3ème Chambre Commerciale

ARRÊT N°8

N° RG 19/01179 – N° Portalis DBVL-V-B7D-PRSZ

SAS HABILIS SERVICE

C/

SAS DATA 7

Infirme la décision déférée dans toutes ses dispositions, à l’égard de toutes les parties au recours

Copie exécutoire délivrée

le :

à :

M^e DEMIDOFF

M^e TERTRAIS

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE RENNES

ARRÊT DU 04 JANVIER 2022

COMPOSITION DE LA COUR LORS DU DÉLIBÉRÉ :

Président : Monsieur Alexis CONTAMINE, Président de chambre,

Assesseur : Madame Olivia JEORGER-LE GAC, Conseillère,

Assesseur : Monsieur Dominique GARET, Conseiller, rédacteur,

GREFFIER :

M^me A B, lors des débats et lors du prononcé

DÉBATS :

A l’audience publique du 15 Novembre 2021devant Monsieur Alexis CONTAMINE, magistrat rapporteur, tenant seul l’audience, sans opposition des représentants des parties, et qui a rendu compte au délibéré collégial

ARRÊT :

Contradictoire, prononcé publiquement le 04 Janvier 2022 par mise à disposition au greffe comme indiqué à l’issue des débats ****

APPELANTE :

SAS HABILIS SERVICE, inscrite au RCS de Lorient sous le N° 800 680 712 prise en la personne de ses représentants légaux domiciliés au siège et prise en son Etablissement de […]

'Kermestre'

[…]

Représentée par M^e Jérôme BOISSONNET de la SARL AVOLENS, Plaidant, avocat au barreau de NANTES

Représentée par M^e Eric DEMIDOFF de la SCP GAUVAIN, DEMIDOFF & LHERMITTE, Plaidant/Postulant, avocat au barreau de RENNES

INTIMÉE :

SAS DATA 7 inscrite au RCS de NANTES sous le numéro 399 108 000, agissant poursuites et diligences de ses représentants légaux domiciliés en cette qualité au siège

[…]

[…]

Représentée par M^e Loïc TERTRAIS de la SELARL QUADRIGE AVOCATS, Plaidant/Postulant, avocat au barreau de RENNES

FAITS ET PROCEDURE

La société Habilis Service (ci-après la société HS) est une société d’accompagnement des entreprises en ressources humaines et gestion de paie.

Depuis plusieurs années, elle avait recours aux services de la société Data 7 (la société D7), prestataire en équipements et solutions informatiques, ayant notamment conclu avec celle-ci un contrat d’assistance suivant acte du 22 octobre 2014, régulièrement reconduit depuis lors.

Début 2015, la société HS, qui s’apprêtait à faire procéder par la société Sage, éditrice du logiciel de paie éponyme, à la migration de ses bases de données 'sous langage SQL', se rapprochait de la société D7 pour savoir si son système informatique était apte à supporter cette opération.

Ayant préconisé certaines modifications de l’installation, la société D7 intervenait une première fois le 27 février 2015.

Le 8 avril 2015, elle intervenait une seconde fois «'pour mettre en place la sauvegarde des éléments du nouveau serveur'», opération à l’issue de laquelle elle confirmait avoir procédé à un test de fonctionnement.

Le 20 février 2017, la société HS était victime d’une attaque virale, son réseau informatique ayant été infecté par le cryptage de ses données, situation inextricable sauf à accepter de verser une rançon aux auteurs de cette attaque pour qu’ils mettent fin au virus.
Après avoir déposé plainte contre auteurs inconnus, la société HS faisait appel à la société Grafe, entreprise agréée par la société Sage, afin qu’elle procède à la réinstallation du logiciel de paie puis au rechargement des dossiers à partir des données censées avoir été sauvegardées sur le système-relais installé par la société D7.

La société Grafe constatait alors que les fichiers de sauvegarde ne consistaient en réalité qu’en des 'raccourcis’ ne permettant pas d’accéder aux données elles-mêmes dont la restauration s’avérait dès lors impossible.

La société Grafe estimait ainsi que le système mis en place par la société D7 n’était pas approprié pour garantir une sauvegarde fiable des données de la société HS et ce, depuis leur conversion 'en bases SQL’ effectuée au début de l’année 2015.

