Changer d’éditeur de logiciel, quitter son prestataire d’infogérance ou rompre avec un hébergeur devrait être une opération banale : on exporte ses données, on vérifie leur intégrité, on résilie. En pratique, c’est souvent le moment où tout se bloque. L’ancien prestataire tarde à transmettre les bases, exige un solde contesté avant tout export, ou annonce que les sauvegardes ont été supprimées conformément au contrat. Pendant ce temps, l’activité tourne au ralenti, les équipes travaillent sans leurs dossiers et les clients s’impatientent. Ce contentieux de la sortie de contrat mêle deux matières : le contrat informatique, qui organise la réversibilité, et le droit des données personnelles, qui impose au sous-traitant de restituer ou de supprimer les données au choix du client. Trois décisions rendues en 2026 éclairent la question sous trois angles complémentaires : une cour d’appel sur la perte de sauvegardes après résiliation, un tribunal sur la remise de bases sous astreinte, et le Conseil d’État sur le rôle exact de la Commission nationale de l’informatique et des libertés quand c’est le professionnel qui réclame ses données. Voici, à partir de ces décisions et des textes applicables, comment obtenir la restitution de vos données, à quelles conditions, devant quel juge et avec quelles preuves.
I. Ce que le prestataire sortant doit faire de vos données
A. Le contrat de sous-traitance : le droit européen impose la restitution ou la suppression au choix du client
Quand une entreprise confie ses fichiers, ses dossiers clients ou ses messageries à un prestataire qui les héberge ou les sauvegarde, le droit européen des données personnelles qualifie presque toujours ce prestataire de sous-traitant. La Commission nationale de l’informatique et des libertés le définit sans détour : est sous-traitant celui qui traite des données « pour le compte d’un autre organisme », le responsable de traitement, dans le cadre d’un service ou d’une prestation. Le client qui détermine les finalités et les moyens reste responsable du traitement, même quand les serveurs appartiennent à un tiers. Cette répartition des rôles n’est pas théorique : la Cour de justice de l’Union européenne juge par exemple que la notion de responsable du traitement englobe même l’administrateur d’une « page fan hébergée sur un réseau social » (CJUE, grande chambre, 5 juin 2018, C-210/16, point 1 du dispositif). Celui qui choisit le prestataire et décide de l’usage des données ne cesse pas d’en répondre parce qu’il a externalisé l’hébergement.
De cette qualification découle une obligation de contrat écrit. Le paragraphe 1 de l’article 28 du règlement général sur la protection des données impose au responsable du traitement de ne faire appel qu’à des sous-traitants présentant des « garanties suffisantes » sur le plan technique et organisationnel. Autrement dit, le choix d’un prestataire à bas prix, sans vérification de ses sauvegardes, de sa sécurité et de ses engagements écrits, peut être reproché au client lui-même en cas de perte ou de fuite.
Le contenu obligatoire de ce contrat est fixé au paragraphe 3 du même article 28. Le texte exige que le contrat définisse « l’objet et la durée du traitement », la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Surtout, il énumère les clauses que le sous-traitant doit accepter. Deux d’entre elles commandent directement la sortie du contrat. D’abord, le point g) : c’est le client qui choisit entre la « suppression » et le « renvoi » des données au terme de la prestation, avec destruction des copies existantes, sauf conservation exigée par le droit de l’Union ou le droit national. C’est le client, et lui seul, qui choisit entre la suppression et le renvoi des données. Le prestataire ne peut ni imposer la destruction quand le client veut récupérer ses fichiers, ni conserver une copie « au cas où » quand le client a demandé l’effacement, sauf si une loi impose la conservation. Ensuite, le point h) : le sous-traitant met à disposition « toutes les informations nécessaires » pour démontrer le respect de ses obligations et permettre audits et inspections. Le droit d’audit ne s’éteint pas à la fin du contrat : il sert précisément à vérifier que la restitution ou la suppression promise a bien eu lieu.
