Réversibilité et portabilité : préparer la sortie avant de choisir un hébergeur

La réversibilité est la capacité de quitter un hébergeur en récupérant ses données et en les remettant en service ailleurs dans un délai et à un coût maîtrisés. Elle se prépare avant la signature, pas au moment de partir : choix de technologies standards, contrat précisant la restitution des données, copies régulières hors de l'hébergeur et test réel de restauration. Depuis le 12 septembre 2025, le règlement européen sur les données (Data Act) impose des règles de changement de fournisseur de services de traitement de données, qui renforcent vos droits mais ne dispensent pas d'une préparation technique.

Ce que dit le droit européen sur le changement de fournisseur

Le règlement (UE) 2023/2854, dit Data Act, contient un chapitre consacré au changement entre fournisseurs de services de traitement de données, notamment les services cloud. Sans entrer dans le détail juridique, les points structurants sont les suivants.

• Le contrat doit prévoir le droit pour le client de changer de fournisseur ou de migrer vers une infrastructure propre, et définir une procédure : préavis maximal, durée de la période de transition, assistance du fournisseur.
• Les frais de changement sont encadrés : pendant une période transitoire, ils ne doivent pas excéder les coûts réellement supportés par le fournisseur ; la suppression complète des frais de changement est prévue à compter du 12 janvier 2027. Vérifiez la lecture exacte du texte et ses éventuelles évolutions sur le site officiel EUR-Lex.
• Le fournisseur doit rendre transparentes les informations sur les procédures de migration, les formats d'export et les frais éventuels.
• Des obligations d'interopérabilité et de spécifications ouvertes s'appliquent progressivement.

La loi française pour sécuriser et réguler l'espace numérique, de 2024, comprend également des dispositions sur les pratiques commerciales des fournisseurs de cloud, par exemple sur les crédits offerts et les frais de transfert de données. Pour connaître le détail à la date de votre contrat, consultez Legifrance ou votre conseil juridique.

Les quatre niveaux de dépendance

Plus on monte dans les services propriétaires, plus la sortie est coûteuse. Ce n'est pas une raison de les refuser systématiquement : le gain de productivité peut compenser. Mais il faut en être conscient et l'inscrire dans la décision.

Que mettre dans le contrat

1. Restitution des données : formats, délai, modalités techniques, coûts éventuels.
2. Période de transition : durée pendant laquelle le service reste disponible pour permettre la migration.
3. Suppression : engagement de supprimer les données après la restitution et attestation écrite.
4. Frais de sortie : détail des tarifs de transfert, en cohérence avec le Data Act.
5. Préavis et durée : conditions de résiliation et de non-reconduction tacite.
6. Niveau de service : disponibilité, pénalités, procédure d'incident.
7. Sous-traitants : liste et notification de changements.
8. Localisation : pays d'hébergement des données et des sauvegardes.

Mesures techniques pour rester réversible

• Privilégiez les standards ouverts : bases de données open source, conteneurs OCI, stockage compatible S3, outils d'infrastructure en code indépendants d'un fournisseur.
• Conservez des sauvegardes hors du fournisseur : une copie régulière sur un autre hébergeur ou sur site vous protège aussi contre une panne majeure ou une suspension de compte.
• Documentez l'architecture et gardez les scripts de déploiement à jour.
• Testez la restauration dans un autre environnement au moins une fois par an. Une procédure de sortie non testée est une hypothèse.
• Évitez les couplages inutiles : isolez les appels vers des services propriétaires derrière une couche d'abstraction simple.
• Surveillez la taille de vos données : exporter 50 Go prend quelques heures ; exporter 50 To prend des semaines et peut coûter cher.

Exemple chiffré du coût de sortie (illustratif)

Une entreprise stocke 20 To chez un fournisseur dont le trafic sortant coûte 0,05 € par Go (valeur fictive).

• Volume : 20 To = 20 000 Go.
• Coût de sortie brut : 20 000 × 0,05 = 1 000 €.
• Durée de transfert à 1 Gbit/s soutenu (soit environ 450 Go par heure en pratique, valeur indicative) : 20 000 / 450 ≈ 44 heures.

Ajoutez les coûts du nouvel hébergeur, la double facturation pendant la transition et le temps de travail : le coût de sortie financier peut être mineur face au coût d'adaptation technique. Les règles du Data Act visent à réduire la première composante ; la seconde dépend de vos choix techniques. Intégrez ce coût dans votre décision d'engagement avec le calculateur de remise d'engagement : une remise de 20 % sur trois ans peut ne pas compenser un verrouillage technique.

Erreurs fréquentes

• Ne jamais lire la clause de résiliation et découvrir un préavis de six mois au moment de partir.
• Utiliser un service propriétaire séduisant sans estimer le coût d'une sortie.
• Ne pas tester la restauration des sauvegardes.
• Confondre réversibilité et sauvegarde : la sauvegarde protège contre la perte de données, la réversibilité contre la dépendance.

Quand demander conseil

Si votre contrat est conséquent (plusieurs dizaines de milliers d'euros par an) ou si vous traitez des données réglementées, faites relire le contrat par un avocat. Pour l'évaluation technique du coût de sortie, un architecte cloud indépendant peut chiffrer précisément le projet.

FAQ

Les frais de sortie sont-ils interdits ?

Pas encore totalement. Le Data Act prévoit une suppression des frais de changement à compter du 12 janvier 2027 ; d'ici là, ils doivent se limiter aux coûts réels. Vérifiez la rédaction exacte du texte et du contrat.

La portabilité du RGPD et celle du Data Act sont-elles identiques ?

Non. Le droit à la portabilité du RGPD concerne les données personnelles d'une personne physique ; les règles du Data Act portent sur le changement de fournisseur de services de traitement de données par un client professionnel.

Comment savoir si mon application est portable ?

Listez les services propriétaires utilisés. Si vous pouvez déployer l'application sur des machines Linux standard avec des composants open source, elle est largement portable.

Sources

• EUR-Lex — texte officiel du règlement (UE) 2023/2854
• Commission européenne – Stratégie numérique — informations sur le Data Act
• Legifrance — textes de droit français sur le numérique