Le décret n° 2026-272 du 14 avril 2026 remet le sujet du cloud souverain au centre des décisions informatiques. Le texte vise directement les administrations, les opérateurs et certains groupements d’intérêt public de l’État lorsqu’ils confient des données d’une sensibilité particulière à un service d’informatique en nuage fourni par un prestataire privé. Mais il produit déjà un effet au-delà du secteur public : il donne aux entreprises privées un langage contractuel beaucoup plus précis pour discuter avec un prestataire cloud, un éditeur SaaS ou un hébergeur.

Pour une PME, une ETI ou une société de services, la question n’est donc pas seulement : « mon prestataire est-il français ? » La vraie question est plus concrète : le contrat permet-il de savoir où sont les données, qui peut y accéder, dans quel délai elles sont restituées, qui paie la migration, quelles garanties existent en cas d’incident et comment sortir sans perdre l’exploitation de l’entreprise ?

Les recherches Google Ads confirment que l’intention monte : « cloud souverain » atteint 1 000 recherches mensuelles en France, « cloud entreprise » 720, « cloud pour PME » 210, avec des CPC hauts pouvant dépasser 9 euros sur les requêtes B2B. L’intérêt commercial est clair : les entreprises veulent migrer, comparer ou renégocier, mais elles ne savent pas toujours quelles clauses relire avant de signer.

Ce que change l’actualité SREN pour les contrats cloud privés

Le décret publié au Journal officiel, consultable sur Légifrance, précise les exigences applicables au traitement de données sensibles de l’État dans un service cloud privé. Le ministère de l’Économie a publié une présentation officielle du texte, en rappelant qu’il s’inscrit dans l’application de l’article 31 de la loi SREN et qu’il encadre le recours aux services cloud pour les données sensibles de l’État : publication de la DAJ.

Une entreprise privée n’est pas automatiquement soumise à ce régime. Pourtant, le décret met en avant des points qui deviennent des standards de négociation : sécurité des systèmes, localisation des données, protection contre certains accès non autorisés, qualification ou référentiel de sécurité, régime transitoire lorsque l’offre conforme n’est pas encore disponible.

Dans un contrat cloud d’entreprise, ces thèmes doivent être traduits en clauses opérationnelles. Une simple mention marketing du type « hébergement en France » ou « solution souveraine » ne suffit pas. Il faut une annexe technique et juridique opposable.

Les 7 clauses à vérifier avant de signer un contrat cloud souverain

1. La localisation réelle des données

Le contrat doit indiquer où sont stockées les données principales, les sauvegardes, les journaux de connexion et les environnements de support. Beaucoup d’offres distinguent le stockage, l’administration, la supervision et l’assistance. Or, pour l’entreprise cliente, le risque ne vient pas seulement du serveur principal. Il peut venir d’un support technique situé hors Union européenne, d’une sauvegarde répliquée ailleurs ou d’un sous-traitant qui accède aux données pour maintenir l’application.

La clause utile doit donc couvrir les données de production, les sauvegardes, les métadonnées, les logs, les exports, les environnements de test et les données nécessaires à l’assistance.

2. Les accès par le prestataire et ses sous-traitants

Le prestataire cloud peut avoir besoin d’accéder aux systèmes pour assurer la maintenance. Cela ne veut pas dire que l’accès doit être libre, permanent et non tracé. Le contrat doit préciser les catégories de personnes autorisées, les habilitations, la journalisation, les délais de conservation des logs, les contrôles d’accès et le sort des accès d’urgence.

Si des données personnelles sont traitées, la relation doit aussi être encadrée au titre du RGPD. La CNIL rappelle que le responsable de traitement doit choisir un sous-traitant présentant des garanties suffisantes et conclure un contrat conforme à l’article 28 du RGPD : bonnes pratiques CNIL responsable de traitement et sous-traitant.

