Lundi matin, 8 h 40. Votre équipe tente de se connecter au logiciel de gestion qui pilote la facturation, la paie ou le suivi des chantiers. Un bandeau rouge s’affiche : accès suspendu pour factures impayées. Quelques heures plus tard, le commercial de l’éditeur confirme par écrit : sans règlement du solde sous quinze jours, l’environnement sera archivé puis effacé, et la restitution de vos propres données vous sera facturée en supplément. Des milliers de dossiers clients, des bulletins de paie, des pièces comptables et des photos de chantiers deviennent inaccessibles du jour au lendemain, alors même que l’entreprise doit continuer à payer les salaires, à facturer et à répondre à ses propres clients.
Cette situation, banale dans l’économie de l’abonnement, concentre trois questions que les dirigeants posent dans cet ordre : l’éditeur avait-il le droit de couper l’accès pour un impayé, peut-il garder vos données en otage jusqu’au paiement, et comment récupérer l’outil et les données en quelques jours sans payer deux fois ? La réponse tient en une phrase : l’impayé donne des droits à l’éditeur, mais ni la coupure ni la rétention des données ne sont libres. Le contrat d’abord, le droit commun des contrats ensuite, puis le régime des données personnelles et le nouveau cadre européen du changement de prestataire verrouillent ce que l’éditeur peut faire, ce qu’il doit restituer et ce qu’il doit réparer. Chaque affirmation de ce dossier repose sur des textes et des décisions lus intégralement, dont les références exactes figurent ci-dessous avec leurs sources officielles.
I. Couper l’accès pour impayé : un droit réel, mais jamais automatique
A. La suspension suppose une mise en demeure, un manquement grave et une notification
Le point de départ reste le contrat : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Avant d’invoquer un droit général, il faut donc relire les conditions générales et le contrat d’abonnement : clause de suspension pour impayé, préavis contractuel, adresse de notification, montant exact du solde, pénalités et indemnité de recouvrement. Beaucoup de coupures se jouent là, parce que l’éditeur n’a pas respecté son propre préavis ou parce que les factures invoquées sont contestées pour des dysfonctionnements antérieurs. Tant que le solde réclamé mélange des redevances incontestées et des sommes litigieuses, par exemple des pénalités de retard ou une indemnité de résiliation que le client conteste, la coupure totale de l’outil est fragile.
À défaut de clause, ou pour la compléter, le Code civil offre à l’éditeur impayé la suspension de sa propre prestation, mais sous conditions strictes. « Une partie peut suspendre l’exécution de son obligation dès lors qu’il est manifeste que son cocontractant ne s’exécutera pas à l’échéance et que les conséquences de cette inexécution sont suffisamment graves pour elle. Cette suspension doit être notifiée dans les meilleurs délais. » Trois enseignements pratiques en découlent. D’abord, la suspension suppose un inexécution manifeste : un retard de quelques jours sur une facture accessoire ne suffit pas, alors qu’un solde de plusieurs trimestres impayés malgré relances caractérise l’évidence. Ensuite, les conséquences doivent être suffisamment graves pour l’éditeur, ce qui renvoie au montant, à la durée et au comportement du client. Enfin, la suspension doit être notifiée dans les meilleurs délais : la coupure surprise, sans mise en demeure préalable chiffrée et sans délai pour payer, expose l’éditeur à voir sa propre inexécution sanctionnée.
L’arsenal général de l’article 1217 du Code civil confirme cette gradation : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » L’éditeur impayé dispose donc d’un choix, pas d’un permis de tout faire : poursuivre le paiement devant le juge, suspendre après notification, ou résoudre le contrat selon sa clause résolutoire. La coupure conservatoire d’un outil critique, sans mise en demeure et sans proportion avec le solde, bascule vite du côté de l’inexécution fautive du prestataire, surtout quand elle paralyse toute l’entreprise cliente pour quelques milliers d’euros contestés.
