CA Douai, 4 juin 2026, RG 24/00967
Vérifier : CA Douai, 4 juin 2026, RG 24/00967 (rechercher sur Judilibre/Légifrance) · Ouvrir la source
Texte de la décision
République Française
Au nom du Peuple Français
COUR D'APPEL DE DOUAI
CHAMBRE 2 SECTION 2
ARRÊT DU 04/06/2026
****
MINUTE ÉLECTRONIQUE
N° RG 24/00967 - N° Portalis DBVT-V-B7I-VMG4
Jugement (N° 2022015652) rendu le 24 janvier 2024 par le tribunal de commerce de Lille Métropole
APPELANTE
L'association numéro 1 scolarité, représentée par son président, Monsieur [A] [G], dûment habilité au titre des statuts de l'association
ayant son siège social [Adresse 1]
[Adresse 1]
représentée par Me Guilhem d'Humières, avocat au barreau de Lille, avocat constitué, assistée de Me Julien Montcel, avocat au barreau de Paris, avocat plaidant
INTIMÉE
SAS OVH, représentée par son président, domicilié en cette qualité au siège
ayant son siège social [Adresse 2]
[Adresse 2]
représentée par Me Loïc Le Roy, avocat au barreau de Douai, avocat constitué, assistée de Me Arthur Dethomas, substitué par Mes Claire Fohet et Nicolas Rohfritsch, avocats au barreau de Paris, avocats plaidants
COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ
Stéphanie Barbot, présidente de chambre
Nadia Cordier, conseiller
Anne Soreau, conseiller
GREFFIER LORS DES DÉBATS : Marlène Tocco
DÉBATS à l'audience publique du 19 février 2026 après rapport oral de l'affaire par Nadia Cordier
Les parties ont été avisées à l'issue des débats que l'arrêt serait prononcé par sa mise à disposition au greffe.
ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 4 juin 2026 (date indiquée à l'issue des débats) et signé par Stéphanie Barbot, présidente, et Béatrice Capliez, greffier, auquel la minute de la décision a été remise par le magistrat signataire.
ORDONNANCE DE CLÔTURE DU : 3 février 2026
****
FAITS ET PROCEDURE
'
La société OVH est une société à l'origine orientée vers les services d'hébergement de sites internet et qui développe depuis quelques années des services de «'cloud computing'» ou «'informatique en nuage'». Elle possède un réseau de 32 datacentres situés dans onze pays répartis sur quatre continents, dont 4 sont situés en France à [Localité 1], [Localité 2] et [Localité 3].
L'association n° 1 Scolarité (l'association n°1), qui a pour objet de délivrer des activités de soutien scolaire à des enfants et des adolescents présentant des troubles de l'apprentissage à domicile, a créé une plateforme informatique offrant notamment une interface pour la réservation de cours, la facturation des clients et la rémunération des professeurs.
Depuis le 14 avril 2015, l'association n°1 louait auprès de la société OVH un service de serveur privé virtuel (nommé VPS), où se trouvait logée l'intégralité de son application de gestion informatisée de son activité en temps réel, dénommée «'Application de gestion des coupons'» (application AGC).
Dans la nuit du 9 au 10 mars 2021, un incendie est survenu dans les datacentres os-sbgl, os-sbg2 et os-sbg4 de la société OVH situés à [Localité 3], le bâtiment SBG-2 abritant notamment les données de l'association n° 1.
Le 10 mars 2021, alertée par ses clients et salariés de l'indisponibilité de son interface Web, l'association n°1 a adressé une demande d'assistance à la société OVH, afin qu'elle lui indique la localisation de son VPS.
Le 1er avril 2021, l'association n°1 a procédé à une notification auprès de la Commission nationale de l'informatique et des libertés (la CNIL) au titre d'une violation des données personnelles stockées sur son VPS, en qualité de responsable de traitement.
Le 5 avril 2021, sans information préalable, la société OVH lui a annoncé la reconstruction de son VPS à partir d'une ancienne sauvegarde.
Le 27 avril 2021, la société OVH a informé l'association n° 1 de la localisation de son VPS dans le datacenter Sbg-2, la mesure de réparation proposée étant une gratuité des services pendant 6 mois.
Par courrier du 28 mai 2021, l'association n°1 a demandé à la société OVH réparation des préjudices subis à hauteur de 456 000 euros. En réponse, le 30 août 2021, la société OVH a contesté sa responsabilité au titre d'une perte ou d'une indisponibilité des données.
Le 26 août 2022, l'association n°1 a assigné la société OVH en réparation de ses préjudices.
Par jugement du 24 janvier 2024, le tribunal de commerce de Lille-Métropole a :
- «'déclaré sa compétence pour connaître du présent litige ;
- confirmé que la société OVH avait manqué à ses obligations contractuelles, légales et réglementaires consécutivement à l'incendie ;
- confirmé que la société OVH avait été confrontée à un cas de force majeure'»;
- débouté la demande de l'association n°1 tendant à constater le caractère non écrit des clauses limitatives et exonératoires de responsabilité de la société OVH ;
- débouté l'association n°1 de sa demande tendant à l'indemnisation du préjudice subi en raison des manquements contractuels ;
- débouté l'association n°1 de sa demande relative au paiement de la reconstruction informatique logée sur VPS ;
- débouté l'association n°1 de sa demande de paiement pour les dommages occasionnés ;
- débouté l'association n°1 de sa demande tendant au paiement de la perte de ses données ;
- débouté l'association n°1 de sa demande de paiement pour dommage réputationnel ;
- débouté l'association n°1 de sa demande tendant à enjoindre à la société OVH à communiquer sous astreinte les «'rapports d'intervention d'expertises'» ;
- condamné l'association n°1 à payer à la société OVH la somme de 5 000 euros à titre d'indemnité sur le fondement des dispositions de l'article 700 du code de procédure civile ;
- condamné l'association n°1 aux entiers dépens.
Le 28 février 2024, l'association n°1 a interjeté appel de la décision.
