Droit du cloud : les règles applicables à ceux qui le développent, le vendent ou l'achètent

01Un marché désormais encadré

Pendant longtemps, le contrat de cloud s'est résumé aux conditions générales du fournisseur. Le législateur français puis le législateur européen ont depuis pris acte d'une réalité devenue stratégique : les données des entreprises et des administrations reposent sur des infrastructures qu'elles ne maîtrisent pas, souvent contrôlées par des acteurs soumis à des droits étrangers.

La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (loi SREN) a encadré les frais de sortie, les crédits cloud et l'interopérabilité. Le règlement (UE) 2023/2854 sur les données (Data Act) consacre, depuis le 12 septembre 2025, un véritable droit de changer de fournisseur. NIS 2 et DORA font de la sécurité des prestataires une obligation de leurs clients. Et la Commission européenne prépare, avec le Cloud and AI Development Act, un cadre de souveraineté pour les offres destinées au secteur public.

Ces règles ne concernent pas les seuls géants du secteur. Elles s'appliquent aussi à l'éditeur SaaS de quarante salariés, à l'ESN qui revend une solution tierce et à l'ETI qui héberge ses données de production. Bien comprises, elles deviennent un outil de négociation et un argument commercial.

02Les règles communes à toute la chaîne

Les données personnelles

Le fournisseur de cloud qui traite des données pour le compte de son client est un sous-traitant au sens du RGPD. Il agit sur instruction documentée, garantit la sécurité du traitement (article 32), assiste son client en cas de violation de données et restitue ou détruit les données en fin de contrat (article 28). Chaque prestataire de rang inférieur — l'hébergeur de l'éditeur, le fournisseur de l'hébergeur — doit être autorisé par écrit et tenu des mêmes obligations.

Les transferts hors de l'Union supposent une décision d'adéquation, comme le cadre de protection des données UE–États-Unis adopté le 10 juillet 2023 pour les seules entreprises américaines certifiées, ou des clauses contractuelles types accompagnées d'une analyse du droit du pays destinataire (articles 44 et suivants).

Le droit de partir

Le Data Act impose aux fournisseurs de services de traitement de données de permettre à leurs clients de changer de fournisseur ou de recourir à plusieurs fournisseurs simultanément (chapitre VI, articles 23 à 31). Les frais de changement ne peuvent, pendant la période transitoire, excéder les coûts directement supportés ; ils disparaissent totalement à compter du 12 janvier 2027 (article 29).

La loi SREN a anticipé ce régime en France : frais de transfert plafonnés aux coûts réels (article 27), obligations de portabilité et d'interopérabilité (articles 28 et 29). Ces dispositions s'effacent devant le Data Act à mesure de son entrée en application, au plus tard le 12 janvier 2027 (article 64). L'Arcep a précisé, par des lignes directrices du 2 juillet 2026, les seuls coûts que les fournisseurs peuvent répercuter en cas d'usage simultané de plusieurs clouds : les coûts strictement liés au transfert, à l'exclusion des fonctions support.

L'extraterritorialité

Le Cloud Act américain de 2018 et la section 702 du Foreign Intelligence Surveillance Act permettent aux autorités des États-Unis d'exiger d'une entreprise soumise à leur juridiction la communication de données qu'elle contrôle, quel que soit le lieu de leur stockage. Un serveur situé à Paris ne protège donc pas les données d'un fournisseur américain. À l'inverse, la loi de blocage de 1968 interdit de communiquer à une autorité étrangère, hors des voies de l'entraide internationale, des informations économiques, commerciales ou techniques destinées à constituer des preuves. Le choix du fournisseur et la rédaction du contrat permettent d'anticiper ces situations.

Le contrat

Le droit commun demeure le socle. Une clause limitative de responsabilité qui prive de sa substance l'obligation essentielle du fournisseur — conserver, sécuriser, rendre disponibles les données — est réputée non écrite (article 1170 du Code civil, consacrant la jurisprudence Faurecia, Cass. com., 29 juin 2010, n° 09-11.841). La faute lourde écarte également le plafond convenu (Cass. ch. mixte, 22 avr. 2005, n° 02-18.326). La panne d'un sous-traitant ne constitue pas, en principe, un cas de force majeure : le débiteur répond des tiers auxquels il confie l'exécution de son obligation (articles 1218 et 1231-1).

03Ceux qui développent le cloud

Éditeurs SaaS, plateformes, hébergeurs. Ils sont les premiers destinataires des obligations réglementaires.

