Une entreprise qui veut quitter son fournisseur de cloud ou de logiciel en ligne se heurte souvent au même mur : des frais de sortie élevés, des données difficiles à récupérer et un prestataire qui fait traîner la migration. Une borne européenne change une partie de l’équation : à partir du 12 janvier 2027, le fournisseur ne peut plus facturer de frais de changement de fournisseur, frais de transfert des données compris. Mais cette borne ne règle ni le contrat en cours, ni les pénalités de résiliation anticipée, ni les services à reconstruire, ni le sort des sous-traitants qui hébergent ou maintiennent les données. La réponse tient donc en deux temps : les frais de changement de fournisseur sont plafonnés jusqu’au 12 janvier 2027 puis supprimés, tandis que tout le reste dépend du contrat signé, des preuves conservées par chaque acteur et des décisions prises avant la rupture. Trois précisions s’imposent d’emblée. Les contrats signés priment sur toute analyse générale : aucune disposition du droit européen n’efface les engagements déjà souscrits, les préavis convenus ni les pénalités proportionnées. Aucune responsabilité d’un prestataire ne peut être présumée : un retard de migration ou une facture contestée ne fait pas, à lui seul, une faute établie. Et seul le juge, saisi des pièces du dossier, tranche les litiges de résiliation, de restitution et de facturation. Cet article décrit la carte complète des conséquences d’une sortie de cloud ou de SaaS pour l’entreprise cliente, le prestataire sortant, le prestataire entrant et les sous-traitants, ainsi que les preuves que chacun doit détenir et les décisions à prendre dans l’ordre.
I. Ce que la sortie change pour chaque maillon de la chaîne
A. L’entreprise cliente : décider avant de dénoncer
Une sortie de cloud ou de logiciel en ligne ne commence pas par une lettre de résiliation. Elle commence par un inventaire. L’entreprise cliente doit d’abord établir la liste exacte de ce qu’elle a confié au prestataire : données d’exploitation, bases clients, historiques de facturation, sauvegardes, journaux de connexion, configurations, développements spécifiques. Cet inventaire détermine tout le reste : ce qui devra être restitué, ce qui devra être réinstallé ailleurs, et ce que l’entreprise devra prouver si la sortie tourne mal.
Le droit européen a posé une borne claire sur un point précis, le prix de la sortie. Le règlement (UE) 2023/2854 sur les données, dit Data Act, prévoit la suppression des frais de changement de fournisseur à compter du 12 janvier 2027, frais de transfert des données compris, comme le présente la page de la Commission consacrée au Data Act. La notion est large : elle couvre les frais imposés au client pour les opérations de changement de fournisseur vers un autre prestataire ou vers une infrastructure propre, à l’exception des frais de service standard et des pénalités proportionnées de résiliation anticipée. L’objectif affiché est de lever les effets de verrouillage : des frais de sortie sans rapport avec les coûts réels freinent les changements de prestataire, restreignent la circulation des données et la concurrence.
Mais cette borne ne couvre que les frais de changement de fournisseur, pas l’ensemble de la facture d’une sortie. Pendant la période transitoire, le texte autorise des frais réduits pendant la période transitoire qui court jusqu’au 12 janvier 2027, avec une limite : ces frais réduits restant plafonnés aux coûts réellement supportés par le prestataire et directement liés à l’opération de changement Autrement dit, jusqu’au 12 janvier 2027, des frais réduits restent possibles, mais ils doivent être justifiés par des coûts réels et directs. Une entreprise qui reçoit aujourd’hui une facture de sortie doit donc exiger le détail des coûts invoqués et le comparer à ce plafond.
Surtout, trois postes restent dus même après le 12 janvier 2027. D’abord les frais de service standard, dus jusqu’à la fin du contrat. Ensuite les pénalités de résiliation anticipée, si le contrat est à durée déterminée et que la pénalité est proportionnée. Enfin les services supplémentaires que le client demande lui-même au-delà des obligations légales du prestataire, à condition d’avoir accepté leur prix à l’avance. Le règlement impose d’ailleurs une transparence préalable : le prestataire étant tenu d’informer le client potentiel, avant la signature, sur les frais de service standard, les pénalités de résiliation anticipée et les frais réduits de changement envisageables Une entreprise qui a signé avant de recevoir ces informations détient déjà un premier élément de preuve en cas de litige sur les frais.
