L’affaire est symbolique et va certainement donner matière à réflexion aux avocats en droit des affaires sur les contrats liant les entreprises et les hébergeurs. La Cour d’appel de Douai vient de rendre son jugement (rapporté par maître Alexandre Archambault) dans le conflit opposant la société de courtage en travaux, Bati Courtage, et OVH. Pour mémoire, suite à l'incendie survenu dans le datacenter d'OVH dans la nuit du 9 au 10 mars 2021, les sites Internet de Bati Courtage ont été rendus inaccessibles, impactant aussi bien l'activité de ses clients directs que de ses franchisés.
La société a réclamé les données sauvegardées en ayant souscrit l’option de backup. Problème : ces données ont été totalement et irrémédiablement perdues, car les sauvegardes étaient stockées dans le même bâtiment que celui où se trouvait le serveur principal intégralement détruit par l'incendie. En première instance, le tribunal de commerce de Lille Métropole avait condamné OVH à 100 000 € de dommages et intérêts. Le juge avait alors estimé qu’ OVH avait commis un manquement contractuel au contrat la liant à la société Bâti courtage. Cette dernière réclamait 6 M€ d’indemnisation.
Physiquement isolé ne signifie pas géographiquement distant
La Cour d’appel de Douai s’est focalisée « sur le contenu et sur l’étendue » du contrat de service de sauvegarde. En particulier, elle s’interroge sur le terme « physiquement isolé » prévu dans le contrat de backup. Pour la juridiction, « en l'absence de définition contractuelle spécifique résultant des conditions générales de service, la cour estime que l'expression « physiquement isolé » doit s'entendre dans son sens commun, à savoir comme ce qui est séparé de tout ce qui est voisin, ou encore à l'écart l'un de l'autre ». Exit donc la notion d’infrastructures géographiquement distinctes et le principe du 3-2-1 qui prévaut dans les bonnes pratiques de la sauvegarde.
En clair, Bati Courtage n’a pas été en mesure d’apporter la preuve que l’option de sauvegarde choisie ne comprenait pas au sein de ses clauses l’obligation pour OVH que le backup soit réalisé sur des sites distants. Il aurait pu choisir une autre offre respectant cette exigence. La Cour d’appel écarte donc la faute et la faute lourde pour OVH. Tout comme, elle balaye la notion de force majeure excipée par OVH et qui a été citée dans un récent arrêt concernant lui aussi l’incendie du datacenter strasbourgeois. En conséquence l’indemnisation du plaignant, reposant sur la perte des données sauvegardées est fortement réduite en passant de 100 000 € en première instance à 1 800,48 € en appel. Cette décision, susceptible de pourvoi en cassation, montre l’importance de bien spécifier les clauses contractuelles en matière de sauvegarde et de rentrer dans les détails sur les moyens mis en œuvre, la localisation des serveurs, la fréquence des tests de restauration,…
Pour ce type de s�curit� critique hautement sensible, rien n'est mieux que de le faire soi-m�me !
Signaler un abusPour mon entreprise, j'ai install� le serveur principal Synology High avalaibility au si�ge social et la sauvegarde � mon domicile, avec liaison VPN entre les deux.
Comme �a, en cas d'incendie, de vol ou d'inondation, une copie se trouve ailleurs.
En plus, le fait de faire soi-m�me permet la ma�trise totale de la s�curit� (vol de donn�es par administrateur...etc.).
Ce jugement incompr�hensible illustre surtout une double incompetence :
Signaler un abus1. Celle D'OVH d'abord qui n'a pas appliqu� la r�gle de base n�1 s'appliquant aux sauvegardes des Donn�es tierces (celles de ses clients) potentiellement tr�s sensibles dont il avait la responsabilit� en tant qu'h�bergeur
2. Celle de la cours d'appel de Douai qui a consid�r� que le terme "physiquement isol� � pour l'option de backup" devait �tre interpr�t� dans son sens commun alors m�me que la signification tacite (implicite) de ces termes s'agissant de sauvegardes de donn�es informatiques signifie justement "g�ographiquement distant"...