Impact du Data Act – Partie 3 – API et intéropérabilité
API et interopérabilité des services cloud. Découvrez les règles et bonnes pratiques pour garantir réversibilité et conformité.
Pour une présentation générale du Data Act dans le cadre des services de traitement de données et la question de l’interopérabilité et API, voir : Objet, enjeu, périmètre, sanctions du Data Act et Focus sur l’interopérabilité et les API
Le Data Act instaure un processus de changement de fournisseur en trois temps, avec des délais impératifs et des rôles clairement répartis :
A noter : Le client peut prolonger une fois cette période transitoire pour la durée qu’il juge appropriée (le fournisseur a toutefois la possibilité de limiter contractuellement cette durée). Le fournisseur peut également prolonger cette période uniquement.
A noter : Le Data Act ne définit pas de manière parfaitement univoque la « fin du processus » (qui déclenche la résiliation automatique du contrat). Les documents d’expertise de la Commission privilégient une approche déclarative côté client (c’est au client d’acter la fin). En pratique, il est recommandé de stipuler clairement dans le contrat les différentes étapes et la façon de les acter pour éviter des situations de blocage.
Beaucoup de fournisseurs SaaS ont fait reposer leur politique commerciale sur un engagement de durée ferme de la part du client.
Le Data Act n’interdit pas cette pratique, ni les contrats à durée déterminée. Toutefois, dans un tel cas, le client doit quand même avoir la possibilité de mettre fin au contrat avant le terme pour changer de fournisseur, en suivant la procédure décrite ci-dessus.
Le fournisseur pourra alors appliquer des pénalités de résiliation anticipée, à condition qu’elles soient proportionnées (i.e. qui « n’excède pas ce qui est nécessaire pour atteindre les objectifs ») et que le client en ait été informé avant la conclusion du contrat : l’objectif reste de ne pas créer d’obstacle au changement.
En droit français, ces pénalités s’analysent de manière quasi systématique en clause pénale et peuvent être réduites par le juge si elles sont manifestement excessives. En pratique, les tribunaux considèrent généralement comme manifestement excessives les pénalités égales ou au-delà de 100 % des sommes restant dues, sauf justification (investissements amortis, remises conditionnées, coûts fixes etc.). Il est donc recommandé de bien justifier dans le contrat le montant des pénalités appliquées.
Par ailleurs, dans l’hypothèse d’une résiliation anticipée d’un contrat à durée déterminée et en l’absence de telles pénalités prévues au contrat, il reviendra au fournisseur de démontrer la perte qu’il a faite et le gain dont il a été privé. La Cour de cassation a rappelé récemment (3 décembre 2025 Cour de cassation Pourvoi n° 24-17.537, publié au bulletin) sur le fondement de l’article 1231-2 du code civil et du principe de réparation intégrale sans perte ni profit que le prix intégral du service n’est dû qu’en cas d’exécution de la prestation convenue. Dans le cadre d’un service SaaS dans lequel le service est rendu en continu, la demande consistant à demander le paiement des sommes dues jusqu’à la fin du contrat en cas de résiliation anticipée a donc, contrairement à une idée très souvent répandue, peu de chance de prospérer en cas de contentieux judiciaire.
Pour un fournisseur, prévoir des pénalités de sortie du contrat reste, selon nous, la meilleure option. En effet, sauf à ce qu’elles soient considérées comme manifestement excessives, elles ont a minima pour intérêt de ne pas avoir à démontrer la réalité du préjudice, ce qui n’est pas chose aisée et peut amener à dévoiler sa marge et ses coûts. Quoi qu’il en soit, la proportionnalité des pénalités et la traçabilité de la méthode de calcul sont clés.
Il sera également intéressant de voir comment les clients utiliseront le Data Act pour sortir de manière anticipée d’un accord, dans les cas où (i) le contrat n’a pas prévu de pénalité spécifique (le Data Act ne prévoit pas la possibilité de dommages et intérêts pour rupture anticipée si aucune pénalité n’est prévue), ou (ii) a prévu une pénalité dont la « proportionnalité » serait contestée (cela sera-t-il équivalent à démontrer son caractère manifestement excessif ?).
