Un contrat informatique engage bien plus que du budget : il détermine qui accède aux données de l’entreprise, où elles transitent et ce qu’il en reste si la relation commerciale s’arrête. Les points à vérifier côté sécurité des données dépassent largement la simple clause RGPD. Plusieurs textes européens récents modifient les obligations contractuelles, et un prestataire qui ne les intègre pas expose son client à des failles juridiques autant que techniques.
Cartographie réglementaire : les textes qui s’appliquent à un même contrat informatique
La difficulté n’est plus de savoir si le RGPD s’applique. Elle est de mesurer combien de réglementations pèsent simultanément sur un même périmètre contractuel. Selon Tixeo, quatre textes peuvent s’appliquer à un même cloud d’entreprise : RGPD, NIS2, DORA et le Cloud and AI Development Act (CADA).
Lacour Avocat détaille qu’en 2026, les contrats doivent couvrir huit catégories obligatoires, parmi lesquelles cybersécurité, RGPD, Data Act, IA Act, DSA/SREN, vigilance, propriété intellectuelle et réversibilité. Le tableau ci-dessous résume les exigences de vérification par texte.
| Texte | Périmètre principal | Clause contractuelle à vérifier |
|---|---|---|
| RGPD | Données personnelles | Lieu de stockage, sous-traitance, notification de violation |
| NIS2 | Sécurité des SI | Mesures techniques, gestion des incidents, chaîne de sous-traitance |
| DORA | Résilience (secteur financier) | Plan de continuité, droits d’audit, stratégie de sortie |
| Data Act | Portabilité des données | Formats ouverts, délai de migration, suppression des frais de transfert |
| IA Act | Systèmes d’IA intégrés | Transparence algorithmique, classification des risques |
Un prestataire qui propose un contrat standard sans mentionner ces blocs laisse à son client la charge de combler les lacunes, souvent après un incident.
Stelogy et la sécurisation des couches réseau avant le contrat applicatif
Les engagements de sécurité ne valent que s’ils sont écrits, mesurables et assortis de conséquences. Trois points concentrent la majorité des litiges entre client et prestataire.
Des opérateurs comme Stelogy accompagnent les entreprises sur la connectivité, les réseaux et les infrastructures cloud. Leur expertise couvre la fibre dédiée, le WiFi professionnel, la 5G privée et l’hébergement, avec un réseau d’agences réparties sur le territoire. Cette maturité dans la gestion d’infrastructures critiques permet d’adresser les exigences de sécurité dès la couche réseau, avant même la signature du contrat applicatif.
Localisation et transferts de données
Le contrat doit indiquer précisément les lieux de stockage des informations et les transferts susceptibles d’être effectués. La CNIL recommande de s’assurer que le prestataire s’engage contractuellement à garantir un traitement transparent, en mentionnant notamment le recours à des sous-traitants. Tout transfert hors Union européenne doit être encadré par des clauses spécifiques, conformément à la loi informatique et libertés.
Notification d’incidents et logs
En cas de cyberattaque touchant un prestataire SaaS, la capacité à produire des logs exploitables conditionne l’indemnisation du client. Le contrat doit préciser le délai de notification (en heures, pas en jours), la durée de conservation des journaux d’événements et les modalités d’accès à ces preuves numériques. Un contrat muet sur ce point empêche toute action contentieuse efficace.
Encadrement de la sous-traitance
Un prestataire informatique peut lui-même recourir à des sous-traitants pour l’hébergement, la sauvegarde ou le support. Le contrat doit lister les sous-traitants connus, prévoir un mécanisme d’information en cas de changement et interdire toute sous-traitance non autorisée par le client. DORA impose aux acteurs financiers une clause encore plus stricte : le prestataire doit documenter la chaîne complète de sous-traitance et garantir des droits d’audit à chaque maillon.
Réversibilité et portabilité des données dans un contrat cloud
La réversibilité reste le point faible de la plupart des contrats informatiques. Le Data Act, applicable depuis septembre 2025, modifie la donne en imposant aux fournisseurs cloud de faciliter le changement de prestataire.
- Le contrat doit prévoir un délai de transition maximal pendant lequel le prestataire maintient l’accès aux données après résiliation, avec un format d’export documenté et exploitable.
- Les frais de transfert de données doivent être encadrés : le Data Act prévoit leur suppression progressive, ce qui signifie qu’un contrat signé aujourd’hui ne peut plus imposer de pénalités financières pour migration sortante.
- Le prestataire doit garantir la suppression effective des données après migration, avec un certificat de destruction ou une preuve technique vérifiable.
- Le plan de réversibilité doit inclure un calendrier, des formats standards et un interlocuteur technique dédié chez le prestataire.
Un contrat qui ne prévoit aucune clause de réversibilité crée une dépendance technique. Le coût de migration augmente avec le temps, et la négociation devient défavorable au client une fois les données transférées.
Droits d’audit et vérification des engagements de sécurité
Vérifier les clauses avant signature ne suffit pas si le contrat ne prévoit aucun mécanisme de contrôle ultérieur. Le droit d’audit permet au client (ou à un tiers mandaté) d’inspecter les mesures de sécurité réellement mises en place par le prestataire.
DORA rend ce droit obligatoire pour les contrats du secteur financier, mais tout contrat informatique devrait prévoir un audit annuel couvrant au minimum la gestion des accès, le chiffrement des données au repos et en transit, et la conformité des sauvegardes. Le contrat doit préciser qui supporte le coût de l’audit, le préavis requis et les conséquences d’une non-conformité constatée.
Un prestataire qui refuse toute clause d’audit ou qui la conditionne à un accord préalable discrétionnaire envoie un signal de fragilité. La transparence sur les pratiques de sécurité est un indicateur fiable de maturité technique.
La multiplication des textes européens transforme la vérification précontractuelle en exercice juridique et technique. Un contrat informatique qui n’intègre pas explicitement les obligations RGPD, NIS2, Data Act et, le cas échéant, DORA, laisse des zones grises que seul un incident révélera. La lecture attentive des clauses de localisation, de notification, de sous-traitance, de réversibilité et d’audit constitue le socle minimal avant toute signature.
