Votre entreprise a investi 100 000, 200 000 euros, parfois davantage, dans un progiciel de paie, un ERP ou une gestion électronique de documents. Dix-huit mois plus tard, les bulletins sortent faux, les temps de réponse se comptent en minutes, la recette n’a jamais été prononcée et l’éditeur vous adresse ses factures de maintenance comme si tout fonctionnait. Quand vous protestez, il répond que vos équipes n’ont pas suivi la formation, que le cahier des charges était flou ou que le logiciel est standard et qu’il fallait l’accepter tel quel.
Ce scénario alimente une part massive du contentieux informatique devant les chambres spécialisées des cours d’appel. La bonne nouvelle : le droit des contrats et la jurisprudence récente donnent au client des armes concrètes, à condition de respecter un ordre précis — constater l’échec par écrit, suspendre les paiements sans se mettre en tort, puis résoudre le contrat et chiffrer chaque préjudice. La mauvaise nouvelle : chaque étape improvisée se retourne contre celui qui l’a tentée. Une résolution prononcée trop tôt, une suspension de paiement disproportionnée ou une collaboration défaillante de vos propres équipes peuvent faire échec à une demande pourtant fondée.
Cet article décrit la méthode complète, appuyée sur cinq décisions rendues entre 2022 et 2026 et lues intégralement, ainsi que sur les textes applicables dans leur version en vigueur : refuser la recette à bon droit, suspendre le paiement, résoudre le contrat par la voie la plus sûre, traiter le volet données personnelles du projet et obtenir le remboursement puis l’indemnisation.
I. Faire constater l’échec et geler les paiements sans se mettre en tort
A. Recette, réserves et mise en demeure : constituer le dossier qui fait gagner
La recette est l’acte par lequel le client constate que le système livré correspond à ce qui a été commandé. Tant qu’elle n’est pas prononcée sans réserves, le prestataire reste tenu de mettre le système en conformité, et le client qui paie Rubis sur l’ongle pendant que rien ne fonctionne affaiblit sa position future. Le premier réflexe consiste donc à écrire : réserver par écrit chaque livraison, refuser la réception chaque fois que les fonctions promises manquent, et dater chaque dysfonctionnement.
L’affaire jugée par le tribunal des activités économiques de Paris le 2 septembre 2026 montre l’enchaînement qui protège le client comme celui qui l’expose (décision TAE Paris, ch. 1-3, 2 septembre 2026, RG 2025039492). La société cliente avait suivi un parcours en apparence exemplaire : ateliers de cadrage, élaboration d’un cahier des charges des spécifications fonctionnelles, signature d’un procès-verbal de recette fonctionnelle, puis démarrage de l’installation d’une solution de gestion électronique de documents. Elle avait même signé un contrat additionnel de 2 280 euros TTC pour la migration de la solution vers son propre environnement cloud, puis un procès-verbal de livraison confirmant la conformité technique de la solution. Pourtant, des problèmes majeurs persistaient : alertes en décembre 2023, état détaillé des dysfonctionnements adressé en janvier 2024, puis confirmation de la résolution unilatérale du contrat en mars 2024. La leçon est double. D’une part, signer un procès-verbal de livraison ou de recette intermédiaire n’interdit pas de dénoncer ensuite des non-conformités, dès lors que les dysfonctionnements sont documentés et persistants. D’autre part, chaque signature intermédiaire sera brandie par le prestataire : il faut donc assortir chaque procès-verbal de réserves écrites précises, fonction par fonction, en renvoyant aux rubriques du cahier des charges.
Le dossier de consultation initial joue ici un rôle central. Dans l’affaire opposant la société Acta à son intégrateur, la cour d’appel de Paris relève que le dossier de consultation détaillait les attentes du client, notamment l’amélioration des processus RH et de l’outil de paie, et que l’intégrateur disposait de tous les éléments sur l’environnement informatique de sa cliente (arrêt CA Paris, pôle 5, ch. 11, 3 juin 2022, RG 20/09351). Conservez donc le dossier de consultation, l’offre du prestataire, les comptes rendus d’ateliers et toute la correspondance sur les spécifications : c’est à cette aune que le juge mesurera la conformité promise.
