Data Act et contrats SaaS : réécrire vos clauses de réversibilité avant janvier 2027

Le 12 septembre 2025, le Data Act est entré en application et a changé la nature juridique de la relation entre un éditeur SaaS et ses clients. Le changement de fournisseur n'est plus une négociation commerciale : c'est un droit du client, encadré par des délais stricts et des clauses obligatoires. Et le 12 janvier 2027, les frais de changement de fournisseur seront purement et simplement interdits. Pour les éditeurs, cela signifie une chose concrète : les clauses de réversibilité rédigées avant 2025 sont, dans leur grande majorité, devenues non conformes. Voici ce que le règlement impose, ce qu'il faut réécrire, et dans quel ordre.

Le Data Act s'applique à votre SaaS depuis le 12 septembre 2025

Le règlement (UE) 2023/2854 du 13 décembre 2023, dit Data Act, est entré en vigueur le 11 janvier 2024 et s'applique depuis le 12 septembre 2025. C'est un règlement européen d'application directe : il n'a pas besoin d'être transposé en droit français, il s'impose tel quel à tous les contrats concernés.

Son chapitre VI (articles 23 à 31) est consacré au changement de fournisseur de services de traitement de données. Cette catégorie couvre les services d'infrastructure (IaaS), de plateforme (PaaS) et de logiciel en tant que service (SaaS). Si vous éditez une solution SaaS commercialisée auprès de clients établis dans l'Union européenne, vous êtes dans le champ d'application, quelle que soit votre taille.

L'objectif du législateur européen est explicite : mettre fin aux pratiques de verrouillage (vendor lock-in) qui empêchent les clients de changer de fournisseur. Le texte vise les géants du cloud, mais il s'applique à tout éditeur, y compris une startup SaaS de dix personnes. C'est là que réside l'angle mort : beaucoup d'éditeurs français pensent que le Data Act est un sujet d'hyperscalers. Il est d'abord un sujet de conformité contractuelle pour chaque éditeur.

L'article 23 : la suppression des obstacles au changement de fournisseur

Depuis le 12 septembre 2025, l'article 23 du Data Act impose aux fournisseurs de services de traitement de données de supprimer tout obstacle au changement de fournisseur, qu'il soit commercial, technique, contractuel ou organisationnel. Le client doit pouvoir résilier son contrat, conclure un nouveau contrat avec un autre fournisseur, porter ses données exportables et ses actifs numériques vers ce nouveau fournisseur ou vers sa propre infrastructure, et maintenir la continuité fonctionnelle de ses services pendant la migration.

Concrètement, sont désormais prohibées les pratiques qui constituaient le quotidien de nombreux contrats SaaS :

• les clauses qui subordonnent la restitution des données au paiement intégral de sommes contestées ou à des conditions dilatoires ;
• les formats propriétaires fermés qui rendent les exports inexploitables chez un concurrent ;
• les procédures de sortie volontairement complexes ou non documentées ;
• les frais de sortie dissuasifs sans lien avec les coûts réels.

Point de vigilance : l'obstacle « organisationnel » est le plus souvent négligé. Un processus de sortie qui existe sur le papier mais qu'aucune équipe n'est capable d'exécuter dans les délais réglementaires constitue un manquement au même titre qu'une clause abusive.

L'article 25 : les clauses que votre contrat doit désormais contenir

Le Data Act ne se contente pas d'interdire : il impose un contenu contractuel minimal. L'article 25 exige que les droits du client et les obligations du fournisseur relatifs au changement de fournisseur soient fixés dans un contrat écrit, mis à la disposition du client avant la signature. Ce contrat doit notamment prévoir :

Un préavis maximal de deux mois

Le client peut notifier sa décision de changer de fournisseur ou de rapatrier ses données avec un préavis maximal de deux mois. Les clauses d'engagement ferme qui bloquent toute sortie pendant 24 ou 36 mois ne peuvent plus faire obstacle à l'exercice de ce droit dans les conditions du règlement.

Une migration finalisée dans un délai transitoire de 30 jours

Après la période de préavis, la migration doit être menée dans un délai transitoire de 30 jours. Si ce délai est techniquement irréalisable, le fournisseur doit le notifier au client en justifiant l'impossibilité technique et en indiquant un délai de remplacement, qui ne peut excéder 7 mois. Pendant toute cette période, la continuité du service doit être maintenue.

Une assistance obligatoire et une sortie complète

Le fournisseur doit assister le client dans sa stratégie de sortie, fournir les informations nécessaires, et à l'issue de la migration, effacer les données du client après la période de récupération convenue. Le contrat doit aussi spécifier la liste exhaustive des catégories de données et actifs numériques exportables, y compris, a minima, toutes les données importées et générées par le client.

Si vos conditions générales ou votre contrat SaaS ne contiennent pas ces éléments, ils sont incomplets au regard du droit applicable depuis septembre 2025.

