Vous avez confié les données de vos clients, de vos salariés ou de vos patients à un éditeur de logiciel en ligne, à une plateforme d’intelligence artificielle ou à un prestataire informatique. Un jour, en relisant le contrat, une annexe ou une note de mise à jour, vous découvrez une clause qui autorise le prestataire à réutiliser ces données pour améliorer ses produits, affiner ses statistiques ou entraîner ses modèles. Parfois, la découverte est plus brutale : un commercial vous explique que vos dossiers servent déjà à nourrir l’outil, ou un concurrent reçoit une proposition calibrée à partir de vos propres informations. La question n’est plus théorique : ces données font vivre votre entreprise, elles engagent votre responsabilité à l’égard des personnes concernées, et vous n’avez jamais accepté qu’elles deviennent la matière première d’un tiers.
Le réflexe doit être ferme et ordonné. Le droit européen ne laisse au prestataire aucun droit propre sur les données qu’il traite pour votre compte : il n’agit que sur vos instructions, et toute réutilisation pour son propre compte change la nature juridique de son intervention. À partir de là, tout se joue dans l’ordre : qualifier le rôle exact du prestataire, vérifier ce que le contrat permet vraiment, figer les preuves, exiger l’arrêt, puis choisir entre la négociation, la résiliation, la plainte devant la Commission nationale de l’informatique et des libertés et l’action en justice. Cet article décrit ce cadre et cette méthode, avec les textes applicables, la doctrine officielle de la Commission et les décisions rendues par les juridictions françaises.
I. Votre prestataire n’a aucun droit propre sur les données que vous lui confiez
Avant d’envoyer la moindre mise en demeure, vous devez identifier les traitements en cause, les parties, leurs rôles et le contrat qui les lie. C’est de cette qualification que dépendent tous vos moyens d’action : un sous-traitant qui reste dans vos instructions ne s’attaque pas comme un prestataire devenu responsable de son propre traitement.
A. Un sous-traitant n’agit que sur vos instructions écrites
Le règlement européen sur la protection des données définit le sous-traitant comme celui qui traite des données pour le compte du responsable du traitement, et il réserve au responsable le pouvoir de déterminer les finalités et les moyens du traitement. Cette répartition n’est pas une simple étiquette commerciale : elle commande tout le régime applicable. En pratique, l’éditeur de votre logiciel de gestion, l’hébergeur de votre plateforme ou le fournisseur de votre outil d’intelligence artificielle est presque toujours votre sous-traitant, tandis que votre entreprise reste responsable du traitement à l’égard de vos clients et de vos salariés.
Le principe est strict. La Commission nationale de l’informatique et des libertés rappelle que le sous-traitant ne peut utiliser les données personnelles auxquelles il a accès que sur instruction documentée du responsable du traitement (lire sa doctrine sur la réutilisation). Le texte européen impose la même règle : le contrat de sous-traitance doit prévoir que le prestataire ne traite les données que sur votre instruction documentée, y compris pour les transferts vers un pays tiers, sauf obligation contraire du droit de l’Union ou d’un État membre portée préalablement à votre connaissance. Le prestataire ne peut donc ni inventer une finalité, ni décider seul d’une utilisation nouvelle, ni se prévaloir d’un usage du secteur.
Cette sujétion se prolonge par plusieurs obligations concrètes que votre contrat doit contenir. Le prestataire doit soumettre les personnes autorisées à traiter les données à la confidentialité, appliquer les mesures de sécurité appropriées, vous aider à répondre aux demandes d’exercice des droits des personnes, vous aider à respecter vos propres obligations de sécurité et d’analyse d’impact, et respecter les conditions posées pour le recours à ses propres sous-traitants. Deux stipulations méritent une attention particulière quand un conflit se profile. D’une part, le prestataire doit mettre à votre disposition toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre vos audits, y compris des inspections, directement ou par un auditeur mandaté. D’autre part, au terme de la prestation, il doit, selon votre choix, supprimer toutes les données ou vous les renvoyer, puis détruire les copies existantes, sauf obligation légale de conservation. Un contrat qui ne contient pas ces clauses est déjà, en soi, un manquement à vos propres obligations de responsable du traitement : le texte européen exige que le traitement par un sous-traitant soit régi par un contrat ou un acte juridique écrit qui définit l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées.
