Le jour où une entreprise décide de quitter son prestataire SaaS ou cloud, elle découvre souvent l’étendue de sa dépendance. Les données de ses clients, les dossiers de ses salariés, ses historiques de facturation et parfois l’intégralité de son système d’information vivent sur l’infrastructure du prestataire. La sortie se tend alors : le fournisseur tarde à restituer les données, discute du format, réclame un solde contesté avant de transmettre quoi que ce soit, ou annonce qu’il va couper l’accès à la fin du mois. Dans les cas les plus rudes, les données sont conservées après le départ et réutilisées, ou un incident de sécurité survient en pleine migration.
Ce moment relève de deux régimes qu’il faut articuler sans les confondre : le contrat, qui organise la réversibilité et la restitution, et le droit européen des données personnelles, dont le régime de la réparation vient d’être précisé par la Cour de justice puis par la Cour de cassation. La jurisprudence récente donne des repères concrets : dans un litige de réversibilité informatique, le juge des référés de Bordeaux avait ordonné la restitution d’un fichier de données clients sous astreinte de 2 000 euros par jour, et la cour d’appel, tout en annulant cette ordonnance pour violation du contradictoire, a jugé que le défaut d’exécution de la garantie de réversibilité constituait un trouble manifestement illicite ; la cour d’appel de Paris a confirmé 16 180 euros pour le retard de mise à disposition des données d’un ancien franchisé et, infirmant le premier juge sur le quantum, a condamné le franchiseur à 28 420 euros pour l’utilisation des données après la sortie ; et la Cour de cassation rappelle en 2026 que la simple violation du règlement européen sur les données personnelles n’ouvre pas à elle seule droit à réparation, le demandeur devant établir un dommage.
Cet article décrit la méthode complète : verrouiller la clause de réversibilité avant et pendant la sortie, imposer la restitution puis la destruction des données par un protocole de sortie adossé à la jurisprudence, traiter la chaîne des prestataires et la conservation abusive, documenter les preuves et chiffrer chaque préjudice poste par poste, puis obtenir réparation sur le fondement du contrat et de l’article 82 du règlement européen, tel que la Cour de justice et la Cour de cassation viennent de le préciser. Sur la dimension purement contractuelle du prix et du périmètre, on pourra aussi se reporter à l’analyse du cabinet consacrée à la renégociation d’un contrat informatique au forfait devenu déficitaire.
I. Imposer la restitution puis la destruction : le contrat d’abord, le RGPD ensuite
A. La réversibilité contractuelle : obtenir des données exploitables, à temps, sous peine d’astreinte
Tout commence par le contrat signé, parfois des années plus tôt. En droit français, les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits, et c’est l’article 1103 du code civil qui donne à la clause de réversibilité sa force : si le prestataire s’est engagé à restituer les données dans un format défini et dans un délai défini, le client peut exiger exactement cela, ni un export partiel, ni un format propriétaire inexploitable, ni un envoi différé après règlement d’un litige distinct. Quand la clause est muette ou imprécise, le rapport de force s’inverse et chaque semaine de retard devient une semaine d’indisponibilité pour l’entreprise cliente.
Une clause de réversibilité utile définit au minimum cinq éléments. Le périmètre : données de production, sauvegardes, journaux, paramétrages, documentations et, le cas échéant, les données des environnements de test qui contiennent des informations réelles. Le format : un format lisible, structuré et documenté, avec le schéma des champs, car un fichier sans documentation est une restitution manquée. Le délai et le calendrier : date de livraison, livraisons intermédiaires, période d’assistance à la reprise par le nouveau prestataire, et durée de la phase de transition pendant laquelle l’ancien système reste accessible en lecture. Le coût : la réversibilité est-elle incluse dans le prix ou facturée, et selon quel barème, pour éviter la facture surprise qui bloque la sortie. Enfin, la fin de vie : destruction des copies chez le prestataire et chez ses propres sous-traitants, avec attestation.