MOYENS ET PRÉTENTIONS
Par conclusions signifiées par voie électronique le 16 janvier 2026, l'association n° 1 demande à la cour de :
- se déclarer compétente ;
- déclarer recevable son appel
- infirmer le jugement entrepris en toutes ses dispositions';
- faire droit à l'intégralité des demandes ;
- rejeter toutes demandes reconventionnelles de la société OVH ;
Statuant à nouveau
* à titre principal :
- constater les manquements de la «'défenderesse'» à ses obligations contractuelles, légales et réglementaires suivantes :
* obligation de mise à disposition d'un serveur';
* obligation d'information relative à l'exécution de sa prestation de fourniture d'un VPS ;
* engagements de niveaux de service ;
* obligation de sécurité quant à l'infrastructure hôte du VPS loué';
* obligation de non-administration du serveur ;
- constater l'impossibilité d'OVH à se prévaloir d'un cas de force majeure en application de l'article 1218 du code civil et des conditions générales d'OVH ;
- constater que les clauses limitatives et exonératoires de responsabilité des conditions générales d'OVH ne s'appliquent pas au titre de ses préjudices provenant des fautes de la société OVH en matière d'obligation d'information et d'obligation de non-administration des serveurs ;
- constater en tout état de cause pour toutes les fautes commises par OVH, le caractère non écrit des clauses limitatives et exonératoires de responsabilité détaillées au dispositif des écritures en page 91 et 93
- constater en conséquence, que la responsabilité contractuelle pleine et entière de la société OVH est engagée en écartant toute clause limitative et exonératoire de responsabilité et tout cas de force majeure ;
- condamner la société OVH à indemniser l'intégralité de son préjudice et à lui verser 576 660,63 euros au titre de dommages et intérêts en réparation des préjudices subis résultant des fautes contractuelles de la société OVH ;
- condamner la société OVH à lui payer la somme de 15 000 euros au titre de l'article 700 du code de procédure civile ;
* à titre subsidiaire :
- nommer un expert judiciaire en charge d'évaluer son préjudice résultant des fautes de la société OVH aux frais de cette société ;
* à titre infiniment subsidiaire :
- enjoindre à la société OVH à lui communiquer sous astreinte de 1 000 euros par jour les rapports suivants dans le cadre de la présente instance :
* le rapport d'intervention des pompiers sur l'incendie ;
* le rapport d'expertise diligenté par la compagnie d'assurance d'OVH en charge de l'indemnisation d'OVH au titre de l'incendie ;
- le rapport d'expertise judiciaire de l'expert désigné par le tribunal judiciaire de Strasbourg.
Par conclusions signifiées par voie électronique le 16 janvier 2026, la société OVH demande à la cour de :
- juger irrecevable la demande de nommer un expert judiciaire pour évaluer son préjudice, formulée par l'association numéro 1 en qu'elle constitue une demande nouvelle ;
- confirmer le jugement entrepris en ce qu'il a :
* confirmé qu'elle avait été confrontée à un cas de force majeure ;
* débouté la demande de l'association numéro 1 de constater le caractère non écrit des clauses limitatives et exonératoires de responsabilité ;
* débouté l'association numéro 1 de sa demande tendant à l'indemnisation du préjudice subi en raison des manquements contractuels ;
* débouté l'association numéro 1 de sa demande relative au paiement de la reconstruction informatique logée sur VPS ;
* débouté l'association numéro 1 de sa demande de paiement pour dommages réputationnel ;
* débouté l'association numéro 1 de sa demande tendant à lui enjoindre à communiquer sous astreinte les rapports d'intervention d'expertises ;
* condamné l'association numéro 1 à lui payer la somme de 5 000 euros à titre d'indemnité sur le fondement des dispositions de l'article 700 du code de procédure civile ;
* condamné l'association numéro 1 aux entiers dépens, taxés et liquidés à la somme de 69,59 euros ;
- infirmer le jugement entrepris en ce qu'il a :
* confirmé qu'elle avait manqué à ses obligations contractuelles, légales et réglementaires, consécutivement à l'incendie ;
Statuant à nouveau :
- juger qu'elle a respecté l'ensemble de ses obligations contractuelles à l'égard de l'association n° 1 ;
En conséquence :
- rejeter l'ensemble des demandes de l'association n° 1 ;
- condamner l'association n° 1 à lui verser la somme de 30 000 euros au titre de l'article 700 du code de procédure civile au titre de la procédure d'appel ;
- condamner l'association n° 1 aux dépens de la présente instance, dont distraction au profit de Me Le Roy.
MOTIVATION
I ' Sur les fautes reprochées par l'association n° 1 à la société OVH
Aux termes des articles 1103 et 1104 du code civil, les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. Ils doivent être négociés, formés et exécutés de bonne foi.
En vertu de l'article 1231-1 du code civil, le débiteur est condamné, s'il y a lieu, au paiement de dommages et intérêts soit à raison de l'inexécution de l'obligation, soit à raison du retard dans l'exécution, s'il ne justifie pas que l'exécution a été empêchée par la force majeure.
L'association n° 1 reproche divers manquements à la société OVH, les uns tenant à l'absence de disponibilité et d'accessibilité du VPS, les autres liés à un non-respect des obligations légales et contractuelles d'information et de sécurité de l'infrastructure, et enfin les derniers en lien avec l'administration de son VPS.
La société OVH contestant avoir manqué à l'une quelconque des obligations contractuelles ou légales à laquelle elle était soumise, il appartient à l'association n° 1, qui invoque un non-respect par celle-ci des obligations et règles de l'art applicables à leur relation contractuelle, de rapporter la preuve des fautes invoquées, conformément à l'article 1353 du code civil, et ce par tous moyens, s'agissant de faits juridiques.