Le même article encadre la chaîne de sous-traitance. Le paragraphe 2 dispose que le sous-traitant ne recourt à un autre sous-traitant qu’avec « l’autorisation écrite préalable » du responsable du traitement, et le paragraphe 4 ajoute que le sous-traitant initial « demeure pleinement responsable » devant le responsable du traitement des manquements de cet autre sous-traitant. En pratique, quand un éditeur de logiciel médical, un hébergeur ou une société d’infogérance stocke vos données chez un fournisseur de cloud, il doit vous l’avoir dit et vous avoir laissé la possibilité de vous y opposer. Faute de quoi, il répond des manquements de son propre sous-traitant comme de ses manquements propres.
La Commission nationale de l’informatique et des libertés rappelle les obligations concrètes qui doivent figurer dans ces contrats : transparence et traçabilité, protection dès la conception et par défaut, sécurité des données traitées, assistance, alerte et conseil, avec notamment une procédure de notification des violations. En droit interne, la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés met en œuvre ce règlement et confie à la Commission nationale de l’informatique et des libertés le contrôle de son application. Un contrat SaaS ou d’infogérance qui ne contient ni clause de sortie, ni format de restitution, ni délai, ni sort des copies de sauvegarde, ni procédure d’audit, expose le client à rester captif de son prestataire au jour de la résiliation. Les bons réflexes se prennent à la signature : exiger un article « réversibilité » qui décrit les données restituées, leur format, leur délai de remise, le sort des sauvegardes et des journaux, et le droit de faire vérifier l’effacement par un tiers.
B. Restitution, portabilité, effacement : trois droits à ne pas confondre
La confusion la plus fréquente consiste à mélanger la restitution contractuelle due au client professionnel et le droit à la portabilité des personnes concernées. Les deux portent sur des données, mais leurs titulaires, leurs conditions et leurs débiteurs diffèrent.
Le droit à la portabilité appartient à la personne concernée, c’est-à-dire à l’individu fiché, et non à l’entreprise cliente du prestataire. L’article 20, paragraphe 1, du règlement dispose que les personnes concernées ont le droit de recevoir les données qu’elles ont fournies et de les transmettre à un autre responsable, dans un « format structuré et lisible par machine », lorsque le traitement est fondé sur le consentement ou sur un contrat et qu’il est effectué à l’aide de procédés automatisés. Le paragraphe 2 ajoute le droit d’obtenir la « transmission directe entre responsables » quand elle est techniquement possible. Ce droit ne couvre que les données fournies par la personne elle-même, pas celles que le responsable a déduites ou créées, et il respecte les « droits et libertés de tiers ».
La restitution due en fin de contrat SaaS est d’une autre nature : elle découle du contrat de sous-traitance et du choix du responsable du traitement, tel que l’article 28, paragraphe 3, point g), l’organise. Elle porte sur l’ensemble des données confiées, y compris celles des clients, des salariés ou des patients du responsable du traitement, dans l’état où elles ont été transmises. Elle n’est soumise ni aux conditions de l’article 20, ni à la qualité de personne concernée. Un dirigeant qui change d’éditeur de gestion ou d’hébergeur n’a donc pas à invoquer la portabilité : il doit invoquer son contrat et l’article 28.
Cette distinction a été tranchée nettement par le Conseil d’État dans une décision récente. Un médecin reprochait à l’éditeur du logiciel de gestion de son cabinet de refuser de lui restituer les données médicales de ses patients hébergées dans l’application, et contestait la décision par laquelle la Commission nationale de l’informatique et des libertés avait clôturé sa plainte. Le Conseil d’État a rejeté sa requête — écartant au passage le moyen tiré du défaut de motivation au regard de l’article L. 211-2 du code des relations entre le public et l’administration — : « La plainte adressée à la CNIL par M. A… qui tendait à obtenir la restitution des données médicales de ses patients auprès d’un prestataire de service a été formée en qualité de responsable du traitement de ces données à caractère personnel. Une telle saisine n’a donc pas été présentée par une personne concernée au sens des dispositions citées au point précédent. Elle ne peut dès lors être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD et aucune décision juridiquement contraignante à l’égard de M. A…, au sens de l’article 78 du même règlement, n’a pu naître » (Conseil d’État, 10e chambre, 27 août 2026, n° 509166, ECLI:FR:CECHS:2026:509166.20260827). La leçon est claire : le professionnel qui veut récupérer les données de son activité auprès de son prestataire n’est pas une « personne concernée » qui réclame au sens de l’article 77, et la Commission n’est pas le juge de son contrat commercial. Sa voie est le juge civil ou commercial, sur le fondement du contrat et de l’article 28.
