[Brèves] Incendie dans les locaux de OVH : condamnation au titre du contrat de service de sauvegarde automatique

2► En stockant les trois réplications de sauvegardes au même endroit que le serveur principal, la société OVH n’a pas respecté ses obligations contractuelles au titre du contrat de service de sauvegarde automatique, de sorte que sa cocontractante est fondée à demander la réparation des préjudices résultant de ce manquement à la suite de l’incendie survenu dans les locaux de la société OVH en mars 2021.

Faits et procédure. La société France Bati Courtage a souscrit auprès de la SAS OVH un contrat de location de serveur virtuel VPS pour héberger ses différents sites internet. Elle a également souscrit à un second contrat de service de sauvegarde automatique ou « auto-backup ». Ce service garantissait « la réalisation de sauvegardes automatiques quotidiennes, répliquées trois fois et stockées sur une infrastructure physiquement isolée du serveur principal ».

À la suite de l’incendie qui s’est déclaré au sein de l’un des quatre bâtiments de la SAS OVH situés à Strasbourg, dans la nuit du 9 au 10 mars 2021, le serveur hébergeant les données de France Bati Courtage a été détruit et les données qu’il contenait totalement perdues. Cette dernière a souhaité restaurer les données perdues de son serveur principal depuis les sauvegardes réalisées par la SAS OVH. Mais, le 3 avril  2021, OVH a annoncé à France Bati Courtage que les données de sauvegarde avaient, elles aussi, été détruites et perdues à cause de l’incendie car ces dernières étaient stockées au même endroit que le serveur principal. France Bati Courtage a alors demandé la réparation de son préjudice par OVH, au motif que cette dernière n’avait pas respecté ses engagements contractuels en particulier vis-à-vis de la sauvegarde et commis des manquements et des fautes lourdes pour la sécurité anti-incendie.

Décision. À titre liminaire, on relèvera que OVH affirme que le même tribunal de commerce de Lille s’est prononcé peu de temps avant sur sa responsabilité quant aux conséquences dudit incendie et a considéré que sa responsabilité ne pouvait être mise en cause à ce titre.
Or, les juges lillois estiment que l’étude de ce jugement montre que l’affaire invoquée est différente de celle étudiée ici sur un point essentiel : la société Adomos, dans la précédente affaire, avait souscrit uniquement un contrat d’hébergement simple de deux serveurs et n’avait pas souscrit à l’option de sauvegarde automatique proposée par OVH. Celle-ci n’était donc pas tenue contractuellement d’effectuer des sauvegardes, cette tâche incombant à la société Adomos.

• Sur la faute lourde ou les graves manquements à la sécurité anti-incendie

Les juges lillois considèrent, d'une part, que s’il est surprenant et inhabituel que OVH ait choisi de construire une partie de son datacenter de Strasbourg avec des containers maritimes recyclés et que ces derniers ne comportent pas de système d’extinction automatique, ces choix n’enfreignent aucune loi ou réglementation, d’autre part, il n’est pas démontré que ces choix soient à l’origine ou aient contribué aux destructions engendrées par l’incendie.

Il ajoutent que OVH a pris les mesures de précaution d’usage contre l’incendie, à savoir des équipements de détection et la formation des agents pour intervenir, comme peuvent le faire les autres acteurs du marché de l’hébergement.

Dès lors, elle n’a pas commis de faute lourde ou de graves manquements à la sécurité anti-incendie.

• Sur la clause d’exclusion pour cas de force majeure

Le tribunal retient notamment que la sauvegarde a pour objet de mettre en sécurité les données pour pouvoir les restaurer dans le cas où un incident (panne, cyberattaque, inondation, incendie, sinistre quelconque…) touche le serveur principal. Elle n'a donc d'intérêt précisément qu'en cas de sinistre et a fortiori en cas d'incendie.

Or, la clause qui prévoit que tout sinistre (inondation, vandalisme, sabotage, incendie, ect.) doit systématiquement être considéré comme un cas de force majeure dégage la responsabilité et libère de ses engagements OVH. Ainsi, selon le juge lillois, cette disposition contredit l'essence même de l’obligation qui est justement de pouvoir se reposer sur les sauvegardes des données en cas de sinistre. Une telle clause vide donc le contrat de la principale obligation à la charge de la société OVH, qui se libère de ses engagements dans des circonstances où justement ils sont nécessaires. Par conséquent, le tribunal déclare cette clause non-écrite en application de l’article 1170 du Code civil N° Lexbase : L0876KZH.

• Sur la localisation des sauvegardes et la faute contractuelle

Pour le tribunal, la SAS OVH avait pris l’engagement de faire des sauvegardes des données de son serveur dans un espace de stockage physiquement isolé du serveur principal, de sorte qu’en cas de perte de données du serveur principal, la SAS France Bati Courtage puisse restaurer les données depuis les sauvegardes.

En stockant les trois réplications de sauvegardes au même endroit que le serveur principal, la SAS OVH n’a donc pas respecté ses obligations contractuelles et France Bati Courtage est fondée à demander la réparation des préjudices résultant de ce manquement.

• Sur les préjudices et la clause de limitation de responsabilité du contrat

Après avoir retenu que les contrats qui lient France Bati Courtage et OVH sont des contrats d’adhésion, le tribunal considère que la clause de limitation de responsabilité établie par OVH octroie un avantage injustifié à celle-ci en absence de contrepartie pour le client. Cette clause crée une véritable asymétrie entre les obligations de chacune des parties. En définitive, cette clause transfère le risque sur l’autre partie de manière injustifiée et sans contrepartie pour cette dernière. En conclusion, les juges estiment qu’en application de l’article 1171 du Code civil N° Lexbase : L1981LKL, les clauses de limitation de responsabilité créent ici un déséquilibre significatif au contrat et doivent être réputées non-écrites.

• Condamnation

En conséquence, le tribunal condamne OVH à indemniser France Bati Courtage au titre des préjudices (i) pour perte d’un actif incorporel, (ii) pour les travaux de restitutions d’un hébergement, des données et des sites, (iii) financier pour l’année 2021, (iv) d’atteinte à l’image.

© Reproduction interdite, sauf autorisation écrite préalable