3. La liste des sous-traitants ultérieurs

Une offre cloud repose rarement sur un seul acteur. Il peut y avoir un éditeur, un hébergeur, un opérateur d’infogérance, un support externalisé, un fournisseur de messagerie, un outil d’observabilité, un prestataire de sauvegarde.

Le contrat doit donc imposer une liste tenue à jour des sous-traitants ultérieurs, un délai de notification avant tout remplacement et un droit d’opposition lorsque le changement augmente le risque juridique ou technique. Sans cette clause, l’entreprise découvre parfois trop tard que la prestation vendue comme locale dépend d’une chaîne contractuelle beaucoup plus large.

4. La réversibilité et la restitution des données

C’est souvent la clause la plus importante. Un contrat cloud qui ne prévoit pas correctement la sortie peut enfermer l’entreprise chez son prestataire. Il faut prévoir :

• le délai de restitution ;
• le format des données ;
• la documentation fournie ;
• le maintien temporaire des accès ;
• le coût de l’assistance à la migration ;
• la destruction certifiée des copies après restitution ;
• les pénalités ou astreintes contractuelles en cas de blocage.

La jurisprudence récente montre que la restitution des données n’est pas un détail technique. Dans une décision du Tribunal judiciaire de Paris du 10 juillet 2025, accessible sur le site de la Cour de cassation, le juge a retenu que la résiliation d’un contrat d’hébergement informatique emporte en principe restitution des données au client et a condamné le prestataire à rétablir un lien de transfert : TJ Paris, 10 juillet 2025, n° 25/05759.

Cette décision n’est pas une règle automatique pour tous les contrats cloud. Mais elle illustre un point pratique : quand les données deviennent inaccessibles, le litige ne porte plus seulement sur une facture. Il porte sur la continuité d’exploitation.

5. La sécurité, les incidents et la preuve

Le contrat doit prévoir ce qui se passe en cas d’incident : notification, contenu de l’alerte, délai, preuves communiquées, rapport d’investigation, accès aux logs, coopération avec l’assureur cyber, assistance pour notifier les clients ou la CNIL.

Une clause vague du type « le prestataire met en oeuvre les meilleurs efforts » protège mal l’entreprise cliente. Il faut des engagements mesurables : disponibilité, sauvegarde, restauration, chiffrement, supervision, tests, durées maximales d’interruption, responsabilité en cas de perte ou d’altération de données.

6. La limitation de responsabilité

Les contrats cloud prévoient souvent un plafond de responsabilité très bas, parfois limité aux sommes payées sur quelques mois. Ce plafond peut être disproportionné si le service héberge la facturation, les commandes, la paie, le CRM, les dossiers clients ou les données stratégiques de la société.

Avant de signer, il faut comparer trois montants : le prix annuel du contrat, le coût réel d’une interruption et le coût de reconstitution des données. Si le plafond est inférieur au coût d’une semaine d’arrêt, il faut le renégocier ou prévoir des exclusions au plafond pour les incidents graves : perte de données, violation de confidentialité, faute lourde, violation du RGPD, blocage abusif de la réversibilité.

7. La preuve de la souveraineté annoncée

Le mot « souverain » peut désigner des réalités différentes : localisation européenne, exploitant européen, qualification SecNumCloud, absence de dépendance critique à un acteur extra-européen, gouvernance locale, support local, chiffrement maîtrisé par le client.

L’entreprise doit demander des pièces, pas seulement une brochure : certification, attestation, périmètre exact de la qualification, architecture d’hébergement, liste des sous-traitants, matrice de responsabilités, conditions de support, clauses relatives aux accès par des autorités étrangères, plan de continuité et plan de sortie.

Que faire si le contrat cloud est déjà signé ?

Il est possible d’agir même après signature. La première étape consiste à rassembler le contrat, les conditions générales, l’annexe RGPD, l’annexe de sécurité, les devis, les échanges commerciaux et les tickets d’incident. Il faut ensuite vérifier si les promesses de vente figurent réellement dans les documents opposables.