L’affaire jugée par la cour d’appel de Bordeaux le 14 avril 2025 montre ce qu’un juge peut ordonner quand la restitution coince, et à quelles conditions de procédure. La société Myzee Technology fournissait une solution de gestion des clients usagers des transports en commun ; après l’échec de sa candidature au renouvellement du marché, Keolis lui a demandé le transfert des données clients en invoquant l’article 12.6 du contrat intitulé garantie de réversibilité. Le juge des référés du tribunal de commerce avait ordonné la restitution d’un fichier comprenant l’adresse électronique du compte usager, la date d’achat, le titre acheté et le nombre de voyages restants, sous astreinte de 2 000 euros par jour passé huit jours après signification pendant un délai d’un mois (arrêt de la cour d’appel de Bordeaux, 4e chambre, 14 avril 2025). Saisie de l’appel dans un dossier où se mêlaient brevet déposé en cours de litige, transaction de prolongation et liquidation d’astreinte, la cour a prononcé la nullité de l’ordonnance du 27 février 2024 pour violation du contradictoire, tout en jugeant que le défaut d’exécution de la garantie de réversibilité à la date du 6 février 2024 constituait un trouble manifestement illicite, que les sociétés Keolis étaient fondées à réclamer en référé, sous astreinte, la restitution des quatre champs, et en donnant acte aux parties de ce que cette restitution avait été faite le 6 juin 2024. Trois enseignements pratiques : la restitution des données d’exploitation se demande au juge des référés, vite, avec un périmètre de champs précis ; l’astreinte est l’outil qui rend l’injonction effective ; et l’assignation doit respecter strictement le contradictoire, pièces communiquées et débats réguliers, sous peine de nullité de l’ordonnance obtenue.
L’arrêt de la cour d’appel de Paris du 17 janvier 2024, dans l’affaire Century 21 France contre son ancien franchisé Cocagne Immobilier, complète le tableau sur deux points que les contrats SaaS négligent souvent : le retard et l’après. Le tribunal de commerce avait condamné le franchiseur à payer 16 180 euros au titre du retard de la mise à disposition des données, puis 40 596 euros au titre de sa responsabilité contractuelle du fait de la non-destruction et de l’utilisation des données de l’ancien franchisé, en retenant notamment une campagne de prospection adressée à 814 personnes issues des fichiers de l’agence après la sortie du réseau. La cour d’appel de Paris, le 17 janvier 2024, a confirmé la condamnation pour le retard, mais a infirmé le jugement sur les 40 596 euros et, statuant à nouveau, a condamné le franchiseur à 28 420 euros en raison de son utilisation des données postérieurement à la résiliation, en violation du protocole d’accord du 28 septembre 2018 (arrêt de la cour d’appel de Paris, pôle 5, chambre 4, 17 janvier 2024). Trois leçons pour le SaaS : le retard de restitution est un préjudice indemnisable en soi, dès lors qu’il est chiffré ; conserver puis exploiter les données du client après la fin du contrat engage la responsabilité contractuelle du prestataire, sans qu’il puisse se retrancher derrière son hébergeur technique, fût-ce une société sœur, pour échapper à ses propres engagements ; et le quantum se discute poste par poste, y compris en appel, comme le montre la réduction de 40 596 à 28 420 euros.
Concrètement, le client qui prépare sa sortie doit agir dans l’ordre. D’abord, relire le contrat et le protocole de sortie s’il existe, identifier le débiteur exact de la restitution, le format promis et les délais, puis adresser une mise en demeure qui décrit champ par champ ce qui est attendu, avec une date butoir et l’annonce des sanctions demandées. Ensuite, si le prestataire conditionne la restitution au paiement d’un solde contesté, ne pas céder sans vérifier les sanctions ouvertes par la loi : la partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. La suspension du paiement se manie avec prudence et proportion, mais l’exécution forcée en nature de la restitution, y compris en référé sous astreinte sur le modèle bordelais, est la voie naturelle. Enfin, faire constater : constats d’huissier de l’inaccessibilité ou de l’inexploitabilité des exports, échanges écrits, journal des incidents de migration. Sans preuve du retard et de son coût, l’indemnisation restera théorique, comme le montre le contentieux Century 21 où chaque poste a été débattu pièce par pièce.
