Prestataire défaillant : récupérer ses données

Lorsqu’un prestataire annonce l’arrêt de son service ou ne répond plus, récupérez les données encore accessibles par les moyens autorisés, vérifiez leur contenu et préparez une destination sécurisée. Il faut mener en parallèle le suivi contractuel et la continuité opérationnelle : une obligation de restitution ne garantit pas que les fichiers seront matériellement disponibles le dernier jour.

La priorité n’est pas de télécharger le plus gros fichier possible. Elle consiste à préserver les dossiers nécessaires, leurs pièces et leurs relations, puis à savoir exactement ce qui manque. Le résultat peut être une reprise partielle avec des réserves documentées ; ne présentez pas cette situation comme une restitution complète.

Identifier la défaillance avant de choisir le recours

Une fermeture commerciale annoncée, une panne technique, un silence du support et une procédure collective ne sont pas la même situation. Conservez l’annonce, le contrat, les coordonnées vérifiées et les dates importantes. Notez ce qui fonctionne encore : lecture, export, téléchargement des pièces, comptes d’administration et sauvegardes indépendantes.

Désignez un pilote disposant de l’autorité nécessaire pour coordonner le métier, l’informatique et le suivi juridique. Son dossier doit comporter deux échéanciers : celui de l’accès matériel au service et celui des démarches contractuelles ou procédurales. Ils peuvent être très différents.

Si une procédure collective est ouverte, les pouvoirs des interlocuteurs et les effets sur les contrats doivent être examinés à partir de la procédure réelle. Ce guide ne détermine ni le rang des créances ni le droit de résilier dans chaque situation. Une réponse informelle d’un ancien commercial ne suffit pas à établir qui peut autoriser une opération.

L’urgence ne permet pas davantage de contourner les habilitations. Utilisez vos accès autorisés et faites formaliser les interventions exceptionnelles ; ne demandez pas à un ancien salarié du fournisseur de vous remettre une copie obtenue hors de ses pouvoirs.

Distinguer restitution, effacement et rétablissement

Lorsque le prestataire agit comme sous-traitant, l’Art. 28(3)(g) prévoit, au terme de la prestation, la suppression ou le renvoi des données selon le choix du responsable, ainsi que la destruction des copies existantes, sauf conservation exigée par le droit de l’Union ou d’un État membre. La restitution et le sort des copies doivent donc être suivis séparément. RGPD, Art. 28(3)(g).

Pour des dossiers encore nécessaires, demandez clairement leur renvoi avant de clôturer leur suppression chez le fournisseur. L’instruction doit préciser le périmètre, les pièces, les relations et le destinataire autorisé. « Merci de nous rendre nos données » laisse trop de questions ouvertes si le service utilise des fichiers externes ou des identifiants propres.

L’Art. 32(1)(c) vise la capacité de rétablir la disponibilité et l’accès dans des délais appropriés après un incident physique ou technique. Il ne promet pas la récupération de données dont aucune copie exploitable n’existe. Les mesures de continuité doivent être préparées en fonction des risques, avant que le fournisseur devienne injoignable. RGPD, Art. 32(1)(b)–(d).

La CNIL recommande de fixer contractuellement les conditions de restitution et de destruction. Relisez les modalités concrètes prévues dans votre contrat : format, assistance, accès temporaire et interlocuteur. CNIL, gérer la sous-traitance.

Examiner une garantie souvent oubliée dans la chaîne

Vous n’avez pas automatiquement un contrat direct avec l’hébergeur du logiciel. Même s’il détient physiquement une sauvegarde, il doit vérifier l’autorité de celui qui demande sa remise et le périmètre concerné. Une base mutualisée ne peut pas être remise intégralement au premier client qui se présente.

Il existe cependant une garantie précise dans les clauses types 2021/915, lorsqu’elles sont utilisées. La clause 7.7(e) impose au sous-traitant de convenir avec son propre sous-traitant d’une stipulation pour autrui : si le premier disparaît matériellement, cesse d’exister en droit ou devient insolvable, le responsable doit pouvoir mettre fin au contrat aval et demander le renvoi ou l’effacement des données. Décision 2021/915, clause 7.7(e).

Vérifiez donc l’instrument applicable et la clause aval effectivement prévue. Cette stipulation n’est pas une promesse de sauvegarde disponible, un accès administrateur universel ou un mécanisme attaché automatiquement à toute panne. Elle donne une piste contractuelle précise à examiner avec les pièces et les interlocuteurs habilités.

Les règles de sortie propres au service et à la situation du fournisseur doivent aussi être examinées. La continuité technique ne remplace pas cette analyse ; inversement, elle ne doit pas attendre passivement l’issue d’un échange juridique alors qu’un export autorisé demeure possible.

Bordereau R-54 : définir la restitution attendue

Exemple entièrement fictif. Une PME utilise un service de gestion de demandes clients. Le fournisseur annonce une fermeture prochaine. Le périmètre actif à reprendre comporte cinquante-quatre dossiers et quatre-vingt-quatre pièces, selon un inventaire établi avant l’export. Ces chiffres servent à contrôler ce cas, pas à fixer un seuil de conformité.

La responsable métier et l’informaticien remplissent ce bordereau :

L’export comporte bien cinquante-quatre lignes, mais seulement quatre-vingts fichiers. Les quatre pièces absentes sont remplacées par des adresses pointant vers l’ancien service. Deux manquent dans le dossier D-12, une dans D-31 et une dans D-48. L’entreprise détient le catalogue complet des références, mais pas encore toutes les pièces.

Un bouton « export terminé » et une archive volumineuse ne suffisent donc pas. Le contrôle métier doit aussi vérifier qu’un document s’ouvre, reste compréhensible et correspond à la bonne personne. Un fichier lisible rattaché au mauvais dossier créerait une autre défaillance.

