Data Act et changement de cloud

Selon la synthèse du cabinet d’avocats irlandais Matheson, le client donne un préavis de deux mois au plus. Le changement intervient ensuite sous 30 jours, prolongeables à sept mois au plus en cas d’impossibilité technique. Après résiliation, le client peut récupérer ses données pendant au moins 30 jours, puis le fournisseur efface intégralement les données exportables. Celles-ci sont les données d’entrée et de sortie du service, métadonnées comprises, à l’exclusion des actifs protégés par des droits de propriété intellectuelle ou le secret des affaires.

Les frais de changement diminuent en deux étapes selon le Data Act. Jusqu’au 12 janvier 2027, un fournisseur peut facturer des frais réduits ne dépassant pas ses coûts directs du changement, comme l’explique McCann FitzGerald, puis plus aucun après cette date. Les frais de transfert de données en fonctionnement normal échappent à cette règle. Dr. Datenschutz (en allemand) indique que les coûts de dépendance peuvent se déplacer vers cette partie du tarif.

Les préavis, l’assistance à la transition et la restitution des données sont désormais des minimums légaux, que le plan de sortie peut invoquer lorsque le contrat manque de précision. Les droits et obligations doivent toujours figurer dans un contrat écrit, avec le préavis, la période de transition, la liste des données exportables et les frais de changement.

Le travail technique reste à la charge de la banque. Pour les services d’infrastructure, le fournisseur doit lever les obstacles à l’équivalence fonctionnelle chez le nouveau fournisseur, mais sans devoir y reconstruire les services du client. Une charge de travail reposant sur des services gérés propriétaires, ou une application IA liée à l’API de modèle d’un fournisseur, nécessite toujours la migration décrite dans le plan de sortie. Les fournisseurs doivent aussi publier l’emplacement de leur infrastructure TIC et leurs mesures contre l’accès de gouvernements étrangers. La banque peut utiliser ces informations pour évaluer la question du CLOUD Act.

Le Data Act s’applique depuis le 12 septembre 2025, y compris son chapitre sur le changement de fournisseur. Jusqu’au 12 janvier 2027, les fournisseurs peuvent facturer des frais réduits plafonnés à leurs coûts directs; dès cette date, le changement est gratuit.

Le Data Act couvre les services de traitement de données, soit en pratique l’infrastructure, la plateforme et le logiciel en tant que service, et s’applique aux fournisseurs hors UE servant des clients dans l’UE. Les services conçus pour un seul client et non commercialisés à grande échelle, et les services en version de test ou bêta, sont partiellement exemptés.

Le Data Act donne à chaque client le droit de changer de fournisseur. DORA impose à une entité financière de planifier et tester sa sortie pour les fonctions critiques ou importantes, avec des solutions alternatives nommées et des plans de transition. Une banque intègre les conditions minimales du Data Act à ses contrats et continue de rédiger et tester son plan.