COUR D’APPEL D’AIX-EN-PROVENCE

Chambre 1-9

ARRÊT AU FOND

DU 06 FÉVRIER 2025

N° 2025/052

Rôle N° RG 24/01848 N° Portalis DBVB-V-B7I-BMSJF

S.A.S. CYBERMANIA

C/

Association INSTITUT DE MEDECINE DE LA REPRODUCTION

Copie exécutoire délivrée

le :

à :

M^e Pierre-Yves IMPERATORE

M^e Gilles MARTHA

Décision déférée à la Cour :

Jugement du Juge de l’exécution de [Localité 3] en date du 01 Février 2024 enregistré au répertoire général sous le n° 23/08114.

APPELANTE

S.A.S. CYBERMANIA

prise en la personne de son représentant légal en exercice, domicilié en cette qualité au siège social sis [Adresse 1]

représentée par M^e Pierre-Yves IMPERATORE de la SELARL LX AIX EN PROVENCE, avocat au barreau d’AIX-EN-PROVENCE,

plaidant par M^e Philippe PENSO, avocat au barreau de MARSEILLE

INTIMÉE

Association INSTITUT DE MÉDECINE DE LA REPRODUCTION Association régie par la loi du 1er juillet 1901

prise en la personne de son représentant légal en exercice, domicilié en cette qualité au siège social sis [Adresse 2]

représentée et plaidant par M^e Gilles MARTHA de la SCP BBLM, avocat au barreau de MARSEILLE, substitué par M^e Agathe PESTEL-DEBORD, avocat au barreau de MARSEILLE

*-*-*-*-*

COMPOSITION DE LA COUR

En application des dispositions des articles 804 et 805 du code de procédure civile, l’affaire a été débattue le 18 Décembre 2024 en audience publique, les avocats ne s’y étant pas opposés, devant Madame Pascale POCHIC, Conseiller, et Monsieur Ambroise CATTEAU, Conseiller.

Monsieur Ambroise CATTEAU, Conseiller, a fait un rapport oral à l’audience, avant les plaidoiries.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la cour, composée de :

Madame Pascale POCHIC, Conseiller faisant fonction de Président

Monsieur Ambroise CATTEAU, Conseiller

Madame Joëlle TORMOS, Conseiller

Greffier lors des débats : Madame Josiane BOMEA.

Les parties ont été avisées que le prononcé de la décision aurait lieu par mise à disposition au greffe le 06 Février 2025.

ARRÊT

Contradictoire,

Prononcé par mise à disposition au greffe le 06 Février 2025,

Signé par Madame Pascale POCHIC, Conseiller faisant fonction de Président et Madame Josiane BOMEA, greffier auquel la minute de la décision a été remise par le magistrat signataire.

***

FAITS, PROCÉDURE, PRÉTENTIONS

Le 8 février 2018, la société Cybermania et l’association Institut de Médecine de Reproduction ( IMR ) signaient un contrat d’hébergement de données, lequel a pour objet des solutions de stockage et de sauvegarde de données de santé, sous-traitées à la société OVH , laquelle a hébergé les données sur son serveur SBG2 et les a sauvegardées en back up sur son serveur SBG1. Les 10 et 19 mars 2021, un incendie a détruit totalement le serveur SBG2 et partiellement le SBG1.

L’IMR déclarait le sinistre à son assureur dont l’expert déposait ses conclusions le 7 janvier 2022. Une mise en demeure du 8 août 2022 restée vaine et ne permettait pas une solution amiable.

Une ordonnance du 27 juin 2023 du juge de l’exécution de [Localité 3] autorisait l’association IMR à pratiquer une saisie conservatoire sur les comptes bancaires de la société Cybermania aux fins de garantie de paiement de la somme de 1 000 000 €.

Les 10 et 11 juillet 2023, l’IMR faisait délivrer une saisie conservatoire entre les mains de la BNP Paribas fructueuse à hauteur de 218 601,69 € et de la Société Générale, fructueuse à hauteur de 151 152,81 €. Les 11 et 13 juillet 2023, elles étaient dénoncées à la société Cybermania.

