République Française

Au nom du Peuple Français

COUR D’APPEL DE DOUAI

CHAMBRE 2 SECTION 1

ARRÊT DU 12/09/2024

****

N° de MINUTE :

N° RG 22/03214 – N° Portalis DBVT-V-B7G-UL2F

Jugement n° 2021005316 rendu le 21 juin 2022 par le tribunal de commerce de Lille Métropole

APPELANTE

SA Adomos agissant par le président de son conseil d’administration domicilié en cette qualité audit siège

ayant son siège social [Adresse 3]

représentée par M^e Caroline Chambaert, avocat au barreau de Lille, avocat constitué

assistée de M^e Vincent Delcolore, avocat au barreau de Paris, avocat plaidant

INTIMÉES

SASU OVH représentée par son président domicilié en cette qualité audit siège

ayant son siège social [Adresse 2]

représentée par M^e Loïc Le Roy, avocat au barreau de Douai, avocat constitué

assistée de M^e Arthur Dethomas et M^e Nicolas Rohfritsch, avocats au barreau de Paris, avocats plaidants

Société Chubb European Group SE prise en la personne de son représentant légal domicilié en cette qualité audit siège

ayant son siège social [Adresse 1]

représentée par M^e Damien Lezan, avocat au barreau de Lille, avocat constitué

assistée de M^e David Méheut, avocat au barreau de Paris, avocat plaidant

COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ

Dominique Gilles, président de chambre

Pauline Mimiague, conseiller

Aude Bubbe, conseiller

— --------------------

GREFFIER LORS DES DÉBATS : Valérie Roelofs

DÉBATS à l’audience publique du 23 mai 2024 après rapport oral de l’affaire par Aude Bubbe, conseiller.

Les parties ont été avisées à l’issue des débats que l’arrêt serait prononcé par sa mise à disposition au greffe.

ARRÊT CONTRADICTOIRE prononcé publiquement par mise à disposition au greffe le 12 septembre 2024 (date indiquée à l’issue des débats) et signé par Dominique Gilles, président, et Valérie Roelofs, greffier, auquel la minute de la décision a été remise par le magistrat signataire.

ORDONNANCE DE CLÔTURE DU : 17 avril 2024

****

EXPOSÉ DU LITIGE

La SA Adomos exerce une activité de vente de biens immobiliers sur internet. Le 18 janvier 2021, elle a souscrit auprès de la SAS OVH un contrat de location de deux serveurs informatiques dédiés situés à [Localité 7].

Un des serveurs loués, situé dans le datacentre nommé SBG2 du site de [Localité 7], a subi un incendie le 10 mars 2021, entraînant la perte de toutes les données et causant également des dégradations dans l’immeuble hébergeant le second serveur, nommé SBG1.

Le datacentre SBG1 a subi un nouvel incendie le 19 mars 2021, sans conséquence sur les serveurs. Le serveur loué par la société Adomos situé dans ce datacentre a été remis en service début avril 2021.

Par jugement contradictoire du 21 juin 2022, sur assignation de la société Adomos du 22 avril 2021, le tribunal de commerce de Lille Métropole a :

— dit que la société OVH n’avait pas manqué à ses obligations contractuelles,

— rejeté l’ensemble des demandes de la société Adomos à l’encontre de la société OVH,

— débouté la société Adomos de l’ensemble de ses demandes à l’encontre de la société Chubb European Group SE, assureur de la société OVH, alors qu’elle était bien fondée à lui opposer une exclusion de garantie,

— condamné la société Adomos à payer à la société OVH la somme de 5 000 euros au titre de l’article 700 du code de procédure civile,

— condamné la société Adomos à payer à la société Chubb European Goup SE la somme de 2 500 euros au titre de l’article 700 du code de procédure civile,

— rappelé que l’exécution provisoire était de droit,

— condamné la société Adomos aux dépens.

Par déclaration reçue au greffe de la cour le 5 juillet 2022, la société Adomos a relevé appel de l’ensemble des chefs de ce jugement aux fins d’infirmation.

