Clause de réversibilité : ce qu'un contrat d'infogérance doit prévoir

La réversibilité se négocie à la signature, parce que c'est le moment où le client et le prestataire ont le même intérêt à un contrat clair. Dans son guide sur la maîtrise des risques de l'infogérance, publié en 2010 et toujours diffusé par l'agence, l'ANSSI écrit : « De façon générale, la question de la réversibilité doit être une préoccupation permanente du donneur d’ordres. » Le même guide précise que le client doit être en mesure de reprendre l'exploitation à son compte, ou de la confier à un autre tiers de son choix, à tout moment et sans difficulté particulière.

Sans clause précise, le départ dépend largement de la bonne volonté du prestataire sortant : rien ne dit quand vos accès, votre documentation et vos données vous seront remis, ni sous quelle forme. Avec une clause, chacun sait ce qui est dû, et le prix de la sortie est connu dès l'entrée.

Une clause de réversibilité utile répond à sept questions, que l'on peut vérifier une à une à la relecture du contrat.

L'ANSSI demande aussi que la description précise de la restitution, avec ses conditions, ses délais et ses formats, figure dans le contrat. Sa clause type ajoute qu'à l'arrêt des prestations, l'ensemble des matériels, logiciels et documentations confiés au titulaire doivent être restitués.

La réversibilité se déclenche à la fin normale du contrat, mais pas seulement. Dans la clause type de l'ANSSI, elle peut être activée à tout moment, en respectant le délai stipulé au contrat, et sans justification particulière. L'ANSSI cite comme raisons envisageables un changement dans l'actionnariat du prestataire, une délocalisation des sites d'hébergement ou le non-suivi du plan d'assurance sécurité.

Écrivez la forme du déclenchement (un écrit daté, une date d'effet), le contenu du plan de réversibilité et la personne qui le valide de chaque côté. Un plan de réversibilité tenu à jour pendant le contrat, et relu lors de la revue de service, évite de le découvrir le jour du départ.

Un plan de réversibilité tient en quelques pages : la liste de ce qui sera restitué, avec son format, le calendrier de la phase de réversibilité, les responsables de chaque côté, et les conditions de bascule vers le nouveau prestataire. Il se met à jour quand le périmètre change, par exemple lors de l'ajout d'un logiciel métier ou d'une migration vers un service en ligne, pour qu'il décrive toujours l'informatique réelle et non celle du jour de la signature.

Pour les données personnelles, une partie de la réversibilité est imposée par le RGPD. Le prestataire d'infogérance qui accède à vos fichiers agit comme sous-traitant, et l'article 28 du RGPD prévoit que le contrat l'oblige, au terme de la prestation et selon votre choix, à supprimer toutes les données à caractère personnel ou à vous les renvoyer, puis à détruire les copies existantes, sauf obligation légale de conservation.

La CNIL, dans sa fiche sur la gestion de la sous-traitance, recommande que le contrat fixe les conditions de restitution et de destruction des données en fin de contrat. Ses exemples de clauses de sous-traitance peuvent servir de base à la rédaction, et le dossier les clauses de sous-traitance de l'article 28 les reprend une par une.

Faites préciser comment la destruction est prouvée, par exemple par une attestation écrite et datée qui liste les supports concernés. La clause type de l'ANSSI va plus loin pour les supports qui contiennent vos données : elle prévoit que l'effacement ou la destruction aient lieu en présence d'un représentant du client.

Une clause de réversibilité se relit avec une question simple : si je voulais partir demain, saurais-je ce qui me serait rendu, quand, sous quelle forme et pour quel prix ? Si la réponse tient en une promesse vague de concours du prestataire, la clause est à réécrire.

• La liste de ce qui est restitué couvre les données, la documentation, les comptes administrateur et les abonnements.
• Chaque type de données a un format de restitution nommé.
• La durée de la phase de réversibilité et le préavis sont écrits.
• L'assistance du prestataire sortant, y compris auprès de votre nouveau prestataire, est prévue.
• Les engagements de service restent valables jusqu'à la fin.
• Le prix de la réversibilité est fixé ou calculable.
• La suppression ou le renvoi des données personnelles, et la destruction des copies, sont prévus et attestés.

Faites relire le contrat par un juriste si l'enjeu le justifie : cette liste vous aide à savoir quoi lui demander, elle ne remplace pas son avis. Le jour où vous changerez de prestataire, le dossier changer de prestataire informatique reprend la procédure étape par étape, et le lexique rappelle les termes du contrat.