Votre contrat SaaS est résilié et, du jour au lendemain, l’accès est coupé : devis, factures, dossiers clients, paie, messagerie archivistique, historiques de production, tout reste chez le prestataire qui ne répond plus ou qui exige un solde avant toute restitution. Pour une entreprise, la situation est critique : sans ses données, elle ne facture plus, ne paie plus et ne peut pas migrer vers un nouvel outil. Pour une association ou un professionnel libéral, le blocage est identique, avec des données de tiers dont il reste responsable.
La première question est donc pratique : comment récupérer vite des données lisibles et exploitables, sans payer deux fois et sans perdre l’historique. La seconde est juridique : qui doit quoi à la fin du contrat, le client ou le prestataire, et devant qui agir quand la restitution est refusée. La réponse se joue sur trois plans qui se cumulent : le contrat signé et sa clause de réversibilité, le règlement général sur la protection des données quand des données personnelles sont en cause, et le nouveau cadre européen du changement de fournisseur de services de traitement de données, le Data Act, applicable depuis le 12 septembre 2025 pour l’essentiel de ses dispositions relatives au changement de fournisseur.
Cet article décrit la méthode complète : identifier le fondement exact de la restitution, mettre en demeure utilement, mobiliser la portabilité, saisir la CNIL et le juge, et chiffrer le préjudice. Il s’appuie sur des textes vérifiés dans leur version applicable et sur une jurisprudence récente des cours d’appel qui tranche des cas concrets de données retenues ou réutilisées après la fin du contrat. Chaque situation dépend toutefois de son contrat : une clause qui prévoit la suppression immédiate sans copie possible ne se traite pas comme une clause qui organise une réversibilité de trois mois.
I. Sur quel fondement exiger la restitution de vos données après résiliation ?
A. Le contrat et la clause de réversibilité priment : que vérifier ligne par ligne ?
Le point de départ est le contrat, car les conventions tiennent lieu de loi entre les parties. L’article 1103 du Code civil dispose que « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » Le texte est disponible sur Légifrance. Avant toute démarche, il faut donc relire le contrat principal, ses annexes techniques, le contrat de niveau de service et les conditions générales acceptées au renouvellement, car la clause applicable figure souvent dans une annexe et non dans le corps du contrat.
Cinq stipulations doivent être relevées avec précision. Premièrement, l’objet de la restitution : quelles données sont restituées, dans quel format, avec quels historiques et quelles métadonnées. Une extraction en PDF image ne vaut pas une base exploitable ; un export CSV sans les pièces jointes ne permet pas toujours de reprendre l’activité. Deuxièmement, le délai de réversibilité : trente, soixante ou quatre-vingt-dix jours après la fin effective, avec la date exacte du point de départ. Troisièmement, le sort des données à l’issue de la période : restitution puis suppression attestée, ou suppression immédiate. Quatrièmement, le prix : la réversibilité est-elle incluse dans l’abonnement ou facturée en jours d’assistance, et à quel tarif. Cinquièmement, la condition de paiement : le prestataire peut-il suspendre la restitution en cas de factures impayées, et selon quelle procédure de mise en demeure préalable.
Cette lecture est décisive car les juges appliquent la clause telle qu’elle est rédigée. La cour d’appel de Paris, dans un arrêt du 9 avril 2026 opposant une société cliente à son hébergeur, a retenu que l’obligation de restituer des fichiers intègres ne valait que pendant l’exécution du contrat, tandis qu’à la résiliation s’appliquait l’article du contrat prévoyant la suppression définitive, irrévocable et immédiate des données hébergées, sans qu’aucune copie puisse être demandée (cour d’appel de Paris, pôle 1, chambre 2, 9 avril 2026, RG 25/11299). Le client qui n’avait pas organisé la récupération avant la résiliation a vu son action en responsabilité jugée vouée à l’échec. La leçon est directe : quand le contrat prévoit la destruction sans copie au terme convenu, il faut extraire ses données avant de résilier, ou négocier un avenant de réversibilité avant de notifier la fin du contrat.
À l’inverse, quand un accord organise la sortie, sa violation est sanctionnée. La cour d’appel de Paris, dans un arrêt du 17 janvier 2024 relatif à un réseau de franchise, a condamné la tête de réseau à verser 28 420 euros à un ancien franchisé pour avoir utilisé ses données postérieurement à la résiliation du contrat, en violation du protocole d’accord signé entre les parties le 28 septembre 2018 (cour d’appel de Paris, pôle 5, chambre 4, 17 janvier 2024, RG 22/03890). La cour a infirmé le jugement qui avait retenu un montant supérieur au titre de la non-destruction et de l’utilisation des données, et a fixé la réparation à 28 420 euros en retenant la violation du protocole. L’enseignement vaut pour tout contrat informatique : l’utilisation des données du client après la fin convenue, hors finalité autorisée, engage la responsabilité du prestataire et se chiffre en fonction du profit retiré et du trouble subi.