A- Sur l'absence de mise à disposition du VPS et le non-respect des engagements de niveaux de service
L'association n°1 fait valoir que':
- la mise à disposition d'un serveur privé virtuel implique de façon logique la disponibilité et l'accessibilité au serveur loué, ces éléments étant déterminants du contrat, sans lesquels le client ne se serait pas engagé';
- en cas d'indisponibilité ou d'inaccessibilité, la plus-value apportée par la société OVH apparaît réduite à néant';
- le serveur est resté indisponible pendant près d'un mois, les dernières données ont été perdues, ce qui l'a mise en grande difficulté dans son exercice professionnel';
- la société OVH est responsable de ce manque de disponibilité, peu important qu'elle ne soit pas responsable des sauvegardes du VPS, la seule indisponibilité constituant une inexécution contractuelle';
- ce manquement constitue une violation de l'article 32 du Règlement général sur la protection des données (ci-après RGPD), un sous-traitant comme OVH devant mettre en 'uvre des moyens permettant de rétablir la disponibilité des données à caractère personnel dans les délais appropriés ;
- cela n'a pas été fait puisque les données ont été perdues, ce qui constitue un manquement aux obligations réglementaires et contractuelles.
Elle conclut au caractère inopérant du moyen tiré de l'absence de sauvegarde réalisée par ses soins, d'autant plus qu'elle avait bien effectué une sauvegarde géographiquement distincte du VPS d'OVH puisque':
- il n'existe aucune obligation légale ni même contractuelle de mise en 'uvre d'une politique de sauvegarde, les recommandations de sauvegarde édictées par le ministère de l'Économie et des Finances, le guide d'hygiène informatique édictée par l'Agence nationale de' la sécurité des systèmes d'information (ANSSI) ainsi que des avis d'informaticiens contenus dans des articles Internet ne disposant d'aucune valeur normative';
- la sauvegarde effectuée par ses soins ne lui a malheureusement pas permis d'éviter tous préjudices résultant de la destruction de son VPS lors de l'incendie.
Elle rappelle que'les manquements reprochés à la société OVH ne portent pas sur une perte de données de l'association mais sur le fait de ne pas avoir respecté son obligation de mise à disposition du VPS sur lequel était installée son application AGC et ce, pendant plus d'un mois, paralysant ainsi son activité, ce qui caractérise un premier poste de préjudice significatif.
Elle ajoute que toute son activité a été mise à l'arrêt pendant l'indisponibilité du serveur et la phase de transfert de l'application sur un autre VPS, puisqu'elle avait conservé toutes ses données opérationnelles brutes grâce à sa sauvegarde mais a été pénalisée, d'une part, par le manque d'information (sur l'indisponibilité du VPS) qui a retardé la prise de la décision de réinstaller l'application AGC sur un autre VPS, d'autre part, par les difficultés opérationnelles résultant de cette inaccessibilité et de la réinstallation de l'application.
Elle indique qu'il ne lui a été possible que de sauvegarder des données « brutes » sur cette sauvegarde, et pas son AGC, une telle application étant impossible à sauvegarder telle quelle et la réinstallation de l'application nécessitant de longues et complexes opérations informatiques.
Elle critique la motivation du jugement, qui a retenu pour fait générateur du préjudice de l'association une absence de sauvegarde, non souscrite, alors que le fait générateur de son préjudice est l'indisponibilité des serveurs à la suite de l'incendie.
Il ne peut lui être reproché de ne pas avoir souscrit le service supplémentaire de sauvegarde de son VPS auprès d'OVH alors que cela contrevient aux préconisations de l'ANSSI et de la CNIL, puisque ces sauvegardes n'auraient pas été externalisées.
Dans un paragraphe consacré au manquement d'OVH à son engagement de niveaux de service (page 34 des écritures de l'appelante), l'association n°1 énonce que,'du 10 mars 2021 au 5 avril 2021, son VPS était indisponible, le taux de disponibilité mensuelle avoisinant donc 0% au lieu des 99,5% indiqués dans les conditions particulières du VPS, ce qui constitue un manquement manifeste d'OVH à son obligation contractuelle de disponibilité du serveur.
La société OVH revient, à titre principal, sur la délimitation des obligations respectives des parties et la défaillance de l'association à mettre en 'uvre une politique de sauvegarde adaptée comme cause exclusive de son prétendu préjudice aux motifs que':
- la définition de la politique de sauvegarde, dont l'unique but est de pouvoir disposer d'une copie de ses données dans n'importe quelle situation, incombe au responsable de traitement, et non au prestataire de cloud' (définition des données à sauvegarder, du nombre de sauvegarde, de la localisation des sauvegardes et de la fréquence des sauvegardes)';
- le prestataire de cloud n'est responsable que de la disponibilité des serveurs, mais pas des données, et donc uniquement des préjudices qui y sont liés, le prestataire de cloud ne pouvant ainsi être responsable d'une perte de données';
- la responsabilité d'établir un plan de reprise d'activité incombe bien aux entreprises, et non au fournisseur de services d'hébergement, aucune norme légale ou réglementaire n'imposant aux fournisseurs de cloud d'offrir un tel service de plan de reprise d'activité, onéreux et lourd à mettre en place, à tous leurs clients qui ont souscrit un service différent auprès d'eux';
- l'association n° 1 ne justifie pas avoir défini, ni même établi un plan de reprise d'activité, ni même une politique de sauvegarde, et son affirmation selon laquelle son application AGC ne pouvait être sauvegardée, hormis des «'données brutes'», est mensongère';
- il est tout à fait possible de procéder à la sauvegarde de la totalité des données d'un VPS, comme de tous serveurs, applications comprises, l'association n°1 n'ayant pas souscrit un tel service';
- les services et les conditions générales et particulières souscrites par l'association n° 1 sont particulièrement clairs quant à la répartition des obligations entre elle-même et l'association n°1, laquelle n'a souscrit qu'une offre VPS , aux termes de laquelle elle, société OVH, s'est engagée à assurer l'accès et la possibilité d'y stocker des données'; l'hypothèse d'un dysfonctionnement des serveurs et d'une perte ou d'une indisponibilité des données y est expressément prévue';
- les conditions générales souscrites par l'association n°1 excluent sa responsabilité à elle, société OVH, en cas de « perte, altération ou destruction de tout ou partie des contenus (informations, données, applications, fichiers ou autres éléments hébergés sur l'infrastructure, dans la mesure où elle, société OVH, n'est pas en charge de la gestion de la continuité des activités du client et notamment des opérations de sauvegarde », ce que confirme l'article 6 des conditions particulières VPS souscrites ;
- le client ayant la responsabilité de mettre en 'uvre une politique de sauvegarde pour s'assurer contre une éventuelle perte de données en cas de sinistre, c'est la raison pour laquelle elle exclut toute responsabilité à ce titre, étant rappelé qu'elle (comme d'autres prestataires) propose ce type de service, pour un prix sensiblement plus élevé';
- le choix d'un hébergement, d'une triple réplication, du lieu d'hébergement, de la mise en place et des modalités d'une politique de sauvegarde incombent non au prestataire de services d'hébergement de contenus, mais bien à la société qui cherche à faire héberger et à faire sauvegarder ses données'; celle-ci ne saurait donc faire peser sur son prestataire d'hébergement, la société OVH, ses choix en matière d'hébergement et de sauvegarde.