Mesurez ensuite l’échec de manière objective. Dans cette même affaire, les juges retiennent qu’il est établi que les temps de réponse normalement attendus d’un tel logiciel de gestion sont compris entre 1 et 10 secondes, et constatent que les lenteurs n’ont jamais été durablement résolues. Un constat d’huissier de justice, des captures horodatées, des journaux d’incidents et des mesures chiffrées valent mieux que des plaintes générales sur un logiciel « inutilisable ». Faites établir ces mesures par un tiers chaque fois que possible, car le prestataire contestera systématiquement vos constats internes.
Adressez enfin une mise en demeure en bonne et due forme avant toute rupture. Aux termes de l’article 1226 du Code civil, sauf urgence, le créancier doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable, et la mise en demeure doit mentionner expressément qu’à défaut le créancier sera en droit de résoudre le contrat. Une lettre qui se borne à « faire part de son mécontentement » ne produit aucun des effets de la mise en demeure. Listez les manquements un par un, fixez un délai raisonnable de correction — trente jours pour un progiciel complexe constitue un repère frequent, à adapter aux circonstances — et annoncez expressément la résolution envisagée. Dans l’affaire Acta, la cliente avait mis en demeure son intégrateur de remédier aux lenteurs et de rembourser les surcoûts avant de notifier la résolution : cette gradation a conforté la validation judiciaire de la rupture.
Deux pièges restent à éviter à ce stade. Le premier consiste à rompre brutalement pendant la période de rodage : l’intégrateur de la société Acta soutenait que la cliente avait manqué à son obligation de collaboration en prononçant une rupture brutale pendant cette phase, et même si la cour a validé la résolution, ce moyen illustre le risque. Laissez au prestataire une chance réelle de corriger, documentez son inaction, puis rompez. Le second piège consiste à négliger le devoir d’information du prestataire. Aux termes du premier alinéa de l’article 1112-1 du Code civil, « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant. » L’éditeur qui sait que son progiciel standard ne couvrira jamais votre besoin spécifique, ou qui tait une limitation structurante de sa solution, manque à ce devoir : prouvez qu’il détenait l’information et qu’elle était déterminante, par ses propres écrits commerciaux et techniques.
Sur le fond, la jurisprudence parisienne est exigeante envers les prestataires. Dans un arrêt avant-dire-droit du 28 octobre 2022, la cour d’appel de Paris juge qu’une clause stipulant « une obligation de moyens avec engagement de résultat » frise le non-sens juridique et « ne peut contrevenir à l’obligation de résultat à laquelle un prestataire numérique est tenu en matière de conseil sur l’expression des besoins du maître d’ouvrage » (arrêt CA Paris, pôle 5, ch. 11, 28 octobre 2022, RG 21/03875). Autrement dit, le prestataire ne peut pas se réfugier derrière la technicité du projet ou le caractère standard de son progiciel pour échapper à son devoir de conseil sur vos besoins : c’est à lui, professionnel, de vous aider à les exprimer puis de vous proposer une solution adaptée. Complétez ce cadre par l’article 1194 du Code civil : « Les contrats obligent non seulement à ce qui y est exprimé, mais encore à toutes les suites que leur donnent l’équité, l’usage ou la loi. » Les usages du secteur — recette contradictoire, période de rodage, garantie de conformité — font ainsi partie du contrat même quand le bon de commande les tait.
B. Suspendre le paiement et protéger les données : manier l’exception d’inexécution
Payer l’intégralité des factures pendant que le système est à l’arrêt, c’est financer son adversaire et laisser croire au juge que la situation restait acceptable. Le Code civil autorise une autre voie. Aux termes de l’article 1217 du Code civil, « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » La suspension du paiement est donc un droit, pas une provocation — mais un droit qui s’exerce avec méthode.
