Clause de retour et suppression des données : rédaction et exemple

Exemple de rédaction commenté

L’exemple ci-dessous est un point de départ à adapter au type de données et au niveau de dépendance technique. Chaque commentaire explique le rôle du paragraphe : c’est l’obligation qu’il pose qui compte, davantage que la formule retenue.

Article X. Retour et suppression des données

X.1. À l’expiration ou à la résiliation du Contrat, pour quelque cause que ce soit, la Partie réceptrice restitue à la Partie émettrice l’ensemble des données et informations qu’elle détient pour le compte de cette dernière. La restitution intervient dans un délai de [trente] jours, dans un format structuré, couramment utilisé et lisible par machine, permettant leur réutilisation sans dépendance à l’égard de la Partie réceptrice.

X.2. Une fois la restitution effectuée et confirmée par la Partie émettrice, la Partie réceptrice supprime de façon définitive et irréversible toutes les copies des données et informations concernées, y compris celles figurant dans ses sauvegardes, ses journaux et ses archives, dans un délai de [trente] jours. La suppression des sauvegardes soumises à un cycle de rotation intervient au terme de ce cycle, la confidentialité étant maintenue jusqu’à leur effacement.

X.3. Par exception, la Partie réceptrice peut conserver les données dont la conservation est imposée par une obligation légale, comptable, fiscale ou réglementaire, ou nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice. Ces données sont isolées, leur accès est restreint aux seules personnes concernées, et elles sont supprimées à l’expiration de la durée de conservation applicable.

X.4. La Partie réceptrice remet à la Partie émettrice, dans un délai de [quinze] jours après la suppression, une attestation écrite certifiant la restitution et la suppression complètes des données, précisant les catégories de données conservées au titre du paragraphe X.3 et le fondement de leur conservation.

X.5. La Partie réceptrice impose les mêmes obligations de restitution et de suppression à tout sous-traitant auquel elle a confié tout ou partie des données, et demeure responsable envers la Partie émettrice de leur exécution.

X.6. Les obligations du présent article survivent à la fin du Contrat jusqu’à leur complète exécution. Le manquement à l’obligation de suppression donne lieu au versement d’une pénalité de [montant] euros par infraction constatée, sans préjudice de la réparation du préjudice réel.

Commentaire de X.1 : la restitution passe avant la suppression. L’ordre des opérations est essentiel. Supprimer avant d’avoir restitué expose la Partie émettrice à perdre ses propres données. L’exigence d’un format « structuré, couramment utilisé et lisible par machine » évite la restitution inexploitable, par exemple un export illisible ou dépendant d’un outil propriétaire, qui rend la récupération théorique. C’est le cœur de la réversibilité : récupérer ses données sans rester prisonnier du prestataire.

Commentaire de X.2 : la suppression doit viser les copies invisibles. Une suppression qui oublie les sauvegardes, les journaux et les archives laisse subsister des copies. C’est l’erreur la plus fréquente et la plus lourde de conséquences. La mention explicite de ces supports ferme la porte. Le traitement particulier des sauvegardes à rotation reconnaît une réalité technique : elles ne s’effacent pas toujours à la demande, mais la confidentialité reste due jusqu’à leur disparition.

Commentaire de X.3 : l’exception légale évite une clause impossible à tenir. Un prestataire ne peut pas toujours tout supprimer. Une facture doit être conservée au titre des obligations comptables et fiscales ; un élément de preuve peut devoir être gardé pour un litige. Sans cette réserve, la clause imposerait au prestataire de violer la loi pour l’honorer. L’exception est encadrée : isolement, accès restreint, suppression au terme du délai légal.

Commentaire de X.4 : l’attestation transforme une promesse en preuve. L’attestation ne garantit pas matériellement l’effacement, mais elle date l’obligation, engage son signataire et facilite la preuve du manquement si des données réapparaissent. Exiger qu’elle précise les données conservées et leur fondement empêche d’invoquer une exception fourre-tout.

Commentaire de X.5 : la chaîne de sous-traitance ne doit pas rompre la suppression. Les données confiées à un sous-traitant ultérieur échappent à la clause si celle-ci ne suit pas la chaîne. Répercuter l’obligation garantit que la suppression atteint tous les maillons, pas seulement le premier prestataire.

Ce que dit le droit

Pour les données personnelles, l’article 28 du RGPD fixe le principe. Le paragraphe 3, point g), impose que le contrat de sous-traitance prévoie qu’au terme de la prestation, le sous-traitant, selon le choix du responsable de traitement, supprime toutes les données personnelles ou les renvoie, et détruit les copies existantes, sauf obligation légale de conservation. La clause de retour et suppression est donc une composante obligatoire d’une clause de sous-traitance des données au sens de l’article 28 dès que le prestataire traite des données personnelles pour le compte de son client.