Elle conteste que son argumentation soit inopérante, dès lors que, si une sauvegarde complète du VPS avait été effectuée, le VPS aurait pu être relancé quasi instantanément et aucun travail de reconstruction n'aurait été nécessaire. Elle ajoute que l'association n°1, qui a la responsabilité de la définition et de la mise en 'uvre de sa politique de sauvegarde, ne démontre donc pas avoir défini une telle politique, ce qui est la cause des préjudices qu'elle allègue avoir subis.
Elle précise que l'association n°1 reconnaît n'avoir souscrit aucun service de sauvegarde auprès d'elle, société OVH, de sorte qu'elle ne peut en revendiquer aujourd'hui le bénéfice en sollicitant l'indemnisation des préjudices qu'elle prétend avoir subis du fait de l'indisponibilité et de la perte de ses données.
Elle observe que':
- si une sauvegarde avait existé, il n'aurait pas été nécessaire de reconstruire l'architecture de son VPS';
- si l'association n°1 avait sauvegardé le contenu de son VPS (qu'il s'agisse d'informations, données, fichiers, systèmes, applications ou de sites internet), l'indisponibilité de son contenu aurait été très limitée dans le temps et elle n'en aurait donc subi aucun préjudice';
- les préjudices dont se prévaut l'association ' principalement constitués, selon cette dernière, de l'indisponibilité de son application AGC hébergée sur le VPS souscrit auprès d'elle, OVH ' résultent ainsi de l'absence de duplication et de sauvegarde de cette application sur un autre serveur, a fortiori géographiquement éloigné.
En réponse plus spécifiquement au développement de l'appelante sur le niveau de service, la société OVH estime avoir respecté ses engagements contractuels en termes de disponibilité et d'accessibilité, qui sont des obligations de moyens, sa responsabilité ne pouvant donc être engagée que sous réserve de rapporter la preuve qu'elle n'aurait pas mis en 'uvre les moyens nécessaires pour remplir ses obligations, ce que l'association n°1 s'abstient de faire.
Elle précise qu'elle a déployé «'ses meilleurs efforts'» pour tenter de restaurer le service de VPS de l'association et ses données, une sauvegarde des données du VPS lui ayant été restituée et le VPS ayant été relancé le 5 avril 2021. Dès lors, l'indisponibilité des services a été limitée à moins d'un mois, alors que de nombreux facteurs (sécurisation des locaux, expertises et enquêtes en cours, rétablissement de l'électricité, remise en service des espaces qui pouvaient l'être pendant et depuis leur nettoyage matériel, serveur par serveur, nombre de clients sollicitant un diagnostic spécifique qui implique un rétablissement complet d'une infrastructure, avant de pouvoir établir une réponse précise) sont à prendre en compte.
Elle a, conformément aux stipulations de garanties de niveau de service, fourni à son client un dédommagement proportionnel à l'indisponibilité constatée et ce, dans la limite de 100 % du montant mensuel facturé au client, le bon d'achat accordé représentant l'équivalent de près 8 mois de service VPS souscrits par ce client.
Elle ajoute que l'association ne peut se prévaloir d'un manquement au rétablissement des données dans les « délais appropriés » sur le fondement de l'article 32 du RGPD du 23 mai 2018, aucune obligation de rétablissement ne pesant sur le sous-traitant de données, qui doit seulement mettre en 'uvre « des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique » aux termes d'une obligation de moyens.
Réponse de la cour
A titre liminaire, l'association n°1 aborde, dans deux paragraphes distincts, les uns en page 16 à 22, les autres en page 34, l'absence d'accessibilité et l'indisponibilité du VPS, sans qu'il soit possible de comprendre les raisons de cette dichotomie dans la présentation.
Ces développements concernent la critique de la principale obligation souscrite par l'association n° 1 auprès de la société OVH, à savoir la mise à disposition d'un VPS.
Il y sera répondu de manière globale ci-après.
En premier lieu, la cour observe que les importants développements consacrés par la société OVH aux règles de l'art en matière de politique de sauvegarde et au système de sauvegarde mis en 'uvre par l'association n°1, et notamment à la conformité dudit système aux règles de l'art, sont sans incidence sur la faute éventuellement commise par la société OVH, faute qu'il appartient à l'association n°1 de caractériser, et qui serait constituée par l'indisponibilité et l'inaccessibilité du serveur VPS alloué.
A supposer que soient démontrés, d'une part, le non-respect par l'association des règles de l'art, et que ce dernier soit susceptible de constituer une faute, d'autre part, l'absence de sauvegarde effective réalisée par l'association, tout au plus cela constituerait-il un moyen à prendre en compte en termes de partage de responsabilité ou de limitation de l'indemnisation accordée, ce que la société OVH ne plaide pas expressément dans ses conclusions d'appel.