Le 8 août 2023, la société Cybermania faisait assigner l’IMR devant le juge de l’exécution de [Localité 3] aux fins de mainlevée des saisies conservatoires précitées et de condamnation au paiement d’une somme de 8 000 € de dommages et intérêts et d’une indemnité de 5 000 € pour frais irrépétibles.

Un jugement du 01er février 2024 du juge de l’exécution précité :

— constatait l’existence d’une créance paraissant fondée en son principe et un risque dans le recouvrement de cette dernière, au profit de l’association IMR,

— rejetait la demande de mainlevée des saisies conservatoires des 10 et 13 juillet 2023,

— condamnait la société Cybermania au paiement d’une indemnité de 2 000 € pour frais irrépétibles et aux dépens de l’instance.

Ledit jugement était notifié par voie postale à la société Cybermania selon accusé de réception signé le 3 février 2024. Par déclaration du 14 février 2024 au greffe de la cour, cette dernière formait appel du jugement précité.

Aux termes de ses dernières écritures notifiées le 12 juin 2024, auxquelles il sera renvoyé pour plus ample exposé des moyens, la société Cybermania demande à la cour:

— d’infirmer le jugement déféré dans toutes ses dispositions,

— statuant à nouveau, d’ordonner la mainlevée des saisies conservatoires des 10 et 13 juillet 2023,

— de condamner l’IMR à lui payer une somme de 8 000 € de dommages et intérêts,

— de condamner l’IMR au paiement d’une indemnité de 5 000 € pour frais irrépétibles et aux dépens, ceux d’appel distraits au profit de maître Imperatore.

Elle conteste l’existence d’une créance fondée en son principe au motif que les parties sont liées par un contrat du 8 février 2018 dont l’article 3 détermine leurs obligations des parties et aux termes duquel elle n’est pas tenue de prendre les dispositions nécessaires à la sauvegarde des données stockées dans les data-center auxquels elle n’a pas accès.

De plus, l’article 8 stipule que la sauvegarde des données demeure sous la responsabilité exclusive de l’IMR qui devait souscrire à une solution technique complémentaire de sauvegarde de ses données.

Enfin, le contrat contient une clause d’exclusion de responsabilité en cas de force majeure et l’incendie constitue un événement extérieur, imprévisible et irrésistible.

Sur le montant de la créance, elle soutient que l’article 8 des conditions particulières stipule une exclusion des dommages immatériels de sorte que tant que le juge du fond n’a pas retenu l’existence d’une faute lourde, l’IMR ne peut invoquer utilement la réparation de dommages immatériels et son préjudice se limite à 77 966 €.

De plus, elle invoque deux notes financières d’évaluation qui limitent les préjudices subis à 39 159 € dont 31 159 € de préjudices matériels ou à 8 583 € de préjudices indemnisables.

Sur les préjudices invoqués par l’IMR, elle conteste l’existence d’un lien entre les frais d’assistance judiciaire, le renfort en ressources humaines et l’incendie. Elle relève l’absence de pièces comptables d’achat de consommables.

Au titre des dommages immatériels, elle rappelle leur exclusion contractuelle et soutient en tout état de cause que seuls les médecins peuvent être indemnisés à titre personnel du temps passé à reconstituer les données de leurs patients. En outre, elle considère le chiffrage approximatif et non pertinent.

Elle conteste toute menace dans le recouvrement de la créance aux motifs que son bilan clos au 30 juin 2023 établit un résultat net de 444 158 € et que son expert-comptable atteste d’une situation financière très solide, d’une trésorerie excédentaire et d’un faible endettement.

En outre, elle invoque la garantie de son assureur dont le courrier du 13 octobre 2022 confirme que sa garantie est mobilisable en cas de condamnation.

Elle fonde sa demande de dommages et intérêts sur l’article L 512-2 CPCE au motif que la saisie a entraîné d’importantes difficultés de gestion notamment pour le paiement des salaires et des fournisseurs et le financement de projets à court terme.