La suppression prolonge le principe de limitation de la conservation. L’article 5, paragraphe 1, point e), du RGPD impose que les données ne soient pas conservées au-delà de la durée nécessaire aux finalités du traitement. La fin du contrat marque, en règle générale, la fin de cette nécessité. Une clause RGPD de protection des données articule utilement cette obligation de suppression avec les autres garanties dues sur les données personnelles.

Au-delà des données personnelles, le régime est supplétif. Pour les informations qui ne sont pas des données personnelles, secrets de fabrication, données financières, savoir-faire, aucun texte n’impose de restitution ni de suppression au terme du contrat. Les parties fixent librement l’obligation. Le silence profite alors à celui qui détient les données : ce que le contrat n’a pas exigé n’est pas dû, et l’information reste chez le prestataire sans limite.

La suppression conditionne la protection durable du secret des affaires. Les articles L. 151-1 et suivants du Code de commerce ne protègent l’information que si elle fait l’objet de mesures de protection raisonnables. Laisser des copies circuler après la fin de la relation affaiblit la démonstration de ces mesures. Organiser la restitution et la suppression prolonge la logique d’une clause de confidentialité au-delà du terme du contrat.

La sanction du manquement relève de la responsabilité contractuelle. Le prestataire qui conserve les données malgré son obligation commet un manquement, réparable selon le droit commun. Une clause pénale, prévue à l’article 1231-5 du Code civil, permet de fixer à l’avance le montant dû, le juge conservant le pouvoir, même d’office, de modérer ou d’augmenter une pénalité manifestement excessive ou dérisoire. [À VÉRIFIER JURISTE : validité et régime du cumul, dans la clause X.6, d’une pénalité forfaitaire au sens de l’article 1231-5 du Code civil avec la réparation du préjudice réel pour un même manquement, la clause pénale étant en principe une évaluation forfaitaire exclusive (article 1231-5, alinéa 1), avec un risque de requalification ou d’exclusion du surplus.] [À VÉRIFIER JURISTE : l’articulation entre la pénalité contractuelle pour défaut de suppression et les sanctions administratives que la CNIL peut prononcer sur le fondement des articles 28 et 5 du RGPD.]

Les erreurs fréquentes

Oublier les sauvegardes, les journaux et les archives. Une clause qui ordonne de « supprimer les données » sans viser ces supports laisse subsister des copies qui survivent à l’effacement apparent. La suppression doit nommer tous les emplacements où les données peuvent se trouver.

Confondre restitution et suppression. Rendre les données ne signifie pas les effacer, et les effacer ne signifie pas les avoir rendues. Les deux obligations sont distinctes et doivent s’enchaîner dans le bon ordre : restitution d’abord, suppression une fois la restitution confirmée.

Négliger le format de restitution. Restituer dans un format illisible ou dépendant d’un outil propriétaire équivaut à ne rien restituer. Sans exigence de réversibilité, le client récupère ses données sans pouvoir les réutiliser, et reste dépendant du prestataire qu’il quitte.

Ignorer les obligations légales de conservation. Une clause de suppression absolue, sans réserve, place le prestataire dans l’impossibilité de respecter ses obligations comptables ou fiscales. L’exception doit être prévue, encadrée et limitée dans le temps.

Laisser l’obligation s’éteindre avec le contrat. Si la clause ne survit pas au terme, l’obligation de suppression disparaît au moment même où elle devait produire ses effets. Une clause de survie, alignée sur celle d’une clause de durée de confidentialité, maintient l’obligation jusqu’à son exécution complète.

Négociation : position client contre position prestataire

Ce que défend le client. Une restitution dans un format réellement exploitable, un délai de suppression court, une couverture explicite des sauvegardes et des sous-traitants, une attestation de suppression détaillée, et une clause de survie assortie d’une pénalité. Il cherche à sortir de la relation en récupérant tout et en ne laissant rien.

Ce que défend le prestataire. Des délais réalistes, compatibles avec ses cycles techniques de sauvegarde, une exception claire pour les conservations légales, une prise en charge des coûts de restitution lorsqu’ils sont significatifs, et un format de restitution correspondant à ses standards. Il refuse une obligation de suppression immédiate qu’il ne peut techniquement pas tenir sur ses sauvegardes.

Où se situe l’équilibre. Le plus souvent sur les délais et sur le sort des sauvegardes. Un compromis courant distingue la suppression des données actives, rapide, de la suppression des sauvegardes, alignée sur le cycle de rotation, la confidentialité restant due dans l’intervalle. Le format de restitution se négocie en amont, au moment de la contractualisation, plutôt qu’à la sortie : préciser dès l’origine un format standard évite le blocage au moment le plus tendu de la relation, celui du départ.