Surtout, contrairement à ce que laisse entendre la société OVH, l'association n°1 reproche à cette dernière de ne pas avoir permis l'accès à son VPS, et par là même à ses données, et non de ne pas les avoir conservées, les parties concordant sur le fait qu'aucune option de sauvegarde de la totalité des données du VPS avait été souscrite par l'association auprès de la société OVH.
En deuxième lieu, dès lors qu'est alléguée une inexécution des obligations de la société OVH et que les parties divergent quant à l'étendue de ces obligations, c'est à l'association, demanderesse à l'indemnisation de ses préjudices, de démontrer le contenu de la réglementation applicable comme le contenu du contrat.
En l'espèce, l'association n° 1 a souscrit auprès de la société OVH la location d'un serveur privé virtuel, en se soumettant aux «'conditions générales d'OVH Cloud'», dans leur version du 22 février 2021, ainsi qu'aux conditions particulières du service de location de serveur privé virtuel, dans leur version du 15 avril 2020, complétées par l'annexe de traitement de données à caractère personnel (ou DPA) dans sa version du 26 février 2020.
Il s'extrait de ces pièces contractuelles que la société OVH avait pour obligation, d'une part, de mettre à disposition de son client un serveur privé virtuel disposant de ressources dédiées et de ressources appartenant au serveur hôte, d'autre part, d'en assurer la disponibilité.
Il y est expressément précisé que le client est seul responsable de la gestion des données qu'il décide d'y placer et de leur intégrité, tel que cela résulte des articles 3 des conditions générales et 4-2 des conditions particulière VPS.
Cette dernière clause stipule néanmoins plus particulièrementque «'OVHCloud n'assure en ce sens que l'accès du client au Service permettant à ce dernier de stocker ses données et celles de ses clients.'»
L'article 2-3 des conditions générales porte engagement de la société OVH d' «' apporter tout le soin et la diligence nécessaires à la fourniture de Services de qualité, conformément aux caractéristiques, modalités, niveaux de services prévus au contrat'», cette stipulation spécifiant in fine que «' OVH est soumise à une obligation de moyen.'»
Les conditions particulières définissent quant à elles, à l'article 7, «'les engagements de niveaux de service (SLA)'» applicables, et plus particulièrement pour le VPS en litige, à savoir le «'VPS Gamme starter'» ce qu'admettent les parties, un «'taux de disponibilité mensuelle de 99,5'%'.»
Cet article précise ainsi':
Par taux de «'disponibilité mensuelle'», il convient d'entendre': le nombre total de minutes du mois considéré déduction faite du nombre de minutes d'indisponibilité du mois concerné, le tout divisé par le nombre total de minutes du mois considéré.
Par indisponibilité, il convient d'entendre la perte, pendant plus de trois minutes consécutives à compter de l'ouverture du ticket incident, de l'accès au VPS du client, sans possibilité pour le client de relancer ledit VPS.
Les engagements de niveaux de service ci-dessus sont pris, sous réserve des cas d'exclusion visés ci-dessous, et à condition qu'en cas d'indisponibilité, le client collabore avec OVHcloud au rétablissement du service tel que prévu à l'article «'gestion des incidents'» des conditions générales de service.
Le présent engagement ne concerne en aucun cas la disponibilité des éléments qui demeurent sous le contrôle du client, tels que notamment les logiciels ou applications installés et utilisé par le client sur le VPS.
Cette stipulation poursuit, d'une part, en prévoyant les conséquences d'un niveau de services non atteint, en termes de dédommagement notamment, d'autre part, en définissant les cas d'exclusion, permettant d'échapper à ces niveaux de service.
Quant à l'annexe DPA, elle prévoit l'obligation pour chacune des parties de respecter la réglementation applicable en matière de protection des données, y compris le RGPD, l'article 11 de l'annexe précisant que':
OVH ne peut être tenu responsable que des dommages causés par un traitement pour lequel (i) il n'a pas respecté les obligations prévues par le RGPD qui incombent spécifiquement aux sous-traitants ou pour lequel (ii) il a agi en dehors des instructions licites du client ou contrairement à celles-ci. Dans de tel cas, la disposition du contrat relative à la responsabilité s'applique.
S'il est ainsi établi que l'association n° 1 avait seule en charge la définition et la mise en 'uvre de sa propre politique de sauvegarde, ce qu'elle ne conteste d'ailleurs pas, il n'en demeure pas moins qu'aux termes des stipulations contractuelles liant les parties, la société OVH, quand bien même elle n'est pas en charge de la gestion des données, avait pris l'engagement de fournir un VPS, en s'obligeant à en assurer la disponibilité et l'accès.
À la suite de l'incendie survenu dans la nuit du 9 au 10 mars 2021, il est constant, et corroboré par les pièces versées aux débats, que l'accès au VPS loué, localisé dans le datacenter Sbg-2 détruit intégralement par les flammes, a été empêché, ledit VPS demeurant indisponible totalement jusqu'au 5 avril 2021, date à laquelle la société OVH a annoncé à l'association n° 1 avoir rétabli un accès au VPS, comportant d'anciennes données de la cliente.
Il s'ensuit que le niveau de service de 99,5'%, auquel la société OVH s'était engagée contractuellement, n'a pas été respecté durant toute la période précitée, l'indisponibilité étant manifeste, sans qu'il soit reproché un quelconque manquement du client à son devoir de collaboration.
La société OVH ne peut s'emparer de la qualification des obligations contractuellement souscrites, figurant à maintes reprises dans ses conditions générales et particulières, d'obligation de moyen pour se dédouaner en affirmant avoir «'fait ses meilleurs efforts'» pour respecter ses obligations, et notamment rétablir au plus tôt l'accès et la disponibilité du service convenu.
