Perte de données, à qui la faute ?

Une décision du Tribunal de commerce de Nanterre du 2 mai 2014 incite à la plus grande vigilance au moment de rédiger et de conclure les contrats de maintenance informatique… La société Pharmotel a recours aux services d’un prestataire informatique pour assurer la maintenance de ses matériels et logiciels. Le contrat de « Facilities Management » conclu dans ce but décrit la nature et l’étendue des obligations contractuelles des parties de la façon suivante : - l’objet du contrat est « d’assurer la maintenance du réseau local des ordinateurs et périphériques ainsi que des logiciels utilisés » (article 1) - l’étendue des obligations confiées au prestataire : « les prestations confiées [au prestataire] sont exécutées dans le cadre d’une obligation de moyens » (article 5) - la limitation de responsabilité : « en cas de perte de données ou de logiciels et ce quelle qu’en soit la cause [le prestataire] ne pourra être rendu responsable de cette perte dans la mesure où le client garde la responsabilité de la bonne réalisation de ses sauvegardes et de l’utilisation des logiciels dont il a acquis les licences » (article 10). Au cours d’une intervention de maintenance dans les locaux du client, l’intégralité des données stockées sur les trois disques durs du serveur informatique du client sont perdues. Par ailleurs, le système de sauvegarde des données n’était plus opérationnel depuis des mois. Les tentatives de récupération des données sont infructueuses si bien que le client subit une perte irrémédiable et définitive de ses données. Les experts techniques des assureurs respectifs des parties rendent des rapports contradictoires sur les causes de ce sinistre et les responsabilités. Le client assigne alors le prestataire en réparation de son préjudice estimé à 158.745,95 €

Le Tribunal a considéré que :

- le contrat liant les parties est un simple contrat de moyens ne transférant sur le prestataire aucune autre responsabilité que celle d’assurer la maintenance des matériels et logiciels du client, - les sauvegardes des données et logiciels ne relèvent pas de la responsabilité du prestataire, - le prestataire n’a commis ni faute dolosive (intentionnelle), ni faute lourde, - cependant, la responsabilité du prestataire ne peut être écartée, les données ayant bel et bien disparu, - or la responsabilité du prestataire est limitée par la clause de limitation de responsabilité définie à l’article 10 du contrat. Le Tribunal condamne donc le prestataire à payer la somme de 7.280 € à titre de dommages et intérêts. Il semble donc que le Tribunal déclare responsable le prestataire pour manquement à une obligation ne relevant pourtant pas de ses obligations, ce que le Tribunal prend d’ailleurs le soin de rappeler puisqu’il applique la clause limitative de responsabilité fixant le plafond d’indemnisation. Or, la faute en matière contractuelle consiste en l’inexécution d’une obligation contractuelle. Cette inexécution doit être à l’origine d’un dommage. Il faut donc bien distinguer : - le fait « originaire » du prestataire qui a vraisemblablement engendré l’effacement des données, - du défaut de sauvegarde qui a rendu cet effacement irrémédiable.

Lequel de ces actes constitue la faute contractuelle à l’origine du dommage réparable au titre de la responsabilité contractuelle ?

On doit se demander « Qui est débiteur de l’obligation inexécutée, faute à l’origine du dommage ? ». L’obligation inexécutée est l’obligation de sauvegarder les données. Cette obligation est bien dans le champs contractuel, mais pas à la charge du prestataire. La « clause limitative de responsabilité » est claire « En cas de perte de données ou de logiciels et ce quelle qu’en soit la cause, le prestataire ne pourra être rendu responsable de cette perte dans la mesure où le client garde la responsabilité de la bonne réalisation de ses sauvegardes et de l’utilisation des logiciels dont il a acquis les licences ». La clause tend justement à encadrer la perte de données quelle qu’en soit la cause car le risque existe. Il est inhérent à la maintenance. Il est également consubstantiel à l’utilisation des logiciels, une mauvaise manipulation pouvant provoquer l’effacement des données. Cependant, l’obligation du prestataire est la maintenance, l’obligation du client, la sauvegarde des données et des logiciels et la bonne utilisation du logiciel. Le contrat est clair sur ce point. La clause est intitulée « limitative de responsabilité », elle s’apparente en réalité davantage à une clause exclusive d’obligation ou à une clause de transfert d’obligation. Dans les deux cas (clause limitative d’obligation ou clause limitative de responsabilité), l’objectif est d’écarter, de limiter la responsabilité du prestataire. La décision du Tribunal de commerce repose semble-t-il sur une contradiction : - soit l’obligation de sauvegarde des données est à la charge du prestataire, les données ne sont pas sauvegardées et il est logique de s’interroger sur l’application ou non de la clause limitative de responsabilité, sur la nature dolosive ou lourde de l’inexécution contractuelle, sur le caractère essentiel ou non de l’obligation en cause. - soit l’obligation n’incombe pas au prestataire et il ne saurait être reconnu responsable à ce titre. Par conséquent, la question de l’application de la clause ne se pose pas puisque par définition elle ne s’applique qu’à l’indemnisation d’un manquement à une obligation contractuelle. Dans cette seconde hypothèse qui semble être celle retenue par les magistrats, peu importe donc qu’il y ait ou non de clause de limitation ou d’exclusion de responsabilité. Pas d’obligation/Pas de responsabilité contractuelle. En l’espèce, le prestataire a vraisemblablement commis une faute, mais cette faute n’est pas synonyme d’inexécution d’une obligation, laquelle incombait au client. Le client est, en revanche, responsable de l’inexécution. Il a donc commis la faute contractuelle à l’origine de son dommage. Conformément à ce que retient la jurisprudence, il est nécessaire de constater un préjudice spécifique issu de l'inexécution contractuelle. Le dommage est avéré, les données sont perdues. Et elles le sont perdues du fait du client au regard du contrat. Pour preuve, s’il avait réalisé les sauvegardes, les données auraient été importées dans le système d’information, et le dommage aurait trouvé réparation. Il y aurait bien faute, mais plus de dommage.

Conséquences

La question de savoir si la clause limitative de responsabilité doit être écartée du fait de la nature dolosive ou lourde de la faute ou en raison du caractère essentiel ou non de l’obligation ne devrait pas se poser donc en l’espèce puisque les conditions de mise en œuvre de la responsabilité du prestataire et en particulier l’inexécution fautive ne sont pas réunies. Les rédacteurs des contrats devront porter leur attention sur la définition et la répartition des obligations contractuelles. La jurisprudence Responsabilité sur le site Legalis : cliquer ici.