Empêchée de récupérer l’ensemble de ces données, la société HS était donc contrainte de procéder à leur reconstitution par une saisie manuelle, dossier par dossier, salarié par salarié.

Par lettre du 20 mars 2017, la société HS demandait à la société D7 de reconnaître sa défaillance dans l’installation du système de sauvegarde et, par là même, d’en assumer la responsabilité en l’indemnisant des préjudices qu’elle avait subis par suite de cette défaillance.

Au contraire, la société D7 récusait toute faute, se prévalant notamment du fait que le contrat d’assistance stipulait que la société HS demeurait responsable de la sauvegarde de ses données, la prestataire informatique contestant en outre les circonstances alléguées du sinistre de même que la pertinence des opérations effectuées pour tenter d’y remédier.

La société HS faisait alors procéder à une expertise non contradictoire du sinistre par M. X, inscrit sur la liste des experts judiciaires de la cour d’appel de Rennes, qui concluait également à la responsabilité de la société D7 qui, par ses négligences dans l’exécution de sa mission, notamment dans le paramétrage des opérations de sauvegarde, avait permis que les données attaquées par le virus ne puissent être restaurées.

En réponse, la société D7 faisait établir une note technique par un cabinet de consultants qui estimait au contraire que le prestataire informatique ne portait aucune responsabilité dans la perte des données de la société HS.

En l’absence de règlement amiable, la société HS faisait assigner la société D7 devant le tribunal de commerce de Nantes qui, par jugement du 28 janvier 2019 :

- jugeait que le contrat d’assistance conclu entre les parties avait été correctement exécuté par la société D7;

- déboutait en conséquence la société HS de l’ensemble de ses demandes indemnitaires;

- condamnait la société HS à payer à la société D7 une somme de 1.000 € au titre de l’article 700 du code de procédure civile;

- condamnait enfin la société HS aux entiers dépens.

Par déclaration reçue au greffe de la cour le 19 février 2019, la société HS interjetait appel de cette décision.

L’appelante notifiait ses dernières conclusions le 15 octobre 2019, l’intimée les siennes le 6 août 2019.
La clôture intervenait par ordonnance du 21 octobre 2021.

PRETENTIONS ET MOYENS DES PARTIES

La société HS demande à la cour de :

- réformer le jugement en toutes ses dispositions;

Statuant à nouveau,

Vu les articles 1134, 1135 et 1147 du code civil,

- condamner la société D7 à payer à la société HS la somme de 38.093,72 € en réparation de son entier préjudice;

- condamner la société D7 au paiement d’une somme de 5.000 € au titre de l’article 700 du code de procédure civil;

- condamner la société D7 aux entiers dépens.

Au contraire, la société D7 demande à la cour de :

Vu les articles 1103 (1134 ancien), 1164 (1135 ancien) et 1231-1 (1147 ancien) du code civil,

- confirmer le jugement en toutes ses dispositions;

Par conséquent,

A titre principal,

- dire et juger que la société D7 n’a commis aucune faute contractuelle à l’égard de la société HS;

A titre subsidiaire,

- dire et juger que la société HS ne justifie pas d’un préjudice résultant de la cyber-attaque dont elle a été victime;

En tout état de cause,

- débouter la société HS de toutes ses demandes de condamnation à l’encontre de la société D7;

- condamner la société HS au paiement d’une somme de 8.000 € au titre de l’article 700 du code de procédure civile;

- condamner cette dernière aux entiers dépens.

Pour un plus ample exposé des prétentions et moyens des parties, il est renvoyé à leurs dernières conclusions visées supra.

MOTIFS DE LA DECISION

Sur les causes et circonstances du sinistre':

Si le juge ne peut refuser d’examiner une pièce régulièrement versée aux débats et soumise à la discussion contradictoire, il ne peut fonder sa décision exclusivement sur une expertise réalisée à la demande de l’une des parties.

A contrario, le juge ne peut pas écarter des débats un rapport d’expertise au seul motif qu’il a été établi à l’issue d’opérations non contradictoires, et refuser d’en tenir compte pour l’appréciation des responsabilités encourues, dès lors d’une part que ce rapport a depuis été soumis à la libre discussion des parties, d’autre part que le juge fonde son appréciation sur d’autres éléments de preuve qui le corroborent.

