Clause de restitution des données : définition et rédaction

Exemple de rédaction commenté

L’exemple ci-dessous est un point de départ à adapter au type de données et au niveau de dépendance technique. Chaque commentaire explique le rôle du paragraphe : c’est l’obligation qu’il pose qui compte, davantage que la formule retenue.

Article X. Restitution des données

X.1. Le Prestataire restitue au Client, à première demande en cours de Contrat et en tout état de cause à son expiration ou à sa résiliation pour quelque cause que ce soit, l’intégralité des données et informations qu’il détient, héberge ou traite pour le compte du Client, y compris les données produites ou enrichies pendant l’exécution du Contrat.

X.2. La restitution intervient dans un format structuré, couramment utilisé et lisible par machine, accompagné de la description des structures de données nécessaires à leur relecture, de manière à permettre leur réutilisation sans dépendance technique à l’égard du Prestataire ou de ses outils.

X.3. La restitution est effectuée dans un délai de [trente] jours à compter de la demande ou du terme du Contrat. Le Prestataire maintient l’accès aux données et n’en altère ni la disponibilité ni l’intégrité jusqu’à la restitution complète et confirmée par le Client.

X.4. La restitution ne peut être subordonnée à aucune condition étrangère à ses modalités techniques. En particulier, le Prestataire ne peut retenir les données du Client, ni en suspendre la restitution, au motif d’un différend, y compris relatif au paiement, sans préjudice de son droit d’en poursuivre le recouvrement par les voies de droit.

X.5. Les prestations de restitution sont [incluses dans les redevances du Contrat / facturées au temps passé sur devis préalablement accepté par le Client, selon le barème figurant en annexe].

X.6. Une fois la restitution complète et confirmée, le sort des copies détenues par le Prestataire est réglé selon les modalités de suppression prévues à l’article [Y]. Les obligations du présent article survivent à la fin du Contrat jusqu’à leur complète exécution.

Commentaire de X.1 : le périmètre doit couvrir les données produites en cours de contrat. Le client pense d’abord aux fichiers qu’il a lui-même déposés. Mais l’exécution génère souvent des données nouvelles : historiques, statistiques d’usage, données enrichies ou recalculées. Si la clause ne vise que les données « confiées », le prestataire peut prétendre garder tout ce qu’il a produit. Viser expressément les données « produites ou enrichies pendant l’exécution » ferme cette porte. La faculté de demander la restitution en cours de contrat, et pas seulement à son terme, évite au client d’attendre la rupture pour récupérer ses propres informations.

Commentaire de X.2 : le format est la condition de l’exploitabilité. Restituer des données dans un format propriétaire, illisible sans l’outil du prestataire, revient à ne rien restituer. L’exigence d’un format « structuré, couramment utilisé et lisible par machine » est le cœur pratique de la clause. La description des structures de données compte autant que le format lui-même : un export sans schéma ni clé de lecture se réutilise mal. C’est le point de contact avec la clause de réversibilité, qui prolonge cette logique jusqu’à la reprise complète du service.

Commentaire de X.3 : la disponibilité doit être maintenue jusqu’à la restitution. Le risque, en fin de relation tendue, est que le prestataire coupe l’accès avant d’avoir rendu les données. Imposer le maintien de la disponibilité et de l’intégrité jusqu’à la restitution complète protège contre la destruction ou l’altération prématurée. La restitution n’est réputée acquise qu’une fois confirmée par le client, ce qui évite qu’un envoi incomplet ou corrompu ne vaille exécution.

Commentaire de X.4 : neutraliser la tentation de la rétention. C’est le paragraphe le plus disputé. Un prestataire non payé peut être tenté de garder les données comme moyen de pression. Interdire expressément cette rétention sécurise la sortie du client, tout en préservant le droit du prestataire de recouvrer sa créance par les voies normales. [À VÉRIFIER JURISTE : dans quelle mesure une clause peut valablement écarter par avance l’exercice d’un éventuel droit de rétention au sens de l’article 2286 du Code civil, et si ce droit peut s’appliquer à des données dématérialisées.]