Aux termes de ses dernières écritures notifiées le 6 novembre 2024, auxquelles il est renvoyé pour plus ample exposé des moyens, l’IMR demande à la cour de :

— confirmer le jugement déféré dans toutes ses dispositions,

— y ajoutant, condamner la société Cybermania au paiement d’une indemnité de 10 000 € pour frais irrépétibles et aux entiers dépens.

Il invoque une créance paraissant fondée en son principe au motif que le contrat du 8 février 2018 a pour essence le stockage et la sauvegarde des données, objet d’une sous-traitance à la société OVH. Or, elle fait grief à l’appelante de n’avoir pas prévu de plan de sauvegarde en procédant à un stockage de données sur deux sites distincts et non sur le seul site de [Localité 4] alors que la société OVH proposait une telle option.

Elle lui fait aussi grief de n’avoir pas mis en place un plan de reprise d’activité afin de reconstituer les données détruites et de permettre une poursuite d’activité en cas d’incendie, option non souscrite par la société Cybermania auprès de la société OVH.

Elle conclut à une faute lourde qui engage sa responsabilité et exclut l’application de la clause limitative de responsabilité aux seuls préjudices matériels.

Elle conteste l’exonération pour force majeure alors que l’incendie était prévisible et la perte de données évitable et la prétendue demande de réduction du champ des prestations pendant la période Covid.

Elle affirme que l’évaluation des dommages subis résulte d’une évaluation de l’expert de son assurance à 1 071 209 € dont 885 483 € au titre des frais de reconstitution de données ( 80 € x 10 102 dossiers ) par les médecins à concurrence de 20 minutes par dossier.

Elle considère que le recouvrement de sa créance est menacé compte tenu de son montant et des comptes sociaux non publiés depuis l’année 2017 de la société Cybermania. Si sa déclaration d’impôt sur les sociétés du 1er juillet 2022 au 30 juin 2023 mentionne un résultat net comptable de 444 158 €, elle établit aussi un endettement à l’égard des établissements de crédit, des fournisseurs et du trésor public. Elle relève que les montants saisis ne correspondent qu’à 35 % du montant de sa créance indemnitaire et invoque un défaut de garantie effective de son assureur, en l’absence de proposition et d’une exclusion des dommages en l’absence de double des données.

Enfin, elle conteste tout abus de saisie en l’état d’une autorisation judiciaire délivrée sur la base de faits objectifs.

L’instruction de la procédure était close par ordonnance du 19 novembre 2024.

MOTIVATION DE LA DÉCISION

L’article L 511-1 du code des procédures civiles d’exécution, toute personne dont la créance paraît fondée en son principe peut solliciter du juge, l’autorisation de pratiquer une mesure conservatoire sur les biens de son débiteur, sans commandement préalable, si elle justifie de circonstances susceptibles d’en menacer le recouvrement.

— Sur l’existence d’une créance paraissant fondée en son principe:

Les parties sont liées par un contrat du 8 février 2018 intitulé ' Hébergement Web HDS Application Medifirst ' dont l’objet est défini comme suit : ' Le présent contrat a pour objet de définir les conditions dans lesquelles le prestataire s’engage à fournir au client, à sa demande, une prestation d’hébergement web HDS de l’application Medifirst. Les données et systèmes d’information de santé sont particulièrement sensibles. Ils constituent un élément essentiel de la vie privée des patients, une brique primordiale du parcours de soin et un outil pour les professionnels de santé. Conscient de ses enjeux, Cybermania en partenariat avec OVH, a mis toute son expertise sécurité pour proposer une offre d’hébergement de système d’information de santé respectueuse des standards de sécurité les plus exigeants du domaine'.

L’article 3 détermine les obligations de Cybermania et d’OVH, lesquels s’engagent notamment à ' mettre en oeuvre les mesures techniques et organisationnelles prévues au contrat afin d’assurer l’intégrité des données que le client stocke sur son infrastructure '.

