Depuis le 12 septembre 2025, le Data Act facilite le changement de prestataire cloud et la sortie des contrats de traitement de données. Préavis encadré, continuité du service, portabilité et suppression progressive des frais de changement : les PME disposent de nouveaux leviers, sans bénéficier pour autant d’une résiliation toujours gratuite.

LE DATA ACT FACILITE-T-IL RÉELLEMENT LA RÉSILIATION ?

Oui, mais il organise surtout un droit au changement de prestataire.

Le chapitre VI du Data Act impose aux fournisseurs de supprimer les obstacles commerciaux, contractuels, techniques et organisationnels qui empêchent leurs clients de changer de service.

Ces règles couvrent notamment les services cloud de type IaaS, PaaS et SaaS. Elles permettent au client :

  • de passer chez un autre fournisseur proposant un service du même type ;
  • de transférer ses données vers sa propre infrastructure informatique ;
  • ou de demander l’effacement de ses données à la fin du service.

Les obligations s’appliquent depuis le 12 septembre 2025 aux contrats nouveaux comme aux contrats déjà conclus. Certaines solutions développées sur mesure ou fournies temporairement à des fins de test bénéficient toutefois d’exemptions partielles. Shaping Europe’s digital future

Le Data Act ne doit donc pas être présenté comme un droit général de résilier gratuitement n’importe quel contrat informatique. Il crée un mécanisme impératif destiné à rendre la sortie techniquement et contractuellement réalisable.

QUELS DÉLAIS ENCADRENT LE CHANGEMENT DE PRESTATAIRE ?

Un préavis de deux mois au maximum

Le contrat doit prévoir un délai de préavis pour engager le processus de changement. Ce délai ne peut pas dépasser deux mois.

À son expiration, le client doit pouvoir choisir entre trois options : migrer vers un autre fournisseur, transférer les données vers une infrastructure interne ou demander leur effacement.

Une transition normalement limitée à 30 jours

La migration doit ensuite être réalisée dans une période transitoire maximale de 30 jours calendaires.

Pendant cette période, le fournisseur sortant doit notamment :

  • apporter une assistance raisonnable ;
  • maintenir le service et la continuité des activités ;
  • informer le client des risques connus pour cette continuité ;
  • préserver un niveau élevé de sécurité durant le transfert.

Si la migration est techniquement impossible dans ce délai, le fournisseur doit en informer le client dans les 14 jours ouvrables et justifier cette impossibilité. Une période alternative peut alors être fixée, dans la limite de sept mois.

Le client peut également prolonger une fois la période de transition s’il estime avoir besoin de davantage de temps, par exemple pour réaliser des tests. EUR-Lex

Au moins 30 jours pour récupérer les données

Après la période de transition, les données doivent rester accessibles pendant au moins 30 jours calendaires. Elles doivent ensuite être supprimées, sauf obligation légale de conservation ou accord prévoyant une période différente.

Recommandation pratique : ne pas attendre la fin de cette période pour contrôler les sauvegardes, l’intégrité des fichiers, les historiques et les droits d’accès.

À QUEL MOMENT LE CONTRAT PREND-IL FIN ?

Le contrat doit préciser qu’il prend fin :

  • lorsque le changement de prestataire a été mené à bien ;
  • ou, si le client demande uniquement l’effacement de ses données, à l’issue du délai de préavis.

Une difficulté demeure possible lorsque le contrat initial comporte une durée ferme ou un engagement financier minimal. Le Data Act distingue en effet les frais de changement de prestataire de l’éventuelle indemnité raisonnable de résiliation anticipée.

Autrement dit, la possibilité technique et juridique de sortir du service ne fait pas nécessairement disparaître toutes les sommes dues au titre de la rupture d’un engagement ferme.

LA MIGRATION DOIT-ELLE ÊTRE GRATUITE ?

En septembre 2026, les fournisseurs peuvent encore facturer certains frais de changement, mais uniquement dans la limite des coûts directement liés à la migration.

À compter du 12 janvier 2027, ils ne pourront plus imposer de frais au titre du processus de changement lui-même. Les frais ordinaires du service et une éventuelle indemnité raisonnable de résiliation anticipée restent distincts. Le fournisseur doit communiquer clairement ces différents coûts avant la conclusion du contrat. EUR-Lex

Cette distinction doit être examinée avec attention : un contrat présenté comme prévoyant une « migration gratuite » peut encore contenir une indemnité de rupture ou des coûts associés à des prestations supplémentaires.

QUELLES DONNÉES DOIVENT POUVOIR ÊTRE TRANSFÉRÉES ?

Le contrat doit dresser une liste exhaustive des catégories de données et d’actifs numériques pouvant être transférés. Celle-ci doit comprendre au minimum les « données exportables », c’est-à-dire les données d’entrée et de sortie, métadonnées comprises, générées directement ou indirectement par l’utilisation du service.

Certaines données propres au fonctionnement interne du fournisseur peuvent être exclues lorsqu’elles présentent un risque pour ses secrets d’affaires. Cette exclusion ne doit cependant pas empêcher ou retarder la migration.

Pour les services PaaS et SaaS, le fournisseur sortant doit mettre gratuitement à disposition les interfaces ouvertes nécessaires et leur documentation. Pour les services IaaS, il doit prendre les mesures raisonnables permettant d’atteindre une équivalence fonctionnelle chez le nouveau fournisseur. Cette équivalence ne signifie pas que les deux services doivent être strictement identiques.

PRÉPARER LA SORTIE DÈS LA NÉGOCIATION DU CONTRAT

Le meilleur moment pour négocier une réversibilité efficace reste l’entrée en relation. La liste des données, les formats d’export, les responsabilités, les tests et le calendrier de migration doivent être définis avant qu’une dépendance technique ne s’installe.

Le Data Act renforce les droits des clients, mais une sortie réussie exige toujours une préparation juridique et opérationnelle. Un audit du contrat et du plan de réversibilité permet d’identifier les coûts résiduels, les risques d’interruption et les données qui pourraient manquer lors de la migration.