrat, l’entreprise doit s’assurer des liens de sous-traitance. Elle doit aussi savoir qui est responsable en cas de perte de données ou d’incident », rappelle Garance Mathias.

Les entreprises ont tout intérêt à établir une grille d’analyse des risques en amont et à bien formaliser la réversibilité des données. En cas de changement de fournisseur, il est crucial de pouvoir récupérer ses fichiers ! Autre impératif, ne pas oublier les représentants du personnel. Lors de la mise en place d’une solution de cloud touchant à des données personnelles, CE et CHSCT doivent être consultés pour avis.