Commentaire de X.5 : le coût doit être tranché à la signature. Laisser le prix de la restitution pour plus tard, c’est le laisser se négocier au pire moment, quand le client n’a plus de levier. Choisir dès l’origine entre inclusion dans le prix, forfait ou temps passé sur devis retire au prestataire sortant la tentation de monnayer une opération que le contrat lui impose déjà.

Commentaire de X.6 : restituer d’abord, supprimer ensuite. La restitution rend les données, la suppression efface les copies : l’ordre importe. Supprimer avant que la restitution soit confirmée expose le client à perdre ses données. Le renvoi vers un article de suppression distinct articule les deux obligations sans les confondre, comme le détaille la clause de retour et suppression des données.

Ce que dit le droit

Pour les données personnelles, l’article 28 du RGPD fixe le principe. Le paragraphe 3, point g), impose que le contrat de sous-traitance prévoie qu’au terme de la prestation, le sous-traitant, selon le choix du responsable de traitement, supprime toutes les données à caractère personnel ou les renvoie, et détruit les copies existantes, sauf obligation légale de conservation. La restitution est donc une composante attendue d’une clause de sous-traitance des données au sens de l’article 28 dès que le prestataire traite des données personnelles pour le compte de son client. Ce texte laisse le choix entre renvoi et suppression au responsable de traitement, non au sous-traitant : la clause traduit ce choix en obligation ferme de restitution préalable.

En dehors des données personnelles, le régime est supplétif. Pour les informations qui ne sont pas des données personnelles, données financières, savoir-faire, historiques métier, aucun texte général n’impose la restitution au terme du contrat. Les parties la fixent librement sur le fondement de la liberté contractuelle de l’article 1102 du Code civil. Le silence profite alors à celui qui détient les données : ce que le contrat n’a pas exigé n’est pas dû, et l’information reste sur les systèmes du prestataire sans limite. La relation reste largement innommée et relève du droit commun des obligations. [À VÉRIFIER JURISTE : opportunité et limites d’une qualification de dépôt (articles 1915 et suivants du Code civil) appliquée à des données hébergées, la restitution de la chose déposée supposant en principe un bien corporel remis en garde.]

La portabilité du RGPD ne joue pas dans la relation entre entreprises. L’article 20 du RGPD ouvre un droit à la portabilité des données dans un format structuré, couramment utilisé et lisible par machine, mais il bénéficie aux personnes concernées, non au client dans son rapport avec le prestataire. Le client ne peut donc pas invoquer ce texte pour exiger la restitution de ses bases : cette exigence doit figurer dans la clause elle-même.

La bonne foi soutient un devoir de coopération à la sortie. L’article 1104 du Code civil dispose que les contrats doivent être négociés, formés et exécutés de bonne foi. Cette exigence peut fonder un devoir de collaboration au moment de rendre les données, mais elle reste générale et son étendue s’apprécie au cas par cas. Une clause de restitution précise transforme ce principe diffus en obligations datées et mesurables, bien plus faciles à faire respecter qu’un devoir général de loyauté.

La rétention des données comme moyen de pression est incertaine. Le droit de rétention de l’article 2286 du Code civil autorise un créancier à retenir une chose jusqu’au paiement de ce qui lui est dû. Son application à des données dématérialisées, dépourvues de corps, est débattue et ne peut être présentée comme acquise. [À VÉRIFIER JURISTE : applicabilité du droit de rétention de l’article 2286 du Code civil à des données immatérielles, et validité d’une renonciation contractuelle anticipée à ce droit.] En pratique, il est plus sûr d’interdire expressément la rétention dans la clause que de se fier à l’état incertain du droit.

La sanction du manquement relève de la responsabilité contractuelle. Le prestataire qui ne restitue pas les données malgré son obligation commet un manquement, réparable selon le droit commun de la responsabilité contractuelle (article 1231-1 du Code civil). Les parties peuvent en outre fixer à l’avance le montant dû par une clause pénale, prévue à l’article 1231-5 du Code civil, le juge conservant le pouvoir, même d’office, de modérer une pénalité manifestement excessive ou d’augmenter une pénalité manifestement dérisoire. Le mécanisme est détaillé dans la clause pénale.