Trois conditions entourent la suspension. D’abord, l’inexécution du prestataire doit être suffisamment grave : des bugs mineurs corrigés dans les délais contractuels ne justifient pas le blocage de toutes les factures. Ensuite, la suspension doit rester proportionnée : bloquez les échéances liées aux prestations non fournies — licences non conformes, maintenance d’un système qui ne fonctionne pas — plutôt que l’ensemble des relations commerciales. Enfin, notifiez la suspension par écrit en la motivant manquement par manquement, en renvoyant à la mise en demeure restée sans effet. Dans l’affaire de gestion électronique de documents, la cliente avait cessé tout paiement et bloqué le règlement des factures émises : l’éditeur lui réclamait 40 673 euros, et elle demandait reconventionnellement que cette demande soit rejetée parce que la résiliation était justifiée par les manquements du prestataire. Le tribunal a examiné la justification avant de trancher : suspendre sans dossier expose à une condamnation au paiement avec intérêts, suspendre avec un dossier précis transforme les factures impayées en créance de restitution.
Distinguez les natures de sommes. Les redevances de licence d’un progiciel inutilisable, les jours d’assistance jamais consommés et la maintenance d’un système à l’arrêt se suspendent naturellement. En revanche, les prestations effectivement fournies et utiles — formation dispensée, reprise de données exploitée, modules qui fonctionnent — restent dues, et le juge tiendra compte de cette utilité partielle au moment des restitutions. C’est le sens de la distinction entre résolution et résiliation : lorsque les prestations échangées ont trouvé leur utilité au fur et à mesure de l’exécution réciproque du contrat, il n’y a pas lieu à restitution pour la période antérieure, et la résolution est alors qualifiée de résiliation. Ne donnez pas au prestataire l’argument d’une suspension aveugle qui discréditerait l’ensemble de votre position.
Le volet données personnelles et continuité d’activité se prépare en même temps que le bras de fer financier. Avant de suspendre les paiements, exportez et sauvegardez vos données dans un format exploitable, car un éditeur sous pression coupe parfois les accès. Vérifiez le contrat de sous-traitance : aux termes du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, article 28, paragraphe 1, « Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. » Le traitement par un sous-traitant doit être régi par un contrat écrit qui définit l’objet, la durée, la nature, la finalité, le type de données et les catégories de personnes concernées, et le sous-traitant ne peut recruter un autre sous-traitant sans votre autorisation écrite. Si votre intégrateur héberge vos données de paie ou de gestion sans contrat de sous-traitance conforme, ce manquement nourrit à la fois votre dossier de résolution et, le cas échéant, une plainte devant la CNIL. La page de la CNIL consacrée au travail avec un sous-traitant détaille ces exigences : il s’agit d’un contenu pédagogique de l’autorité, utile pour cadrer vos demandes, à distinguer de ses décisions de sanction.
Sur la sécurité, le même règlement impose au responsable du traitement comme au sous-traitant de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins: a) la pseudonymisation et le chiffrement des données à caractère personnel » (article 32 du RGPD). Un prestataire qui laisse vos données de production sans chiffrement, sans sauvegarde ou sans plan de rétablissement manque à cette exigence, et toute coupure d’accès qu’il provoquerait pour faire pression aggraverait sa position. Anticipez aussi la sortie : chiffrez les modalités de réversibilité et de portage de vos données vers le futur prestataire. Notre analyse dédiée explique comment imposer le portage de vos données vers le nouveau prestataire et refuser les frais de sortie abusifs, dans le cadre du RGPD et du règlement (UE) 2023/2854 dit Data Act : lisez-la avant d’envoyer votre mise en demeure, car les demandes de restitution des données doivent y figurer dès ce stade.
II. Sortir du contrat et obtenir une réparation intégrale
A. Résolution, résiliation ou nullité : choisir la voie qui tient devant le juge
Une fois l’échec constaté et les paiements gelés à hauteur des manquements, vient le choix de la voie de sortie. Le Code civil en propose trois, et ce choix conditionne ce que vous récupérerez. Aux termes de l’article 1224 du Code civil, « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » La clause résolutoire, la notification unilatérale et la demande en justice ne jouent pas le même rôle : la première automatise la sortie quand elle est bien rédigée, la deuxième va vite mais se fait à vos risques, la troisième prend du temps mais purge le débat.