Aux termes de ses conclusions remises au greffe et notifiées par voie électronique le 11 avril 2024, la société Adomos demande à la cour de :

— infirmer le jugement en ce qu’il :

— a dit que la société OVH n’avait pas manqué à ses obligations contractuelles,

— a rejeté l’ensemble de ses demandes à l’encontre de la société OVH,

— l’a déboutée de l’ensemble de ses demandes à l’encontre de la société Chubb European Goup SE,

— l’a condamnée à payer à la société OVH la somme de 5 000 euros au titre de l’article 700 du code de procédure civile,

— l’a condamnée à payer à la société Chubb European Goup SE la somme de 2 500 euros au titre de l’article 700 du code de procédure civile, outre les dépens,

— condamner solidairement la société OVH et la société Chubb European Goup SE à lui verser les sommes de :

—  487 400 euros TTC au titre des frais de remise en service de son site internet et du coût de reconstitution des données,

—  585 395 euros en réparation de son préjudice financier,

A titre subsidiaire,

— condamner la société OVH à lui verser les sommes de :

—  487 400 euros TTC au titre des frais de remise en service de son site internet et du coût de reconstitution des données,

—  585 395 euros en réparation de son préjudice financier,

— ordonner la publication de l’arrêt à venir, aux frais de la société OVH, dans trois quotidiens nationaux,

A titre très subsidiaire, avant dire droit,

— désigner un expert à l’effet de rendre contradictoire aux parties le rapport [Y] sur le coût de reconstruction du site internet et condamner les défenderesses au règlement de la provision sur les frais d’expertise dont la durée devra être limitée à deux mois,

— désigner un expert à l’effet de rendre contradictoire aux parties le rapport [P] [C] sur les préjudices financiers et condamner les défenderesses au règlement de la provision sur les frais d’expertise dont la durée devra être limitée à deux mois,

— condamner solidairement la société OVH et la société Chubb European Goup SE à lui verser la somme de 15 000 euros au titre de l’article 700 du code de procédure civile.

Aux termes de ses conclusions remises au greffe et notifiées par voie électronique le 29 mars 2024, la société OVH demande à la cour de :

A titre principal :

— dire qu’elle n’est pas tenue d’obligations de résultat,

— dire qu’elle a respecté ses obligations en matière de préservation des données,

— dire qu’elle a respecté ses obligations en matière de mise en oeuvre de mesures de sécurité,

— dire qu’elle a respecté ses obligations contractuelles,

En conséquence,

— confirmer le jugement en l’ensemble de ses dispositions,

— rejeter l’ensemble des demandes de la société Adomos,

A titre subsidiaire,

— dire que l’incendie ayant entraîné la perte des données de la société Adomos présente les caractères de la force majeure,

En conséquence,

— confirmer le jugement en l’ensemble de ses dispositions,

— rejeter l’ensemble des demandes de la société Adomos,

A titre plus subsidiaire,

— juger que la société Adomos n’apporte pas la preuve de ses préjudices allégués,

En conséquence,

— confirmer le jugement en l’ensemble de ses dispositions,

— rejeter l’ensemble des demandes de la société Adomos,

A titre infiniment subsidiaire,

— juger que la clause limitant sa responsabilité à la somme de 100% du coût mensuel des serveurs dédiés indisponibles doit trouver application,

En conséquence,

— ordonner l’application de cette clause et limiter sa condamnation à une somme qui ne saurait dépasser la somme de 100% du coût mensuel des serveurs dédiés indisponibles,

En tout état de cause,

— dire que la demande de désignation d’expert est mal fondée,

— dire que les demandes de communication formulées par la société Adomos sont mal fondées,

— dire que les demandes de publication de la décision à intervenir formulées par la société Adomos sont mal fondées,

En conséquence,

— confirmer le jugement en l’ensemble de ses dispositions,

— rejeter l’ensemble des demandes de la société Adomos,

— condamner la société Adomos à lui verser la somme de 80 000 euros au titre de l’article 700 du code de procédure civile, outre les dépens d’appel.