Reste le troisième droit, l’effacement. Quand le contrat prend fin et que le client choisit la suppression, le prestataire doit effacer les données et détruire les copies, y compris chez ses propres sous-traitants. Quand le client choisit le renvoi, le prestataire doit transmettre puis effacer ce qu’il conserve, sauf obligation légale de conservation. Dans les deux cas, l’effacement doit être prouvé : journaux, attestations, audit. Une suppression affirmée mais non documentée ne protège ni le prestataire en cas de contrôle, ni le client si les données réapparaissent.
Pour les entreprises qui utilisent des outils hébergés hors de l’Union européenne, la sortie du contrat se double d’une question de transferts : clauses contractuelles types, analyse d’impact et réponse à la Commission doivent être anticipées avant la migration, comme le détaille le dossier consacré à la conformité des outils américains dans les petites et moyennes entreprises. Changer de prestataire sans traiter le transfert revient à déplacer le risque plutôt qu’à l’éteindre.
II. Quand le prestataire refuse, tarde ou a perdu les données : agir vite et prouver
A. Faire constater la situation et obtenir la remise des données sous astreinte
Le premier réflexe, quand le prestataire sortant refuse de restituer les données ou tarde à le faire, consiste à figer la situation par écrit. Une mise en demeure envoyée en recommandé avec accusé de réception, qui vise précisément, sur le fondement du droit commun des contrats et du règlement européen, l’article du contrat qui organise la restitution et le point g) du paragraphe 3 de l’article 28 du règlement, produit trois effets : elle fait courir les délais, elle établit la mauvaise foi en cas de silence, et elle servira de point de départ à l’astreinte que le juge pourra prononcer. La lettre doit décrire les données attendues, leur format, leur volume approximatif, le délai exigé et le rappel que les copies devront être détruites après remise. Elle doit aussi demander par écrit où les données sont hébergées, qui y a accès et quels sous-traitants ultérieurs interviennent, puisque le contrat aurait dû le prévoir.
Si la mise en demeure reste sans effet, le juge des référés peut ordonner la communication des données. Le tribunal des activités économiques de Nanterre vient d’en donner un exemple net dans un litige de franchise : le contrat stipulait que « La qualité de producteur de données est toutefois reconnue au Franchisé » et que « le Franchiseur procédera à l’extraction des données brutes qu’il a contribué à collecter et saisir, soit les coordonnées complètes des clients et prescripteurs de l’Enseigne, et ce au plus tard, dans les trente (30) jours de la date de cessation » des relations. Le juge a ordonné la remise d’une copie des bases, sous astreinte de 500 euros par jour à compter du cinquième jour suivant la signification, pendant deux semaines, avec constat par commissaire de justice (tribunal des activités économiques de Nanterre, statuant en matière commerciale, ordonnance de référé du 9 juin 2026, RG n° 2026R00586). L’enseignement vaut au-delà de la franchise : quand le contrat prévoit la restitution, le juge l’ordonne, et l’astreinte donne au calendrier une force que les relances n’ont pas. Le demandeur doit toutefois agir vite : en référé, l’urgence et l’absence de contestation sérieuse conditionnent la mesure, et chaque semaine perdue complique la preuve.
La preuve mérite une attention particulière. Il faut conserver le contrat et ses annexes, les conditions générales en vigueur au jour de la signature comme au jour de la résiliation, les échanges sur la migration, les journaux de connexion, les captures montrant l’inaccessibilité des données et les attestations du nouveau prestataire. Un constat de commissaire de justice dressé dès la coupure d’accès fige l’état des serveurs et des messages d’erreur. À Paris et en Île-de-France, ces constats et les assignations en référé relèvent des juridictions parisiennes pour la plupart des sièges sociaux, et les délais d’audiencement y sont comptés en semaines : intégrer ce calendrier dans la mise en demeure renforce la crédibilité du demandeur.