Si l’entreprise découvre une contradiction entre la promesse commerciale et le contrat, plusieurs actions sont possibles : renégociation, mise en demeure, demande de clarification écrite, audit contractuel, demande d’avenant, activation de la clause de réversibilité ou action judiciaire si le prestataire bloque l’accès aux données.

Dans les dossiers sensibles, l’enjeu est de ne pas attendre la crise. La réversibilité se prépare avant la rupture. Les preuves se constituent avant l’incident. Les accès aux logs se négocient avant le litige.

Cloud souverain, SaaS et PME : les erreurs fréquentes

La première erreur consiste à confondre souveraineté et nationalité du prestataire. Une société française peut utiliser des sous-traitants étrangers. Une solution internationale peut avoir une filiale française mais rester dépendante d’une infrastructure extra-européenne. Ce n’est pas le nom du fournisseur qui règle la question, c’est le périmètre contractuel.

La deuxième erreur consiste à croire que le RGPD suffit. Le RGPD encadre les données personnelles. Il ne protège pas automatiquement les secrets d’affaires, les données industrielles, les fichiers commerciaux, les codes sources, les documents stratégiques ou les éléments financiers non personnels. Ces données doivent être protégées par des clauses de confidentialité, de sécurité, d’accès, de restitution et de responsabilité.

La troisième erreur consiste à signer un contrat SaaS sans annexe de sortie. Pour un logiciel métier, la question la plus importante n’est pas seulement « combien coûte l’abonnement ? » mais « comment récupère-t-on les données si le contrat s’arrête ? »

Paris et Île-de-France : pourquoi l’audit contractuel est souvent urgent

À Paris et en Île-de-France, beaucoup de sociétés utilisent des outils cloud pour la facturation, la relation client, la comptabilité, les ressources humaines, les plateformes de paiement ou les données commerciales. En cas de blocage, le dirigeant doit souvent agir vite : préserver les preuves, sécuriser un export, mettre en demeure le prestataire, préparer un plan de migration et, si nécessaire, saisir la juridiction compétente.

Pour une société commerciale, le litige peut relever du tribunal de commerce ou du tribunal judiciaire selon la qualité des parties, la nature du contrat et les demandes formulées. Cette qualification doit être vérifiée avant toute assignation, surtout lorsque le contrat implique des données personnelles, des prestations informatiques complexes ou un prestataire étranger.

Checklist avant signature ou renégociation

Avant de signer un contrat cloud souverain ou un contrat SaaS critique, l’entreprise doit vérifier au minimum :

• le périmètre exact des données hébergées ;
• la localisation des données principales et des sauvegardes ;
• la liste des sous-traitants et leurs pays d’intervention ;
• les engagements de sécurité et de disponibilité ;
• les délais de notification d’incident ;
• les modalités d’accès aux logs ;
• le format et le délai de restitution des données ;
• le coût de la réversibilité ;
• la destruction des copies après sortie ;
• le plafond de responsabilité ;
• les exclusions au plafond ;
• le droit applicable et la juridiction compétente ;
• les preuves de qualification ou de conformité annoncées.

Si l’une de ces réponses manque, le contrat n’est pas nécessairement mauvais. Mais il n’est pas encore assez clair pour protéger l’entreprise en cas de crise.

Besoin d’un avis rapide sur votre dossier.

Vous devez signer, renégocier ou quitter un contrat cloud, SaaS ou hébergement critique ? Le cabinet peut relire les clauses, identifier les risques et préparer une stratégie de mise en demeure ou de négociation.

Consultation téléphonique en 48 heures avec un avocat du cabinet.

Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact.

Pour les entreprises situées à Paris et en Île-de-France, nous pouvons aussi vérifier la juridiction compétente, les preuves à conserver et les premières mesures à prendre en cas de blocage des données.

Lien utile : Droit des affaires.