La Direction générale des entreprises a publié le 18 mai 2026 une nouvelle fiche de son guide de sécurité économique consacrée aux prestataires externalisés. Le signal est important pour les dirigeants : une fuite d’information, un accès trop large donné à un consultant, un sous-traitant informatique mal encadré ou une mission externalisée sans clause précise peut rapidement devenir un litige commercial, un problème de preuve et parfois une atteinte au secret des affaires.

La question n’est donc pas seulement de télécharger un modèle de contrat de prestation de service. L’enjeu est de savoir ce que l’entreprise doit verrouiller avant de transmettre des fichiers clients, des prix, une roadmap produit, des accès logiciels, des données financières, des documents RH ou des informations de négociation à un prestataire. Les recherches Google Ads consultées pour ce run confirment une demande réelle sur le cluster « contrat de prestation de service » et « sous-traitance entreprise » : les dirigeants cherchent un contrat, mais le risque actuel porte surtout sur les clauses de confidentialité, la sous-traitance en chaîne, la responsabilité et les preuves à conserver.

L’article L. 151-1 du Code de commerce protège une information au titre du secret des affaires si elle n’est pas généralement connue, si elle a une valeur commerciale parce qu’elle est secrète et si son détenteur légitime a pris des mesures raisonnables pour la protéger. Ce dernier critère est central : une entreprise qui donne un accès très large à un prestataire, sans classification, sans engagement écrit et sans contrôle, fragilise ensuite sa capacité à démontrer qu’elle a réellement protégé l’information.

Contrat de prestation de service : les clauses à vérifier avant de transmettre des informations sensibles

Le premier réflexe consiste à identifier les informations réellement sensibles. Beaucoup de contrats se contentent d’une clause générale indiquant que « les informations confidentielles » doivent rester secrètes. C’est insuffisant lorsque la mission porte sur un outil informatique, une campagne commerciale, un audit financier, une levée de fonds, une restructuration, une base clients ou une stratégie de prix.

Le contrat doit préciser au minimum cinq points.

Premièrement, il faut définir les informations protégées : documents écrits, échanges oraux, fichiers partagés, données d’accès, captures d’écran, bases clients, informations techniques, méthodes commerciales, offres tarifaires, codes sources, fichiers comptables, documents préparatoires et informations relatives aux partenaires. Plus la définition est précise, moins le prestataire peut soutenir qu’il ignorait le caractère sensible des données.

Deuxièmement, le contrat doit limiter l’usage autorisé. Le prestataire doit pouvoir utiliser les informations uniquement pour exécuter la mission. Il ne doit pas pouvoir les réutiliser pour former ses équipes, nourrir un outil interne, créer une référence commerciale, alimenter un autre client ou améliorer une solution concurrente, sauf autorisation écrite.

Troisièmement, l’entreprise doit encadrer les personnes autorisées à accéder aux informations. Les salariés du prestataire, ses freelances, ses consultants externes et ses propres sous-traitants ne doivent pas être assimilés automatiquement à une seule catégorie vague de « personnel ». Il faut prévoir un accès strictement nécessaire, une obligation de faire signer des engagements équivalents et, pour les informations critiques, une liste ou au moins une catégorie de personnes autorisées.

Quatrièmement, la sous-traitance doit être traitée expressément. Si elle est interdite, il faut l’écrire. Si elle est autorisée, il faut prévoir l’information préalable, l’agrément éventuel, la responsabilité du prestataire principal, le niveau de sécurité imposé au sous-traitant et l’interdiction de transférer les données hors du périmètre prévu.

Cinquièmement, la fin de mission doit être organisée. Le contrat doit prévoir la restitution ou la destruction des fichiers, la suppression des accès, la remise des livrables, le sort des sauvegardes, l’attestation de suppression et la conservation des seules archives légalement nécessaires.

Ces clauses ne sont pas accessoires. L’article 1103 du Code civil rappelle que le contrat légalement formé tient lieu de loi entre les parties. Si le contrat reste flou, le juge partira souvent de ce qui a été écrit, de ce qui a été prouvé et de ce qui peut être rattaché à un préjudice démontrable.