En l’espèce, il résulte des éléments du dossier, non seulement du rapport d’expertise produit par la société HS, mais également des attestations concordantes de MM. Y et Z, salariés de la société Grafe qui avaient été chargée, quelques jours après la découverte du virus qui avait infecté le réseau informatique de la société HS, de réinstaller le logiciel Sage et de récupérer les données censées avoir été sauvegardés sur le système paramétré par la société D7':

- qu’il est alors apparu qu’il était impossible de récupérer ces données, dans la mesure où les fichiers sauvegardés ne consistaient qu’en des «'raccourcis'» inexploitables en ce qu’ils ne permettaient pas de lire les données elles-mêmes';

- que la société D7 l’a d’ailleurs elle-même reconnu puisque les deux salariés attestent l’avoir immédiatement contactée afin qu’elle récupère les données recherchées, leur interlocuteur ayant alors «'pris la main à distance'» avant de confirmer qu’il n’y parvenait pas non plus';

- que l’expert mandaté par la société HS a expliqué quant à lui que la solution de sauvegarde mise en 'uvre par la société D7 n’était pas conforme aux bonnes pratiques ni validée par l’éditeur du logiciel de sauvegarde, dont la version utilisée n’était plus adaptée à la migration des bases de données 'sous langage SQL', opération réalisée au début de l’année 2015, alors que la société D7 en avait été dûment informée puisqu’elle était intervenue en amont de cette migration;

- que d’ailleurs et compte tenu de cette mauvaise configuration du système de sauvegarde, la même perte de données se serait également produite dans d’autres circonstances que celle d’une cyber-attaque, notamment en cas de panne irrémédiable, de destruction ou de vol du serveur hébergeant les serveurs virtuels installés par la société D7.

Ces constatations ne sont pas utilement contredites par la note technique établie par le cabinet de consultants mandaté par la société D7, cette note insistant surtout sur le fait que la mission de sauvegarder les données de la société HS ne relevait pas de la mission contractuellement dévolue à la prestataire informatique.

Ainsi et contrairement aux allégations de la société D7, l’origine de la perte des données de la société HS est parfaitement identifiée': elle est la conséquence d’une installation défaillante du système de sauvegarde et ce, consécutivement aux travaux réalisée par la société D7 au début de l’année 2015, juste avant qu’il soit procédé aux opérations de migration des bases de données 'sous langage SQL'.

Dès lors, c’est à tort que la société D7 laisse entendre que la perte des données pourrait être la conséquence d’une mauvaise intervention de la société Grafe, au mois de février 2017 après l’attaque virale, lorsque celle-ci a réinstallé le logiciel Sage et tenté de récupérer les données prétendument sauvegardées, la société D7 ne fournissant d’ailleurs aucun commencement de preuve à l’appui de cette allégation.

C’est encore vainement que la société D7 prétend suspecter une autre société, en l’occurrence la société Iliane, présente dans les locaux de la société HS pour procéder à l’installation d’un nouveau système de sauvegarde (ainsi qu’il sera expliqué infra) lorsque le virus est apparu, comme ayant pu être à l’origine de la perte des données.
En effet et ainsi qu’il a été précédemment démontré, l’expert désigné par la société HS a mis en évidence que le système de sauvegarde mis en place par la société D7 n’était pas adapté à la sauvegarde de données en bases SQL, ce qui explique que, depuis cette migration effectuée en début d’année 2015, les fichiers de sauvegarde ne contenaient plus que des raccourcis inexploitables.

Ainsi la société HS était-elle à la merci d’une panne de son serveur et ce, quelle qu’en soit l’origine (virus, destruction, vol), n’étant pas alors en mesure de pouvoir récupérer ses données.

Dès lors et quel qu’ait été son rôle, la société Iliane n’est certainement pas à l’origine de cette perte qui résulte simplement d’une inadaptation du système de sauvegarde au nouvel environnement informatique de la société HS consécutif aux opérations de migration effectuées début 2015.