L’exécution du contrat s’apprécie aussi à l’aune de la bonne foi. L’article 1104 du Code civil dispose que « Les contrats doivent être négociés, formés et exécutés de bonne foi. Cette disposition est d’ordre public. » Le texte est disponible sur Légifrance. Un prestataire qui coupe brutalement l’accès le jour de la résiliation, sans préavis technique ni possibilité d’export, alors que le contrat prévoit une période de réversibilité, manque à cette exigence. De même, un client qui résilie sans respecter le préavis contractuel ni payer les sommes dues jusqu’à l’échéance s’expose à devoir l’intégralité des mensualités restantes. La cour d’appel d’Aix-en-Provence l’a rappelé le 11 juin 2026 dans un litige opposant un industriel à son prestataire informatique : la résiliation prononcée par le client a été jugée injustifiée, le client a été condamné au paiement des sommes dues jusqu’à la fin de l’échéance, soit 29 033,28 euros, et la cour a jugé que la production du seul grand livre comptable ne suffisait pas à rapporter la preuve du paiement du solde réclamé (cour d’appel d’Aix-en-Provence, chambre 3-3, 11 juin 2026, RG 25/12413).
Cette exigence de preuve pèse sur chaque partie. L’article 1353 du Code civil dispose que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Le texte est disponible sur Légifrance. Concrètement, le client qui affirme avoir tout payé doit produire relevés bancaires, avis de virement et échéanciers, et non un simple extrait de sa comptabilité interne. Le prestataire qui affirme avoir restitué l’intégralité des données doit produire le journal d’export, l’attestation de suppression et les accusés de réception du client. Dans le litige lyonnais relatif à un progiciel de gestion, la cour d’appel de Lyon a confirmé la résolution des contrats aux torts exclusifs du client et de sa filiale, relevé l’existence de factures impayées et rejeté les demandes reconventionnelles du client, en condamnant les sociétés clientes aux dépens et à 4 000 euros au titre des frais irrépétibles (cour d’appel de Lyon, 3e chambre A, 2 juillet 2026, RG 22/05916). Résilier sans payer, puis exiger la restitution sans justifier du paiement, est une stratégie qui échoue devant le juge quand le contrat subordonne la fin des prestations au règlement du solde.
Quand l’inexécution est établie, le client dispose d’un éventail de sanctions. L’article 1217 du Code civil dispose que « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. » Le texte est disponible sur Légifrance. L’exécution forcée en nature correspond ici à la demande de restitution des données dans un format exploitable, cumulée avec des dommages et intérêts pour la période de blocage. La résolution, elle, met fin au contrat pour l’avenir ; l’article 1229 du Code civil précise que « La résolution met fin au contrat. » Le texte est disponible sur Légifrance. Elle n’efface pas l’obligation de restituer ce qui a été confié : au contraire, elle rend cette restitution urgente, puisque le prestataire ne peut plus invoquer la poursuite du contrat pour conserver les données.
B. Le RGPD et le Data Act imposent un socle minimal que le contrat ne peut pas supprimer
Quand le système héberge des données personnelles, salariés, clients, prospects, patients, élèves ou usagers, le contrat n’est plus la seule source d’obligations. Le prestataire qui héberge ou traite ces données pour le compte du client est en principe sous-traitant au sens du règlement général sur la protection des données, et le client est responsable du traitement. Cette qualification commande l’application de l’article 28 du règlement (UE) 2016/679, dont le texte officiel est disponible sur EUR-Lex. Le contrat de sous-traitance doit définir l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement.
Le point central pour la sortie du contrat figure au paragraphe 3, point g, de ce même article : le contrat prévoit que le sous-traitant, « selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel » (article 28, paragraphe 3, point g, du RGPD sur EUR-Lex). Autrement dit, le client choisit entre suppression et renvoi, et le prestataire détruit ensuite les copies, sauf obligation légale de conservation qu’il doit identifier précisément. Une clause qui organiserait la conservation illimitée des données du client à des fins de prospection ou d’entraînement de modèles, sans base légale, contrevient à ce texte. La page de la CNIL consacrée aux contrats de sous-traitance détaille les mentions attendues et rappelle que le sous-traitant n’agit que sur instruction documentée du responsable du traitement.