Commencez par relire la clause résolutoire de votre contrat. Une clause bien rédigée vise les manquements précis — non-respect des niveaux de service, échec de la recette à une date butoir, indisponibilité prolongée — et organise la procédure : mise en demeure, délai de remédiation, notification de la résolution. Si votre contrat en contient une qui couvre la situation, appliquez-la à la lettre : chaque formalité oubliée sera exploitée. Si la clause est muette ou absente, le droit commun prend le relais avec la résolution unilatérale par notification.
La résolution unilatérale obéit à une procédure stricte. Aux termes de l’article 1226 du Code civil, « Le créancier peut, à ses risques et périls, résoudre le contrat par voie de notification. » Encore faut-il avoir mis en demeure le débiteur de satisfaire à son engagement dans un délai raisonnable, sauf urgence ; lorsque l’inexécution persiste, il notifie au débiteur la résolution et les raisons qui la motivent (article 1226 du Code civil). Retenez les trois mots qui font gagner ou perdre : risques et périls. « Le débiteur peut à tout moment saisir le juge pour contester la résolution. Le créancier doit alors prouver la gravité de l’inexécution. » (article 1226 du Code civil). Votre notification doit donc contenir l’exposé complet des manquements, leur qualification et la démonstration de leur gravité : c’est ce document que le juge lira en premier. Dans l’affaire de gestion électronique de documents, la cliente avait confirmé par courrier recommandé la résolution unilatérale en invoquant les manquements reprochés et en réitérant sa demande de remboursement, sans jamais recevoir de réponse : cette notification motivée, adossée à des alertes antérieures documentées, constitue le modèle à suivre.
Deux exemples récents montrent que cette stratégie aboutit quand le dossier est solide. La société Acta avait notifié la résolution de ses contrats à son intégrateur par lettre du 12 avril 2018, en réclamant le remboursement des sommes versées — 137 789,14 euros — outre des surcoûts évalués à 80 000 euros. La cour d’appel de Paris a confirmé le jugement qui validait cette résolution : « La société OGI n’a donc pas satisfait à son obligation de résultat de délivrance d’un logiciel conforme et ce alors même qu’elle avait en mains tous les éléments sur l’environnement informatique de sa cliente et les attentes de celle-ci », ajoutant qu’elle n’avait pas non plus « pleinement rempli son obligation de conseil » (arrêt CA Paris, pôle 5, ch. 11, 3 juin 2022, RG 20/09351). La cour a confirmé la résolution en toutes ses dispositions et condamné l’intégrateur aux dépens ainsi qu’à 4 000 euros au profit d’Acta et 1 500 euros au profit de l’éditeur au titre des frais de justice. Remarquez la construction du raisonnement : délivrance non conforme prouvée par des mesures objectives, conseil défaillant établi par la connaissance que le prestataire avait des besoins, gravité suffisante caractérisée par l’inutilisabilité durable de la paie.
L’arrêt rendu par la cour d’appel de Lyon le 30 janvier 2025 va plus loin encore et mérite une lecture attentive (arrêt CA Lyon, 3e ch. A, 30 janvier 2025, RG 21/00620). Le contrat litigieux avait été signé le 3 juillet 2012 entre un industriel et un éditeur de progiciels de gestion ; après une expertise confiée à un technicien qui avait déposé son rapport en novembre 2018, le tribunal de commerce de Lyon avait, par jugement du 9 décembre 2020, estimé que le client ne rapportait pas la preuve d’une faute suffisamment grave et refusé la résolution. La cour infirme : elle « Prononce, aux torts exclusifs de la société Cegid, la résolution du contrat signé le 3 juillet 2012 », condamne l’éditeur à rembourser 227 914,91 euros au titre des prestations payées et à verser 13 394,74 euros de dommages-intérêts, outre les dépens incluant les frais d’expertise. L’éditeur soutenait qu’en matière de progiciels standards, il n’était tenu que d’une obligation de moyens, tant pour le conseil que pour la délivrance, et reprochait au client d’avoir manqué à son obligation de collaboration en définissant mal ses besoins. La cour écarte ce moyen au vu du dossier : quand le prestataire a participé à l’expression des besoins et disposait des informations nécessaires, il ne peut pas rejeter l’échec sur le seul client. Moralité : l’obligation de collaboration du client existe bel et bien — exprimez vos besoins par écrit, participez aux ateliers, testez les livraisons intermédiaires — mais elle ne constitue pas un bouclier absolu pour un prestataire qui a failli à son propre devoir de conseil.
