Le contrat cloud n’est plus seulement un sujet de disponibilité et de prix. En 2026, une revue juridique sérieuse doit articuler protection des données, sécurité, sous-traitance, réversibilité et, selon le client, exigences sectorielles.

1. Décrire précisément le service et les données concernées

Le contrat doit identifier les services fournis, les données traitées, les environnements concernés et les responsabilités respectives. Cette description sert de base à l’analyse RGPD, aux engagements de sécurité et aux mécanismes de sortie.

2. Encadrer le traitement des données personnelles

Lorsque le fournisseur agit comme sous-traitant, l’article 28 du RGPD impose un contrat précisant notamment l’objet et la durée du traitement, sa nature et sa finalité, les catégories de données, les instructions du responsable de traitement, le recours à des sous-traitants ultérieurs et les obligations d’audit.

Source : RGPD, article 28 (EUR-Lex).

3. Identifier les lieux de traitement et les transferts

Il faut connaître les pays dans lesquels les données sont stockées ou traitées, mais aussi vérifier les mécanismes applicables en cas de transfert hors EEE. Une clause générale sur « l’hébergement en Europe » ne suffit pas toujours à documenter toute la chaîne de sous-traitance.

4. Cartographier les sous-traitants ultérieurs

Le contrat doit permettre d’identifier les sous-traitants et les conditions de leur remplacement. Côté RGPD, l’autorisation spécifique ou générale et l’information préalable du client sont essentielles. Dans les environnements régulés, la profondeur de la chaîne de sous-traitance peut aussi devenir un sujet de gouvernance et de supervision.

5. Rendre les SLA mesurables

Disponibilité, temps de rétablissement, support, maintenance et gestion des incidents doivent être associés à des métriques vérifiables. Les remèdes contractuels — crédits de service, plans correctifs, voire résiliation — doivent être cohérents avec l’importance réelle du service.

6. Prévoir la sécurité et la gestion des incidents

Les obligations de sécurité ne devraient pas rester formulées comme une simple obligation de moyens abstraite. Il est préférable d’identifier les mesures attendues, les notifications d’incident, les délais, la coopération, la continuité d’activité et les éléments permettant au client de vérifier le niveau de sécurité annoncé.

7. Traiter la réversibilité comme une clause opérationnelle

Le contrat doit préciser ce qui est restitué, dans quel format, dans quels délais, à quel coût et avec quelle assistance. Depuis l’application du Data Act le 12 septembre 2025, les règles européennes sur le changement de fournisseur de services de traitement de données renforcent ce sujet. L’article 25 impose notamment que les droits du client et les obligations du fournisseur en matière de changement soient prévus par écrit.

Source : Data Act, articles 25 et 50 (EUR-Lex).

8. Vérifier les coûts de sortie

La tarification de la sortie devient elle aussi un point juridique. Le Data Act organise la réduction progressive des frais de changement de fournisseur et prévoit leur suppression à compter du 12 janvier 2027. Avant de signer, il faut donc identifier clairement les coûts de résiliation, d’export et de migration.

9. Ajouter les exigences sectorielles lorsqu’elles s’appliquent

Pour une entité financière soumise à DORA, les contrats portant sur des services TIC doivent comporter des clauses minimales spécifiques. L’article 30 vise notamment la description des services, les localisations, les niveaux de service, la sécurité, l’assistance en cas d’incident, les droits d’accès et d’audit, ainsi que les mécanismes de sortie ; des exigences renforcées s’appliquent aux services soutenant des fonctions critiques ou importantes.

Source : DORA, article 30 (EUR-Lex).

10. Vérifier la responsabilité, la résiliation et la continuité

Le plafond de responsabilité, les exclusions, les cas de résiliation, les délais de préavis et les obligations de continuité doivent être relus ensemble. Une clause de responsabilité raisonnable peut devenir insuffisante si, en parallèle, la réversibilité est faible ou si la dépendance au fournisseur est forte.

Checklist courte avant signature

  • périmètre du service et responsabilités clairement décrits ;
  • annexe RGPD complète si nécessaire ;
  • localisation des données et transferts documentés ;
  • sous-traitants identifiés et gouvernés ;
  • SLA mesurables et incidents encadrés ;
  • sécurité, audit et continuité vérifiables ;
  • réversibilité testable et coût de sortie connu ;
  • responsabilité et résiliation cohérentes avec le risque ;
  • exigences DORA ou autres règles sectorielles ajoutées lorsque pertinentes.

Pour le contexte historique, voir aussi Quel régime juridique pour le Cloud ?, publié initialement sur Easyntic.