Votre société a commandé un logiciel de gestion, un ERP, un site marchand ou une application sur mesure. Des mois ont passé, la mise en production promise n’arrive pas, l’outil livré multiplie les erreurs, la migration de vos données reste inachevée et le prestataire vous réclame le solde, voire des travaux complémentaires payants, pour terminer ce qui était prévu au contrat. Pendant ce temps, vos équipes travaillent à moitié, certaines données restent coincées chez le prestataire et chaque semaine de retard coûte de l’argent.
Ce scénario est l’un des plus fréquents du contentieux informatique des petites et moyennes entreprises. La sortie de crise suit presque toujours le même chemin : faire constater précisément ce qui ne fonctionne pas, mettre le prestataire en demeure dans les formes, suspendre ce qui peut l’être sans se mettre soi-même en tort, puis choisir entre forcer l’exécution et rompre le contrat en récupérant les sommes versées et les données. Le droit des contrats et le règlement général sur la protection des données donnent ici des leviers concrets, à condition de les actionner dans le bon ordre et avec des preuves datées.
I. Constater l’inexécution et mettre le prestataire face à ses obligations
Avant toute décision brutale, il faut figer l’état réel du projet : ce qui a été promis, ce qui a été livré, ce qui manque et ce que cela coûte. C’est ce dossier qui conditionne la suite, qu’il s’agisse d’obtenir la livraison, de suspendre un paiement ou de rompre le contrat devant le juge.
A. Que doit exactement votre prestataire informatique ?
Le point de départ reste le contrat signé : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » (article 1103 du code civil). Relisez le périmètre, le calendrier, le prix, les bons de commande, le cahier des charges et ses annexes, les engagements de formation, de migration des données et de maintenance. Tout ce qui n’y figure pas sera difficile à exiger, et tout ce qui y figure engage le prestataire.
Le prestataire professionnel est en outre tenu d’une obligation d’information renforcée envers un client non averti en informatique : « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant. » (article 1112-1 du code civil). Un intégrateur qui sait que le périmètre vendu ne couvre pas un besoin exprimé, que la solution exige des développements supplémentaires ou que la migration des données suppose des prestations qu’il n’a pas chiffrées doit le dire avant la signature, pas après la facturation. Le silence gardé sur ces points nourrit la demande en résolution et en dommages et intérêts.
Sur le terrain, la jurisprudence des formations dédiées au contentieux informatique applique ces principes de façon très concrète. Dans une affaire jugée à Paris le 28 novembre 2025, une société industrielle avait souscrit en septembre 2018 un contrat de fourniture d’un logiciel de gestion d’entreprise pour 28 428 euros TTC, incluant l’installation, la coordination initiale, la formation des utilisateurs et la migration de ses données statiques. Après des années d’allers-retours, une installation dite de la dernière chance et une récupération des données jamais achevée, la cliente avait mis son fournisseur en demeure en juin 2021 de livrer un logiciel en parfait état de fonctionnement sans frais supplémentaires. La cour d’appel a prononcé la résolution du contrat aux torts de l’éditeur et l’a condamné à restituer 32 628,01 euros avec intérêts, retenant qu’en subordonnant l’achèvement de sa prestation à la souscription de prestations nouvelles qui n’étaient pas justifiées, le fournisseur avait délibérément manqué à son obligation d’exécuter le contrat de bonne foi (cour d’appel de Paris, pôle 5, chambre 11, 28 novembre 2025, RG 23/12938). L’enseignement est direct : un prestataire ne peut pas prendre la fin du projet en otage pour facturer des compléments que le contrat initial couvrait déjà.
Le contre-exemple, rendu par la même chambre le 8 novembre 2024, montre l’exigence inverse. Un client demandait la résolution de contrats de licence et d’intégration d’un progiciel de gestion des ressources humaines en invoquant des bugs et des fonctionnalités manquantes. La cour a rejeté la demande : le client avait exprimé sa satisfaction par écrit pendant plus de cinq mois après la mise en production, et les griefs dénoncés ensuite ne caractérisaient pas, par leur gravité, des défauts de conformité justifiant la résolution (cour d’appel de Paris, pôle 5, chambre 11, 8 novembre 2024, RG 21/22341). Autrement dit, des dysfonctionnements mineurs, signalés tardivement après des validations écrites, ne suffisent pas à rompre un contrat informatique. D’où l’importance de la méthode : tester chaque lot, émettre des réserves écrites à chaque étape, refuser la recette par écrit motivé tant que les anomalies bloquantes persistent, et ne jamais valider par complaisance une étape qui ne fonctionne pas.