Car l’issue inverse existe, et une décision de la cour d’appel de Versailles du 24 octobre 2024 le rappelle utilement (arrêt CA Versailles, ch. com. 3-1, 24 octobre 2024, RG 22/06679). Saisie d’une demande de résolution judiciaire formée par un client contre son éditeur, avec à la clé une demande de 444 482 euros de dommages-intérêts, la cour confirme le jugement du tribunal de commerce de Nanterre qui avait débouté le client de sa demande de résolution et l’avait condamné à payer les sommes dues à l’éditeur. Le client ne justifiait ni du principe ni du quantum de son préjudice, et l’éditeur opposait une clause limitative de responsabilité plafonnant toute indemnisation à 17 175,66 euros. Trois enseignements pour votre dossier : prouvez la gravité de l’inexécution par des pièces objectives et non par des affirmations, chiffrez chaque poste de préjudice avec des factures et des relevés et non avec des estimations globales, et relisez la clause limitative de responsabilité avant d’agir — son plafond conditionne l’intérêt économique du procès et doit être attaqué frontalement s’il vide la garantie de sa substance.
Reste une quatrième voie, plus audacieuse : la nullité du contrat pour vice du consentement lorsque la non-conformité aux règles de protection des données était cachée. Un commentaire publié sur un site juridique généraliste rapporte une affaire dans laquelle des juges ont annulé un contrat parce que la non-conformité du progiciel au RGPD, connue du prestataire, constituait une erreur sur les qualités essentielles de la prestation (le commentaire d’un auteur sur le site Village de la Justice consacré à la non-conformité au RGPD causée par le prestataire). Il s’agit du commentaire d’un auteur sur une décision, pas d’une source de droit : ne le présentez jamais au juge comme une jurisprudence établie, mais utilisez le raisonnement quand les faits s’y prêtent — progiciel vendu comme conforme au RGPD alors que l’architecture menait à des transferts non encadrés ou à une absence de journalisation — en le combinant avec le devoir d’information de l’article 1112-1. La nullité présente un avantage tactique : elle anéantit le contrat rétroactivement et prive d’effet la clause limitative de responsabilité qui y figure, là où la résolution laisse parfois subsister certaines clauses.
Quelle que soit la voie retenue, anticipez le sort des sommes déjà versées. La résolution anéantit le contrat et ouvre droit à restitution, mais avec une nuance que l’arrêt Acta rappelle : « il n’y a pas lieu à restitution pour la période antérieure à la dernière prestation n’ayant pas reçu sa contrepartie ; dans ce cas, la résolution est qualifiée de résiliation » (arrêt CA Paris, pôle 5, ch. 11, 3 juin 2022, RG 20/09351). Les prestations utiles déjà consommées — modules utilisés en production pendant des mois, formation exploitée — restent acquises au prestataire, et seule la partie sans contrepartie donne lieu à restitution. Pour les prestations de services, l’article 1352-8 du Code civil précise que « La restitution d’une prestation de service a lieu en valeur », appréciée à la date de fourniture. Listez donc, ligne par ligne, ce qui a été utile et ce qui ne l’a jamais été : cette ventilation honnête renforce votre crédibilité et maximise la restitution sur la partie inexécutée.