Sur la responsabilité de la société D7 pour manquements à ses obligations contractuelles':

C’est en vain que pour prétendre s’affranchir de toute responsabilité, la société D7 fait d’abord valoir que le contrat d’assistance souscrit en 2014 prévoyait que la gestion des sauvegardes était assurée par la cliente elle-même et que la sauvegarde de ses données relevait de sa seule responsabilité (cf la mention figurant en ce sens à la page 3 du contrat, par ailleurs rappelée dans chacun des rapports d’intervention de la société D7).

En effet, il n’a jamais été reproché à la société HS d’avoir omis de procéder aux sauvegardes qui lui incombaient'; les sauvegardes requises ont bien été effectuées, la meilleure preuve en étant que les salariés de la société Sage ont pu accéder aux fichiers de sauvegarde.

En revanche, ces fichiers se sont avérés inexploitables en ce qu’ils ne contenaient que des raccourcis dépourvus de données associées et ce, à raison de l’inadaptation du système installé par la société D7, lequel ne permettait pas la sauvegarde effective des données.

Dès lors, la société HS, qui n’est pas un professionnel de l’informatique et qui, précisément, avait fait appel à une entreprise spécialisée pour qu’elle installe et paramètre un système efficace de sauvegarde, ne saurait se voir reprocher l’inefficience de ses opérations de sauvegarde auxquelles elle a procédé quant à elle conformément aux prévisions du contrat.

Au contraire, cette défaillance incombe à la société D7, non seulement par rapport aux obligations qu’elle a contractées en installant le système de sauvegarde au début de l’année 2015, mais également par rapport à ses obligations d’information et de conseil à sa cliente découlant du contrat d’assistance.

A cet égard, c’est bien à la société D7 qu’il appartenait d’informer la société HS de la nécessité d’adapter, et le cas échéant de modifier le système de sauvegarde, de manière à ce que ses données puissent toujours être sauvegardées efficacement et, le cas échéant, restaurées en cas de sinistre affectant le serveur.

Sur ce point, il n’est pas admissible que la société D7 puisse reprocher à sa cliente, qui n’est pas une professionnelle de l’informatique, de ne pas avoir identifié la difficulté relative à la sauvegarde de ses données, ou encore de ne pas avoir émis de réserves face à une installation défaillante.

En effet, cette défaillance n’avait pas été identifiée par la société D7 elle-même qui, au contraire, avait conforté la société HS dans la confiance qu’elle pouvait avoir dans son nouveau système de sauvegarde puisque, à l’issue de son intervention du 8 avril 2015, elle lui avait confirmé avoir procédé à un test de fonctionnement de ce système.

A aucun moment la société D7 n’a informé sa cliente que son test se serait avéré défaillant.

Certes, depuis cette installation et à deux reprises, la société D7 a informé la société HS qu’il serait opportun de remplacer son système de sauvegarde':

- la première fois par un message du 10 octobre 2016, en lui expliquant qu’il s’agissait d’une ancienne version qui n’était plus supportée par l’éditeur, de telle sorte qu’en cas d’arrêt du serveur, il faudrait racheter une nouvelle version pour pouvoir restaurer les données'; pour autant, jamais la société D7 n’a mis en garde sa cliente contre le risque d’une perte de ses données, l’ayant au contraire rassurée sur le fait que celles-ci demeuraient «'bien sauvegardées'» en l’état du système installé';

- la seconde fois par un message du 30 janvier 2017, au motif que l’espace de stockage des sauvegardes allait arriver à saturation très prochainement'; or, ce n’est pas à raison de cette saturation que les données ont été perdues, mais à raison d’un système de sauvegarde inadapté qui ne permettait en réalité aucune conservation des données elles-mêmes.

C’est précisément pour remplacer ce système que la société HS a fait appel à la société Iliane, au mois de février 2017, au moment même de l’attaque virale.

A cet égard, c’est sans raison valable que le tribunal a pu reprocher à la société HS d’avoir fait appel à une autre société que son prestataire informatique habituel, alors au surplus que la société HS n’était tenue à aucune exclusivité envers la société D7.

En toute hypothèse, cette circonstance est totalement étrangère à la perte des données, laquelle trouve son origine dans une installation inadaptée et défaillante datant du début de l’année 2015.

Or, la société D7 n’en a jamais informé la société HS, les deux messages adressés à sa cliente en octobre 2016 et janvier 2017 n’étant pas de nature à résoudre une difficulté qui remontait aux origines de l’installation.