Outre que le seul fait qu'une telle qualification soit mentionnée dans une stipulation n'est pas suffisant à établir la réalité d'une obligation de moyen, la stipulation relative au niveau de service est, en tout état de cause, ferme et précise, comportant l'engagement, pour la société OVH, de respecter un résultat déterminé, à savoir la mise à disposition d'un VPS, avec un accès et une disponibilité de 99,5'%.
S'il est indéniable que des aléas environnementaux ou technologiques sont susceptibles d'avoir un impact sur la disponibilité ou l'accessibilité aux services, en matière informatique, ce qui explique les clauses de niveau de service, le taux de disponibilité prévu dans les clauses, tient compte de ces aléas, la société OVH ayant elle-même' estimée être en mesure d'offrir à son client le taux de 99,5'% arrêté dans la clause précitée.
Qualifier cet engagement de simple obligation de moyen reviendrait à vider de sa substance l'engagement, pris par la société OVH, d'assurer ce taux de disponibilité de 99,5'%, qui constitue un élément déterminant dans la relation contractuelle existant entre un client et une société informatique.
A supposer même que la société OVH ait déployé tous les efforts et mis en 'uvre tous les moyens nécessaires pour rétablir dans les plus brefs délais l'accès et la disponibilité au service souscrit, cela n'enlève rien au fait que, durant la période du 10 mars 2021 au 5 avril 2021, la société OVH n'a pas été en mesure de respecter ses engagements de niveau, en termes de disponibilité et d'accessibilité au service promis.
Ce fait constitue bien un manquement de la société OVH à son obligation contractuelle de disponibilité du service et de mise à disposition d'un VPS. dont il conviendra ci-après de déterminer s'il ne relevait pas toutefois d'un cas exonératoire ou limitatif de responsabilité.
En troisième lieu, à côté de ce manquement contractuel, l'association n° 1 argue d'un manquement réglementaire commis par la société OVH, notamment au regard des dispositions du RGPD, auquel renvoie l'annexe DPA, et plus particulièrement de l'article 32 du RGPD, qui prévoit que':
Compte tenu de l'état des connaissances, des coûts de mise en 'uvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en 'uvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins : (c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique.
Les termes mêmes de ce texte ne font peser sur le responsable du traitement et le sous-traitant qu'une obligation, de moyen, d'avoir à rétablir, dans des «'délais appropriés'» la disponibilité des données personnelles et l'accès à celles-ci.
Compte tenu de l'ampleur de l'incendie en cause, qui a touché plus de 16 000 clients de la société OVH, de la destruction consécutive de l'ensemble du bâtiment abritant le VPS alloué à l'association n°1, de la nécessité de sécuriser le site, de laisser l'accès aux services d'enquête, puis de remettre en état de fonctionnement les serveurs, le rétablissement d'un accès au VPS de l'association n°1 dès le 5 avril 2021, soit moins d'un mois après l'incendie du 10 mars 2021, démontre que la société OVH a, dans les meilleurs délais, mis en 'uvre tous les moyens nécessaires pour respecter l'obligation édictée par l'article 32 du RGPD.
L'association n°1, qui soutient le contraire, ne démontre pas que la société OVH aurait été en mesure d'assurer plus rapidement la récupération des services affectés par l'incendie, et de l'informer ainsi du rétablissement de l'accès à son VPS, seule obligation qui pesait contractuellement sur la société OVH, cette dernière n'ayant pas l'obligation de restituer à sa cliente les données se trouvant sur ce VPS.
Il doit d'ailleurs être noté que, s'astreignant à respecter au mieux les obligations imposées par le RGPD, la société OVH a même tenté de rétablir les données de l'association n°1, en restituant à cette dernière d'anciennes données, retrouvées au cours des opérations de sécurisation du site qui ont suivi l'incendie.
Ainsi, contrairement à ce que soutient l'association n°1, aucun manquement à l'article 32 du RGPD n'est caractérisé à l'encontre de la société OVH.
B- Sur le manquement de la société OVH à son obligation d'information relative à l'exécution de sa prestation de fourniture d'un VPS
L'association n°1 soutient que la société OVH a manqué à son obligation d'information relative à l'exécution de sa prestation de fourniture d'un VPS, aux motifs que':
- un cocontractant a l'obligation d'avertir l'autre, en cours de contrat, des événements qu'il a intérêt à connaître pour l'exécution du contrat, ce qui se traduit par un devoir de collaboration entre les parties en matière informatique';
- n'ayant reçu aucune information et/ou communication de la part d'OVH relative à l'incendie ou à tout autre événement ayant affecté ses données, elle a dû adresser une demande d'assistance pour déterminer au préalable' la localisation de son VPS';
- en réponse, la société OVH ne lui a communiqué aucune information quant à la localisation de son VPS, ni même sur la perte ou le risque de perte de tout ou partie de ses données, et ce, en violation de ses obligations tant contractuelles que réglementaires (article 7-7 des conditions générales)';
- ce n'est que plus d'un mois et demi plus tard, le 27 avril 2021, qu'elle a reçu un message de la société OVH l'informant que son VPS était situé dans le datacenter SBG2, la société OVH ne précisant toutefois toujours pas que les données stockées sur ce VPS étaient perdues';
- la société OVH ne l'a pas informée de l'incident affectant ses données personnelles « dans les meilleurs délais », le message reçu le 12 mars 2021 n'étant qu'un message standardisé sur l'état général des datacenters d'OVH qui ne renseigne en rien sur la situation de son VPS';
- cette notification ne constitue pas une délivrance d'information valable au regard des stipulations contractuelles précitées';
- la société OVH ne peut, en tout état de cause, se prévaloir d'un cas de force majeure pour écarter sa responsabilité, puisque l'article 7.7 conditionne l'application de la force majeure au respect de cette obligation d'information';
- ce manquement est d'autant plus grave qu'il constitue une violation des obligations de la société OVH au regard du RGPD, et plus particulièrement de son article 33.