B. Chiffrer les préjudices et traiter le volet données pour obtenir réparation
Obtenir la sortie ne suffit pas : il faut être payé de son préjudice, et le juge n’accorde que ce qui est prouvé ligne à ligne. Le fondement se trouve à l’article 1231-1 du Code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Retard et inexécution ouvrent tous deux droit à réparation, et la force majeure ne se présume pas : au prestataire de prouver l’événement irrésistible, ce qu’un planning intenable qu’il a lui-même accepté ne constitue jamais.
Construisez le chiffrage en cinq postes. Premier poste : le remboursement des sommes versées pour rien — licences, redevances, jours d’intégration. Les montants accordés par les juges donnent l’échelle : 137 789,14 euros réclamés par Acta au titre des sommes versées, 227 914,91 euros remboursés au client dans l’affaire lyonnaise, 16 502,36 euros demandés au titre des restitutions dans l’affaire de gestion électronique de documents. Joignez chaque facture, chaque preuve de paiement et la démonstration que la contrepartie n’a jamais été fournie ou n’a jamais été utilisable. Deuxième poste : les surcoûts supportés pour pallier la défaillance — heures supplémentaires des équipes internes valorisées au coût réel, intérim, prestataire de secours, double saisie manuelle pendant des mois. Acta évaluait ces surcoûts à 80 000 euros : faites viser ce chiffrage par votre expert-comptable et conservez les feuilles de temps. Troisième poste : les préjudices d’exploitation — paie en retard et redressements consécutifs, commandes non traitées, pénalités infligées par vos propres clients, perte d’activité documentée par la comparaison des exercices. Les 33 957,11 euros de dommages-intérêts demandés dans l’affaire de gestion électronique de documents et les 13 394,74 euros accordés à Lyon illustrent que ces sommes s’obtiennent avec des pièces, jamais avec des formules. Quatrième poste : le préjudice moral de la personne morale — désorganisation durable, atteinte à l’image auprès des salariés ou des clients — que les tribunaux indemnisent avec parcimonie mais réellement quand la désorganisation est établie. Cinquième poste : les frais irrépétibles et les dépens — honoraires d’avocat partiellement compensés au titre de l’article 700 du Code de procédure civile, frais d’expertise judiciaire, constats : les 4 000 et 1 500 euros alloués dans l’affaire Acta et la mise des frais d’expertise à la charge du prestataire condamné à Lyon montrent que le gagnant ne paie pas seul son procès.
Sécurisez ce chiffrage contre les deux défenses classiques. Face à la clause limitative de responsabilité — dans l’affaire versaillaise, un plafond de 17 175,66 euros opposé à une demande de 444 482 euros — vérifiez si le plafond est remplissable : une clause qui vide l’obligation essentielle de sa substance ou qui crée un déséquilibre significatif s’attaque frontalement, et la faute lourde ou dolosive du prestataire l’écarte. Dans l’affaire de gestion électronique de documents, la cliente invoquait le caractère abusif d’une clause créant un déséquilibre significatif : cet argument se plaide avec le texte de la clause, la qualité des parties et l’économie du contrat, jamais dans l’abstrait. Face au reproche de collaboration défaillante, produisez le calendrier des ateliers auxquels vous avez participé, vos expressions de besoins écrites, vos procès-verbaux de tests et vos signalements d’anomalies : un client qui a joué le jeu obtient la résolution aux torts exclusifs du prestataire, comme à Lyon, tandis qu’un client passif fournit au juge le partage de responsabilité qui réduit l’indemnité. Un guide pratique consacré aux contrats d’intégration logicielle recense les neuf clauses critiques à sécuriser identifiées par un guide pratique de confrères (périmètre fonctionnel, qualification des obligations, recette et procès-verbal, niveaux de service, réversibilité, article 28 du RGPD) : relisez votre contrat à cette grille avant d’assigner, car chaque clause pèsera sur l’issue.