De la même façon, les pénalités de retard prévues au contrat jouent un rôle à double sens. Quand elles existent, appliquez-les par écrit dès qu’elles sont acquises : elles créent une pression commerciale immédiate et leur décompte alimente le chiffrage du préjudice. Quand le contrat n’en prévoit pas, le retard s’indemnise sur le fondement du droit commun, mais chaque jour de retard doit alors être rattaché à une échéance contractuelle précise et à une conséquence mesurable, comme le maintien prolongé d’une solution provisoire payante ou le report d’une bascule planifiée avec un autre fournisseur. Dans les deux cas, tenez un calendrier contradictoire des jalons : date promise, date réelle, cause invoquée par le prestataire, réponse écrite du client. Ce tableau, simple et tenu au fil de l’eau, devient souvent la pièce la plus parlante du dossier remis au juge, car il transforme un sentiment de dérive en une démonstration datée.
Constituez donc, dès les premiers signes de dérapage, un dossier horodaté : échanges de courriels, comptes rendus de comités de pilotage, procès-verbaux de recette avec réserves, captures d’écrans des erreurs, journaux d’incidents, attestations des utilisateurs, constats d’huissier pour les pannes majeures et, si l’enjeu le justifie, expertise amiable ou judiciaire du logiciel. Dans l’affaire de 2025 citée plus haut, c’est notamment une expertise amiable constatant une migration seulement partielle des données qui a étayé la résolution. Sans ces pièces, le litige se réduit à une parole contre une autre, et le client qui a payé sans réserver perd presque toujours.
B. Suspendre le paiement et exiger la livraison sans se mettre en tort
Face à un prestataire qui n’exécute pas, le réflexe naturel consiste à bloquer les paiements. Ce réflexe est juridiquement encadré : « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave. » (article 1219 du code civil). La suspension n’est donc légitime que si l’inexécution du prestataire est suffisamment grave : logiciel inutilisable, module essentiel manquant, migration des données au point mort, formation jamais dispensée. Suspendre le paiement pour de simples retards mineurs ou des défauts cosmétiques expose le client à passer lui-même pour le débiteur défaillant.
En pratique, notifiez la suspension par écrit en visant précisément les manquements : lot non livré, anomalies bloquantes listées en annexe, dates promises puis dépassées, formations non réalisées. Joignez les pièces et fixez un délai raisonnable de régularisation. Cette lettre sert deux objectifs : elle fonde l’exception d’inexécution et elle prépare la mise en demeure de l’étape suivante. Évitez en revanche de cesser toute collaboration du jour au lendemain : le client a lui-même un devoir de collaboration (fournir les informations, désigner des interlocuteurs, tester les livraisons), et un prestataire habile imputera l’échec à votre inertie si vous cessez de répondre.
La mise en demeure est l’acte central de la procédure. « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. » (article 1226 du code civil). Concrètement, la lettre doit décrire chaque manquement, rappeler les stipulations concernées, impartir un délai raisonnable et prévenir qu’à défaut le contrat sera résolu. L’envoi se fait par lettre recommandée avec accusé de réception ou par tout moyen conférant date certaine. Une mise en demeure vague, qui se borne à exiger la bonne exécution du contrat sans lister les griefs ni fixer de délai, ne produit pas l’effet attendu et fragilise la résolution ultérieure.
Vérifiez aussi la clause résolutoire si le contrat en contient une : elle organise souvent une résolution de plein droit après mise en demeure restée infructueuse pendant un délai fixé, parfois avec un préavis et des modalités de notification précises. Son application suppose le respect scrupuleux de son formalisme. À défaut de clause, les voies légales de la résolution prennent le relais, ce qui conduit à la seconde partie : sortir proprement du contrat et solder les comptes, données comprises.