Sous-traitance entreprise : le risque vient souvent de ce qui n’est pas interdit

Deux décisions récentes du tribunal des activités économiques de Paris illustrent le point. Dans une décision du 10 décembre 2025, le juge relève notamment que le contrat ne précisait pas suffisamment la notion de « personnel » et que la clause de confidentialité mentionnait les salariés et les sous-traitants. Il en déduit que le recours à la sous-traitance ne constituait pas, en lui-même, une violation du contrat ni un accès interdit aux informations du client par le sous-traitant. La décision est consultable sur le site de la Cour de cassation : TAE Paris, 10 décembre 2025, RG 2024024417.

Dans une autre décision du 6 mars 2025, le tribunal constate que le contrat était conclu au forfait et que la sous-traitance n’était pas exclue, mais qu’elle était conditionnée à une information préalable du client. Le prestataire avait manqué à cette information. Le client n’a toutefois pas obtenu gain de cause sur ce seul terrain, faute de démontrer le grief subi. La décision est également disponible : TAE Paris, 6 mars 2025, RG 2023073018.

La leçon pratique est simple : si l’entreprise veut empêcher un prestataire de confier tout ou partie de la mission à un tiers, elle doit l’écrire. Si elle accepte la sous-traitance, elle doit l’organiser. Et si elle invoque ensuite un manquement, elle doit pouvoir prouver le dommage : accès non autorisé, fuite, désorganisation, surcoût, retard, perte d’un marché, atteinte à une négociation, ou impossibilité de vérifier où les données ont circulé.

Clause de confidentialité prestataire : ce qu’elle doit contenir en 2026

Une clause de confidentialité utile ne doit pas être décorative. Elle doit répondre à des questions concrètes.

Elle doit d’abord préciser la durée. Certaines informations perdent vite leur intérêt, par exemple une opération commerciale ponctuelle. D’autres doivent rester protégées longtemps : fichier client, formule tarifaire, documentation technique, stratégie de marché, données financières non publiées, informations de fusion-acquisition ou informations couvertes par le secret des affaires. Une durée uniforme de deux ans peut être trop courte pour des données stratégiques.

Elle doit ensuite prévoir le niveau de sécurité attendu. Pour un prestataire informatique, cela peut viser l’authentification forte, la gestion des accès nominatifs, l’interdiction des comptes partagés, la journalisation, la localisation des données, le chiffrement, les sauvegardes, l’obligation d’alerte en cas d’incident et la restitution des accès. Pour un consultant commercial, cela peut viser l’interdiction de transférer les fichiers sur un espace personnel, l’interdiction de démarcher certains contacts et la limitation des copies.

Elle doit aussi prévoir les preuves. L’entreprise doit conserver le contrat signé, les annexes de sécurité, les échanges de cadrage, les listes d’accès, les invitations aux espaces partagés, les logs disponibles, les demandes de suppression, les attestations de restitution et les alertes d’incident. En contentieux, une clause forte sans preuve opérationnelle reste difficile à exploiter.

Enfin, la clause doit être cohérente avec les autres documents : devis, cahier des charges, bon de commande, conditions générales, accord de sous-traitance, accord RGPD, politique de sécurité, charte informatique et éventuel accord de non-divulgation signé avant la mission.

Responsabilité du prestataire informatique ou commercial : ne pas confondre faute et indemnisation

Une entreprise peut constater un manquement sans obtenir automatiquement une indemnisation. C’est un point souvent sous-estimé. Pour engager utilement la responsabilité du prestataire, il faut établir une faute contractuelle, un préjudice et un lien de causalité.

La faute peut être l’utilisation d’un sous-traitant non déclaré, l’absence d’information préalable, l’ouverture d’accès à une personne non autorisée, la conservation de fichiers après la fin de mission, le non-respect d’une procédure de sécurité ou la réutilisation de documents à d’autres fins.

Le préjudice doit être chiffré ou au moins objectivé. Il peut s’agir d’une perte de marge, d’un coût de reprise, d’un audit d’urgence, d’une perte de chance commerciale, d’une désorganisation, d’une atteinte à l’image, d’une fuite de données ou d’une perte d’exclusivité sur une information stratégique. Plus le dossier est documenté dès l’incident, plus la demande est solide.

Le contrat doit donc prévoir une mécanique de notification rapide, un droit d’audit raisonnable, une obligation de coopération, une assurance adaptée, une clause de réversibilité et, lorsque c’est pertinent, une clause pénale ou un plafond de responsabilité compatible avec le risque réel. Un plafond trop bas peut rendre la clause peu dissuasive. Une clause pénale excessive peut être discutée. L’équilibre doit être pensé selon la valeur des données confiées.