L’article 8 des conditions particulières stipule que ' le prestataire s’engage à exécuter les obligations à sa charge avec tout le soin en usage dans sa profession et à utiliser les règles de l’art du moment. La responsabilité de Cybermania au titre du présent contrat comme toute obligation de garantie qui pourrait en découler est strictement limitée à la réparation des dommages matériels dont il serait prouvé qu’ils ont été causés directement par les matériels ou les préposés de Cybermania, et ce à l’exclusion de toute prise en charge de dommages immatériels tels que notamment manque à gagner, perte d’exploitation, préjudice commercial, charges supplémentaires, etc'.

Il est constant qu’un incendie en date du 10 mars 2021 a ravagé le data-center de l’entreprise OVH situé à [Localité 4]. Par courriel du 15 mars suivant, la société Cybermania informait l’association IMR qu’ 'OVH est dans l’incapacité de pouvoir restituer vos données. Elles semblent malheureusement définitivement perdues'.

L’article 17 des conditions particulières du service OVH Healthcare stipule notamment qu’il appartient au client de s’assurer de l’adéquation à ses besoins des moyens fournis par OVH dans le cadre du service, des options souscrites et de ses éventuels propres dispositifs complémentaires. Le client est responsable de s’assurer du bon fonctionnement de son plan de reprise d’activité par la réalisation de tests réguliers.

Les dispositifs automatiques ou optionnels proposés par OVH sont décrits dans l’annexe 3 : Plan de continuité d’activité du Private Cloud ( PCA ). Ce document décrit la nature des dispositifs, leur éventuel caractère optionnel, les activités de test des dispositifs réalisés par OVH ainsi que les conditions de déclenchement le cas échéant'.

L’annexe 3 décrit notamment le mécanisme ' PRA client ' dans les termes suivants ' Cette option consiste à prendre un deuxième Dedicated Cloud sur un site distant. L’ensemble de l’infrastructure du client est répliquée sur ce deuxième Dedicated Cloud. Le logiciel Zerto est fourni au client pour déclencher la bascule d’un site à l’autre'.

Or, la société Cybermania était informée de l’objet principal de l’association IMR de 'réunir des praticiens de différentes spécialités afin notamment d’assurer une prise en charge clinico-biologique, des couples présentant une infécondité à l’exclusion des actes d’Assistance Médicale à la Procréation soumis à autorisation sanitaire'.( Cf article 3 des statuts ). L’article précité ' objet ' du contrat du 8 février 2018 rappellent le caractère ' particulièrement sensible’ des données et systèmes d’information de santé, lesquels constituent 'un élément essentiel de la vie privée des patients, une brique primordiale du parcours de soins et un outil pour les professionnels de santé'.

Ainsi, la spécificité de l’activité de l’IMR dans la prise en charge de l’infécondité des couples pouvait imposer la mise en oeuvre de dispositifs spécifiques de sauvegarde de leurs données personnelles relatives à leur intimité et dont la conservation est nécessaire à la prise en charge des médecins.

Dans ce contexte, l’association IMR peut faire grief à la société Cybermania de ne pas avoir souscrit pour elle ou de ne pas lui avoir conseillé de souscrire directement le mécanisme PRA consistant à sauvegarder ses données sur un site distant, opération qui aurait été de nature à garantir le risque de perte des données des clients de l’association notamment en cas d’incident sur le site d’OVH de [Localité 4] et à permettre la mise en oeuvre d’un plan de reprise d’activité à partir des données sauvegardées utilement sur le site distant.

Ainsi, l’association IMR justifie d’un principe de créance de nature indemnitaire constitué par les préjudices en lien avec le manquement précité de la société Cybermania à ses obligations contractuelles de conseil et de conservation de l’intégrité des données.