Le fournisseur d’origine doit permettre l’export des données d’entrée et de sortie (y compris métadonnées) générées par l’usage du service, à l’exclusion des actifs/données protégés par PI ou secrets d’affaires du fournisseur ou de tiers, ainsi que des éléments dont l’export exposerait la sécurité du service (ex : intégrité, cybersécurité).
Au-delà des données, le règlement vise aussi les « actifs numériques » : tout élément numérique (y compris applications, machines virtuelles, conteneurs, paramétrages, droits d’accès, etc.) dont le client détient un droit d’usage indépendamment de sa relation avec le fournisseur sortant et qui est nécessaire pour utiliser efficacement les données chez le nouveau prestataire. Ce point suppose un tri juridique et technique : identifier ce qui relève du client (droits autonomes) et exclure ce qui appartient au fournisseur (PI/secrets, composants de sécurité non transférables).
Obligation d’information: le fournisseur doit expliquer les procédures d’export, les limites techniques connues et tenir un registre en ligne détaillant structures, formats, normes et spécifications d’interopérabilité ainsi que toutes les données et actifs exportables. En France, l’ARCEP a publié des recommandations techniques utiles pour la tenue de ce registre[1].
Le Data Act organise une baisse progressive des frais de changement de fournisseur pouvant être facturés aux clients :
A noter : par application de l’article 27 de la SREN et de l’Arrêté du 17 novembre 2025[3], les fournisseurs n’ont pas le droit d’appliquer de frais de transfert des données (i.e. « frais nécessaires pour l’extraction des données »)[4].
A noter : en cas d’usage simultané de services complémentaires sans changement de fournisseur (multicloud) : le Data Act admet la facturation de frais de transfert de données limités aux coûts de sortie effectivement occasionnés. Dans un récent projet de recommandations soumis à consultation, l’ARCEP ne semble retenir que très peu de coûts facturables dans ce cadre (essentiellement les coûts de dimensionnement réseau).
A noter sur les services supplémentaires : un fournisseur peut facturer, sur demande du client et avec accord préalable sur le prix, des prestations (i) allant au-delà des obligations de base (ex. assistance à la reconstruction de données chez le nouveau prestataire, conseil d’architecture, développements spécifiques) et (ii) qui pourraient réalisées par un autre prestataire que le fournisseur d’origine.
Quelques recommandations
Notre cabinet accompagne éditeurs, fournisseurs et clients : diagnostic Data Act, audit contractuel, check-list des actions à entreprendre, rédaction des documents contractuels, plan de réversibilité et formation des équipes. Parlons-en.
[1] Recommandation : Interopérabilité et portabilité des services d’informatique en nuage (25 septembre 2025)
[2] Projet de lignes directrices portant sur les coûts susceptibles d’être pris en compte dans la détermination des frais de changement de fournisseur de services d’informatique en nuage autres que les frais liés au transfert de données |’Arcep
[3] Arrêté du 17 novembre 2025 fixant le montant maximal de tarification pour les frais de transfert de données dans le cadre d’un changement de fournisseur de services d’informatique en nuage dans le cadre de l’article 27 de la loi n° 2024-449 du 21 mai 2024 – Légifrance
[4] Projet de lignes directrices sur les coûts susceptibles d’être pris en compte dans la détermination des frais de transfert de données en cas de recours simultané à plusieurs fournisseurs de services d’informatique en nuage |’Arcep
API et interopérabilité des services cloud. Découvrez les règles et bonnes pratiques pour garantir réversibilité et conformité.
Découvrez les impacts du Data Act sur les fournisseurs de services (SaaS/IaaS/PaaS) et les sanctions à venir pour les acteurs du numérique.
La charte informatique est un outil essentiel pour renforcer la cybersécurité en entreprise. Face à l’explosion des cyberattaques, elle encadre l’usage des outils numériques, sensibilise les salariés, limite les risques liés aux comportements humains et s’intègre au dispositif global de protection recommandé par la CNIL.