Dans un jugement du 26 janvier 2023, le Tribunal de commerce de Lille Métropole s’est prononcé sur la responsabilité en cas de perte de données de la SAS OVH, leader français en matière de services d’hébergement de serveurs, qui s’était engagée à assurer la
sauvegarde des données afférentes à différents sites internet.
Contexte : la perte suite à un incendie de données stockées sur un serveur et sauvegardées sur une même infrastructure
Dans cette affaire, le client, qui développe son activité essentiellement en ligne, avait conclu avec la société OVH un contrat de location de serveur virtuel VPS – serveur basé dans le datacenter de Strasbourg.
Elle a également souscrit une option contractuelle complémentaire, dite « service de back-up », de sauvegarde automatisée permettant la préservation et la récupération de ses données grâce à trois réplications et une copie.
Le contrat stipulait que cette sauvegarde devait être réalisée sur une infrastructure informatique physiquement isolée du serveur principal.
Dans la nuit du 9 au 10 mars 2021, un incendie s’est déclaré dans les datacenters situés à Strasbourg, dont celui où était stocké le serveur de la SAS FRANCE BATI COURTAGE. Cela a déclenché une coupure des sites internet de l’entreprise, empêchant ses clients et ses franchisés d’accéder à ses services et la mettant dans une situation particulièrement délicate.
L’entreprise pensait néanmoins pouvoir récupérer les données sauvegardées jusqu’à la veille de l’incident grâce au service de back-up, cependant le prestataire d’hébergement lui a fait part du fait que ces sauvegardes avaient également été détruites dans l’incendie.
Apprenant que les sauvegardes avaient été stockées dans le même bâtiment que celui où se trouvait le serveur principal, le client a assigné la société OVH devant le Tribunal de commerce de Lille Métropole le 19 juillet 2021 en responsabilité de la perte des données stockées.
Solution : La responsabilité pour perte de données d’OVH reconnue
La responsabilité de l’hébergeur de serveur engagée pour faute contractuelle
Les juges ont tout d’abord écarté la faute lourde de la société OVH et les manquements à la sécurité anti-incendie du site invoqués par le client.
Celui-ci considérait en effet que l’entreprise d’hébergement n’avait pas mis en œuvre toutes les mesures requises pour protéger le site des risques d’incendies.
Le Tribunal a, au contraire, estimé que la société OVH avait pris des mesures de précaution contre l’incendie et qu’il n’était nullement démontré que ses choix en matière de construction des datacenters informatiques avaient un lien de causalité avec l’incendie et les dommages occasionnées.
En revanche, le Tribunal a jugé que la société OVH avait commis un manquement contractuel à l’offre de sauvegarde des données en ne les stockant pas isolément du serveur principal, à savoir dans un lieu distinct du lien de l’incendie mais dans un même bâtiment.
En effet, l’annexe 1 des conditions particulières du contrat concernant le service de back-up stipulait que : « L’espace de stockage alloué à l’option Backup est physiquement isolé de l’infrastructure dans laquelle est mis en place le Serveur Privé Virtuel du Client ».
Selon les juges, l’interprétation littérale de cette disposition est très claire : le stockage du serveur principal et la sauvegarde des données devaient être physiquement isolés dans des infrastructures informatiques distinctes. En stockant la sauvegarde dans le même espace de stockage que les données du serveur principal, la société OVH a donc, selon les juges, manqué à son obligation contractuelle et est en conséquence responsable de la perte des données.
En conséquence, le Tribunal condamne la société OVH à indemniser le client de ses préjudices de pertes d’un actif incorporel, de son préjudice pour les travaux de restitutions d’un hébergement, des données et des sites, de son préjudice financier pour l’année 2021, et de son préjudice d’atteinte à l’image, pour un total de près de 95.000 euros de dommages et intérêts.
Les clauses limitatives de responsabilité jugées abusives et non-écrites
La société OVH opposait à la cliente différentes clauses de limitations de responsabilité contractuelle.
Elle invoquait notamment une clause d’exclusion de responsabilité en cas de force majeure, conformément à l’article 7.7 « Force majeure » du contrat qui stipulait que : « Aucune des Parties ne peut voir sa responsabilité engagée sur le fondement d’une défaillance résultant, directement ou non, d’événements non prévisibles ayant les caractéristiques de la force majeure telle que définie par l’article 1218 du Code Civil. Les Parties déclarent que la force majeure inclut notamment les grèves y compris la grève du personnel d’un sous-traitant de l’une des Parties, les actes de vandalisme, de guerre ou de menace de guerre, le sabotage, les actes terroristes. les incendies, les épidémies, les tremblements de terre, les inondations et explosions, ainsi que les coupures d’électricité en dehors du contrôle de la Partie affectée. »
En vertu de cette clause, tout sinistre occasionnant des dommages devait donc être qualifié de cas de force majeure et devait donc conduire à exonérer l’entreprise d’hébergement de sa responsabilité en cas de perte de données en découlant.
Or, une sauvegarde a, par essence même, vocation à préserver les données et de les conserver en cas de sinistre. C’est d’ailleurs ce que précisait expressément le contrat qui définit le terme de « sauvegarde » comme une « opération qui consiste à dupliquer et à mettre en sécurité les données contenues dans un système informatique ». Les juges ajoutent d’ailleurs que « les copies de sauvegarde n’ont pas d’intérêt en l’absence de sinistre et elles ne sont d’ailleurs pas utilisées. Les copies de sauvegarde ne sont utiles qu’en cas de sinistre ».
En se fondant sur l’article 1170 du Code civil qui dispose que « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite », le Tribunal a estimé qu’une telle clause, qui exonère la société OVH de sa responsabilité en cas de perte de données due à un sinistre, alors même que l’une des obligations essentielles découlant du contrat est de réaliser des sauvegardes des données et de les mettre en sécurité, plus particulièrement encore en cas d’incendie, prive de sa substance l’obligation essentielle du débiteur.
La clause de « Force majeure » est donc réputée non écrite.
La société OVH invoquait ses conditions générales du contrat limitant sa responsabilité à la somme de 1.800,48€.
Les juges se sont cette fois fondés sur l’article 1171 du Code civil qui dispose que : « Dans un contrat d’adhésion, toute clause non négociable, déterminée à l’avance par l’une des parties, qui crée un déséquilibre significatif entre les droits et obligations des parties au contrat est réputée non écrite.
L’appréciation du déséquilibre significatif ne porte ni sur l’objet principal du contrat ni sur l’adéquation du prix à la prestation. »
Ils estiment que la clause de limitation de responsabilité « octroie un avantage injustifié à la SAS OVH en absence de contrepartie pour le client. Cette clause crée une véritable asymétrie entre les obligations de chacune des parties. En définitive, cette clause transfère le risque sur l’autre partie de manière injustifiée et sans contrepartie pour cette dernière ».
Le Tribunal déclare donc également cette clause comme non écrite.
Vous souhaitez obtenir de plus amples informations en la matière notamment en ce qui concerne le préjudice indemnisable en cas de perte de données, un avocat informatique du cabinet SOLVOXIA se tient à votre disposition si nécessaire.