Par là même, la société D7 a manqué à ses obligations de conseil et d’information de sa cliente, tant au moment de l’installation du système que pendant le cours du contrat d’assistance, ayant ainsi engagé sa responsabilité civile contractuelle pour faute sur le fondement de l’article 1147 ancien du code civil (devenu 1231-1 par suite de l’ordonnance du 10 février 2016).

Sur l’indemnisation des préjudices subis par la société HS':

Il est constant que par suite de la défaillance de son système de sauvegarde, la société HS a définitivement perdu les données nominatives de paie qu’elle avait saisies depuis le début de l’année 2015, la société Grafe, agréée par la société Sage pour réinstaller le logiciel de paie, n’ayant pas en mesure de les restaurer automatiquement.

A cet égard, c’est de manière pour le moins incongrue que le consultant mandaté par la société D7 a pu suggérer que la société HS aurait pu récupérer ses données en s’acquittant de la rançon réclamée par les auteurs de l’attaque virale.

En toute hypothèse et au-delà de cette suggestion malencontreuse, il n’en demeure pas moins que c’est bien par la faute de la société D7, qui a installé un système déficient de sauvegarde, que la société HS a été définitivement privée de ses données.

A contrario, si ce système s’était avéré efficace, l’attaque virale n’aurait pas eu d’autres conséquences que la nécessité de réinstaller un logiciel de paie non contaminé avant d’y réintroduire automatiquement l’ensemble des données sauvegardées.

Le lien de causalité entre la faute commise par la société D7 et le préjudice subi par la société HS est donc établi.
Quant à ce préjudice, il consiste':

- d’abord en un surcoût salarial exposé par la société HS pour permettre à quatre de ses salariés habituels de procéder à une nouvelle saisie manuelle des données perdues, dossier par dossier, salarié par salarié, soit 10.807,44 € selon la pièce n° 26 de l’appelante,

- ensuite en des factures de mise à disposition de salariés intérimaires recrutés par la société Manpower pour participer à cette tâche, soit 3.795,30 € TTC,

- enfin en une atteinte à l’image de la société HS auprès de ses clients auxquels elle a dû expliquer pourquoi elle n’avait pas été en mesure de sauvegarder ses données et qu’il lui fallait dès lors les reconstituer'; aussi, l’atteinte à la réputation de la société qui en est résultée justifie de lui accorder une réparation à hauteur de 5.000 €.

En conséquence, la société D7 sera condamnée à payer à la société HS une indemnité d’un montant total de 19.602,74 €.

Au contraire, la société D7 ne saurait supporter le coût des frais de tentative de lecture des données cryptées par le virus (cf la facture Databack d’un montant de 312 € TTC), dès lors qu’ils ne sont pas la conséquence de la sauvegarde défectueuse, mais du virus lui-même, qui n’est pas imputable à la société D7.

Il en est de même des frais de réinstallation du logiciel Sage par la société Grafe pour une facture de 11.229,16 €'; en effet et quand bien même la sauvegarde se serait avérée efficace, la société HS n’en aurait pas moins assumé ce coût qui était la conséquence du virus lui-même, et non d’une faute imputable à la société D7.

La société D7 supportera en outre le paiement d’une somme de 5.000 € au titre des frais irrépétibles exposés par la société HS depuis le début de la procédure.

Enfin, partie perdante, la société D7 supportera les entiers dépens de première instance et d’appel.

PAR CES MOTIFS,

La cour :

- infirme le jugement entrepris';

- statuant à nouveau et y ajoutant :

* déclare la société Data 7 responsable du préjudice subi par la société Habilis Service du fait d’une installation défaillante du système de sauvegarde de ses données informatiques ainsi que pour manquement à son devoir d’assistance et de conseil envers sa cliente';

* condamne en conséquence la société Data 7 à payer à la société Habilis Service une somme totale de 19.602,74 € à titre de dommages-intérêts en réparation des préjudices subis par celle-ci';

* déboute les parties du surplus de leurs demandes';

* condamne la société Data 7 à payer à la société Habilis Service une somme de 5.000€ au titre de l’article 700 du code de procédure civile ;