Reprendre ce qui est fiable et conserver les réserves

La PME demande les quatre fichiers au contact vérifié du fournisseur. Elle compare également sa dernière sauvegarde indépendante. Dans le scénario, celle-ci contient les deux pièces de D-12 et celle de D-31, dans les versions attendues. Elle ne contient pas la pièce manquante de D-48.

Le bilan devient donc quatre-vingt-trois pièces retrouvées sur quatre-vingt-quatre. Cinquante-trois dossiers sont complets au regard de l’inventaire ; D-48 reste sous réserve. Le service peut reprendre les opérations qui ne dépendent pas de cette pièce, mais il ne valide pas une décision exigeant son contenu.

La personne chargée de D-48 recherche une source légitime permettant de reconstituer le document ou son information nécessaire. Elle ne fabrique pas une pièce et ne suppose pas son contenu à partir d’une ancienne note. Le registre de reprise indique l’absence, son effet concret, le responsable de la recherche et la prochaine action.

Pendant la transition, deux nouvelles demandes sont créées directement dans le nouvel outil. Elles sont suivies dans un journal séparé des cinquante-quatre dossiers migrés, afin d’éviter qu’un second import ne les efface ou ne les duplique. La date de coupure des écritures dans l’ancien service et les éventuelles modifications tardives doivent être rapprochées explicitement.

Le dossier de conformité conserve le bordereau et les décisions. Il n’a pas besoin de devenir une troisième base contenant toutes les pièces clients.

Préserver les droits et les durées pendant la reprise

Une sauvegarde peut réintroduire une adresse rectifiée, une pièce effacée ou un dossier dont l’usage avait été limité. Rapprochez donc son contenu des décisions intervenues depuis sa création avant la remise en service. Le succès technique d’un import ne démontre pas le respect de ces décisions.

Les principes d’exactitude, de minimisation et de conservation limitée continuent de s’appliquer. Séparez les dossiers actifs, les archives justifiées et les données à supprimer ; leur présence dans l’export ne leur donne pas une nouvelle finalité. RGPD, Art. 5(1)(b)–(e). Le guide des durées de conservation aide à organiser cette séparation.

Les demandes de droits en cours gardent leur date de réception. Une migration ne redémarre pas le délai de réponse de l’Art. 12(3). Si une recherche est encore incomplète, documentez ce qui manque et répondez selon les règles applicables, sans assimiler une donnée non récupérée à une donnée qui n’a jamais existé. RGPD, Art. 12(3)–(4).

L’environnement de destination doit être prêt : accès utiles seulement, canal protégé, organisation des sauvegardes et responsabilités définies. Un nouveau prestataire traitant pour votre compte doit présenter les garanties et le cadre contractuel requis, même pour une solution temporaire. RGPD, Art. 28(1) et 28(3).

Qualifier l’incident sans attendre la fin de la récupération

Une défaillance commerciale n’est pas, par son seul nom, une violation de données. Il faut rechercher une violation de sécurité entraînant notamment perte, destruction, altération, divulgation ou accès non autorisé. Une indisponibilité peut aussi affecter les personnes, même sans fuite démontrée. RGPD, Art. 4(12).

Dans R-54, l’absence de la pièce impose d’examiner sa cause et ses conséquences. La qualification, la documentation et l’évaluation des risques suivent le circuit des violations de données. La notification à l’autorité, lorsqu’elle est requise, ne peut être reportée jusqu’à la récupération complète ; des informations complémentaires peuvent être transmises de manière échelonnée sans retard indu. RGPD, Art. 33(1), 33(4)–(5) et 34(1).

Fermer le dossier de sortie sans confondre les résultats

La clôture doit distinguer la reprise du service, la complétude des données récupérées et le sort des copies chez l’ancien fournisseur. Dans R-54, une reprise utile est possible alors qu’une pièce manque encore ; cette réserve reste visible jusqu’à sa résolution ou à une décision motivée sur ses suites.

Demandez les confirmations d’effacement correspondant aux instructions applicables et suivez les exceptions légales invoquées. Le silence du fournisseur n’est pas une preuve de destruction. Les clauses 2021/915, si elles sont retenues, prévoient également le maintien des obligations jusqu’au renvoi ou à l’effacement. Décision 2021/915, clause 10(d).

Pour le prochain contrat, transformez les difficultés observées en exigences précises : pièces exportables, relations conservées, récupération indépendante et interlocuteur de sortie. Ces garanties font partie de la relation avec un éditeur SaaS, au-delà du fonctionnement quotidien.

Ce qu’il faut retenir

• Coordonnez récupération autorisée, destination sécurisée et démarches juridiques.
• Vérifiez les fichiers et leurs relations, pas seulement les lignes d’un export.
• Préservez les corrections, restrictions, effacements et échéances des droits.
• Distinguez reprise opérationnelle, données manquantes et suppression des copies.

FAQ

Le droit à la portabilité permet-il de réclamer toute la base de l’entreprise ?

L’Art. 20 organise un droit des personnes dans son périmètre propre. Il ne remplace pas les obligations de restitution ni l’analyse du contrat entre l’entreprise et son prestataire.

Peut-on payer un hébergeur pour obtenir directement une copie ?

Un accord financier ne suffit pas à établir le droit de recevoir les données. Il faut vérifier les pouvoirs, le cadre contractuel et les autorisations, ainsi que la séparation des données des autres clients.

Faut-il attendre toutes les pièces pour reprendre l’activité ?

Pas nécessairement. Décidez quelles opérations sont fiables et lesquelles doivent rester suspendues, en tenant compte des conséquences pour les personnes. Une reprise partielle doit conserver des réserves explicites.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.