Si votre contrat est silencieux ou flou, il existe un filet de sécurité normalisé. La Commission européenne a adopté le 4 juin 2021 des clauses contractuelles types entre responsable du traitement et sous-traitant, que la Commission nationale présente comme un support utile pour encadrer la sous-traitance. La Commission précise que ces clauses types n’ont pas à être reprises obligatoirement lorsque le contrat conclu contient déjà tous les éléments exigés par l’article 28 du règlement (lire sa page sur les clauses types). Autrement dit, vous pouvez exiger la régularisation du contrat sur ce modèle, ajouter des garanties supplémentaires dans un contrat plus large, mais vous ne pouvez pas accepter des clauses qui contrediraient les protections du règlement. Concrètement, face à un prestataire qui réutilise vos données, la première pièce à produire est donc le contrat de sous-traitance : s’il interdit la réutilisation ou s’il ne la prévoit pas, le prestataire est déjà en difficulté.
B. Entraîner un modèle avec vos données est un traitement nouveau qui exige votre accord écrit et spécifique
La réutilisation des données confiées à un sous-traitant pour entraîner un modèle d’intelligence artificielle, améliorer un produit ou construire des statistiques propres au prestataire n’est pas un simple prolongement de la prestation. C’est un traitement dit ultérieur, c’est-à-dire un traitement qui suit la collecte initiale et poursuit une finalité différente de celle qui justifiait cette collecte. Le changement de finalité fait basculer l’analyse : ce qui était licite pour exécuter votre contrat ne l’est plus automatiquement pour nourrir les modèles du prestataire.
La position officielle de la Commission est nette sur le principe : le prestataire ne peut pas réutiliser ces données pour son propre compte et de sa propre initiative, sauf si un texte européen ou national le lui impose (lire sa doctrine sur la réutilisation). Le prestataire qui passe outre s’expose doublement : il viole ses instructions et il change de qualité juridique. Le règlement prévoit en effet que le sous-traitant qui détermine les finalités et les moyens du traitement, en violation du texte, est considéré comme responsable de ce traitement. La Commission en tire la conséquence directement : le prestataire qui réutilise les données de sa propre initiative serait regardé comme responsable de ce nouveau traitement et exposé à des sanctions pour non-respect de vos instructions (lire sa doctrine sur la réutilisation). Devenu responsable, il doit assumer seul la conformité de ce nouveau traitement : base légale, information des personnes, droits d’opposition et d’effacement, sécurité, durées de conservation.
Il existe une voie régulière, mais elle est étroite et elle vous appartient. Vous pouvez autoriser votre prestataire à réutiliser les données pour son propre compte, à condition de vérifier au préalable que cette finalité nouvelle est compatible avec la finalité initiale. Cette vérification, appelée test de compatibilité, s’impose lorsque le traitement ultérieur ne repose ni sur le consentement des personnes ni sur le droit de l’Union ou d’un État membre. Elle tient compte de cinq éléments : le lien entre les deux finalités, le contexte de la collecte et la relation avec les personnes, la nature des données, notamment s’il s’agit de données sensibles ou relatives à des condamnations, les conséquences possibles pour les personnes, et les garanties prévues comme le chiffrement ou la pseudonymisation. La Commission illustre ce raisonnement par deux exemples : la réutilisation pour améliorer des prestations d’informatique en nuage pourrait être jugée compatible sous réserve de garanties telles que l’anonymisation des données identifiantes non nécessaires, tandis que la réutilisation à des fins de prospection commerciale satisferait difficilement ce test. L’entraînement d’un modèle d’intelligence artificielle se situe entre ces deux pôles et doit être examiné au cas par cas : un modèle générique entraîné sur des données réellement anonymisées ne pose pas le même problème qu’un modèle qui mémorise des données clients identifiantes et peut les restituer.
