Contrat d’externalisation informatique : sécurité des données, propriété du code, violation et fin du contrat

Page du service : Contrats commerciaux : un avocat pour la rédaction, la vérification et l’exécution forcée.

L’externalisation informatique consiste à confier des tâches technologiques à un fournisseur externe : développement de logiciels, exploitation de systèmes, hébergement, sécurité ou support. Ce guide explique quelles dispositions légales s’appliquent à un tel contrat, et ce qu’il est utile d’y prévoir pour ne pas avoir à combler les lacunes devant le tribunal. Lorsque le contrat porte surtout sur un service en nuage payé périodiquement, voir aussi Conditions et contrats SaaS : que vérifier avant de signer (DPA compris).

Existe-t-il une loi spéciale pour les contrats d’externalisation informatique ?

Non. Le contenu d’un contrat peut être tout ce que les parties ont convenu (article 24 de la loi sur les contrats (partie générale), 5733-1973 (חוק החוזים (חלק כללי), התשל״ג-1973)). Il peut être conclu oralement, par écrit ou sous une autre forme, sauf si une forme particulière est une condition de sa validité selon la loi ou selon un accord entre les parties (article 23). Les questions pratiques, comme le niveau de service, les délais, le prix et les conditions de sortie, sont fixées par le contrat. La loi intervient sur quelques points :

• La bonne foi : dans les négociations en vue du contrat, il faut agir de manière usuelle et de bonne foi (article 12(a)). Il en va de même pour l’exécution du contrat et pour l’exercice d’un droit qui en découle (article 39).
• Un défaut dans le travail : un contrat portant sur l’exécution d’un ouvrage ou sur la fourniture d’un service contre rémunération, lorsque l’entrepreneur n’est pas le salarié du maître de l’ouvrage, est un contrat d’entreprise (article 1 de la loi sur le contrat d’entreprise, 5734-1974 (חוק חוזה קבלנות, התשל״ד-1974)). Un contrat par lequel un fournisseur externe développe ou exploite des systèmes contre rémunération répond à cette définition. Sauf disposition contraire du contrat, le maître de l’ouvrage signale le défaut dans un délai raisonnable et donne une possibilité convenable de le corriger. S’il n’est pas corrigé dans un délai raisonnable, il peut le corriger lui-même et réclamer les dépenses raisonnables, ou déduire de la rémunération le montant de la perte de valeur du service (articles 3, 4 et 8(a)).
• Les informations personnelles : lorsque le fournisseur accède à une base de données, la loi sur la protection de la vie privée, 5741-1981 (חוק הגנת הפרטיות, התשמ״א-1981) et le règlement sur la sécurité des données s’appliquent.
• La propriété intellectuelle : la propriété du code que le fournisseur développe est déterminée selon la loi sur le droit d’auteur.
• La violation : les recours sont prévus par la loi sur les contrats (recours pour violation de contrat), 5731-1970 (חוק החוזים (תרופות בשל הפרת חוזה), התשל״א-1970).

Le fournisseur accède à des informations personnelles : qu’impose le règlement sur la sécurité des données ?

La loi sur la protection de la vie privée, 5741-1981 définit le « détenteur » d’une base de données comme une entité extérieure au responsable de la base de données, qui traite des informations pour son compte. Le « traitement » comprend notamment le stockage, la consultation et l’octroi d’un accès (article 3). Un fournisseur qui stocke pour le client des informations personnelles de clients ou de salariés, ou qui y accède pour assurer la maintenance d’un système, peut répondre à cette définition. Le responsable de la base de données et le détenteur sont chacun responsables de la sécurité des données de la base de données (article 17(a)).

L’article 15 du règlement sur la protection de la vie privée (sécurité des données), 5777-2017, porte sur l’externalisation. Le titulaire de la base de données qui fait appel à une entité extérieure pour un service impliquant l’accès à la base de données :

1. examine, avant de conclure, les risques de sécurité des données qui y sont liés (article 15(a)(1)) ;
2. prévoit expressément dans le contrat, compte tenu des risques : les informations que le fournisseur est autorisé à traiter et les finalités d’utilisation permises ; les systèmes de la base de données auxquels il est autorisé à accéder ; le type de traitement permis ; la durée de la relation, les modalités de restitution des informations à la fin de celle-ci, leur destruction chez le fournisseur et le compte rendu à ce sujet ; les modalités de mise en œuvre des obligations de sécurité des données ; l’obligation du fournisseur de faire signer à ses personnes autorisées un engagement de confidentialité et d’utilisation des informations uniquement selon le contrat ; lorsque le fournisseur est autorisé à fournir le service par l’intermédiaire d’une autre entité, son obligation d’inclure tous ces points dans le contrat conclu avec elle ; et l’obligation du fournisseur de rendre compte au moins une fois par an de l’exécution de ses obligations, et de signaler tout incident de sécurité (article 15(a)(2)(a)–(h)) ;
3. détaille aussi, dans la procédure de sécurité de la base de données, les points des sous-alinéas (a) à (e), et y renvoie expressément au contrat et à la procédure de sécurité du fournisseur (article 15(a)(3)) ;
4. prend des mesures de contrôle et de surveillance du respect du contrat et du règlement par le fournisseur, dans la mesure nécessaire compte tenu des risques (article 15(a)(4)).