Côté contrat français, le point de départ reste la force obligatoire du contrat : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » (article 1103 du code civil). Si le contrat est à durée indéterminée, « Lorsque le contrat est conclu pour une durée indéterminée, chaque partie peut y mettre fin à tout moment, sous réserve de respecter le délai de préavis contractuellement prévu ou, à défaut, un délai raisonnable. » (article 1211 du code civil). Si le contrat est à durée déterminée, la sortie anticipée suit le régime de la résolution : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » (article 1224 du code civil). L’entreprise cliente doit donc qualifier son contrat avant d’agir : durée déterminée ou indéterminée, clause de résiliation, préavis, clause résolutoire, pénalités. Chaque mot de ces clauses compte, car ce sont elles que le juge lira en premier.
La décision opérationnelle qui suit, c’est la stratégie de sortie. L’entreprise doit fixer une date cible, prévoir une période de double exploitation pendant laquelle l’ancien et le nouveau système tournent en parallèle, identifier les services à reconstruire (connecteurs, développements spécifiques, paramétrages) et chiffrer le coût réel de la migration, indépendamment des frais de changement de fournisseur. C’est ce chiffrage qui permet de décider si la sortie est rentable et à quel rythme la conduire. Les entreprises accompagnées par des avocats en droit des affaires à Paris le savent : une sortie réussie est d’abord une sortie chiffrée, avec un calendrier écrit et des responsables désignés des deux côtés.
Enfin, l’entreprise cliente doit constituer son dossier de preuves dès le départ, avant tout conflit. Elle détient déjà le contrat signé, ses avenants, les factures, les échanges écrits avec le prestataire, les tickets d’assistance, les journaux d’accès à ses propres outils. Elle doit y ajouter la demande de stratégie de sortie adressée au prestataire, l’inventaire des données à récupérer, et la trace de chaque export effectué. Ces pièces serviront deux fois : à piloter la migration, et à établir les responsabilités si le prestataire sortant freine ou facture l’indu.
B. Le prestataire sortant, l’entrant et les sous-traitants : des obligations en miroir
Du côté du prestataire sortant, le Data Act impose un comportement actif, pas une simple passivité. Il doit informer le client avant la conclusion du contrat sur les frais et pénalités possibles, assister la stratégie de sortie du client pour les services souscrits, et fournir les informations pertinentes pour préparer la migration. Surtout, il doit restituer l’ensemble des données exportables : au minimum les données d’entrée et de sortie, y compris les métadonnées, générées directement ou indirectement par l’utilisation du service par le client. Sont exclues les données qui appartiennent au prestataire ou à un tiers et qui sont protégées par des droits de propriété intellectuelle ou des secrets d’affaires, ainsi que les données liées à l’intégrité et à la sécurité du service dont l’exportation exposerait le prestataire à des vulnérabilités. Ces exceptions ne doivent ni empêcher ni retarder le changement de fournisseur. Un prestataire qui invoque la sécurité ou la propriété intellectuelle pour refuser toute restitution doit donc démontrer précisément ce qui relève de l’exception et restituer tout le reste sans délai.
Le prestataire sortant supporte aussi la charge de la preuve sur les délais. Si le changement de fournisseur ne peut pas être achevé dans le délai prévu pour des raisons de faisabilité technique, c’est à lui de le démontrer, dans des cas dûment justifiés. Le client, lui, conserve le droit exclusif de prolonger une fois la période transitoire, pour la durée qu’il juge appropriée, avant ou pendant cette période, le contrat restant applicable entre-temps. Concrètement, un prestataire qui annonce que la migration prendra six mois de plus doit produire des justifications techniques vérifiables, et le client peut exiger le maintien du service pendant la prolongation qu’il décide.