La jurisprudence des contrats informatiques illustre ce contrôle de proportionnalité. Dans un litige relatif à un contrat d’abonnement SaaS de paie et à un contrat d’assistance, la cour d’appel de Paris a examiné le calendrier complet : appel d’offres du 3 juin 2016, contrats du 22 décembre 2016, mise en exploitation prévue en avril 2017, temps de traitement des bulletins anormalement longs, comité de pilotage du 25 septembre 2017 sans solution pérenne, lettre d’incertitude du 28 septembre 2017, assurance de raccourcissement des temps de réponse le 6 octobre 2017, report accepté au 1er janvier 2018, puis mise en demeure du 8 mars 2018 face à la persistance des lenteurs (cour d’appel de Paris, pôle 5 chambre 11, 3 juin 2022, RG 20/09351). La cour a confirmé le jugement en toutes ses dispositions et condamné l’intégrateur aux dépens ainsi qu’à 4 000 euros et 1 500 euros au titre des frais de procédure. L’enseignement vaut dans les deux sens : le client qui dénonce des dysfonctionnements doit les faire constater et mettre en demeure par écrit, et le prestataire qui promet la remise en ordre puis échoue ne peut pas transformer ensuite ses propres manquements en impayé fautif du client.
Côté créancier, la procédure de recouvrement reste encadrée par le droit commercial. L’ordonnance de référé rendue le 19 mai 2026 par le tribunal judiciaire de Metz dans un litige entre un éditeur de logiciel de suivi de chantiers et un groupement client illustre le déroulement classique : résiliation notifiée le 19 mai 2025 avec demande de récupération des photos, mise en demeure de payer le 1er juillet 2025, annonce que les données ne sont plus sauvegardées en production et ne subsistent qu’en un exemplaire d’archivage dont l’effacement est programmé fin juillet, proposition de formules de récupération payantes, puis assignation en référé pour les factures (tribunal judiciaire de Metz, chambre commerciale, ordonnance de référé du 19 mai 2026, RG 25/00827). Le juge a condamné le client par provision au paiement des abonnements incontestés, à hauteur de 3 998,84 euros, 3 998,84 euros, 4 102,81 euros et 6 974,82 euros selon les factures et les sites, « outre intérêts de retard au taux égal à trois fois celui de l’intérêt légal à compter du lendemain de la date d’exigibilité de la facture », tout en constatant une contestation sérieuse sur les pénalités de retard et en refusant le référé pour ce surplus. Pour le client, la leçon est double : les abonnements non contestés se paient même en référé, mais les pénalités et indemnités de résiliation se discutent, et leur contestation sérieuse interdit au juge de l’urgence de les accorder par provision.
B. Retenir les données ou menacer de les effacer : la ligne rouge du droit des données
Couper l’accès à l’applicatif est une chose, garder les données en otage en est une autre. Dès que l’outil héberge des données à caractère personnel, qu’il s’agisse des dossiers de vos clients, des bulletins de vos salariés ou des coordonnées de vos prospects, vous restez le responsable du traitement et l’éditeur n’est que votre sous-traitant. Or le règlement européen impose au sous-traitant une obligation de restitution qui ne dépend pas du paiement du solde : « selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel ». Le choix appartient donc au client, pas à l’éditeur : renvoi des données dans un format exploitable ou suppression avec destruction des copies. Subordonner la restitution au paiement intégral d’un solde contesté, ou proposer la récupération contre un tarif de rançon sans base contractuelle, heurte directement cette obligation, surtout quand le contrat de sous-traitance prévu par le même texte devait encadrer la fin de mission.
Le deuxième verrou est l’obligation de sécurité. Le règlement exige du responsable comme du sous-traitant « des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement », ainsi que « des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ». Autrement dit, la disponibilité et la restauration des données sont des obligations de protection, pas des options commerciales. Un éditeur qui laisse volontairement dépérir l’unique copie restante, qui cesse les sauvegardes en production après la résiliation sans plan de restitution, ou qui programme un effacement à date fixe pour faire pression sur le paiement, prend le risque d’avoir à expliquer à l’autorité de contrôle pourquoi la disponibilité n’a pas été garantie et pourquoi la restauration n’a pas été organisée dans des délais appropriés. La menace d’effacement brandie comme moyen de recouvrement est donc l’exact contraire de ce qu’attend le texte.
Le troisième verrou vient du nouveau cadre européen du changement de prestataire. Le règlement sur les données, dit Data Act, impose aux fournisseurs de services de traitement de données de lever les freins au départ du client : ils « n’imposent pas d’obstacles et suppriment les obstacles précommerciaux, commerciaux, techniques, contractuels et organisationnels » qui freinent la résiliation, la conclusion d’un contrat avec un nouveau fournisseur et le portage des données et actifs numériques vers cet autre fournisseur ou vers une infrastructure propre. Les frais de sortie prohibitifs, les formats de restitution inexploitables, les délais de portage interminables et les conditions générales qui lient la restitution au paiement de sommes étrangères au coût réel du transfert sont précisément les pratiques visées. Sans faire du Data Act une baguette magique applicable à toutes les situations anciennes, il fournit un standard de lecture : la restitution doit être possible, dans des délais raisonnables, à un coût transparent et proportionné, dans un format qui permet réellement de repartir.