B. Le sort des données après la sortie : destruction, chaîne de prestataires et conservation abusive
Quand les données hébergées concernent des clients, des prospects ou des salariés, la sortie ne se limite pas à récupérer un export : il faut aussi obtenir que le prestataire et toute sa chaîne cessent de détenir et d’utiliser ces données. L’arrêt Century 21 en donne le mode d’emploi contractuel. Le protocole d’accord du 28 septembre 2018 encadrait la sortie du réseau et les obligations sur les données ; la cour a sanctionné d’un côté le retard de mise à disposition, de l’autre l’utilisation des données postérieurement à la résiliation en violation de ce protocole, à hauteur de 28 420 euros. Pour une sortie SaaS, la transposition est directe : même sans clause de réversibilité détaillée, faites signer un protocole écrit de sortie qui décrit le périmètre restitué, le format et le schéma des champs, le calendrier avec une phase de transition en lecture seule, le coût de l’assistance à la reprise, puis la destruction des copies avec attestations. Ce protocole devient la pièce centrale du dossier, comme celui du 28 septembre 2018 l’a été devant la cour d’appel de Paris.
Le deuxième point est la chaîne des détenteurs. Dans l’affaire Century 21, les données transitaient par un logiciel dédié géré par une société tierce, présentée comme simple société sœur du franchiseur, et la cour n’a pas admis que cet écran technique efface les engagements de restitution et de destruction. En SaaS, la chaîne est souvent plus longue : hébergeur d’infrastructure, outil de support, prestataire de sauvegarde, module d’analyse ou de notification. Le protocole de sortie doit donc lister nommément chaque intervenant, imposer la restitution ou la destruction chez chacun avec attestation individuelle, et prévoir la fermeture datée des comptes et accès temporaires ouverts pour la migration. Les sauvegardes sont le poste oublié par excellence : une destruction qui épargne les backups n’est pas une destruction, et c’est au prestataire d’expliquer, calendrier de rotation à l’appui, à quelle date la donnée aura disparu de tous ses supports.
Le troisième point est la conservation par défaut, que la cour de Paris a décortiquée pièces en main. Sur 814 personnes ciblées par la campagne postérieure à la sortie, 149 avaient ouvert le message, 27 avaient cliqué et 24 seulement s’étaient désinscrites ; la cour en a déduit que les coordonnées étaient conservées sauf démarche de désinscription, sans qu’aucun nettoyage ultérieur du fichier ne soit démontré. Pour le client SaaS, la parade consiste à inverser la charge pratique : demander dès la mise en demeure l’inventaire des données conservées après la fin du contrat avec leur fondement affiché, exiger la preuve d’un nettoyage documenté plutôt qu’une affirmation générale, et faire constater toute utilisation postérieure, prospection, reciblage ou entraînement de modèles, car chaque usage démontré devient un poste d’indemnisation distinct, sur le modèle des 28 420 euros parisiens.
Enfin, la vérification des exports doit être contradictoire : un fichier livré n’est pas un fichier restitué. Prévoyez une livraison par lots, un contrôle du schéma et de l’exhaustivité, des tests de reprise chez le nouveau prestataire pendant la phase de transition, et un procès-verbal de réception ou de réserves. C’est ce dossier de réception, joint au protocole et aux constats de retard, qui permettra au juge de mesurer l’inexécution et d’en tirer les conséquences financières, comme la cour de Paris l’a fait poste par poste.
II. Quand la sortie tourne mal : violations, sanctions et réparation
A. Incident en pleine migration : preuves, constats et chiffrage du préjudice
La période de migration concentre les risques opérationnels : exports massifs téléchargés sur des postes, accès temporaires multipliés, doubles environnements actifs en parallèle, sauvegardes oubliées, comptes du prestataire sortant qui restent ouverts. Quand un incident survient, vol, perte, altération ou indisponibilité, le sort du futur contentieux se joue dans les premières heures, sur les preuves. Tenez un journal horodaté des opérations, conservez les journaux techniques avant toute rotation, faites constater par huissier l’inaccessibilité ou l’inexploitabilité des exports, et figez les échanges écrits avec le prestataire. La règle d’or est de privilégier les preuves loyales : demandez la communication des journaux par écrit, sur le fondement du contrat et du protocole de sortie, plutôt que de collecter des données par vos propres moyens.