Le prestataire sortant peut externaliser certaines tâches et rémunérer des tiers pour remplir ses obligations. Mais le client ne supporte pas les coûts de cette externalisation décidée par le prestataire : ces coûts sont considérés comme injustifiés, sauf s’ils couvrent des travaux entrepris à la demande du client, pour un soutien supplémentaire allant au-delà des obligations légales, avec un accord préalable sur le prix. Cette règle protège l’entreprise cliente contre une pratique fréquente : la facturation de journées de « support de migration » que le client n’a jamais demandées, ou dont le prix n’a jamais été accepté. Toute facture de ce type doit être rapprochée de la demande écrite qui l’aurait autorisée ; à défaut, elle est contestable.
Du côté du prestataire entrant, l’obligation symétrique est d’accueillir les données et de restaurer les fonctionnalités. Le considérant 82 du règlement l’exprime ainsi : entraver l’extraction des données exportables appartenant au client empêcherait la restauration des fonctionnalités du service dans l’infrastructure du fournisseur de destination. L’entrant doit donc prévoir l’import, la conversion des formats, la reprise des historiques et les tests de conformité, et chiffrer ces prestations dans son offre. L’entreprise cliente a intérêt à faire figurer dans le nouveau contrat un engagement de reprise avec des critères d’acceptation mesurables : volumes importés, délais, taux d’erreur, tests réussis. Sans ces critères, un échec de reprise devient un litige sans preuve entre l’ancien et le nouveau prestataire, chacun accusant l’autre.
Les sous-traitants forment le troisième maillon, souvent oublié. Hébergeurs, mainteneurs, éditeurs de modules, prestataires de sauvegarde : chacun détient une partie des données ou une partie du service. En droit français de la sous-traitance, la qualification des contrats détermine les protections applicables. La Cour de cassation l’a rappelé dans un arrêt de la troisième chambre civile du 10 novembre 2021 (pourvoi n° V 20-19.372) : la cour d’appel avait pu déduire de ses constatations « que ce contrat était un contrat d’entreprise et que le contrat par lequel la société Edificandi avait confié à la société Gagne l’exécution d’une partie de ses missions était un contrat de sous-traitance » (motifs, paragraphe 11). L’enseignement pour une sortie de cloud est direct : il faut qualifier chaque contrat de la chaîne, car le sous-traitant bénéficie d’un régime protecteur propre, avec notamment des garanties de paiement, tandis que l’entrepreneur principal répond de l’exécution d’ensemble. Ce régime protecteur vient de la loi n° 75-1334 du 31 décembre 1975 relative à la sous-traitance, dont l’article 1er définit la sous-traitance comme l’opération par laquelle un entrepreneur confie à une autre personne l’exécution de tout ou partie du contrat d’entreprise conclu avec le maître de l’ouvrage. Le louage d’ouvrage lui-même est défini par l’article 1787 du code civil. Et sur le terrain des factures, l’exigence de transparence vaut dans les deux sens : « Tout achat de produits ou toute prestation de service pour une activité professionnelle fait l’objet d’une facturation. » (article L441-9 du code de commerce) ; une facture de sortie qui ne détaille ni les prestations ni leur base contractuelle ne satisfait pas à cette exigence. Le même arrêt montre qu’une résiliation unilatérale anticipée se fait aux risques et périls de son auteur : la société qui avait mis fin au contrat avant son terme s’est vu imputer la résiliation à ses torts exclusifs, parce qu’elle n’avait pas satisfait à ses propres obligations légales préalables. Transposé à une sortie de cloud, le message est clair : le client qui rompt sans respecter le préavis, sans mise en demeure préalable ou sans avoir réglé les sommes non contestées prend le risque de voir la rupture mise à sa charge, même si le prestataire exécutait mal ses obligations.
En pratique, l’entreprise cliente doit donc notifier chaque acteur séparément, vérifier si le contrat principal autorise le prestataire à changer de sous-traitant sans accord, et exiger que les sous-traitants qui détiennent des données participent à la restitution. Si le prestataire sortant prétend que les données sont chez son hébergeur et qu’il ne peut pas les récupérer, c’est son problème d’organisation, pas une excuse opposable au client : il lui appartient de mobiliser son sous-traitant, et les coûts correspondants ne sont pas refacturables au client.