Aux termes de ses conclusions remises au greffe et notifiées par voie électronique le 13 décembre 2022, la société Chubb European Goup SE demande à la cour de :

A titre principal,

— confirmer le jugement, en ce qu’il a débouté la société Adomos de l’ensemble de ses demandes formée à son encontre, retenant qu’elle était bien fondée à lui opposer une exclusion de garantie,

— débouter la société Adomos de l’ensemble de ses demandes dirigées contre elle,

A titre subsidiaire,

— rejeter les demande de la société Adomos, faute de démonstration de la responsabilité de la société OVH,

— débouter la société Adomos de l’ensemble de ses demandes dirigées contre elle,

A titre très subsidiaire,

— rejeter les demandes de la société Adomos, faute de démonstration des préjudices allégués,

— juger que seule la garantie 'Responsabilité Civile Professionnelle’ est applicable au titre de la police,

— faire application du plafond de 10 000 000 euros et de la franchise de 75 000 euros,

En tout état de cause,

— condamner la société Adomos à lui verser la somme de 2 500 euros au titre de l’article 700 du code de procédure civile, outre les dépens.

En application de l’article 455 du code de procédure civile, il est renvoyé aux écritures des parties pour l’exposé de leurs moyens.

La clôture de l’instruction est intervenue le 17 avril 2024 et l’affaire a été renvoyée à l’audience de plaidoiries du 23 mai 2024.

MOTIFS

Sur la responsabilité de la société OVH

Pour écarter la responsabilité de la société OVH, visant les dispositions contractuelles applicables et l’article 1218 du code civil, le tribunal a retenu que le contrat prévoyait des obligations de moyens à la charge de la société OVH et laissait la sauvegarde des données placées sur le serveur sous la seule responsabilité de la société Adomos. Il a ajouté que l’incendie, dont les causes et l’origine n’étaient pas encore connues, constituait un cas de force majeure, que la société OVH a réussi à restituer les données hébergées dans un délai de trois semaines et qu’il appartenait à la société Adomos de procéder à la sauvegarde de ses données sur un serveur distant.

Au visa de l’article 1134 (ancien) du code civil, la société Adomos affirme que les conditions générales et particulières du contrat font naître, à la charge de la société OVH, une obligation de résultat quant à la préservation des données et la sécurité de leur hébergement. Elle ajoute que l’annexe du 26 février 2020 prévoit l’obligation pour la société OVH de mettre en place les mesures pour assurer la sécurité des données à caractère personnel dans le cadre du service. Elle souligne que l’obligation qui porte sur la préservation des données et la sécurité de leur hébergement, relevant de la finalité-même du contrat, ne peut être qu’une obligation de résultat.

La société OVH expose n’avoir aucune obligation de 'préservation des données'. Elle indique que le contrat prévoit à sa charge une obligation de moyens quant à la sécurité des espaces de stockage (article 2.3 des conditions générales et 2 des conditions particulières). Elle souligne que le service souscrit par la société Adomos ne comprend pas la sauvegarde des données et que l’appelante a choisi de ne pas héberger ses deux serveurs sur des sites distants. Elle précise que les clients ne peuvent choisir que les villes qui hébergeront les serveurs et non les datacentres physiques hébergeant les serveurs au sein d’un même site.

En l’espèce, la cour constate que les articles 3.5 des conditions générales et 4.1 des conditions particulières, repris par le tribunal, indiquent expressément que la société OVH ne procède à aucune sauvegarde des données, l’article 5 des conditions générales rappelant que le client reste responsable de la continuité et du rétablissement de ses activités ainsi que des opérations de sauvegarde.

En outre, comme l’a justement relevé le tribunal, il ressort des articles 2.3 des conditions générales et 2 des conditions particulières que la société OVH s’oblige à mettre à disposition de la société Adomos deux serveurs informatiques, dont les caractéristiques sont contractuellement définies, et que les parties sont convenues que la société 'OVH n’est soumise qu’à une obligation de moyens, sauf concernant le respect des niveaux de Services relatifs à la disponibilité de l’Infrastructure et aux délais d’intervention prévues au Contrat, où OVH est tenue à une obligation de résultat'.