Les erreurs fréquentes

Limiter le périmètre aux seules données déposées par le client. Une clause qui ne vise que les données « confiées » oublie celles produites ou enrichies pendant l’exécution : historiques, statistiques, résultats de calculs. Le prestataire peut alors prétendre les garder. Le périmètre doit couvrir l’ensemble des données détenues pour le compte du client, quelle qu’en soit l’origine.

Rester muet sur le format de restitution. Restituer sans imposer un format standard et exploitable vide la clause de son effet. Le prestataire peut techniquement rendre les données tout en les rendant inutilisables hors de son outil. Le format n’est pas un détail technique : c’est la condition de la réutilisation, et il ne peut se déduire de l’article 20 du RGPD, qui ne joue pas dans la relation entre entreprises.

Ne pas maintenir l’accès jusqu’à la restitution. Une clause qui prévoit la restitution mais autorise la coupure d’accès dès le terme du contrat laisse un intervalle dangereux où les données peuvent être perdues. La disponibilité et l’intégrité doivent être garanties jusqu’à ce que la restitution soit complète et confirmée.

Confondre restitution et suppression. Rendre les données ne signifie pas les effacer, et les effacer ne signifie pas les avoir rendues. Les deux obligations sont distinctes et doivent s’enchaîner dans le bon ordre : restitution d’abord, suppression une fois la restitution confirmée. Traiter la suppression est l’objet propre de la clause de retour et suppression des données.

Laisser le coût de la restitution indéterminé. Une clause silencieuse sur le prix laisse ce prix se négocier au moment où le client a le moins de pouvoir. Le principe et le mode de calcul de la rémunération des travaux de restitution doivent être fixés dès la signature.

Laisser l’obligation s’éteindre avec le contrat. Si la clause ne survit pas au terme, l’obligation de restitution disparaît au moment même où elle devait produire ses effets. Une stipulation de survie maintient l’obligation jusqu’à son exécution complète.

Négociation : ce que défend chaque partie

Ce que défend le client. Le client veut une restitution large et opposable : un périmètre couvrant toutes les données détenues pour son compte, y compris celles produites en cours d’exécution, un format réellement exploitable et documenté, un délai court, le maintien de l’accès jusqu’à la restitution complète, l’interdiction de toute rétention et un coût connu dès la signature. Il redoute la captivité, c’est-à-dire l’impossibilité pratique de récupérer ses propres informations, et cherche à la neutraliser par des obligations chiffrées et datées.

Ce que défend le prestataire. Le prestataire veut circonscrire l’effort : un périmètre limité aux données identifiables du client sans y inclure son propre savoir-faire ni ses données d’exploitation internes, des délais réalistes compatibles avec ses cycles techniques, un format correspondant à ses standards d’export, une rémunération des travaux de restitution lorsqu’ils sont significatifs, et la faculté de subordonner sa coopération au paiement des sommes dues. Il refuse que la restitution serve à financer gratuitement l’installation d’un concurrent.

Où se situe l’équilibre. Le plus souvent sur le périmètre, sur le coût et sur la question de la rétention. Un compromis courant distingue nettement les données du client, qui doivent lui revenir sans réserve, des données d’exploitation propres au prestataire, qui restent les siennes. Sur le prix, un forfait ou un barème convenu à l’avance évite le blocage de dernière minute. Sur la rétention, l’équilibre consiste à interdire la suspension de la restitution tout en préservant le recouvrement de la créance par les voies de droit : le client récupère ses données, le prestataire garde son action en paiement. La restitution s’articule enfin avec les clauses qui gouvernent la vie de la prestation : la sauvegarde des données qui assure leur disponibilité pendant le contrat, la localisation des données qui conditionne les modalités de leur transfert, et la clause RGPD de protection des données qui encadre le sort des données personnelles. La restitution rend les données ; ces clauses gèrent les conditions dans lesquelles elle s’exécute.