La Cour de cassation éclaire ce terrain dans l’arrêt Natixis du 24 juin 2026. Dans cette affaire, des preuves issues d’un traitement de données personnelles contraire au règlement européen avaient été déclarées illicites mais néanmoins recevables, dès lors que leur obtention et leur production étaient indispensables et proportionnées à l’objectif poursuivi (pourvoi n° 24-22.792). Cet enseignement ne doit pas être lu comme un permis de s’affranchir des règles : il confirme que le juge met en balance l’illicéité et la nécessité proportionnée, et qu’une partie qui documente proprement, constats, mises en demeure, demandes écrites restées sans réponse, aborde le débat probatoire en position de force, sans avoir à plaider l’indispensable.
Le chiffrage obéit à la même discipline. Le tribunal des activités économiques de Nanterre l’a rappelé le 21 juillet 2026 dans un litige de prestation informatique en rejetant 450 000 euros de demandes reconventionnelles dont le demandeur ne justifiait ni le principe ni le quantum (jugement SAS Data-Tricks contre SAS Info Link). Un montant global, sans pièces et sans lien démontré avec la faute du prestataire, est un montant perdu. La méthode qui fonctionne est celle de l’arrêt Century 21 : des postes séparés, chacun prouvé, le retard de mise à disposition d’un côté, l’utilisation postérieure des données de l’autre. Transposée à une sortie SaaS, elle donne : surcoût de prolongation de l’ancien contrat et de double exploitation pendant le retard, coût de reconstitution ou de nettoyage d’un export inexploitable, coût de la migration de secours, perte d’exploitation documentée par la comptabilité, et préjudice propre lié à chaque utilisation démontrée après la sortie. Factures, devis, constats, correspondances et extractions comptables doivent être rassemblés au fil de l’eau, car le juge ne reconstituera pas après coup ce que le dossier ne montre pas.
Sur le plan opérationnel, organisez la réponse à incident avant qu’il survienne : un responsable désigné côté client, une procédure de suspension et de fermeture des accès, la préservation immédiate des journaux des deux côtés, et une information écrite et datée du prestataire sortant dès la détection, avec description des faits et mesures conservatoires demandées. Ce formalisme n’est pas de la bureaucratie : c’est lui qui établira la date de connaissance, l’étendue des diligences et, le cas échéant, la part de responsabilité de chacun.
B. Obtenir réparation : prouver la violation, prouver le dommage, chiffrer poste par poste
Le terrain de la réparation est celui où les dossiers de sortie SaaS se gagnent ou se perdent, et la règle européenne est claire : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Pour le client qui migre, cela dessine deux fronts : contre le prestataire sortant sur le terrain contractuel, et pour les personnes concernées sur le terrain du règlement ; dans les deux cas, seule une violation établie et un dommage prouvé ouvrent droit à paiement.
Trois décisions récentes fixent le mode d’emploi probatoire. D’abord, l’arrêt de la Cour de justice du 4 mai 2023 dans l’affaire Österreichische Post, tel que la Cour de cassation le rappelle dans l’arrêt Natixis, qui dit pour droit que la simple violation des dispositions du règlement ne suffit pas pour conférer un droit à réparation, tout en refusant toute condition de gravité minimale du préjudice moral et en renvoyant aux droits nationaux pour le calcul des dommages-intérêts dans le respect de l’équivalence et de l’effectivité. Autrement dit : pas d’indemnisation automatique, pas de seuil couperet, mais une réparation intégrale du dommage démontré. Ensuite, l’arrêt de la chambre sociale de la Cour de cassation du 24 juin 2026 dans l’affaire Natixis, qui censure une cour d’appel ayant alloué 5 000 euros de dommages-intérêts en retenant que le non-respect du RGPD aurait nécessairement causé un préjudice, alors que le salarié ne démontrait dans ses écritures ni son existence ni son étendue, au visa de l’article 82, paragraphe 1, du règlement (pourvoi n° 24-22.792). Enfin, le jugement du tribunal judiciaire de Paris du 9 octobre 2025 dans l’affaire Lexbase, où un demandeur réclamait 11 000 euros sur le fondement de l’article 1240 du code civil pour la mise en ligne de décisions de justice contenant ses données personnelles (RG n° 24/03844). La leçon commune est sans appel : la violation ouvre le droit d’agir, seul le dommage prouvé ouvre le droit d’être payé.