Elle affirme que la société OVH ne saurait s'exonérer ou limiter sa responsabilité au titre de ce manquement en se prévalant d'un cas de force majeure ou des clauses exonératoires ou limitatives de responsabilité prévues dans ses conditions générales puisque':
- le défaut d'information est postérieur à l'incendie, qui n'en est pas la cause, mais résulte d'une abstention et négligence fautive de la société OVH dans la délivrance des informations qu'elle aurait dû lui communiquer';
- les clauses exonératoires ou limitatives de responsabilité dont la société OVH se prévaut (et dont l'application est contestée aux termes de la section II.2 ci-dessous) s'appliquent, selon les termes mêmes des conditions générales, uniquement au titre des manquements de la société OVH à ses engagements en matière de « niveaux de service » ou en cas de perte de données'; la responsabilité de la société OVH n'est donc pas limitée ou exonérée au titre d'un préjudice résultant d'un manquement à ses obligations d'information.
Elle conteste le fait qu'elle eût été en mesure de connaître la localisation de son VPS préalablement à l'incendie, cette information ne portant que sur la seule localisation géographique ([Localité 3]), et non sur le bâtiment dans lequel se situait le VPS. Elle et ajoute que':
- c'est, entre autres, au regard de cette information que la société OVH a manqué à son obligation d'information';
- dès le 10 mars 2021, son VPS à elle, l'association, n'apparaissait plus dans son espace client, de sorte qu'elle ne pouvait procéder à la vérification envisagée par la société OVH pour déterminer la localisation de son VPS';
- quand bien même elle aurait eu ou pu avoir connaissance de la localisation exacte de son serveur, le caractère imprécis et trompeur des messages de la société OVH du 16, 18 et 20 mars susvisés ne lui permettait aucunement de savoir que son VPS était détruit';
- il était déterminant de savoir si son VPS était définitivement perdu, afin de passer au plus vite à la recherche d'une solution pour relancer son activité, particulièrement en reconstruisant son architecture informatique.
La société OVH critique la décision de première instance et fait valoir qu'aucun manquement, à quelque obligation légale ou réglementaire précise, ne peut lui être imputé, aux motifs que':
- elle était soumise à une obligation de moyens et a parfaitement respecté ses obligations contractuelles, comme en attestent les termes des stipulations contenues dans ses conditions générales et particulières';
- sa responsabilité ne peut donc être engagée que sous réserve de rapporter la preuve qu'elle n'aurait pas mis en 'uvre les moyens nécessaires pour remplir ses obligations, ce que l'association n°1 s'abstient de faire';
- le respect de son obligation d'information n'a pas été remis en question par le tribunal et ne peut être contesté, l'allégation d'une absence d'information soutenue par l'association quant à la localisation et à l'état de son serveur privé virtuel pendant « près de deux mois » à la suite de l'incendie étant infondée (connaissance de la localisation du serveur dans l'interface de gestion de l'association, notification pour les clients dont le VPS souscrit se situait dans le datacenter SBG2 (correspondant aux localisations VPS SBG1, SBG2 et SBG4)'; (je pense qu'il faut supprimer la parenthèse ajoutée par [Q], sinon ça en fait trois)
Elle conteste':
- avoir commis un manquement à l'article 5 de l'annexe DPA en s'abstenant d'informer sa cliente de l'incendie dans les meilleurs délais, pointant les différents messages adressés';
- que les informations fournies auraient été incohérentes, réfutant toute contradiction dans les informations diffusées';
- qu'elle aurait commis un manquement aux dispositions du RGPD en n'effectuant aucune notification de violation de données à la CNIL à la suite de l'incendie (33 du RGPD). L'obligation de notification d'une violation de données incombe au responsable de traitement (soit l'association), et non au sous-traitant, comme le rappelle précisément la CNIL à propos de l'incendie du 10 mars 2021 sur le datacentre de [Localité 3], les obligations incombant au sous-traitant aux termes de l'article 33 du RGPD consistant seulement à « notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance », ce qu'elle a effectué le 12 mars 2021, en notifiant à l'ensemble de ses clients la survenance de l'incendie et le risque de perte de leurs données';
- il ne peut être sérieusement prétendu qu'elle aurait contrevenu à l'article 11 du DPA, qui n'opère qu'un renvoi au RGPD.
Réponse de la cour
Au titre de ce manquement, l'association n°1 émet, en réalité, deux griefs distincts en lien avec un défaut d'information, l'un commis par la société OVH directement à son égard, tenant à un défaut d'information de l'incident survenu et de ses conséquences, l'autre commis indirectement par la société OVH, qui aurait méconnu l'obligation d'informer la CNIL d'une violation de données.
En premier lieu, il est indéniable que, dans le prolongement de l'obligation d'exécuter de bonne foi un contrat en application de l'article 1104 du code civil, pèse sur le cocontractant l'obligation d'informer de toute difficulté rencontrée dans l'exécution des obligations souscrites, et ce dans les meilleurs délais.
L'article 2-3 des conditions générales stipule d'ailleurs que':
OVHCloud s'engage à apporter tout le soin et la diligence nécessaires à la fourniture de services de qualité, conformément aux caractéristiques, modalités, niveaux de services prévus au contrat. OVHCloud s'engage notamment à disposer d'une équipe compétente en charge de l'assistance du client et de la gestion des incidents et à assurer la disponibilité et la sécurité des services suivant les modalités et niveaux de performance prévus aux conditions de services applicables. OVH est soumise à une obligation de moyen.
L'article 6-3, intitulé gestion des incidents prévoit que':
S'il apparaît que l'incident relève de sa responsabilité, OVHcloud finalise le diagnostic et travaille au rétablissement de la disponibilité des services impactés. En ce cas l'intervention d'OVHcloud ne donne lieu à aucune facturation complémentaire [...]Sous réserve des conditions particulières applicables et des autres niveaux de support visés au point 5-4 ci-après [plutôt 6-4], OVHcloud ne donne aucune garantie de temps d'intervention et de résolution des incidents dans le cadre du support OVH.