Ce socle s’applique même quand le contrat informatique est silencieux sur les données personnelles. Si aucun contrat de sous-traitance conforme n’a été signé, le client doit l’exiger sans délai, car son absence constitue déjà un manquement de nature à engager la responsabilité du responsable du traitement à l’égard des personnes concernées. Si le prestataire refuse le renvoi en soutenant qu’il est propriétaire des données, l’argument ne tient pas pour les données personnelles : le responsable du traitement détermine les finalités et les moyens, et le sous-traitant ne traite que sur instruction. La revendication d’un droit de rétention sur des données personnelles pour garantir le paiement d’une facture est incompatible avec cette architecture, sans préjudice des voies de recouvrement de droit commun dont dispose le prestataire.
Le deuxième levier est le droit à la portabilité, qui appartient aux personnes concernées elles-mêmes. L’article 20 du règlement (UE) 2016/679, disponible sur EUR-Lex, dispose que « Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine ». Ce droit suppose un traitement fondé sur le consentement ou sur un contrat, effectué à l’aide de procédés automatisés, et il permet d’obtenir la transmission directe à un autre responsable quand cela est techniquement possible. Pour un dirigeant qui veut récupérer les données de ses propres comptes, ou pour un client qui agit avec le mandat des personnes concernées, la portabilité complète utilement la demande contractuelle de réversibilité : elle vise les données fournies, dans un format réutilisable, et non une simple copie écran.
Ses limites doivent être connues pour ne pas fonder toute la stratégie dessus. La portabilité ne porte que sur les données fournies par la personne, et non sur les données inférées ou créées par le prestataire, comme les scores, les analyses ou les modèles. Elle ne s’applique pas aux traitements nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique. Surtout, elle ne porte pas atteinte aux droits des tiers : on ne peut exiger d’un prestataire qu’il livre les données personnelles d’autres clients ou de salariés d’une autre société. Pour une restitution complète d’un socle applicatif, le fondement principal reste donc le contrat de réversibilité et l’article 28 du règlement, la portabilité servant d’appui pour les données des comptes propres du demandeur.
Le troisième levier, récent, est le règlement (UE) 2023/2854 sur l’accès équitable aux données et leur utilisation, appelé Data Act, dont le texte officiel est disponible sur EUR-Lex. Son chapitre consacré au changement de fournisseur de services de traitement de données impose aux fournisseurs de supprimer les obstacles au changement : le texte prévoit que « les fournisseurs de services de traitement de données n’imposent pas d’obstacles et suppriment les obstacles précommerciaux, commerciaux, techniques, contractuels et organisationnels » qui freinent les clients dans la résiliation, la conclusion d’un nouveau contrat et le portage des données exportables vers un autre fournisseur ou vers une infrastructure sur site. Les articles 24 et suivants encadrent le préavis maximal, la période de transition et les frais de changement, avec une suppression progressive des frais de sortie. Concrètement, une clause qui facturerait l’export à un prix dissuasif, un format propriétaire inexploitable ou un délai de transition refusé doivent désormais être confrontés à ce règlement, en plus du contrat et du RGPD. Les calendriers d’application sont complexes et certaines dispositions transitoires dépendent de la date de conclusion du contrat : il faut vérifier, contrat en main, quelle version des obligations s’applique à la relation concernée.
L’articulation des trois socles est la suivante. Le contrat fixe les modalités pratiques et le prix de la réversibilité ; le RGPD garantit le renvoi ou la suppression des données personnelles au choix du client et la destruction des copies ; le Data Act prohibe les obstacles techniques, commerciaux et contractuels au changement de fournisseur de cloud. Aucun de ces textes n’autorise le prestataire à conserver les données personnelles du client après la fin convenue pour les réutiliser à son profit. L’arrêt parisien du 17 janvier 2024 précité, qui sanctionne l’utilisation postérieure à la résiliation en violation de l’accord des parties, illustre exactement le risque que ces textes cherchent à prévenir. Pour une analyse voisine des réflexes à adopter quand des données d’entreprise sont compromises, avec la notification à l’autorité et l’information des personnes, les lecteurs peuvent se reporter à l’article du cabinet consacré aux données clients volées et à la notification à la CNIL en 72 heures.