Cependant, l’association IMR doit justifier d’une créance ayant un caractère vraisemblable en application des stipulations du contrat du 8 février 2018, constitutif de la loi des parties, et notamment son article 8 selon lequel seuls les préjudices matériels sont indemnisables. L’intention des parties était donc d’exclure la réparation des préjudices immatériels. Cette limitation conventionnelle s’impose au juge de l’exécution saisi d’une contestation de saisie conservatoire. Dès lors que le juge du fond n’a pas statué sur l’existence d’une faute dolosive ou lourde invoquée sur le fondement de l’article 1231-3 du code civil, l’examen d’un principe de créance par le juge de l’exécution lui impose de respecter la loi des parties et notamment la clause limitative de responsabilité aux seuls préjudices matériels.

Il s’en déduit que l’association IMR justifie d’un principe de créance pour un montant correspondant aux préjudices matériels qu’elle invoque à hauteur de 72 960 €.

— Sur l’existence de circonstances de nature à menacer son recouvrement:

Il appartient à l’association IMR d’établir l’existence de circonstances de nature à menacer le recouvrement de sa créance d’un montant limité à 72 960 €.

Or, la société Cybermania exerce son activité depuis vingt ans et son bilan comptable au 30 juin 2023 établit un résultat net positif de 444 158 € en forte hausse par rapport à celui de 201 572€ au 30 juin 2022.

Son expert -comptable atteste le 8 février 2024 d’une situation financière très solide, d’un faible endettement, d’une trésorerie largement excédentaire, de capitaux propres élevés, de bénéfices réguliers et substantiels depuis plusieurs exercices. En effet, le bilan au 30 juin 2023 établit une trésorerie d’un montant de 894 159 € et les saisies conservatoires délivrées ont permis de saisir la somme de 369 754 €.

Ainsi, les éléments précités ne permettent pas de caractériser un risque de non-recouvrement d’une créance paraissant fondée en son principe à hauteur de 72 966 €.

Par conséquent, le jugement déféré sera infirmé et la mainlevée des saisies conservatoires contestées sera ordonnée.

— Sur la demande de dommages et intérêts pour saisie conservatoire abusive:

L’article 512-2 du code des procédures civiles d’exécution dispose que les frais occasionnés par une mesure conservatoire sont à la charge du débiteur, sauf décision contraire du juge.

Lorsque la mainlevée est ordonnée par le juge, le créancier peut être condamné à réparer le préjudice causé par la mesure conservatoire.

En l’espèce, si la société Cybermania prétend que les saisies ont eu pour effet d’importantes difficultés de gestion notamment pour payer les salaires et fournisseurs et pour financer ses projets à court terme, elle procède par voie d’affirmations et ne produit aucune pièce de nature à établir les difficultés alléguées. En l’absence de preuve de son préjudice, la demande indemnitaire doit être rejetée.

Par conséquent, la demande de dommages et intérêts de la société Cybermania sera rejetée.

— Sur les demandes accessoires,:

L’équité commande d’allouer à la société Cybermania une indemnité de 3 000 € au titre de l’article 700 du code de procédure civile.

L’association IMR, partie perdante, supportera les entiers dépens de première instance et d’appel.

PAR CES MOTIFS

La cour, statuant après débats en audience publique et après en avoir délibéré, conformément à la loi, par arrêt contradictoire, prononcé par mise à disposition au greffe,

INFIRME le jugement déféré dans toutes ses dispositions,

STATUANT à nouveau,

ORDONNE la mainlevée des saisies conservatoires, du 10 juillet 2023 entre les mains de la SA BNP Paribas, et du 11 juillet 2023 entre mains de la Société Générale,

REJETTE la demande de dommages et intérêts de la société Cybermania,

CONDAMNE l’association Institut de la Médecine de Reproduction au paiement d’une indemnité de 3 000 € au titre de l’article 700 du code de procédure civile,

CONDAMNE l’association Institut de la Médecine de Reproduction aux dépens de première instance et d’appel, ceux d’appel distraits au profit de maître Pierre-Yves Imperatore, membre de la Selarl LX Aix en Provence, avocats associés.

LA GREFFIÈRE P/LA PRÉSIDENTE EMPÉCHÉE