Trois remarques. Premièrement, cet article ne s’applique pas à la relation entre le titulaire de la base de données et un particulier (article 15(c)). Il ne figure pas non plus parmi les articles qui s’appliquent à une « base de données gérée par un particulier » au sens de l’article 1 (article 21(4)). Deuxièmement, une organisation qui a plusieurs bases de données du même niveau de sécurité peut satisfaire à l’obligation contractuelle par un seul contrat (article 15(b)). Troisièmement, le règlement a été adopté en 2017 et emploie le terme « titulaire de la base de données » (בעל מאגר), alors que la loi, dans sa version actuelle, parle du « responsable de la base de données » (בעל שליטה במאגר מידע) (article 3).

Et une autre obligation s’applique au personnel du fournisseur lui-même : celui qui a eu connaissance d’informations personnelles dans le cadre de ses fonctions de salarié, de dirigeant ou de détenteur d’une base de données ne les divulgue pas, sauf pour l’exécution de son travail, pour l’application de la loi ou sur ordonnance d’un tribunal dans le cadre d’une procédure judiciaire (article 16). Un fournisseur qui opère hors d’Israël soulève aussi la question du transfert d’informations hors des frontières de l’État : voir Transfert de données personnelles à l’étranger : quand c’est permis. Sur les obligations après une fuite, voir Fuite de données en entreprise : obligation de signaler, amendement n° 13 et risques.

À qui appartient le code que le fournisseur a développé pour vous ?

Un logiciel est une « œuvre littéraire » au sens de la loi sur le droit d’auteur, 5768-2007 (article 1). Trois règles déterminent qui est le premier titulaire :

• l’auteur d’une œuvre est le premier titulaire du droit d’auteur sur celle-ci (article 33(1)) ;
• l’employeur est le premier titulaire d’une œuvre créée par son salarié pour les besoins et au cours de son travail, sauf convention contraire (article 34) ;
• pour une œuvre créée sur commande, le premier titulaire est l’auteur, sauf convention contraire, expresse ou implicite, entre le commanditaire et l’auteur (article 35(a)).

Concrètement : la loi sur le droit d’auteur ne transfère pas au commanditaire la propriété du code au seul motif qu’il a payé le développement. Celui qui veut la propriété doit la prévoir. Le droit d’auteur peut être cédé par contrat, et son titulaire peut accorder une licence exclusive ou non exclusive (article 37(a)). On peut céder le droit ou accorder une licence sur tout ou partie de celui-ci, et les limiter à un lieu, à une durée ou à un acte déterminé (article 37(b)). Le contrat de cession du droit d’auteur ou d’octroi d’une licence exclusive exige un écrit (article 37(c)). L’auteur d’un logiciel n’a pas de droit moral selon la loi (article 45(a)).

Dans le contrat lui-même, il est utile de distinguer le code que le fournisseur développe spécialement pour vous des composants qu’il avait auparavant ou qu’il utilise chez d’autres clients. Pour chacun d’eux, prévoyez la propriété ou une licence, la remise du code source et de la documentation, et l’utilisation de composants open source. Voir aussi Licences open source : GPL ou MIT et les obligations.

Le fournisseur ne respecte pas ses engagements : quels recours prévoit la loi ?

En cas de violation du contrat, la partie lésée a le droit d’en demander l’exécution ou de le résoudre, et a droit à des dommages-intérêts en plus de l’une de ces mesures ou à leur place (article 2 de la loi sur les contrats (recours)). Quelques règles sont particulièrement importantes dans les contrats informatiques :