En pratique, la grille d’analyse d’une menace d’effacement ou d’une rétention comporte donc cinq contrôles. Premièrement, que dit le contrat de fin de mission : durée de réversibilité, format d’export, coût, adresse de notification, sort des sauvegardes ? Deuxièmement, la restitution demandée correspond-elle à des données personnelles, auquel cas le choix entre renvoi et suppression appartient au client responsable du traitement ? Troisièmement, l’éditeur a-t-il maintenu la disponibilité et les sauvegardes pendant la période de sortie, comme l’exige l’obligation de sécurité ? Quatrièmement, le tarif de récupération facturé correspond-il à une prestation réelle et convenue, ou à une rançon calculée pour forcer le paiement du solde ? Cinquièmement, l’effacement programmé a-t-il été annoncé avec un préavis suffisant et une solution alternative, ou comme un ultimatum de quelques jours ? Plus les réponses penchent vers l’ultimatum, plus la voie judiciaire d’urgence décrite ci-dessous a des chances d’aboutir, et plus le risque symétrique pèse sur l’éditeur en cas de perte définitive.
II. Récupérer vos données et faire sanctionner la coupure abusive
A. Les soixante-douze premières heures : prouver, écrire et saisir le juge de l’urgence
Quand l’accès est coupé et qu’un effacement est programmé, chaque jour compte deux fois : pour l’exploitation qui s’arrête et pour la preuve qui s’efface. La première heure doit servir à figer la situation. Faites établir par un commissaire de justice un constat de l’impossibilité de connexion, des messages d’erreur, du bandeau d’impayé et de l’inaccessibilité des modules essentiels, avec captures datées et journal des tentatives. Exportez tout ce qui reste accessible : courriels de relance et de menace, conditions générales en vigueur au jour de la souscription, bons de commande, factures contestées et relevés de paiement, attestations des salariés sur les tâches devenues impossibles, comptabilité des commandes perdues. Demandez par écrit à l’éditeur la copie de vos données et la suspension de tout effacement programmé, en visant le contrat de sous-traitance et l’obligation de restitution, et conservez la preuve de cet envoi. Si des données personnelles sont en jeu, documentez aussi les catégories de personnes concernées et les risques créés pour elles, car ce registre servira pour la notification à l’autorité décrite plus loin.
La deuxième étape est une mise en demeure qui sépare les sujets au lieu de les mélanger. Payez ou consignez ce qui est incontestablement dû, par exemple les abonnements dont le montant et la période ne sont pas discutés, afin de priver l’éditeur de l’argument de l’impayé total, et contestez par écrit chaque somme litigieuse avec son motif : dysfonctionnements antérieurs non résolus, pénalités sans base contractuelle, indemnité de résiliation disproportionnée, facturation de périodes postérieures à la résiliation. Mettez en demeure l’éditeur de rétablir l’accès ou, à défaut, de restituer immédiatement l’intégralité des données dans un format exploitable, de suspendre tout effacement jusqu’à la restitution complète et de communiquer le plan de sauvegarde, le tout sous un délai bref et explicite de quelques jours ouvrés. Rappelez que la suspension et la résolution supposent une inexécution grave et notifiée, et que la restitution des données personnelles relève du choix du responsable du traitement. Cette lettre n’est pas une formalité : elle fera la différence entre la coupure notifiée et proportionnée, que le juge admettra, et la coupure surprise, qu’il sanctionnera.
La troisième étape, quand l’éditeur maintient la coupure ou l’ultimatum, est le juge des référés. L’ordonnance messine de 2026 montre le mode d’emploi des deux côtés : l’éditeur y a obtenu par provision le paiement des abonnements incontestés, avec intérêts au triple du taux légal et capitalisation, mais s’est vu refuser le surplus relatif aux pénalités contestées, faute d’évidence (tribunal judiciaire de Metz, chambre commerciale, ordonnance de référé du 19 mai 2026, RG 25/00827). Symétriquement, le client peut demander au même juge, outre la contestation du solde réclamé, une injonction de restituer les données sous astreinte par jour de retard, la suspension de tout effacement jusqu’à restitution complète, voire la désignation d’un tiers séquestre pour recevoir une copie de sauvegarde. Le juge de l’urgence ne tranchera pas le fond du contrat, mais il peut ordonner les mesures provisoires qui évitent la perte définitive, à condition que la demande soit précise : périmètre exact des données, format d’export exigible selon le contrat, adresse de livraison, délai et astreinte. Plus la menace d’effacement est proche et documentée, plus l’urgence est caractérisée.