Le revers de cette exigence de preuve apparaît dans l’autre grande décision de l’année. Une société qui avait confié la sauvegarde des fichiers de son bureau d’études à une société d’infogérance, pour 750 euros hors taxes par mois, a résilié le contrat à effet du 1er septembre 2023, puis a découvert la perte de 1 822 dossiers finalisés entre juin 2013 et juin 2020, pour un préjudice de reconstitution évalué à plus de 2,2 millions d’euros. Elle demandait une expertise pour établir les responsabilités. La cour d’appel de Paris a confirmé le rejet : les conditions générales prévoyaient, d’un côté, que le client pouvait récupérer ses données à tout moment de manière autonome pendant l’exécution du contrat — « Nemoxia s’engage à restituer les fichiers présents sur serveurs ou ceux du prestataire dans l’état où le Client les a envoyés, sauf si le Client les a effacés volontairement de son compte ou s’il ne les a pas inclus dans sa liste de fichiers à sauvegarder. Le Client a bien pris note qu’il peut à tout moment récupérer tout ou partie de ses données informatiques de manière autonome via le Réseau Internet à l’aide du logiciel de sauvegarde en ligne » — et, de l’autre, qu’au moment de la résiliation les données hébergées feraient l’objet d’une « suppression définitive, irrévocable et immédiate », sans qu’aucune copie puisse être demandée. Informé pendant plusieurs mois de la fin du contrat et de l’arrivée d’un nouveau prestataire, le client n’avait pas organisé la reprise de ses sauvegardes. Son action en responsabilité était, selon la cour, « manifestement vouée à l’échec », et l’expertise inutile (CA Paris, Pôle 1, chambre 2, 9 avril 2026, RG n° 25/11299, confirmation de l’ordonnance du tribunal de commerce de Melun du 21 mai 2025, avec 5 000 euros au titre de l’article 700 du code de procédure civile). La morale est sévère mais nette : une clause de suppression automatique à la résiliation, une fois acceptée et connue, lie le client. Celui qui signe sans négocier la réversibilité, puis laisse passer la fenêtre de migration, perd à la fois ses données et son procès.
B. La Commission, ses limites pour le professionnel, et la réparation du préjudice
Beaucoup de dirigeants pensent saisir la Commission nationale de l’informatique et des libertés quand leur prestataire garde leurs données. La décision du Conseil d’État du 27 août 2026 rappelée plus haut douche cet espoir : la plainte du professionnel, agissant comme responsable du traitement pour récupérer les données de son activité, n’est pas une réclamation de personne concernée au sens de l’article 77 du règlement, et sa clôture ne constitue pas une décision susceptible de recours au sens de l’article 78 (CE, 10e chambre, 27 août 2026, n° 509166). La Commission reste, dans le cadre national issu de la loi informatique et libertés, compétente pour sanctionner les manquements au règlement — défaut de contrat de sous-traitance, mesures de sécurité insuffisantes, violation non notifiée — et les personnes dont les données sont en cause peuvent toujours la saisir individuellement. Mais elle ne se substituera pas au juge du contrat pour ordonner à un éditeur ou à un hébergeur de rendre à son client ses bases.
Cela ne rend pas la voie administrative inutile. Quand la perte ou la rétention des données s’accompagne d’une violation de données personnelles — accès non autorisé, fuite, indisponibilité prolongée — le paragraphe 2 de l’article 33 du règlement impose au sous-traitant de notifier au responsable du traitement toute violation « dans les meilleurs délais » après en avoir pris connaissance, et le responsable doit à son tour notifier l’autorité « 72 heures au plus tard » après en avoir pris connaissance. Un prestataire qui découvre la disparition de vos sauvegardes et ne vous prévient pas ajoute un manquement au dommage initial. Exiger cette notification par écrit, puis vérifier qu’elle a été faite dans les délais, fait partie du dossier de responsabilité.