• L’exécution forcée : la partie lésée a droit à l’exécution du contrat, sauf notamment si l’exécution revient à contraindre à fournir ou à accepter un travail personnel ou un service personnel, si l’exécution de l’ordonnance exige un degré de surveillance déraisonnable, ou si l’exécution est injuste dans les circonstances (article 3).
• La résolution : en cas de violation fondamentale, la partie lésée a le droit de résoudre le contrat (article 7(a)). La « violation fondamentale » est une violation telle qu’une personne raisonnable n’aurait pas conclu le contrat si elle l’avait prévue avec ses conséquences, ou une violation dont le contrat prévoit qu’elle est fondamentale. Une clause générale qui rend fondamentales toutes les violations sans distinction n’a pas d’effet, sauf si elle était raisonnable lors de la conclusion du contrat (article 6). En cas de violation non fondamentale, on résout le contrat après avoir accordé à l’auteur de la violation un délai supplémentaire pour l’exécuter et que le contrat n’a pas été exécuté dans un délai raisonnable après ce délai, sauf si la résolution est injuste dans les circonstances (article 7(b)). Lorsque le contrat est divisible en parties et que l’une d’elles a été violée, on ne résout que la partie violée, sauf si la violation constituait aussi une violation fondamentale du contrat dans son ensemble (article 7(c)). La résolution se fait par une notification à l’auteur de la violation dans un délai raisonnable (article 8).
• Les dommages-intérêts : pour le préjudice que l’auteur de la violation a prévu ou aurait dû prévoir, lors de la conclusion du contrat, comme conséquence probable de la violation (article 10). Il n’y a pas d’indemnisation pour le préjudice que la partie lésée aurait pu éviter ou réduire par des moyens raisonnables (article 14(a)).
• L’indemnité convenue : les dommages-intérêts que les parties ont convenus à l’avance sont payés sans preuve du préjudice. Le tribunal peut toutefois les réduire s’ils ont été fixés sans aucun rapport raisonnable avec le préjudice prévisible (article 15(a)). Leur stipulation ne prive pas, à elle seule, du droit de réclamer à leur place des dommages-intérêts selon les articles 10 à 14 (article 15(b)).

Les crédits prévus par le SLA, par exemple en cas de faible disponibilité, sont un arrangement contractuel. Il est donc utile de préciser s’ils sont le seul recours en cas de non-respect du niveau de service ou un recours supplémentaire, et comment ils s’articulent avec la limitation de responsabilité. Sur l’indemnité convenue, voir Clause pénale (dommages convenus) : comment la rédiger pour qu’elle tienne ; sur la limitation de responsabilité, voir Limitation de responsabilité dans un contrat : ce qu’on peut limiter.

Le contrat prend fin : que deviennent les informations et le code ?

Lorsque le fournisseur accède à une base de données d’informations personnelles, le contrat doit fixer la durée de la relation, les modalités de restitution des informations au titulaire à la fin de celle-ci, leur destruction chez le fournisseur et le compte rendu à ce sujet (article 15(a)(2)(d)). L’article ne fixe ni format, ni calendrier, ni obligation de remettre le code source. Ces points sont donc fixés par le contrat : ce qui est remis à la fin (données, code source, documentation, accès), dans quel format et dans quel délai, et quelle est l’obligation de coopération avec un fournisseur de remplacement.

Si le contrat a été résolu pour violation, l’auteur de la violation restitue à la partie lésée ce qu’il a reçu en vertu du contrat, et la partie lésée restitue à l’auteur de la violation ce qu’elle a reçu. Chacun paie la valeur lorsque la restitution est impossible ou déraisonnable, ou lorsque la partie lésée l’a choisi (article 9(a) de la loi sur les contrats (recours)). La fin du contrat par notification, sans violation, se fait selon ce que prévoit le contrat, de manière usuelle et de bonne foi (article 39 de la loi sur les contrats (partie générale)). Sur la résolution du contrat en général, voir Résolution du contrat : quand elle est permise et comment envoyer la lettre.

Ce que prévoit la loi, point par point

Que vérifier avant de signer ?

Pour un contrat conclu ou renouvelé après l’entrée en vigueur de l’amendement n° 3 de la loi sur les contrats (partie générale), publié le 7 janvier 2026, une nouvelle version de l’article 25(a) s’applique (article 2 de la loi d’amendement). Les parties peuvent convenir du mode d’interprétation du contrat et des preuves admissibles pour l’interpréter (article 25(a)(1)). Un contrat d’affaires qui ne contient pas de dispositions sur le mode d’interprétation s’interprète selon son seul libellé, sauf si le libellé seul conduit à un résultat déraisonnable ou à une contradiction entre ses dispositions (article 25(a)(2)). Un contrat d’adhésion, même s’il en a été convenu autrement, s’interprète selon l’intention présumée des parties (article 25(a)(4)). Les parties qui n’étaient pas représentées par un avocat pour la rédaction du contrat sont réputées ne pas avoir convenu du mode d’interprétation (article 25(a)(5)(a)). Lorsqu’un contrat peut être interprété de plusieurs façons et que l’une des parties avait l’avantage dans la rédaction de ses conditions, l’interprétation contre elle est préférée à l’interprétation en sa faveur (article 25(b1)), et un accord contraire à cette règle n’a pas d’effet (article 25(a)(5)(b)). Voir Interprétation d’un contrat : comment le tribunal lit une clause.