Traitez enfin le volet données personnelles du projet, qui conditionne à la fois votre conformité et vos recours. Si le progiciel défaillant a exposé des données de salariés, de clients ou de prospects — paie en clair, base clients accessible sans contrôle, journaux absents — qualifiez l’incident : s’agit-il d’une violation de données personnelles au sens du RGPD, c’est-à-dire d’un incident portant atteinte à la confidentialité, à l’intégrité ou à la disponibilité des données ? En cas de violation présentant un risque pour les droits des personnes, le responsable du traitement doit notifier l’autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » (article 33, paragraphe 1 du RGPD), et le sous-traitant doit lui notifier toute violation « dans les meilleurs délais après en avoir pris connaissance » (article 33, paragraphe 2 du RGPD). Mettez votre prestataire en demeure de vous notifier tout incident sans délai, documentez ses manquements à la sécurité — absence de chiffrement, de sauvegarde, de traçabilité — et préservez vos propres obligations : registre des traitements, information des personnes concernées quand le risque est élevé, et, côté entreprise responsable du traitement, notification à la CNIL dans le délai. Notre dossier consacré à la fuite de données et à la notification à la CNIL en 72 heures détaille cette procédure et les recours contre le prestataire à l’origine de la fuite.
Ce volet ouvre un second front indemnitaire. Aux termes de l’article 82 du RGPD, « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (article 82, paragraphe 1 du RGPD). Si vos salariés ou vos clients subissent un préjudice lié à l’insécurité du progiciel — usurpation d’identité après extraction de la base, paie divulguée — ils disposeront d’une action propre, et votre entreprise, mise en cause comme responsable du traitement, exercera son recours contre le prestataire dont le manquement est à l’origine de la violation. Faites constater l’insécurité par un prestataire indépendant, conservez les journaux et exigez contractuellement l’auditabilité : sans preuve technique, l’action en responsabilité liée aux données échoue là où l’action contractuelle pour non-conformité fonctionnelle réussit.
Reste la question du temps. Aux termes de l’article 2224 du Code civil, « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » La discussion sur le point de départ de ce délai occupait déjà les débats dans l’affaire de gestion électronique de documents. Ne laissez donc pas le calendrier du prestataire — promesses de correctifs, avenants successifs, migrations payantes — consumer votre délai : chaque avenant signé sans réserves peut être présenté comme une acceptation, et chaque année perdue complique la preuve. Une expertise judiciaire demandée tôt fige les désordres, évalue la conformité et chiffre les surcoûts : dans l’affaire lyonnaise comme dans l’affaire parisienne de 2022, l’expertise a structuré tout le procès. Le coût de l’expert, avancé par le demandeur, suit en principe le sort des dépens et retombe sur le perdant.
Conclusion
Un progiciel qui ne fonctionne pas ne se subit pas : il se traite comme un dossier contentieux dès les premières semaines. Écrivez tout — réserves de recette, mesures objectives des dysfonctionnements, mises en demeure avec délai raisonnable et mention expresse de la résolution. Suspendez les paiements à hauteur des manquements, ni plus ni moins, en motivant chaque blocage par écrit. Choisissez la voie de sortie adaptée — clause résolutoire si elle existe, notification unilatérale motivée si l’inexécution est grave et prouvée, demande en justice avec expertise si le débat technique l’exige — puis chiffrez chaque poste de préjudice avec des factures et des constats. Traitez en parallèle le volet données : contrat de sous-traitance, sécurité, notification des violations et recours contre le prestataire. Les décisions rendues entre 2022 et 2026 le montrent : le client qui documente obtient la résolution aux torts du prestataire, le remboursement des sommes versées pour rien et des dommages-intérêts, tandis que le client approximatif — gravité non prouvée, préjudice non chiffré, clause limitative ignorée — perd même un procès qu’il aurait dû gagner. Ne laissez ni les avenants successifs ni les promesses de correctifs consumer votre délai de cinq ans : faites figer les désordres par un constat et une expertise pendant que les preuves sont fraîches.
Besoin d’un avis rapide sur votre dossier
Votre progiciel, votre ERP ou votre solution cloud ne fonctionne pas et votre prestataire vous réclame ses factures ? Parlez de votre dossier en numérique et données personnelles avec Maître Reda KOHEN, avocat au Barreau de Paris : appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact pour une première analyse de vos pièces et de vos délais.