Trois verrous protègent votre décision. D’abord, le test se fait traitement par traitement : une autorisation préalable et générale couvrant par avance toute réutilisation future n’est donc pas valable (lire sa doctrine sur la réutilisation). Une clause qui autoriserait par avance toute réutilisation future, pour toute finalité d’amélioration ou d’entraînement, ne vaut pas autorisation. Ensuite, si le test n’est pas satisfait, vous devez refuser : la Commission indique que, quand le test de compatibilité n’est pas satisfait, le responsable du traitement doit refuser l’autorisation de réutilisation (lire sa doctrine sur la réutilisation). Enfin, l’autorisation, quand vous choisissez de la donner, doit prendre une forme écrite, y compris électronique (lire sa doctrine sur la réutilisation). Un accord oral en réunion, une case précochée ou une simple absence de réponse ne suffisent pas.
Un argument revient souvent dans les négociations : les données seraient anonymisées ou agrégées, donc hors du champ du règlement. Méfiez-vous des étiquettes. Le droit européen ne s’applique pas aux informations réellement anonymes, c’est-à-dire celles qui ne concernent plus aucune personne identifiable, mais il continue de s’appliquer aux données pseudonymisées qui pourraient être rattachées à une personne par des informations supplémentaires, en tenant compte de l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier quelqu’un, y compris le coût, le temps nécessaire et l’état des technologies. Un jeu de données simplement privé des noms, mais réidentifiable par croisement, reste des données personnelles. Et l’anonymisation alléguée d’un modèle déjà entraîné ne fait pas disparaître le traitement initial illicite : si le prestataire a entraîné son modèle sur vos données sans droit, la violation est constituée au moment de l’entraînement, même s’il prétend ensuite ne plus détenir les données sources.
II. La conduite à tenir quand vous découvrez ou suspectez une réutilisation
Le cadre étant posé, la méthode compte autant que le droit. Les juridictions françaises appliquent au contentieux des données la même exigence que dans tout procès civil : celui qui allègue une violation doit la prouver, chiffrer son préjudice et démontrer le lien entre les deux. Un dossier bien construit dès les premières semaines vaut mieux qu’une plainte précipitée et documentée après coup.
A. Figer les preuves et exiger l’arrêt immédiat
La première semaine est décisive, car les traces sont fragiles : clauses modifiées en ligne, mentions produit réécrites, journaux d’accès purgés, modèles réentraînés. Commencez par photographier l’existant à date certaine. Conservez le contrat de sous-traitance et ses annexes, les conditions générales du prestataire, la documentation commerciale et technique, les pages qui décrivent l’entraînement des modèles ou l’amélioration des services, et toute présentation où le prestataire se vante de la richesse de ses données d’apprentissage. Faites établir ces constats par un commissaire de justice quand l’enjeu le justifie : une page web ou une interface d’administration se conteste facilement sans constat. En parallèle, extrayez votre registre des activités de traitement, qui doit décrire les finalités, les catégories de données et de destinataires : il prouvera que la réutilisation pour l’entraînement n’y figurait pas. Rassemblez aussi vos échanges écrits avec le prestataire, vos demandes d’information restées sans réponse et les témoignages internes sur la découverte.
Adressez ensuite au prestataire une demande écrite précise, distincte de toute négociation commerciale. Demandez-lui quelles données exactes ont été réutilisées, pour quelles finalités, sur quelle base juridique, pendant quelles périodes, avec quelles garanties, si elles ont été communiquées à ses propres sous-traitants ou partenaires, et si elles ont servi à entraîner un modèle encore en exploitation. Exigez la communication des informations nécessaires au contrôle de ses obligations et l’organisation d’un audit, en vous appuyant sur la clause d’audit de votre contrat ou, à défaut, en exigeant sa régularisation. Mettez-le en demeure, par écrit, de cesser immédiatement toute réutilisation non autorisée, de geler les traitements litigieux et de vous confirmer l’arrêt sous un délai bref. Cette mise en demeure n’est pas une formalité : elle fait courir les délais, elle établit la mauvaise foi en cas de poursuite, et elle conditionne la résolution du contrat.