Deux décisions récentes sur l’hébergement éclairent ce que le juge attend du prestataire en matière de disponibilité et de sauvegardes. Dans l’affaire d’un hébergeur poursuivi après un incident ayant rendu des données comptables inutilisables, le contrat promettait un « engagement de disponibilité du service en 24/7, 99,5% mensuelle » et une « garantie de temps de rétablissement de 4 heures en 24/7 ». L’incident, né du remplacement d’un disque défectueux suivi d’un redémarrage et de tentatives de restauration à partir de sauvegardes illisibles, s’est prolongé du 28 juin au début juillet 2017, et le compte rendu interne de l’hébergeur concluait : « les données sont visibles dans les bases réparées. Cependant elles ne sont pas utilisables par Sage ». La cour d’appel de Versailles a jugé que l’incapacité à résoudre l’incident caractérisait un manquement à la garantie de rétablissement, a écarté l’exonération invoquée en relevant que le prestataire ne rapportait pas la preuve d’un lien de causalité entre l’obsolescence des logiciels du client et l’impossibilité de restaurer, et a confirmé la responsabilité de l’hébergeur pour l’incident du 28 juin 2017, avant de le condamner à 8 497,20 euros de dommages et intérêts et à la remise d’un avoir annulant la facture du 1er août 2017 à même hauteur (cour d’appel de Versailles, 12e chambre, 19 mai 2022, RG 20/05106). Trois leçons pour le dossier d’impayé : un engagement chiffré de disponibilité et de rétablissement se retourne contre le prestataire qui ne le tient pas, des sauvegardes illisibles valent absence de sauvegarde, et le juge exige du prestataire qui s’exonère une preuve extérieure, pas son seul compte rendu interne.
L’autre décision concerne l’incendie survenu dans la nuit du 9 au 10 mars 2021 dans les centres de données d’un grand hébergeur, qui avait détruit le bâtiment abritant le serveur d’une association gérant une plateforme de soutien scolaire, avec reconstruction du serveur à partir d’une ancienne sauvegarde sans information préalable et gratuité de six mois proposée en réparation (cour d’appel de Douai, chambre 2 section 2, 4 juin 2026, RG 24/00967). Le tribunal de commerce avait retenu à la fois des manquements de l’hébergeur et un cas de force majeure, puis rejeté l’indemnisation en application des clauses limitatives. En appel, la cour a infirmé sur deux points : elle a « REJETTE la demande de la société OVH tendant à voir déclarer réunies les conditions contractuelles et légales de la force majeure » et rejeté les demandes tendant à réputer non écrites les clauses de force majeure et de limitation de responsabilité, avant de juger l’hébergeur déjà intégralement indemnisateur du seul préjudice imputable et de mettre les dépens et 5 000 euros de frais au compte de l’association. Pour le client d’un SaaS coupé ou perdu, l’enseignement est nuancé : la force majeure ne protège pas automatiquement l’hébergeur, mais les plafonds contractuels de responsabilité résistent souvent, d’où l’importance de les lire avant le litige, de documenter un préjudice distinct et direct, et de ne pas attendre du procès ce que le contrat a plafonné.
B. Sortir du contrat sans payer deux fois : résiliation, factures et préjudice
Une fois l’urgence traitée, il faut solder le contrat au lieu de laisser courir des abonnements pour un outil inutilisable. Le Code civil permet au créancier d’une obligation inexécutée, après mise en demeure, d’en poursuivre « l’exécution en nature sauf si cette exécution est impossible ou s’il existe une disproportion manifeste entre son coût pour le débiteur de bonne foi et son intérêt pour le créancier », et même de « faire exécuter lui-même l’obligation » par un tiers dans un délai et à un coût raisonnables, avec remboursement des sommes engagées. Concrètement, le client peut faire migrer ses données et son exploitation vers un outil de remplacement, puis réclamer au prestataire défaillant le surcoût raisonnable de cette migration, à condition d’avoir mis en demeure au préalable et de conserver chaque facture du plan B. Enfin, « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La perte d’exploitation, les heures internes de reconstitution, les pénalités versées à vos propres clients et le coût de migration forment le préjudice réparable, sous réserve de le prouver pièce par pièce et de respecter les plafonds contractuels que le juge, comme dans l’affaire de l’incendie du centre de données, hésite à écarter.