Côté contrat, le fondement est l’article 1231-1 du code civil : le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. Le retard de restitution, la restitution inexploitable et la non-destruction sont trois inexécutions distinctes qui appellent trois chiffrages distincts, sur le modèle Century 21 : surcoût de prolongation de l’ancien contrat et de double run pendant le retard, coût de reconstitution ou de nettoyage d’un export inexploitable, coût de la migration de secours, perte d’exploitation documentée, et, pour les données personnelles utilisées après la sortie, le préjudice propre lié à cette exploitation. Chaque poste doit être certain, prouvé et prévisible, avec factures, devis, constats et correspondances. Le tribunal des activités économiques de Nanterre l’a rappelé le 21 juillet 2026 dans un litige de prestation informatique en rejetant 450 000 euros de demandes reconventionnelles dont le demandeur ne justifiait ni le principe ni le quantum (jugement SAS Data-Tricks contre SAS Info Link). Un chiffrage rond, sans pièces, est un chiffrage perdu.
La stratégie procédurale combine alors les outils sans les mélanger. La mise en demeure ouvre le dossier : elle vise la clause de réversibilité et le protocole de sortie, décrit les manquements champ par champ, fixe un délai final et annonce le référé. Le référé obtient la restitution sous astreinte et, le cas échéant, la cessation de l’utilisation illicite, comme à Bordeaux. L’action au fond liquide les préjudices : inexécution contractuelle contre le prestataire, et pour les personnes concernées l’article 82 contre le responsable ou le sous-traitant selon leurs rôles respectifs. La résolution du contrat reste l’arme lourde, à manier quand la restitution est définitivement compromise ou que la confiance est rompue, en mesurant ses effets sur la continuité de service. Et lorsque le dommage vient d’un sous-traitant ultérieur du prestataire, l’appel en garantie et la production du contrat de sous-traitance en chaîne permettent de remonter jusqu’au véritable auteur, au lieu de laisser le client supporter seul la défaillance d’un acteur qu’il n’a jamais choisi.
Conclusion
Sortir d’un SaaS ou d’un cloud sans casse tient à une discipline simple : traiter la fin du contrat comme un projet à part entière, avec un calendrier, des livrables et des preuves. Relire la clause de réversibilité avant de notifier quoi que ce soit, notifier par écrit le choix entre renvoi et destruction des données personnelles, exiger la liste des sous-traitants et les attestations de chacun, chiffrer les exports, vérifier contradictoirement leur exploitabilité, puis faire détruire les copies. Documenter chaque étape, car le juge comme l’autorité de contrôle trancheront sur pièces : champs restitués, dates, formats, journaux, notifications. Et chiffrer chaque préjudice séparément, retard, reprise, exploitation postérieure, sans attendre du juge qu’il devine ce que le dossier ne montre pas. Les décisions Myzee, Century 21, Natixis et Österreichische Post convergent : la restitution s’ordonne sous astreinte quand elle est précisément demandée, la conservation abusive se paie, et seule la violation doublée d’un dommage prouvé se répare. C’est à ce prix que la sortie redevient ce qu’elle devrait être : un changement de fournisseur, pas un sinistre.
Besoin d’un avis rapide sur votre dossier
Vous préparez la sortie d’un contrat SaaS ou cloud, la restitution de vos données est bloquée ou vos données personnelles sont conservées après la fin de la prestation ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et sécurise la procédure adaptée : mise en demeure, référé sous astreinte, notification de violation et chiffrage des préjudices. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.