II. Rompre le contrat, récupérer les données et obtenir réparation
Lorsque la mise en demeure reste sans effet, le client choisit entre persévérer devant le juge pour obtenir l’exécution forcée et rompre pour repartir sur des bases saines avec un autre prestataire. La rupture ouvre trois chantiers indissociables : le sort du contrat et des sommes versées, la récupération des données, et l’indemnisation du préjudice.
A. Résiliation ou résolution : rompre dans les formes et solder les comptes
La résolution suppose une inexécution suffisamment grave : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » (article 1224 du code civil). Trois voies existent donc : la clause résolutoire, la notification unilatérale aux risques et périls du créancier, et la demande en justice, qui reste toujours possible puisque « La résolution peut, en toute hypothèse, être demandée en justice. » (article 1227 du code civil).
La notification unilatérale est rapide mais risquée : si le juge estime ensuite que l’inexécution n’était pas suffisamment grave, c’est le client qui aura rompu à tort et devra des dommages et intérêts. Elle se justifie quand le dossier est solide, avec des manquements graves documentés et une mise en demeure restée vaine. La voie judiciaire est plus lente mais plus sûre : « Le juge peut, selon les circonstances, constater ou prononcer la résolution ou ordonner l’exécution du contrat, en accordant éventuellement un délai au débiteur, ou allouer seulement des dommages et intérêts. » (article 1228 du code civil). Le juge garde donc la main sur l’issue, y compris en accordant un dernier délai au prestataire ou en réduisant la sanction à des dommages et intérêts si la rupture lui paraît disproportionnée.
Les effets de la rupture sont ensuite financiers. « La résolution met fin au contrat. » (article 1229 du code civil). Lorsque le logiciel livré n’apporte aucune utilité en l’état, les sommes versées doivent être restituées dans les conditions des articles 1352 et suivants, comme l’a jugé la cour d’appel de Paris en 2025 avec 32 628,01 euros restitués au client. La restitution suit les règles suivantes : « La restitution d’une chose autre que d’une somme d’argent a lieu en nature ou, lorsque cela est impossible, en valeur, estimée au jour de la restitution. » (article 1352 du code civil). En pratique, le client récupère les acomptes et le prix payés pour un outil inutilisable, avec intérêts, et restitue ce qui doit l’être.
S’y ajoute l’indemnisation du préjudice distinct de la restitution : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). Surcoûts de bascule vers un nouveau prestataire, mobilisation interne des équipes, perte d’exploitation, pénalités versées à vos propres clients du fait du retard : chaque poste doit être chiffré et justifié pièce par pièce. La même décision parisienne de 2025 est instructive sur ce point : la demande de 10 000 euros de dommages et intérêts pour mobilisation des équipes a été rejetée, faute de justificatifs permettant d’en apprécier la réalité. Réclamer sans prouver ne rapporte rien ; le tableur du préjudice se construit dès le début du litige, avec factures, relevés de temps et attestations.
S’agissant du tribunal compétent en région parisienne, le litige relève le plus souvent du tribunal de commerce lorsque les deux parties sont commerçantes, ou du tribunal judiciaire dans les autres configurations, avec la possibilité de saisir le juge des référés à Paris pour obtenir rapidement une expertise, la restitution des données ou une injonction de livrer sous astreinte. Le référé ne juge pas le fond, mais il fige les preuves et débloque les situations d’otage des données, ce qui replace ensuite la négociation ou l’instance au fond sur des bases saines. Préparez cette audience comme un procès en miniature : chronologie en une page, pièces numérotées, chiffrage provisoire et demande précise, car un juge des référés saisi dans la confusion renvoie les parties au fond et fait perdre des mois.
Anticipez enfin la défense classique du prestataire : la faute du client. Devoir de collaboration manqué, expressions de besoin floues, interlocuteurs indisponibles, recettes validées sans réserve puis contestées des mois plus tard. Chaque validation écrite sans réserve est une arme retournée contre vous, comme le montre la décision de 2024. Pilotez donc le projet avec la même rigueur que celle que vous exigerez du juge : besoins écrits, arbitrages tracés, réserves systématiques, délais rappelés par écrit.