Sur le terrain de la réparation, l’article 82, paragraphe 1, du règlement ouvre à toute personne ayant subi un « dommage matériel ou moral » du fait d’une violation le droit d’obtenir « réparation du préjudice subi ». Le paragraphe 2 précise le partage des responsabilités : un sous-traitant n’est tenu pour responsable que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi « en-dehors des instructions licites » du responsable du traitement, ou contrairement à celles-ci. Le prestataire qui efface des données contrairement à l’instruction de les restituer, qui conserve des copies malgré l’ordre de suppression, ou qui recourt à un sous-traitant ultérieur sans autorisation, engage sa responsabilité sur ce fondement, en plus de sa responsabilité contractuelle. Le paragraphe 3 ne l’exonère que s’il prouve que le fait dommageable « ne lui est nullement imputable » — une preuve difficile quand les journaux et les sauvegardes étaient entre ses mains.
En pratique, l’action en réparation suppose un préjudice documenté : coût de reconstitution des dossiers, perte d’exploitation pendant l’indisponibilité, frais de migration d’urgence vers un nouveau prestataire, atteinte à l’image auprès des clients dont les données ont été exposées. Les 2,2 millions d’euros allégués dans l’affaire d’infogérance parisienne (CA Paris, 9 avril 2026, RG n° 25/11299) montrent l’échelle possible, mais aussi l’exigence : sans inventaire précis des dossiers perdus, sans devis de reconstitution et sans lien établi entre la faute du prestataire et la perte, le chiffrage s’effondre. Faire établir tôt par un expert amiable ou judiciaire l’état des données et le coût de leur reconstitution conditionne l’indemnisation.
Reste la question de la résiliation elle-même. Quand le prestataire manque gravement à ses obligations — refus de restitution, suppression fautive, sécurité défaillante —, la résiliation pour inexécution peut être envisagée, mais elle doit être maniée avec prudence : résilier sans mettre en demeure préalable, ou résilier alors que le contrat prévoit la suppression immédiate des données à la rupture, peut aggraver la perte, comme l’illustre l’arrêt parisien. La séquence sûre consiste à mettre en demeure, à sécuriser une copie des données ou à faire constater leur état, puis à résilier en visant les manquements constatés. Et si le prestataire menace de couper l’accès en représailles, le référé permet de demander au juge le maintien provisoire de l’accès le temps de la migration, en plus de la remise des données.
Enfin, un mot sur les données des tiers. Les bases restituées contiennent des données de clients, de salariés ou de patients. Leur réception ne confère aucun droit nouveau : le responsable du traitement doit les protéger, limiter leur usage à la finalité prévue et informer les personnes concernées en cas de violation les exposant à un risque. La sortie d’un contrat SaaS est aussi l’occasion de faire le tri : ne récupérer que les données nécessaires, purger l’obsolète et documenter le nouveau registre. Une migration propre vaut mieux qu’un déménagement aveugle.
Conclusion
Changer de prestataire informatique ne devrait jamais faire perdre ses données, et pourtant les litiges de restitution se multiplient : logiciels de gestion dont l’éditeur verrouille l’export, sauvegardes d’infogérance effacées à la résiliation, bases clients retenues par un ancien partenaire. Le droit applicable est pourtant clair. Le contrat de sous-traitance doit prévoir la sortie, et le client choisit entre le renvoi et la suppression des données. La portabilité des personnes concernées ne remplace pas cette restitution contractuelle, et la Commission n’est pas le juge du contrat commercial : c’est devant le juge civil ou commercial, en référé au besoin, que s’obtiennent la remise des bases, l’astreinte et la réparation. Trois décisions rendues en 2026 le confirment, chacune à sa manière (CA Paris, 9 avril 2026, RG n° 25/11299 ; TAE Nanterre, 9 juin 2026, RG n° 2026R00586 ; CE, 27 août 2026, n° 509166) : le juge ordonne la remise quand le contrat la prévoit, il déboute le client qui a accepté la suppression automatique sans organiser la migration, et il renvoie le professionnel vers le juge du contrat plutôt que vers la Commission. Avant de résilier, relire la clause de sortie, mettre en demeure par écrit, faire constater l’état des données et organiser la migration avec le nouveau prestataire : ces quatre gestes simples décident de l’issue du litige. Le contrat signé prime sur toute analyse générale, et seul le juge tranche les responsabilités au vu des pièces de chaque dossier.