II. Prouver et sécuriser la sortie, dans l’ordre utile
A. Qui détient quelle preuve, et comment la figer
Un litige de sortie de cloud se gagne avec des pièces, pas avec des souvenirs. La règle d’or est simple : chaque acteur conserve la preuve de ce qu’il affirme, et ce dès avant le conflit. L’entreprise cliente détient le contrat signé et ses avenants, les bons de commande, les factures et leurs justificatifs, les échanges écrits avec le prestataire, les tickets d’assistance avec leurs dates de résolution, les journaux d’accès à ses propres outils, et surtout la demande écrite de stratégie de sortie avec la réponse du prestataire. Le prestataire sortant détient les journaux d’export, les relevés de transfert, les attestations de suppression ou de restitution, le détail des coûts de migration qu’il invoque, et les accords préalables sur les services supplémentaires facturés. Le prestataire entrant détient les comptes rendus d’import, les tests d’acceptation et les écarts constatés. Chaque sous-traitant détient ses propres journaux d’hébergement, de sauvegarde et d’intervention.
La première preuve à figer, c’est l’état des données avant migration : volumes, formats, dates, empreintes techniques si possible. Un export complet et horodaté, conservé sur un support indépendant du prestataire sortant, vaut mieux qu’une capture d’écran partielle. Si le prestataire fournit un outil d’export, l’entreprise doit tester immédiatement que les données exportées sont exploitables, et consigner par écrit les lacunes constatées : tables manquantes, pièces jointes absentes, historiques tronqués, formats inexploitables. Un export inutilisable signalé six mois plus tard n’a pas la même force probante qu’une réserve écrite faite le jour de l’export.
La deuxième preuve à figer, c’est la chronologie des échanges. Toute demande doit partir par un canal traçable : lettre recommandée avec accusé de réception ou courriel avec accusé, jamais un simple appel téléphonique dont il ne reste rien. Chaque relance doit rappeler la précédente et ses dates. Quand le prestataire s’engage sur un délai, l’entreprise l’enregistre par écrit et lui demande confirmation. Quand le prestataire facture, l’entreprise exige le détail ligne par ligne et rapproche chaque ligne d’une clause du contrat ou d’une demande écrite. Les frais de changement de fournisseur facturés pendant la période transitoire doivent être comparés au plafond légal des coûts directs : toute somme qui dépasse ce plafond, ou qui correspond à une externalisation décidée par le prestataire sans demande du client, doit être contestée par écrit sans attendre.
La troisième preuve, en cas de blocage avéré, c’est le constat. Un commissaire de justice peut constater l’inaccessibilité d’une interface d’export, l’absence de données restituées, l’interruption d’un service ou la teneur d’un écran. Ce constat, dressé à date certaine par un officier ministériel, fige des faits que le prestataire ne pourra plus réécrire ensuite. Il coûte une fraction de ce que coûte un mois de double exploitation imposé par un blocage, et il transforme une affirmation en pièce. De même, les attestations de témoins internes (administrateurs système, chefs de projet) gagnent à être rédigées pendant les faits, avec dates et détails, plutôt que reconstituées un an plus tard pour le juge.
Enfin, l’entreprise doit conserver la preuve qu’elle a payé ce qu’elle devait. En cas de litige, le fait d’avoir réglé les sommes non contestées, tout en contestant par écrit les sommes litigieuses, place le client en position de créancier de bonne foi. À l’inverse, le client qui suspend tout paiement, y compris les abonnements non contestés, s’expose à se voir reprocher sa propre inexécution. La consignation ou la mise en réserve écrite des sommes contestées, avec notification au prestataire, est une mesure de prudence que les tribunaux apprécient.
B. La sortie sans contentieux, puis le contentieux sans improvisation
L’ordre des décisions compte autant que leur contenu. La sortie propre suit une séquence : inventaire écrit, demande de stratégie de sortie au prestataire, chiffrage comparé des offres de reprise, négociation d’un protocole de migration avec jalons et critères d’acceptation, double exploitation, vérification des exports, puis seulement résiliation du contrat sortant avec le préavis convenu. Chaque étape produit une pièce : inventaire signé, réponse du prestataire, protocole signé, procès-verbaux d’acceptation, accusés d’export, lettre de résiliation. Un dossier complet rend le contentieux inutile dans la plupart des cas, parce que le prestataire qui voit un client organisé et documenté a intérêt à exécuter plutôt qu’à bloquer.