Ainsi, il convient de relever que l’objet-même du contrat est de permettre à la société Adomos d’utiliser les serveurs pour y gérer ses données librement, l’obligation principale de la société OVH étant la mise à disposition des serveurs aux conditions contractuellement définies, les parties n’étant pas convenues d’une obligation de sauvegarde à la charge de la société OVH et le contrat rappelant expressément la responsabilité de la société Adomos seule dans la définition de sa politique de sauvegarde des données, la cour relevant au surplus que la société Adomos n’invoque ni ne prouve un problème de corruption de ses données par la société OVH.

En conséquence, il ne peut être retenu que la société OVH puisse être tenue d’une obligation de résultat quant à la préservation des données.

Par ailleurs, si l’annexe du 26 février 2020, relative au traitement des données personnelles, prévoit que la société OVH est soumise à des obligations pour assurer la sécurité de ces données, ces dernières ne portent que sur le traitement des données, la limitation des accès physique et informatique ainsi que les mesures à mettre en place pour éviter des intrusions physique et informatique, sans prévoir d’obligation de sauvegarde des données.

Enfin, si la société Adomos invoque une obligation de résultat relative à la sécurité de l’hébergement des serveurs, il apparaît que les clauses contractuelles limitent l’obligation de résultat de la société OVH à son obligation de respecter les conditions contractuelles de disponibilité des serveurs et les délais d’intervention, qui ne sont pas critiqués par l’appelante, étant rappelé que les parties sont convenues que l’ensemble des autres obligations de la société OVH sont des obligations de moyen.

Ainsi, il ne peut être retenu que la société OVH puisse être tenue d’une obligation de résultat d’assurer la sécurité physique des serveurs hébergeant les données de la société Adomos.

Dès lors, il appartient à la société Adomos, qui souhaite engager la responsabilité de la société OVH, de démontrer l’existence d’une faute lui ayant causé un préjudice, conformément aux dispositions de l’article 1231-1 du code civil.

A cette fin, l’appelante expose que le rapport du Bureau d’enquêtes et d’analyses sur les risques industriels (BEA-RI) a conclu que la conception du bâtiment, l’absence de système d’extinction automatique, le délai de mise en sécurité électrique du site et les moyens en eau sur zone n’ont pas permis d’éviter l’embrasement généralisé du site et la propagation de l’incendie à des bâtiments voisins, malgré l’arrivée rapide des services de secours. Elle fait valoir que la société OVH ne justifie pas avoir respecté l’ensemble des normes relatives à la sécurité incendie. Elle indique qu’en ne s’assurant pas pour les conséquences dommageables des incendies, la société OVH a également commis une faute.

La société OVH expose que la société Adomos n’apporte pas la preuve d’une faute dans la mise en place de la sécurité incendie du site. Elle indique que le livre blanc, postérieur à la construction du site de [Localité 7], ne reprend que des recommandations. Elle justifie de l’ensemble des mesures de prévention, détection et d’extinction d’incendie en vigueur sur le site de [Localité 7]. Elle rappelle que les normes AFNOR et NFPA, ainsi que les recommandations du CNPP, évoquées par la société Adomos, ne sont pas obligatoires. Elle expose que le BEA-RI précise que les datacentres ne sont soumis à aucune règlementation particulière quant au risque incendie. Elle fait valoir que les éventuels manquements aux règles de sécurité incendie ne sont pas à l’origine de l’incendie.

En l’espèce, le rapport d’enquête réalisé par le BEA-RI précise expressément n’avoir 'pour seul objet de que prévenir de futurs accidents', sans viser à déterminer les responsabilités. S’agissant des normes applicables, il retient qu’un grand volume du bâtiment n’est pas soumis à des prescriptions spécifiques en matière de défense incendie, notamment pas d’obligation de mise en oeuvre de moyens d’extinction automatique (pages 16 et 17). S’il constate que certaines parties (locaux de charge de batteries) auraient dû respecter les exigences de tenue et de résistance au feu, il indique qu''il est difficile de dire quel impact auraient eu des locaux de charge de batteries conformes à la règlementation dans l’incendie de [Localité 7] compte tenu par ailleurs du départ de feu quasi simultané dans la salle des onduleurs, salle qui n’est pas explicitement visée par la règlementation IPCE’ (page 28), étant observé que le rapport ne fait pas mention d’une obligation d’installation d’un dispositif d’extinction automatique des incendies.