II. Comment récupérer concrètement vos données quand le prestataire refuse ?
A. Les trente premiers jours : mise en demeure, portabilité et preuve du blocage
La rapidité d’exécution conditionne le résultat, car chaque semaine de blocage augmente le préjudice et rapproche l’échéance de suppression automatique. La première étape consiste à figer la situation par écrit : captures datées des messages d’erreur, journaux de connexion, refus d’export, échanges avec le support, facture de solde éventuellement réclamée, et copie du contrat avec ses annexes. Ces pièces serviront devant la CNIL comme devant le juge. Parallèlement, il faut identifier les personnes concernées par les données bloquées, car leurs droits propres, accès, portabilité, effacement, pourront être mobilisés en complément de l’action du client professionnel.
La mise en demeure doit être envoyée en lettre recommandée avec accusé de réception, doublée d’un courriel, et comporter six éléments : le rappel du contrat et de la clause de réversibilité avec sa référence exacte ; le choix exprès du client au titre de l’article 28 du RGPD entre renvoi et suppression, en général le renvoi préalable puis la suppression attestée ; la description précise des données attendues, périmètres applicatifs, périodes, formats exploitables et volumes estimés ; un délai raisonnable et ferme, huit à quinze jours selon l’urgence et les stipulations contractuelles ; l’avertissement des suites, plainte auprès de la CNIL, référé judiciaire, demande de dommages et intérêts ; et la réserve de tous les préjudices, perte d’exploitation, surcoût de migration, atteinte à l’image auprès des clients. Quand le prestataire subordonne la restitution au paiement d’un solde contesté, la mise en demeure doit distinguer ce qui est dû de ce qui est litigieux : payer sous réserve ce qui est incontestable, consigner si nécessaire, et contester par écrit le surplus en détaillant chaque facture. L’arrêt aixois du 11 juin 2026 montre que le juge vérifie qui a payé quoi et à quelle date, et qu’une comptabilité interne ne suffit pas à établir le paiement.
La demande de portabilité doit être formulée séparément, pour chaque personne concernée ou avec son mandat écrit, en visant l’article 20 du règlement et en précisant le format structuré attendu, par exemple CSV ou JSON avec les pièces jointes d’origine. La réponse du prestataire doit intervenir dans un délai d’un mois, prorogeable de deux mois en cas de complexité, et tout refus doit être motivé par écrit. Un refus non motivé, un format délibérément inexploitable ou une réponse évasive constituent des pièces supplémentaires du dossier. Si le prestataire invoque les droits des tiers pour tout refuser en bloc, il faut lui demander d’isoler les données propres du demandeur et de justifier techniquement l’impossibilité, car un refus global non documenté se conteste point par point.
Pendant ce délai, le client doit chiffrer son préjudice au jour le jour : chiffre d’affaires non facturé, pénalités versées à ses propres clients, coût du prestataire de secours, heures internes de reconstitution, frais d’expertise pour constater le blocage. Un constat d’huissier, devenu constat de commissaire de justice, qui décrit l’impossibilité d’exporter et le format proposé, vaut mieux qu’un long échange de courriels. Il faut aussi préparer la migration technique : choisir le nouveau prestataire, vérifier les formats d’import qu’il accepte et estimer la durée de la bascule, car le juge des référés ordonne plus volontiers une restitution dont les modalités pratiques sont déjà prêtes. Enfin, si des données de santé, des données bancaires ou des données de mineurs figurent dans le périmètre bloqué, le signaler expressément dans la mise en demeure : la sensibilité des données renforce l’urgence et justifie des mesures rapides.
B. CNIL, juge des référés et réparation : quand et comment escalader ?
Si la mise en demeure reste sans effet, deux voies se combinent au lieu de s’exclure. La première est la plainte auprès de la CNIL pour les données personnelles : chaque personne concernée peut réclamer. L’article 77 du règlement (UE) 2016/679, disponible sur EUR-Lex, prévoit que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle » quand elle estime que le traitement de ses données viole le règlement. La plainte doit joindre le contrat de sous-traitance, la mise en demeure, le choix exercé au titre de l’article 28 et les preuves du refus ou du silence. La CNIL peut contrôler, mettre en demeure publique ou confidentielle, et sanctionner, mais elle n’ordonne pas la restitution au profit d’une entreprise déterminée dans un délai de quelques jours : la plainte fait pression et documente le manquement, elle ne remplace pas l’action judiciaire pour récupérer vite.