Plan d’action en 48 heures si un prestataire détient déjà vos informations sensibles

Si le contrat est déjà signé, il faut agir de manière pragmatique.

Commencez par cartographier les informations transmises : dossiers partagés, accès administrateur, exports clients, fichiers comptables, documents commerciaux, tableaux de prix, emails, outils SaaS, CRM, dépôts de code, plateformes de paiement, outils publicitaires et espaces de stockage. Notez qui a accès à quoi.

Relisez ensuite le contrat et ses annexes. Cherchez les clauses sur la confidentialité, la sous-traitance, les accès, la sécurité, la propriété des livrables, la restitution, la responsabilité, l’assurance, la durée et la résiliation. Vérifiez surtout si la sous-traitance est interdite, libre, soumise à information ou soumise à autorisation préalable.

Demandez au prestataire une confirmation écrite du périmètre : personnes ayant accès, sous-traitants impliqués, lieux d’hébergement, mesures de sécurité, modalités de suppression en fin de mission et existence d’une assurance responsabilité professionnelle ou cyber selon le risque.

Réduisez immédiatement les accès inutiles. Les comptes partagés, les accès administrateur permanents, les exports illimités et les liens publics sont les premières zones à corriger. Chaque accès doit être nominatif, justifié et révocable.

Enfin, préparez un avenant si le contrat est trop faible. Un avenant peut encadrer la confidentialité, préciser la sous-traitance, ajouter une procédure d’incident, imposer une restitution, fixer les preuves attendues et organiser la fin de mission sans rompre brutalement la relation commerciale.

Paris et Île-de-France : pourquoi formaliser avant l’urgence

Pour une entreprise située à Paris ou en Île-de-France, les litiges de prestation externalisée apparaissent souvent dans des contextes rapides : lancement commercial, refonte informatique, levée de fonds, audit, cession, franchise, marketplace, contentieux entre associés ou reprise d’entreprise. Le prestataire intervient vite, les accès sont ouverts vite, puis le contrat est relu trop tard.

Le bon réflexe est d’anticiper avant de transmettre les fichiers. Un audit contractuel court peut suffire à repérer les points faibles : absence d’interdiction de sous-traitance, clause de confidentialité trop générale, pas de restitution, pas de droit d’audit, pas de procédure d’incident, responsabilité plafonnée à un montant dérisoire ou assurance absente.

Le cabinet intervient en contrats commerciaux à Paris et en droit des affaires à Paris pour relire, renforcer ou négocier ce type de contrat avant que la relation ne devienne contentieuse.

Checklist avant de signer avec un prestataire externalisé

Avant de confier des informations sensibles, vérifiez les points suivants :

• les informations confidentielles sont définies précisément ;
• l’usage autorisé est limité à la mission ;
• les accès sont nominatifs, proportionnés et révocables ;
• la sous-traitance est interdite ou encadrée par une information ou une autorisation préalable ;
• les sous-traitants supportent des obligations équivalentes ;
• la durée de confidentialité est adaptée à la valeur des informations ;
• la restitution et la suppression des données sont prévues ;
• les incidents doivent être notifiés rapidement ;
• le prestataire doit coopérer en cas d’audit ou de contentieux ;
• l’assurance et le plafond de responsabilité sont cohérents avec le risque ;
• les preuves opérationnelles seront conservées dès le début de mission.

La fiche DGE du 18 mai 2026 ne crée pas une nouvelle obligation contractuelle isolée. Elle rappelle surtout une réalité pratique : l’externalisation est devenue un point d’entrée majeur du risque économique. Le contrat doit donc être écrit comme un outil de contrôle, pas comme une formalité administrative.

Besoin d’un avis rapide sur votre dossier

Vous pouvez obtenir une consultation téléphonique en 48 heures avec un avocat du cabinet pour relire un contrat de prestation, vérifier une clause de confidentialité ou réagir à un incident avec un prestataire.

Appelez le 06 46 60 58 22 ou adressez-nous votre demande via le formulaire de contact du cabinet.

Le cabinet intervient à Paris et en Île-de-France pour les contrats commerciaux, la sous-traitance, la responsabilité contractuelle et les litiges entre entreprises.