Le compte à rebours des frais de sortie : zéro euro au 12 janvier 2027

L'article 29 du Data Act organise la disparition programmée des frais de changement de fournisseur en deux temps :

• Du 12 septembre 2025 au 11 janvier 2027 : les frais de changement sont plafonnés aux coûts directement liés au processus de migration effectivement supportés par le fournisseur. Ils doivent être transparents et communiqués au client avant la signature du contrat.
• À compter du 12 janvier 2027 : plus aucun frais de changement ne peut être facturé. Cette interdiction couvre les frais liés au processus de migration, y compris les frais de transfert de données sortantes (egress fees) liés au changement.

Pour un éditeur SaaS, cela impose de revoir dès maintenant la grille tarifaire : toute ligne de facturation liée à la sortie du client doit être justifiable aujourd'hui, et supprimée au plus tard en janvier 2027. Les grands fournisseurs de cloud ont déjà anticipé en annonçant la suppression de leurs frais de transfert pour les migrations définitives. Un éditeur qui maintiendrait des frais de sortie non conformes s'exposerait à un double risque : l'inopposabilité de la clause au client, et un contentieux sur le fondement du règlement.

Interopérabilité et formats : l'exigence technique derrière la clause

La conformité au Data Act ne se joue pas seulement dans le contrat. Le règlement impose que les données exportables soient fournies dans un format structuré, couramment utilisé et lisible par machine. Le fournisseur doit publier une documentation à jour sur les formats disponibles, les interfaces et les procédures d'export.

C'est un chantier où le juridique et la technique doivent avancer ensemble : la clause de réversibilité décrit un processus, et ce processus doit exister réellement. Rédiger une clause conforme sur le papier sans capacité d'export opérationnelle expose l'éditeur à un manquement dès la première demande de sortie. À l'inverse, un éditeur capable de démontrer un processus de sortie documenté, testé et chiffré transforme une contrainte réglementaire en argument commercial : la réversibilité propre rassure les directions achats et accélère les signatures.

Contrats en cours : ce qui bascule le 12 septembre 2027

Les dispositions du Data Act s'appliquent immédiatement aux contrats conclus depuis le 12 septembre 2025. Pour certains contrats antérieurs à cette date, une application différée au 12 septembre 2027 est prévue, notamment pour les contrats à durée indéterminée. Autrement dit, le parc de contrats historiques d'un éditeur n'est pas à l'abri : il bénéficie d'un simple sursis.

La conséquence pratique est importante : un avenant de mise en conformité du parc existant doit être préparé en 2026, pour être déployé avant l'échéance de septembre 2027. Attendre expose à devoir renégocier dans l'urgence des dizaines de contrats simultanément.

Ce que risque un éditeur non conforme

Le Data Act renvoie aux États membres le soin de fixer les sanctions applicables, qui doivent être effectives, proportionnées et dissuasives. Au-delà de la sanction administrative, le risque le plus immédiat pour un éditeur est civil et commercial : clauses de sortie inopposables, demandes de migration impossibles à refuser, contentieux avec un client bloqué, et surtout perte de deals face à des concurrents dont les contrats sont conformes. Dans les appels d'offres, la conformité Data Act des clauses de réversibilité devient un critère d'analyse des directions juridiques acheteuses.

Méthode : réécrire vos clauses de réversibilité en quatre étapes

Voici la démarche que j'applique pour mettre en conformité les contrats d'un éditeur SaaS :

1. Audit du corpus contractuel : CGV, contrats cadres, contrats sur mesure, DPA et annexes techniques. Identification de toutes les clauses touchant à la durée, la résiliation, la restitution des données, les frais de sortie et les formats.
2. Confrontation aux exigences des articles 23 à 31 : préavis, délai transitoire, assistance, effacement, liste des données exportables, transparence tarifaire, information précontractuelle.
3. Réécriture des clauses et de la grille tarifaire : suppression des frais non justifiables, rédaction de la clause de réversibilité conforme, alignement de la documentation technique d'export.
4. Plan de déploiement : nouveaux contrats immédiatement, avenants sur le parc existant avant le 12 septembre 2027, et préparation de l'échéance du 12 janvier 2027 sur les frais.

Cette mise en conformité touche aussi vos contrats informatiques amont : si votre SaaS repose sur un hébergeur ou des sous-traitants cloud, leurs propres obligations de réversibilité doivent s'articuler avec les vôtres.

Transformer l'échéance de janvier 2027 en avantage

Le Data Act est souvent perçu comme une contrainte par les éditeurs. C'est une erreur de lecture : les premières entreprises à afficher une réversibilité conforme, documentée et gratuite en font un argument de vente, exactement comme la conformité RGPD est devenue un prérequis commercial après 2018. Les éditeurs de logiciels et SaaS le constatent déjà : la question de la sortie est posée dans quasiment toutes les négociations B2B.

Il reste quelques mois avant l'interdiction totale des frais de sortie. C'est le bon moment pour auditer vos contrats et déployer des clauses conformes, plutôt que de subir la première demande de migration d'un client informé. Si vous souhaitez faire le point sur votre situation contractuelle, vous pouvez échanger sur votre situation directement avec moi.