Par ailleurs, il convient de retenir que les autres normes visées par la société Adomos ne sont pas obligatoires, que les analyses des causes des incendies présentées dans la presse ne peuvent bénéficier de la même force probante que l’expertise réalisée par le BEA-RI et que le tribunal a exactement repris l’ensemble des dispositions en matière de prévention et de lutte contre l’incendie prises par la société OVH avant l’incendie.

Dès lors, il ne peut être retenu que les fautes tirées du non-respect des normes incendie dans la salle de charge des batteries ou du défaut d’assurance de responsabilité civile professionnelle pour les conséquences dommageables d’un incendie, ont conduit au déclenchement ou à l’aggravation de l’incendie.

Pour rechercher la responsabilité de la société OVH, la société Adomos souligne également que cette dernière a indiqué, de manière erronée, que les serveurs SGB1 et SGB2 étaient isolés, alors qu’ils sont mitoyens, rendant inefficace sa politique de sauvegarde. Elle fait valoir que le tribunal de commerce de Lille Métropole a jugé dans une autre affaire que la société OVH avait commis une faute contractuelle quant à la localisation des serveurs. Elle fait état d’une deuxième faute contractuelle après la remise en service du second serveur après avoir annoncé au client qu’il avait été brûlé dans l’incendie, sans l’accord et sans avertir ce dernier (T.com Lille Métropole, 9 mars 2023).

La société OVH affirme que la société Adomos avait la possibilité de choisir la ville dans laquelle seraient localisés les serveurs loués, ce qu’elle n’a pas fait. Elle souligne que le client ne peut choisir le datacentre précis dans lequel est situé le serveur dans la ville choisie. Elle fait valoir que la société Adomos n’a pas souscrit à l’option de sauvegarde avec réplication hors site, ni au service de plan de reprise d’activité multisite. Elle souligne que les données du serveur situé sur le site SBG1 ont été restituées début avril 2021.

En l’espèce, il convient de relever que la société Adomos n’apporte aucun élément justifiant qu’elle ait sollicité la localisation de son second serveur dans une ville différente que [Localité 7], déjà choisie pour le serveur de production, ou même dans un datacentre différent sur le même site ou encore qu’elle ait souhaité en faire une condition contractuelle afin de sécuriser ses sauvegardes sur un site distant.

A l’inverse, la société OVH produit une facture reprenant la localisation des deux serveurs sur le site de [Localité 7], ainsi que le formulaire de souscription reprenant les différentes villes ([Localité 5], [Localité 8], [Localité 7], [Localité 4], [Localité 6]) pouvant être choisies par les clients.

Dès lors, et à l’inverse du contrat concerné par le jugement du tribunal de commerce de Lille du 9 mars 2023, visé par la société Adomos, il n’apparaît pas que la localisation au sein des bâtiments du site de Strasbourg soit entrée dans le champ contractuel et aucune faute ne peut être retenue à l’encontre de la société OVH de ce chef.

Enfin, alors que la société OVH justifie de la restitution des données sur le serveur SGB1 début avril 2021, la cour constate que la société Adomos n’apporte aucun élément justifiant que cette remise en service serait fautive et aurait causé l’écrasement des données qu’elle invoque.

Il ressort de l’ensemble de ces éléments qu’aucune des fautes invoquées par la société Adomos ne peut être retenue à l’encontre de la société OVH et le jugement sera donc confirmé en ce qu’il a débouté la société Adomos de l’ensemble de ses demandes formées à l’encontre de la société OVH.

Sur la garantie de l’assureur

Pour écarter la garantie de l’assureur, le tribunal retient que le contrat liant la société OVH à ce dernier contient, dans ses conditions particulières, une clause d’exclusion de garantie, dont il retient la validité. Il ajoute qu’en l’absence de faute de la société OVH et de préjudice à réparer, la mise en cause de la société Chubb European Goup SE est sans objet.