Tirez les conséquences à l’égard des personnes concernées sans attendre l’issue du litige avec le prestataire. En tant que responsable du traitement initial, c’est en principe à vous d’informer les personnes de la transmission de leurs données vers un nouveau responsable pour une nouvelle finalité, en indiquant notamment les possibilités d’opposition. Si le prestataire détient déjà leurs coordonnées, vous pouvez lui déléguer cette information, mais la responsabilité de principe reste la vôtre. Selon les cas, vous devrez aussi traiter les demandes d’accès, d’opposition, de limitation ou d’effacement que les personnes vous adressent, et examiner si l’incident caractérise une violation de données à notifier et à documenter. Devant le juge, vous pourrez solliciter toute mesure « propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée », y compris en référé en cas d’urgence. Ne confondez pas les régimes : vos obligations contractuelles envers le prestataire, vos obligations de protection des données envers les personnes et les règles de cybersécurité qui vous sont effectivement applicables obéissent à des textes différents, même si les faits se recoupent.
Une décision récente illustre le prix de l’impréparation probatoire. Le 30 janvier 2025, le tribunal judiciaire de Paris a rejeté l’ensemble des demandes d’un salarié qui accusait un prestataire d’enquête d’avoir traité ses données au-delà de sa mission et réclamait notamment un million et demi d’euros de dommages et intérêts. Le tribunal a retenu qu’il n’était pas établi que le prestataire aurait outrepassé l’autorisation accordée, que les documents contractuels encadraient la mission en définissant finalités et moyens, et que ni le préjudice certain ni le lien de causalité n’étaient démontrés. Le demandeur a été condamné aux dépens et à verser 9 000 euros et 2 000 euros au titre des frais de justice. La leçon vaut pour notre sujet : contester les rôles ne suffit pas, il faut produire le contrat, démontrer le dépassement précis des instructions et prouver un dommage concret. Votre dossier doit donc comporter les trois étages : la pièce qui interdit, la preuve du dépassement, la preuve du dommage.
B. Résilier, récupérer vos données, saisir la Commission et le juge
Si le prestataire maintient la réutilisation ou refuse de se mettre en règle, la sanction contractuelle entre en jeu. Le code civil dispose que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » Le code civil rappelle l’éventail des sanctions de l’inexécution : le créancier peut « provoquer la résolution du contrat » et « des dommages et intérêts peuvent toujours s’y ajouter ». Sur le terrain contractuel, « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution », sauf s’il établit que l’exécution a été empêchée par la force majeure. Vérifiez d’abord votre clause résolutoire : beaucoup de contrats informatiques visent expressément la violation des obligations de protection des données. À défaut, une notification de résolution peut être envisagée si l’inexécution est suffisamment grave, ce qu’une réutilisation massive et délibérée de vos données pour entraîner des modèles caractérise généralement, mais faites-la précéder d’une mise en demeure et réservez la voie judiciaire en cas de doute sur la gravité ou sur les conséquences financières. La notification unilatérale obéit à une condition stricte : « Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. » La résolution n’éteint pas tout : exigez simultanément la restitution de vos données dans un format exploitable, puis la suppression de ses copies, conformément à la clause de sort imposée par le règlement. Organisez la migration avant de couper les accès, sous peine de vous mettre vous-même en difficulté opérationnelle. Pour la méthode de sortie, reportez-vous à notre analyse dédiée : sortir d’un contrat SaaS ou cloud en récupérant ses données et en les faisant détruire.
La voie administrative complète utilement la pression contractuelle. Toute personne concernée peut adresser une réclamation à l’autorité de contrôle, en particulier dans l’État de sa résidence, de son lieu de travail ou du lieu de la violation présumée, et l’autorité informe l’auteur de l’avancement et de l’issue. En tant qu’entreprise cliente, vous pouvez également signaler les pratiques du prestataire, documenter votre propre diligence et démontrer que vous avez exigé l’arrêt. L’arsenal de la Commission est dissuasif : outre les injonctions de mise en conformité, les violations des principes de base du traitement, des conditions de licéité et des droits des personnes exposent à des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La gravité, la durée, le caractère délibéré, les catégories de données, le nombre de personnes affectées et la coopération avec l’autorité entrent dans la mesure de la sanction. Un prestataire qui a entraîné ses modèles sur les données de dizaines de clients, sans autorisation écrite et malgré une mise en demeure, cumule les aggravants.