• Sécurité et sous-traitance : contrat de sous-traitance conforme à l'article 28 du RGPD, mesures de sécurité adaptées, maîtrise de toute la chaîne d'hébergement.
• Sortie et interopérabilité : export des données dans des formats exploitables, interfaces documentées, frais de sortie limités aux coûts réels puis supprimés en janvier 2027.
• Crédits cloud : les avoirs offerts pour attirer un client sont limités dans le temps et ne peuvent être assortis d'une exclusivité (article L. 442-12 du Code de commerce).
• Données de santé : l'hébergement de données de santé pour le compte de tiers exige une certification HDS (article L. 1111-8 du Code de la santé publique). Le tribunal judiciaire de Lorient a ainsi validé la résiliation aux torts exclusifs d'un hébergeur qui accusait des retards et ne justifiait pas d'une certification à jour (TJ Lorient, 1re ch., 13 mai 2026, n° 24/01966).
• Cybersécurité : les fournisseurs de cloud et de centres de données entrent dans le champ de NIS 2, dont la loi française de transposition est toujours en discussion ; les prestataires des banques et assurances sont soumis aux exigences contractuelles de DORA (article 30).
• Intelligence artificielle : un service qui intègre un système d'IA à haut risque soumet son fournisseur aux obligations du règlement (UE) 2024/1689 — gestion des risques, documentation, supervision humaine.

04Ceux qui vendent le cloud

Revendeurs, intégrateurs, ESN. Leur rôle d'intermédiaire appelle une attention particulière : ils répondent envers le client final d'une infrastructure qu'ils ne maîtrisent pas directement.

• Responsabilité de la chaîne : l'intégrateur répond de l'éditeur qu'il a choisi (article 1231-1 du Code civil) et, en matière de données personnelles, de ses sous-traitants ultérieurs (article 28, paragraphe 4, du RGPD).
• Devoir d'information : le professionnel doit communiquer à son client les informations déterminantes pour son consentement (article 1112-1 du Code civil) — localisation des données, exposition aux droits étrangers, certifications de l'éditeur.
• Contrats miroirs : garanties, niveaux de service, réversibilité et plafonds accordés au client doivent correspondre à ce que l'éditeur accorde lui-même. Tout écart reste à la charge du revendeur.
• Secteur public : la doctrine « cloud au centre » (circulaires du Premier ministre du 5 juillet 2021 et du 31 mai 2023) impose aux administrations de l'État un cloud qualifié pour leurs données sensibles ; l'article 31 de la loi SREN étend cette exigence aux données d'une sensibilité particulière, dans l'attente de son décret d'application.

05Ceux qui achètent le cloud

PME, ETI, grands comptes, acteurs publics. Externaliser l'hébergement ne transfère pas la responsabilité : l'acheteur conserve la maîtrise juridique de ses données.

• Le choix du fournisseur engage l'entreprise : le responsable du traitement ne peut recourir qu'à des sous-traitants présentant des garanties suffisantes (article 28, paragraphe 1, du RGPD). Le choix et le suivi du prestataire font partie de ses obligations.
• La souveraineté se vérifie : localisation des serveurs, nationalité et actionnariat du fournisseur, exposition au Cloud Act. Un hébergement en France par une filiale de groupe américain reste soumis au droit américain.
• La sortie se prépare à l'entrée : formats d'export, délais, assistance à la migration, sort des données chez les sous-traitants. Le Data Act donne un droit ; seul le contrat en organise l'exercice.
• Les conditions générales se discutent : dans un contrat d'adhésion, une clause non négociable créant un déséquilibre significatif est réputée non écrite (article 1171 du Code civil) ; entre professionnels, l'article L. 442-1 du Code de commerce sanctionne également le déséquilibre significatif.
• Les secteurs régulés : banques et assurances doivent tenir un registre de leurs prestataires informatiques et imposer contractuellement des droits d'accès et d'audit (DORA) ; les entités soumises à NIS 2 répondent de la sécurité de leur chaîne d'approvisionnement.

Voir aussi : AI Addendum, l'avenant IA des contrats

06Souveraineté : SecNumCloud et la suite européenne

La qualification SecNumCloud, délivrée par l'ANSSI, atteste un haut niveau de sécurité et, depuis la version 3.2 de son référentiel, une protection contre les lois extraterritoriales. Ce n'est pas une obligation pour une entreprise privée, mais elle s'impose aux administrations de l'État pour leurs données sensibles et devient une exigence contractuelle fréquente dans la défense, la santé et chez les opérateurs d'importance vitale.

La Commission européenne a présenté le 3 juin 2026 une proposition de règlement, le Cloud and AI Development Act (COM(2026) 502). Elle définit quatre niveaux d'assurance de souveraineté pour les offres destinées au secteur public, assortis d'un registre des prestataires reconnus. Le texte n'est pas adopté, mais il fixe la direction : pour vendre au secteur public européen, il faudra prouver, audit à l'appui, l'indépendance à l'égard des droits étrangers.

07Synthèse