Points à vérifier :

• La définition du service, les indicateurs du SLA, les modalités de mesure et de compte rendu, et ce qui se passe lorsque l’objectif n’est pas atteint.
• En cas d’accès à des informations personnelles : tous les points de l’article 15(a)(2), et un droit d’audit permettant de respecter l’article 15(a)(4).
• La propriété et la licence du code, par écrit (article 37(c) de la loi sur le droit d’auteur), et la remise du code source et de la documentation.
• Quelles violations seront considérées comme fondamentales, par une liste ciblée et non par une clause générale (article 6 de la loi sur les contrats (recours)).
• Une indemnité convenue en rapport raisonnable avec le préjudice prévisible (article 15(a)), et son articulation avec les crédits SLA et la limitation de responsabilité.
• Les sous-traitants : sont-ils permis, et à quelles conditions ; pour les informations personnelles, voir aussi l’article 15(a)(2)(g).
• La fin et la sortie : préavis, période de transition, restitution des données, destruction et compte rendu.
• Un fournisseur à l’étranger : la loi applicable et le lieu de juridiction (compétence territoriale) ou de l’arbitrage. Voir Un contrat international : loi applicable, juridiction et CVIM et Arbitrage commercial : procédure, avantages et inconvénients.

Sur la vérification et la rédaction des contrats avec les fournisseurs, voir la page Contrats commerciaux.

Vous voulez faire examiner votre situation ? Fixez un premier appel pour examiner votre situation.

Questions fréquentes

Notre fournisseur accède à la base de données clients. Que doit contenir le contrat ?

Lorsque l’article 15 du règlement sur la protection de la vie privée (sécurité des données) s’applique, le contrat comprend notamment (article 15(a)(2)) : les informations que le fournisseur est autorisé à traiter et les finalités d’utilisation ; les systèmes auxquels il est autorisé à accéder ; le type de traitement ; la durée de la relation, la restitution des informations et leur destruction à la fin ; les modalités de mise en œuvre des obligations de sécurité ; la signature d’un engagement de confidentialité par ses personnes autorisées ; les conditions applicables à une autre entité ; et un compte rendu annuel et le signalement d’un incident de sécurité. Avant de conclure, on examine les risques (article 15(a)(1)). L’article ne s’applique pas à la relation avec un particulier (article 15(c)).

Nous avons payé le développement du logiciel. Est-il à nous ?

Pas nécessairement. Pour une œuvre créée sur commande, le premier titulaire du droit d’auteur est l’auteur, sauf convention contraire, expresse ou implicite, entre le commanditaire et l’auteur (article 35(a) de la loi sur le droit d’auteur), et un logiciel est une œuvre littéraire (article 1). Le contrat de cession du droit d’auteur ou d’octroi d’une licence exclusive exige un écrit (article 37(c)).

Le fournisseur ne respecte pas le SLA. Peut-on résoudre le contrat ?

Cela dépend de la gravité de la violation. En cas de violation fondamentale, la partie lésée a le droit de résoudre le contrat (article 7(a) de la loi sur les contrats (recours)). En cas de violation non fondamentale, seulement après un délai supplémentaire d’exécution qui n’a pas été respecté dans un délai raisonnable, sauf si la résolution est injuste (article 7(b)). Une violation fondamentale est notamment une violation dont le contrat prévoit qu’elle est fondamentale (article 6). La résolution se fait par une notification à l’auteur de la violation dans un délai raisonnable (article 8).

Une clause d’indemnité convenue pour retard ou interruption de service est-elle valable ?

Les indemnités convenues sont payées sans preuve du préjudice. Le tribunal peut toutefois les réduire si elles ont été fixées sans aucun rapport raisonnable avec le préjudice prévisible, lors de la conclusion du contrat, comme conséquence probable de la violation (article 15(a) de la loi sur les contrats (recours)). Leur stipulation ne prive pas, à elle seule, du droit de réclamer à leur place des dommages-intérêts selon le préjudice (article 15(b)).

Le fournisseur veut recourir à un sous-traitant. Qu’en est-il des informations personnelles ?

Si le titulaire de la base de données a autorisé le fournisseur à fournir le service par l’intermédiaire d’une autre entité, le fournisseur doit inclure dans le contrat avec cette entité tous les points énumérés à l’article 15 (article 15(a)(2)(g) du règlement sur la protection de la vie privée (sécurité des données)). Dans le contrat avec le fournisseur, il est utile de préciser s’il peut recourir à des sous-traitants, et à quelles conditions.