Le sort des factures mérite le même tri méthodique. Les redevances correspondant à des périodes d’utilisation effective et non contestées restent dues, et le juge des référés les accorde par provision avec intérêts majorés, comme l’a fait l’ordonnance messine. En revanche, les factures émises pour des périodes de coupure totale, les pénalités calculées sans base contractuelle claire et les indemnités de résiliation réclamées par le prestataire qui a lui-même manqué à ses obligations se contestent avec de bonnes chances, y compris par la demande d’un avoir, à l’image de celui ordonné par la cour d’appel de Versailles pour annuler la facturation post-incident. Exigez le détail de chaque facture, rapprochez-le des dates réelles de disponibilité et des clauses de prix, et opposez la compensation entre ce que vous devez encore et ce que le prestataire vous doit au titre du préjudice. Cette compensation, même partielle, change le rapport de force dans la négociation de sortie, parce qu’elle transforme un impayé unilatéral en décompte réciproque.
Quand la coupure ou la perte touche des données personnelles, un troisième front s’ouvre devant l’autorité de contrôle. Le règlement impose au responsable du traitement de notifier la violation « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques », la notification tardive devant être accompagnée des motifs du retard, et impose au sous-traitant de « notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ». Si le risque pour les personnes est élevé, le responsable doit aussi informer les personnes concernées en termes clairs. La Commission nationale de l’informatique et des libertés détaille la démarche en ligne et les informations attendues, et rappelle que la compromission de données chez un sous-traitant n’exonère pas le responsable : c’est à lui de notifier, d’informer le cas échéant et de documenter, puis de se retourner contre le prestataire. Dans le dossier de l’incendie du centre de données, l’association cliente avait ainsi notifié à la Commission dès le 1er avril 2021 en qualité de responsable du traitement. Pour le client coupé de son SaaS, la notification n’est pas systématique : une simple indisponibilité brève sans perte ni accès indu ne caractérise pas toujours une violation à notifier, mais une perte définitive, une restauration à partir de sauvegardes douteuses ou une exposition des données pendant la coupure imposent l’analyse écrite du risque, avec l’aide d’un conseil, dans le délai de soixante-douze heures.
Le dernier levier est indemnitaire et répressif. Le règlement ouvre à « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement » le droit d’obtenir réparation du responsable ou du sous-traitant, et la plainte devant la Commission reste possible quand le prestataire refuse la restitution ou laisse détruire les données : il s’agit d’une voie connue des personnes concernées comme des entreprises, qui expose le prestataire à un contrôle et à une injonction de mise en conformité. Pour l’entreprise cliente, l’articulation correcte consiste à distinguer trois actions : l’action contractuelle contre l’éditeur pour la coupure et la perte, l’action en protection des données pour la restitution et la sécurité, et la plainte à l’autorité pour faire constater les manquements persistants. Menées ensemble et documentées, elles aboutissent le plus souvent à une sortie négociée : restitution complète dans un format convenu, avoir sur les périodes de coupure, abandon réciproque des pénalités et calendrier de migration. À défaut d’accord, le dossier ainsi constitué, constats, mises en demeure, décompte de préjudice et analyse de risque, est exactement celui que le tribunal attendra au fond. Sur ces contrats comme sur les autres contrats commerciaux informatiques suivis par le cabinet à Paris, la négociation et le contentieux se gagnent avant l’audience, par la qualité des pièces.
Conclusion
En résumé, ne laissez ni la coupure ni l’ultimatum s’installer. Payez ce qui est incontesté, contestez le reste par écrit, exigez la suspension de tout effacement et la restitution complète, faites constater, saisissez le juge de l’urgence si la menace est proche, analysez la notification à l’autorité dans les soixante-douze heures quand des données personnelles sont perdues ou exposées, puis soldez le contrat par un décompte réciproque plutôt que par un impayé subi. L’éditeur qui coupe vite et fort sans mise en demeure, qui facture la restitution sans base et qui programme l’effacement pour faire payer, prend devant le juge un risque symétrique à celui qu’il fait peser sur vous.
Besoin d’un avis rapide sur votre dossier
Votre éditeur a coupé l’accès à votre logiciel pour un impayé et retient vos données en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vos contrats pour organiser la récupération et la sortie du litige. Appelez le 06 46 60 58 22 pour une consultation téléphonique en 48 heures avec un avocat du cabinet. Vous pouvez aussi écrire via la page formulaire de contact du site.