La seconde voie est le juge, et c’est elle qui permet d’obtenir la restitution sous astreinte. L’article 79 du règlement, disponible sur EUR-Lex, dispose que « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement ». L’action peut être portée devant la juridiction de l’État membre où le responsable ou le sous-traitant est établi, ou devant celle de la résidence de la personne concernée. Pour l’entreprise cliente elle-même, le fondement contractuel reste premier : action en exécution forcée de l’obligation de restitution, en référé pour l’urgence, puis au fond pour le solde du litige financier.
Le référé est la voie naturelle quand l’activité est bloquée. L’article 834 du Code de procédure civile dispose que « Dans tous les cas d’urgence, le président du tribunal judiciaire ou le juge des contentieux de la protection dans les limites de sa compétence, peuvent ordonner en référé toutes les mesures qui ne se heurtent à aucune contestation sérieuse ou que justifie l’existence d’un différend. » Le texte est disponible sur Légifrance. L’article 835 ajoute que le président « peuvent toujours, même en présence d’une contestation sérieuse, prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite », et que « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier, ou ordonner l’exécution de l’obligation même s’il s’agit d’une obligation de faire. » Le texte est disponible sur Légifrance. La demande doit donc démontrer l’urgence, le blocage d’activité, le risque de suppression, l’échéance contractuelle de destruction, et l’absence de contestation sérieuse sur l’obligation de restituer, en produisant la clause et le choix exercé au titre de l’article 28. L’assignation sollicite la restitution dans un format précis, sous astreinte par jour de retard, la conservation des données jusqu’à l’export complet, et une provision sur le préjudice déjà chiffrable. Devant le tribunal judiciaire de Paris, ces demandes relèvent des chambres civiles ; entre commerçants, le président du tribunal des activités économiques peut également être saisi en référé selon la nature du litige.
La réparation du préjudice se demande en parallèle ou dans la suite de l’instance. L’article 1231-1 du Code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le texte est disponible sur Légifrance. Pour les données personnelles, l’article 82 du règlement, disponible sur EUR-Lex, dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Les deux fondements peuvent se cumuler quand leurs conditions sont réunies : inexécution contractuelle d’un côté, violation du règlement de l’autre. Le préjudice réparable comprend la perte d’exploitation pendant le blocage, le surcoût de migration vers le nouveau prestataire, les pénalités versées aux clients, les frais d’expertise et de constat, et, pour les personnes concernées, le préjudice moral lié à la perte de contrôle de leurs données. La condamnation parisienne de 28 420 euros pour utilisation post-résiliation montre que les juges chiffrent concrètement ; à l’inverse, les arrêts lyonnais et aixois montrent que le client qui n’a pas payé le solde dû ou qui résilie hors conditions ne récupère rien et paie les frais du procès adverse.
Un cas particulier mérite une vigilance accrue : le prestataire en difficulté financière, en sauvegarde, en redressement ou en liquidation. Le contrat n’est pas résilié par la seule ouverture de la procédure, et les données doivent être récupérées vite, avant la cession ou la fermeture des serveurs. Il faut déclarer la créance de restitution, saisir l’administrateur ou le mandataire, et demander au juge-commissaire les mesures nécessaires à la préservation des données. Quand le prestataire est établi hors de France, il faut vérifier les clauses de transfert, le pays d’hébergement effectif et la juridiction convenue, car l’exécution d’une décision française sur des serveurs étrangers peut exiger des démarches complémentaires.
Pour limiter le risque à l’avenir, trois clauses doivent figurer dans tout nouveau contrat cloud : une réversibilité détaillée avec formats, délais, prix et attestation de suppression ; un contrat de sous-traitance conforme à l’article 28 avec le choix du renvoi par défaut ; et une clause de changement de fournisseur compatible avec le Data Act, avec une période de transition et des frais plafonnés. Un export test annuel, documenté, vérifie que la clause fonctionne avant la crise. Les sauvegardes locales chiffrées des données critiques, conservées selon les durées légales applicables à chaque catégorie, garantissent la continuité même en cas de coupure brutale.
En résumé, face à un prestataire qui refuse de restituer vos données après résiliation, la méthode tient en quatre temps : relire la clause de réversibilité et payer ce qui est effectivement dû, mettre en demeure en exerçant par écrit le choix du renvoi prévu par l’article 28 du RGPD, formuler les demandes de portabilité dans un format structuré, puis saisir ensemble la CNIL pour le manquement et le juge des référés pour la restitution sous astreinte et la réparation. Les textes protègent le client diligent qui documente chaque étape ; ils ne protègent ni la résiliation improvisée ni l’impayé non justifié. La restitution se prépare avant la rupture, s’exige par écrit dès le premier refus, et se fait ordonner par le juge quand le dialogue est rompu.