B. Récupérer les données, faire respecter le RGPD et être indemnisé du préjudice de données
Un litige informatique n’est jamais seulement un litige de livraison : vos données clients, salariales ou commerciales sont presque toujours traitées par le prestataire, ce qui en fait un sous-traitant au sens du règlement européen. Or « Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. » (article 28, paragraphe 3, du règlement (UE) 2016/679). Vérifiez que le contrat de prestation contient ce contrat de sous-traitance avec ses mentions : instructions documentées, confidentialité, assistance, audit, sort des données en fin de contrat. Son absence est déjà un manquement à invoquer dans la mise en demeure, et la page de la CNIL consacrée au travail avec un sous-traitant détaille les vérifications attendues du responsable du traitement.
Exigez ensuite la restitution effective : export complet dans un format structuré, couramment utilisé et lisible par machine, puis suppression des copies chez le prestataire sortant. Ce droit s’appuie notamment sur le principe suivant : « Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de transmettre ces données à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle » (article 20, paragraphe 1, du règlement (UE) 2016/679). Pour une entreprise cliente, la restitution contractuelle et l’obligation de réversibilité du contrat restent les premiers fondements, et le droit à la portabilité complète le dispositif pour les données fournies par les personnes. Un prestataire qui retient vos données en otage pour obtenir le paiement du solde contesté commet une faute distincte, qui justifie une injonction du juge des référés et une plainte devant la CNIL. Si le litige porte sur la restitution pure d’un outil en nuage, l’analyse rejoint celle développée dans notre article consacré à l’éditeur SaaS qui refuse de restituer vos données, avec la réversibilité, la résiliation et la réparation, dont les solutions s’appliquent à la sortie d’un projet en échec.
En cas de faille de sécurité ou de perte de données imputable au prestataire, les articles 32 à 34 du règlement imposent sécurité, notification à l’autorité et, le cas échéant, communication aux personnes concernées. Documentez l’incident, exigez le journal des accès et le plan de remédiation, et notifiez si vous y êtes tenu en tant que responsable du traitement. Parallèlement, la CNIL peut être saisie par plainte en ligne : ses pouvoirs vont de la mise en demeure aux sanctions pécuniaires, comme le rappelle sa présentation des sanctions susceptibles d’être prononcées. Pour comprendre l’articulation entre mise en demeure, injonction, amende et recours, notre analyse des sanctions CNIL contre les entreprises et de leur contestation décrit la procédure applicable.
Reste la réparation du préjudice lié aux données : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82, paragraphe 1, du règlement (UE) 2016/679). La Cour de justice de l’Union européenne a précisé le régime de ce droit le 4 mai 2023 : comme l’a tranché la Cour de justice de l’Union européenne le 4 mai 2023 dans l’affaire Österreichische Post (C-300/21, texte de l’arrêt sur CURIA) : la seule violation du règlement ne crée pas à elle seule un droit à réparation, et un dommage réel doit être démontré, même moral, comme une perte de contrôle sur ses données ou un temps considérable consacré aux démarches. En revanche, aucune gravité minimale n’est exigée, car la Cour écarte toute règle nationale qui subordonnerait l’indemnisation du préjudice moral à un seuil de gravité. Pour une entreprise dont les données ou celles de ses clients ont été exposées ou retenues par un prestataire défaillant, cela signifie que le préjudice s’indemnise dès qu’il est établi, sans seuil, mais qu’il ne se présume pas : factures de remédiation, coûts d’audit, temps passé, perte de clientèle documentée.
En résumé, face à un logiciel livré en retard, buggé ou retenant vos données, la méthode qui gagne combine la rigueur contractuelle et la rigueur des données : dossier de preuves horodaté, mise en demeure complète avec délai, suspension calibrée des paiements, choix assumé entre exécution forcée et résolution, restitution des sommes pour un outil sans utilité, récupération puis suppression des données chez le sortant, plainte à la CNIL si nécessaire, et chiffrage précis de chaque préjudice. Les décisions parisiennes de 2024 et 2025 montrent que les juges tranchent sur pièces : le client méthodique obtient la résolution et la restitution, le client qui a validé sans réserve puis réclamé sans preuve échoue. Dans ce contentieux technique, la victoire se prépare dès le premier courriel de mécontentement, pas à la veille de l’assignation.