La société Adomos estime que la clause 3-1-21 du contrat excluant l’indemnisation des dommages nés d’un incendie est contraire à l’objet de la garantie 'responsabilité civile professionnelle’ et doit être déclarée non écrite. Elle souligne que la société Chubb European Goup SE a versé 58 millions d’euros d’indemnisation à la société OVH, sans appliquer l’article 3-1-21 du contrat. Elle fait valoir que la société Chubb European Goup SE est également prestataire de solutions de sécurité, de prévention, de détection, d’extinction et d’évacuation incendie et qu’elle a manqué à son obligation de conseil en sécurité incendie.

La société Chubb European Goup SE expose que, dans le cadre du contrat 'responsabilité civile professionnelle’ conclu avec la société OVH, les dommages, matériels et immatériels, causés aux tiers et résultant d’un incendie prenant naissance dans l’immeuble de l’assuré sont exclus, en application de l’article 3-1-21 de la police d’assurance. Elle affirme que l’article de presse versé par la société Adomos quant à l’indemnisation de la société OVH concerne d’autres compagnies d’assurance.

En l’espèce, ainsi que l’a exactement relevé le tribunal, si l’article 1-3 de la police d’assurance liant la société OVH à la société Chubb European Goup SE prévoit une garantie 'responsabilité civile professionnelle’ (RCP) portant, notamment, sur 'les atteintes aux biens et médias confiés y compris l’effacement ou la détérioration des données', ce même article précise que les garanties s’appliquent dans les limites contractuelles et sous réserve des exclusions prévues à l’article 3.

Or, l’article 3-1-21 exclut expressément tous les dommages résultant notamment d’un incendie prenant naissance dans l’immeuble de l’assuré, sauf dommages corporels, dommages prenant naissance dans des locaux occupés à titre temporaire ou à l’étranger, exceptions qui ne sont pas invoquées par la société Adomos qui demande l’indemnisation des frais de remise en ligne de son site internet et des pertes financières d’exploitation jusqu’à la remise en ligne.

En outre, il ne ressort pas de l’article de presse produit par la société Adomos que la société Chubb European Goup SE ait versé la somme de 58 millions d’euros à la société OVH suite à l’incendie, l’auteur n’évoquant que 'les assureurs’ sans les désigner précisément, étant observé qu’aucune élément n’est produit par la société Adomos justifiant que la société Chubb European Goup SE, assureur RCP, soit également l’assureur des dommages subis par les datacenters occupés par la société OVH.

Enfin, si la société Adomos invoque une faute dans l’organisation de la défense anti-incendie par la société Chubb European Goup SE, qui serait également une société de conseil en sécurité incendie, en produisant une capture d’écran du site internet 'https://www.chubbfiresecurity.com/fr/fr', la cour ne peut que constater que le nom du site internet est distinct de celui de l’intimée et que la société Adomos n’apporte aucun autre élément permettant de retenir qu’il s’agirait de la même société alors que la société Chubb European Goup SE a pour seule activité déclarée l’assurance.

Dès lors, le jugement sera confirmé en ce qu’il a débouté la société Adomos de sa demande en garantie.

Sur les demandes accessoires

En application de l’article 700 du code de procédure civile, la société Adomos sera condamnée à verser la somme de 40 000 euros, en cause d’appel, pour la société OVH et celle de 2 500 euros pour la société Chubb European Goup SE.

En application de l’article 696 du code de procédure civile, la société Adomos sera condamnée aux dépens d’appel.

PAR CES MOTIFS

La cour,

Confirme le jugement ;

Y ajoutant,

Condamne la société Adomos à verser à la société OVH la somme de 40 000 euros au titre de l’article 700 du code de procédure civile, en cause d’appel ;

Condamne la société Adomos à verser à la société Chubb European Goup SE la somme de 2 500 euros au titre de l’article 700 du code de procédure civile, en cause d’appel ;

Rejette les demandes plus amples ou contraires ;

Condamne la société Adomos aux dépens d’appel.

Le greffier

Valérie Roelofs

Le président

Dominique Gilles