Incendie du centre de stockage des serveurs OVH : la société a commis une faute en hébergeant les données et leurs sauvegardes dans le même entrepôt
Tribunal de commerce de Lille., 26 janvier 2023, n° 2021013526
L’incendie très médiatisé ayant affecté un entrepôt, dans la nuit du 9 au 10 mars 2021 de la célèbre société française OVH, notamment spécialisée dans la fourniture de solutions d’hébergement et de serveurs en ligne, a entraîné la perte, dans certains cas définitive, de très nombreuses données de particuliers comme de sociétés. Dans un jugement rendu par le tribunal de commerce de Lille le 26 janvier 2023, les juges étaient appelés à statuer sur les demandes en responsabilité contractuelle formée par une société victime de la perte de ses données contre l’opérateur.
La société France Bati Courtage, à la tête d’un vaste réseau de franchise dans le courtage de travaux immobiliers autour de l’enseigne LA MAISON DES TRAVAUX avait conclu avec la société OVH un contrat de « location de serveur virtuel VPS » pour l’hébergement des sites Internet, ainsi qu’un contrat de service de sauvegarde automatique dit « auto-backup ». Ce deuxième contrat avait vocation à assurer la sécurité des données en garantissant « la réalisation de sauvegardes automatiques quotidiennes, répliquées 3 fois et stockées sur une infrastructure physiquement isolée du serveur principal ».
Ayant intégralement perdu l’accès à ses données et aux nombreux sites exploités par ses franchisés, la société France Bati Courtage a réclamé auprès d’OVH qu’elle mette en œuvre la procédure de récupération. Or, cette procédure de récupération s’est révélée impossible dans la mesure où les serveurs contenant les données de sauvegarde, stockés eux aussi sur le lieu de l’incendie, avait également été détruits.
Insatisfaite par la position de la société OVH, la société France Bati Courtage l’assigna en responsabilité contractuelle et indemnisation de son préjudice devant le tribunal de commerce de Lille. En défense, la société OVH faisait notamment valoir que ses conditions générales, acceptées par la demanderesse, contenaient une clause d’exclusion de responsabilité pour cas de force majeure, dont l’hypothèse d’un incendie.
Cet argument est écarté par le juge lillois qui retient une approche pragmatique et de bon sens : une telle clause « contredit l’essence même de l’obligation qui est justement de pouvoir se reposer sur les sauvegardes de données en cas de sinistre. Avec une telle clause, en cas de sinistre, la SAS OVH n’est donc jamais tenue de réaliser sa mission au moment où, pourtant, celle-ci est nécessaire. Les copies de sauvegarde n’ont pas d’intérêt en l’absence de sinistre et elles ne sont d’ailleurs pas utilisées […] En l’espèce, réaliser les copies de sauvegarde et les mettre en sécurité, en particulier en cas de sinistre ou d’incendie, est une obligation essentielle du contrat ».
En stockant les données et les jeux de copies de sauvegarde dans le même lieu, la société OVH s’est placée elle-même dans une situation lui empêchant de respecter ses obligations contractuelles. De plus, pour les juges, « stocker les données au même endroit que le serveur principal, et a fortiori […] conserver toutes les copies de sauvegarde au même endroit ne permet pas de mettre à l’abri les données, ne respecte par l’état de l’art de la sauvegarde et ne permet pas d’atteindre l’objectif fixé par le contrat. »
C’est pourquoi le tribunal a admis que la société OVH avait engagé sa responsabilité contractuelle et que la clause de force majeure devait être déclarée non écrite. Cette décision doit être approuvée dans la mesure où la prestation spécifique d’hébergement Internet de stockage de données s’appuie, dès l’origine, sur la notion de décentralisation (une information étant conservée en plusieurs lieux différents pour éviter sa disparition) qui ne peut être effective qu’en la dissémination en plusieurs points géographiques.
L’incendie très médiatisé ayant affecté un entrepôt, dans la nuit du 9 au 10 mars 2021 de la célèbre société française OVH, notamment spécialisée dans la fourniture de solutions d’hébergement et de serveurs en ligne, a entraîné la perte, dans certains cas définitive, de très nombreuses données de particuliers comme de sociétés. Dans un jugement rendu par le tribunal de commerce de Lille le 26 janvier 2023, les juges étaient appelés à statuer sur les demandes en responsabilité contractuelle formée par une société victime de la perte de ses données contre l’opérateur.
La société France Bati Courtage, à la tête d’un vaste réseau de franchise dans le courtage de travaux immobiliers autour de l’enseigne LA MAISON DES TRAVAUX avait conclu avec la société OVH un contrat de « location de serveur virtuel VPS » pour l’hébergement des sites Internet, ainsi qu’un contrat de service de sauvegarde automatique dit « auto-backup ». Ce deuxième contrat avait vocation à assurer la sécurité des données en garantissant « la réalisation de sauvegardes automatiques quotidiennes, répliquées 3 fois et stockées sur une infrastructure physiquement isolée du serveur principal ».
Ayant intégralement perdu l’accès à ses données et aux nombreux sites exploités par ses franchisés, la société France Bati Courtage a réclamé auprès d’OVH qu’elle mette en œuvre la procédure de récupération. Or, cette procédure de récupération s’est révélée impossible dans la mesure où les serveurs contenant les données de sauvegarde, stockés eux aussi sur le lieu de l’incendie, avait également été détruits.
Insatisfaite par la position de la société OVH, la société France Bati Courtage l’assigna en responsabilité contractuelle et indemnisation de son préjudice devant le tribunal de commerce de Lille. En défense, la société OVH faisait notamment valoir que ses conditions générales, acceptées par la demanderesse, contenaient une clause d’exclusion de responsabilité pour cas de force majeure, dont l’hypothèse d’un incendie.
Cet argument est écarté par le juge lillois qui retient une approche pragmatique et de bon sens : une telle clause « contredit l’essence même de l’obligation qui est justement de pouvoir se reposer sur les sauvegardes de données en cas de sinistre. Avec une telle clause, en cas de sinistre, la SAS OVH n’est donc jamais tenue de réaliser sa mission au moment où, pourtant, celle-ci est nécessaire. Les copies de sauvegarde n’ont pas d’intérêt en l’absence de sinistre et elles ne sont d’ailleurs pas utilisées […] En l’espèce, réaliser les copies de sauvegarde et les mettre en sécurité, en particulier en cas de sinistre ou d’incendie, est une obligation essentielle du contrat ».
En stockant les données et les jeux de copies de sauvegarde dans le même lieu, la société OVH s’est placée elle-même dans une situation lui empêchant de respecter ses obligations contractuelles. De plus, pour les juges, « stocker les données au même endroit que le serveur principal, et a fortiori […] conserver toutes les copies de sauvegarde au même endroit ne permet pas de mettre à l’abri les données, ne respecte par l’état de l’art de la sauvegarde et ne permet pas d’atteindre l’objectif fixé par le contrat. »
C’est pourquoi le tribunal a admis que la société OVH avait engagé sa responsabilité contractuelle et que la clause de force majeure devait être déclarée non écrite. Cette décision doit être approuvée dans la mesure où la prestation spécifique d’hébergement Internet de stockage de données s’appuie, dès l’origine, sur la notion de décentralisation (une information étant conservée en plusieurs lieux différents pour éviter sa disparition) qui ne peut être effective qu’en la dissémination en plusieurs points géographiques.