La réparation de votre propre préjudice relève du juge. Chaque personne concernée dispose d’un recours juridictionnel effectif contre le responsable ou le sous-traitant, porté devant les juridictions de l’État membre d’établissement du défendeur ou de sa propre résidence habituelle. Le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’en obtenir réparation auprès du responsable ou du sous-traitant, avec une responsabilité de l’ensemble du dommage pour chacun des coresponsables afin de garantir une réparation effective. Mais ce droit n’est pas automatique, et la Cour de cassation vient de le rappeler avec force. Le 24 juin 2026, la chambre sociale a cassé un arrêt qui avait déduit un préjudice nécessaire de la seule violation du règlement : la simple violation ne suffit pas à ouvrir droit à réparation, même si aucun seuil de gravité ne peut être exigé pour le dommage moral, et le demandeur doit établir à la fois la violation et le dommage matériel ou moral qu’elle lui a causé. La Cour vise les arrêts de la Cour de justice du 4 mai 2023 et du 25 janvier 2024, qui assignent à la réparation une fonction compensatoire et non punitive. Pour votre entreprise, cela signifie chiffrer : perte de chiffre d’affaires liée à l’avantage concurrentiel capté, coût de la migration et de la remédiation, atteinte à la réputation auprès de vos propres clients, temps interne mobilisé, et, pour les personnes concernées qui agiraient avec vous, préjudice moral documenté.
Les tribunaux indemnisent lorsque le dossier est solide et restent mesurés quand il ne l’est pas. Le 5 août 2025, le tribunal judiciaire d’Aix-en-Provence a condamné un syndic qui avait diffusé des données personnelles au-delà de la finalité initiale à verser 1 000 euros à chacun des deux demandeurs en réparation de leur préjudice moral, ordonné l’effacement de leurs données de santé et des informations excédentaires sous deux mois avec une astreinte provisoire de 50 euros par jour pendant trois mois, et imposé la notification de cet effacement aux copropriétaires destinataires. La décision applique exactement la grammaire de notre sujet : finalités déterminées, minimisation, effacement et réparation mesurée au préjudice prouvé. À l’inverse, les demandes par millions sans preuve du dépassement ni du lien causal sont rejetées, comme l’a montré le jugement parisien de janvier 2025. Entre ces deux pôles, votre action doit viser juste : cessation, effacement, restitution et indemnisation du préjudice réellement subi, La négligence suffit à engager la responsabilité : « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. ». Et sans oublier le fondement du droit commun, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. »
Conclusion
Le prestataire qui entraîne ses modèles sur vos données sans votre autorisation écrite et spécifique ne commet pas une simple maladresse commerciale : il sort de son rôle de sous-traitant, crée un traitement dont il devient responsable et vous expose à l’égard de vos propres clients et salariés. Votre réponse doit suivre l’ordre du droit : vérifier le contrat et les instructions documentées, refuser ou conditionner toute réutilisation après un véritable test de compatibilité, figer les preuves, exiger par écrit l’arrêt et l’audit, puis résilier, récupérer vos données, saisir la Commission et demander au juge la cessation, l’effacement et la réparation du préjudice prouvé. Les entreprises qui documentent tôt obtiennent l’arrêt des pratiques et des indemnisations ; celles qui se contentent d’affirmer perdent, même avec un bon dossier sur le fond. Devant une clause d’amélioration des modèles ou une réutilisation découverte, faites vérifier le contrat avant de signer ou dès le premier doute : c’est à ce moment-là que tout se gagne.
Besoin d’un avis rapide sur votre dossier
Vous suspectez que votre prestataire SaaS ou votre outil d’intelligence artificielle réutilise vos données pour entraîner ses modèles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre contrat de sous-traitance, vos preuves et vos recours en numérique et données personnelles lors d’une consultation téléphonique en 48 heures. Appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.