Comme en attestent les termes mêmes utilisés pour définir l'obligation d'information en cas d'incident constaté et de résolution de ces derniers, la société OVH ne s'engage pas à un résultat, mais à mettre tous les moyens nécessaires pour assurer l'information du client en cas d'incident et pour procéder, sans aucune garantie de temps et de résolution, à une intervention sur l'incident.
Il ne peut dès lors s'agir que d'une obligation de moyen.
En deuxième lieu, l'association n°1 doit établir la faute de la société OVH, en ce qu'elle n'aurait pas fait tout son possible pour répondre aux obligations telles que délimitées ci-dessus, l'association n°1 reprochant à la société OVH, d'abord, l'absence d'une information immédiate sur l'existence d'un incident relatif à son VPS et la localisation de ce dernier, ensuite, la confusion des informations données quant aux conséquences sur les données, enfin, la tardiveté de l'information donnée quant à la perte de son VPS.
De première part, quand bien même l'association n° 1 aurait été d'abord avertie par l'une de ses clientes, les différents communiqués, par voie de presse écrite comme vidéo, ainsi que les divers courriels adressés par la société OVH à ses clients, et ce dès le 12 mars 2021, pour leur annoncer l'incendie et l'impact de l'incendie sur les VPS situés dans le datacentre de [Localité 3], démontrent que la société OVH a relayé, dès qu'il lui était possible de le faire, les informations sur le sinistre et ses conséquences.
Le fait que l'association n°1 n'ait reçu à sa demande d'assistance du 10 mars 2021 qu'une réponse constituée d'une communication circulaire à l'ensemble des clients n'est pas de nature à remettre en cause l'existence même de cette information, cette modalité d'information s'expliquant par l'ampleur du sinistre et le nombre conséquent de clients concernés.
Outre les nombreux courriels pour informer quant à l'état des bâtiments et services, la société OVH justifie de surcroît avoir mis en 'uvre une page internet dédiée à cet incendie, en fournissant régulièrement un état des services, ainsi qu'une «'foire aux questions'» relatives à l'incendie. L'association n° 1 ne soutient ni n'établit ne pas y avoir eu accès ou ne pas avoir été informée de l'existence de ces moyens de communication.
Plus particulièrement, contrairement à ce qu'elle laisse entendre, l'association n°1 n'ignorait pas que son VPS se trouvait dans le datacentre de [Localité 3], sa demande d'information du 10 mars 2021 concernant uniquement la localisation précise dudit VPS.
Elle n'établit pas plus n'avoir pas été en mesure, comme l'évoque la communication officielle de la société OVH, de déterminer précisément la localisation de son VPS dans le bâtiment Sbg-2, postérieurement au 12 mars 2021, avec les outils mis à sa disposition par la société OVH, l'association n° 1 ne démontrant pas que toute démarche en vue de connaître la localisation du VPS ait été, postérieurement au 12 mars 2021, infructueuse.
En effet, la capture d'écran, insérée dans les écritures de l'appelante, en page 30, intitulée «'exemple de l'espace client OVH de n°1 scolarité'», ne permet ni de vérifier qu'il s'agit bien de l'espace de l'association n°1, ni de déterminer à quelle date cette capture aurait été effectuée.
Celle-ci n'est donc pas probante et n'établit pas l'affirmation de l'association n° 1 selon laquelle son VPS n'apparaissait plus dans son espace client, ce qui ne lui permettait pas de procéder à la vérification proposée par la société OVH.
De deuxième part, l'association n°1 fait grief à la société OVH d'avoir tardé à l'informer de la «'perte de son VPS'», pointant la réception, uniquement le 27 avril 2021, d'un courrier lui annonçant que les machines associées à son VPS étaient irrécupérables.
Au préalable, il doit être noté que, par l'expression «'perte de son VPS'», l'association n°1 procède à une assimilation entre la disponibilité de son VPS, seule obligation pesant sur la société OVH, et la perte des données contenues dans ce VPS, que la société OVH n'avait aucune obligation de sauvegarder.
Comme indiqué précédemment, dès le 10 mars 2021, l'association n°1 était informée, d'une part, de l'indisponibilité de son VPS, via la communication personnelle comme circulaire effectuée par la société OVH, d'autre part, du caractère durable, voire irrémédiable, de cette indisponibilité pour les VPS localisés dans le bâtiment SBG2. L'association n°1 ne démontre pas ne pas avoir pu, postérieurement au 12 mars 2021, localiser précisément, avec les outils précités, son VPS.
Par une communication circulaire envoyée à l'ensemble de ses clients, le 16 mars 2021, la société OVH a informé de l'état de chacun des bâtiments constituant le datacentre de [Localité 3], et de l'impact du sinistre sur ces services pour chacun des bâtiments. Cette communication annonçait':
SBG-2';
Situation': bâtiment hors d'usage. Expertise structure effectuée. Site mis en sécurité';
Redémarrage des serveurs': Remplacement des infrastructures sur d'autres datacenters.
Cela ne laissait ainsi aucun doute quant à la destruction des VPS se trouvant dans ce bâtiment, l'association n°1 ne pouvant s'emparer du terme «'redémarrage des serveurs'» pour estimer la communication trompeuse.
Si l'information personnelle officielle n'a été délivrée que le 27 avril 2021, il n'en demeure pas moins que, préalablement à cette date, l'association avait bien été informée de la destruction de son VPS, d'autant plus que, dès le 5 avril 2021, elle avait obtenu un courriel l'informant de la «'reconstruction de votre VPS vps10848.ovh.net'» [soulignement de la cour].
De troisième part, le reproche d'informations parcellaires ou incohérentes, émis par l'appelante, n'est pas plus fondé, compte tenu de l'ampleur du sinistre et de son impact, mais également des incertitudes existant à l'époque de l'incendie sur les répercussions de ce dernier sur l'ensemble de ses services, la
Données open data (Licence Ouverte 2.0), pseudonymisées à la source. Ne jamais citer uniquement sur la foi de cette base locale.