Si le prestataire n’exécute pas, la mise en demeure est le passage obligé. Elle doit viser précisément l’obligation inexécutée : restituer telles données avant telle date, achever telle étape du protocole, justifier telle facture par le détail des coûts directs. Elle doit impartir un délai raisonnable et annoncer la suite envisagée. C’est cette mise en demeure, restée sans effet suffisant, qui ouvrira ensuite la résolution pour inexécution suffisamment grave. Rappelons le cadre : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Une notification de résolution prise à la légère, pour un retard mineur ou sans mise en demeure préalable, expose son auteur autant que son destinataire. Et si la résolution est prononcée, ses effets patrimoniaux suivent : la restitution des prestations dont l’utilité dépendait de l’exécution complète, ou le règlement des prestations qui ont trouvé leur utilité au fur et à mesure, selon les distinctions de l’article 1229 du code civil, dont le texte précise que « Lorsque les prestations échangées ont trouvé leur utilité au fur et à mesure de l’exécution réciproque du contrat, il n’y a pas lieu à restitution pour la période antérieure à la dernière prestation n’ayant pas reçu sa contrepartie ». Pour un abonnement de cloud exécuté mois par mois, cela signifie que les mois déjà fournis restent dus, tandis que les sommes versées d’avance pour la période postérieure à la résolution doivent être restituées.
Le chiffrage du préjudice suit la règle de la responsabilité contractuelle : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du code civil). L’entreprise cliente doit donc documenter chaque poste : coût de la double exploitation prolongée par la faute du prestataire, frais du prestataire entrant pour reprendre des données mal exportées, perte d’exploitation chiffrée par l’expert-comptable, frais de constat et de conseil. Un préjudice allégué sans pièce est un préjudice rejeté. À l’inverse, un tableau chiffré adossé à des factures et à des journaux d’incidents est une demande que le juge peut accueillir.
Deux articulations sectorielles méritent une vigilance particulière. D’abord les données personnelles : le règlement général sur la protection des données reconnaît à la personne concernée un droit de portabilité, et le responsable du traitement comme son sous-traitant doivent organiser contractuellement le sort des données en fin de contrat, y compris leur restitution ou leur suppression. Une sortie de SaaS qui traite des données personnelles sans clause de sort des données expose l’entreprise cliente devant la CNIL autant que devant le juge judiciaire. Ensuite les entités financières soumises au règlement DORA doivent disposer d’une stratégie de sortie documentée pour leurs prestataires informatiques critiques, avec des plans de sortie testés. Pour ces entités, la sortie n’est pas une option de gestion, c’est une obligation de résilience dont l’absence constitue en soi un manquement.
Le contentieux, enfin, se prépare comme la migration : par écrit, dans l’ordre, sans précipitation. Saisir le juge des référés pour obtenir la restitution sous astreinte suppose de démontrer l’urgence et l’évidence de l’obligation, pièces à l’appui. Assigner au fond sur la résolution et l’indemnisation suppose un dossier complet et un chiffrage sérieux. Dans les deux cas, le juge commencera par lire le contrat, puis le protocole de migration, puis la chronologie des mises en demeure, puis les constats. L’entreprise qui a suivi la séquence décrite dans cet article arrive avec ce dossier. Celle qui a rompu d’un courriel de colère, sans inventaire ni mise en demeure, arrive sans rien.
Conclusion
Quitter un fournisseur de cloud ou de SaaS à l’approche du 12 janvier 2027, c’est conduire trois chantiers en même temps : purger les frais de changement de fournisseur que le droit européen supprime, exécuter proprement le contrat qui subsiste jusqu’à son terme, et faire coopérer une chaîne d’acteurs dont chacun détient une partie des données et des preuves. L’entreprise qui inventorie avant de dénoncer, qui exige le détail de chaque facture, qui fige chaque export et chaque retard par écrit, et qui résilie dans l’ordre prévu par le contrat et par la loi, transforme une rupture redoutée en opération maîtrisée. Les contrats signés priment sur toute analyse générale, aucune responsabilité ne se présume, et seul le juge tranche les litiges : dans ce cadre, la méthode fait la différence entre une sortie qui coûte et une sortie qui rapporte.