TRIBUNAL DES ACTIVITES ECONOMIQUES DE NANTERRE JUGEMENT PRONONCE PAR MISE A DISPOSITION AU GREFFE LE 24 JUIN 2025 5ème CHAMBRE

DEMANDEUR

SAS [U] [P] France, [Adresse 1] comparant par M^e Martine CHOLAY, [Adresse 2] et par M^e Laurent SANTANA, [Adresse 3]

DEFENDEUR

SAS [Localité 1], [Adresse 4]

comparant par SCP MOREAU GUILLOU VERNADE SIMON LUGOSI CONSEIL DROIT DEFENSE, [Adresse 5] et par M^e Céline LEMOUX, [Adresse 6]

LE TRIBUNAL AYANT LE 4 AVRIL 2025 ORDONNE LA CLOTURE DES DEBATS ET MIS LE JUGEMENT EN DELIBERE POUR ETRE PRONONCE PAR MISE A DISPOSITION AU GREFFE LE 24 JUIN 2025,

FAITS

La SAS [U] [P] France, ci-après « [U] [P] », éditeur de logiciel SaaS spécialisée dans la digitalisation de la relation client, était assurée depuis 2017 au titre d’une police Responsabilité Civile et Professionnelle (RC Pro) auprès de la société CNA pour son activité professionnelle, par l’intermédiaire de la SAS [Localité 1], société de courtage en assurance.

En juillet 2021, CNA a sollicité la résiliation de la police RC Pro. Dans ce contexte, [Localité 1] a préconisé la conclusion d’un contrat RC Pro auprès de la compagnie Hiscox, qui comprenait au titre de ses garanties optionnelles une « Garantie Cyber complète » . Hiscox a donné son accord le 1 er décembre 2021 sur la police et un avenant « Cyber » a été signé le 16 décembre 2021.

Entre le 8 et 11 avril 2023, [U] [P] a subi une attaque sur son serveur qui a donné lieu à dépôt de plainte le 12 avril 2023 et le sinistre a été déclaré à [Localité 1]. La société Hiscox a fait savoir qu’elle ne pouvait garantir le sinistre, les garanties souscrites auprès d’elle n’ayant pas selon elle vocation à être mobilisées dans le cadre de ce sinistre.

[U] [P] a considéré que l’absence de prise en charge du sinistre qu’elle avait subi était la conséquence d’un manquement de son courtier et lui a notifié la mise en cause de sa responsabilité par courrier du 3 mai 2023 en lui reprochant un manquement à ses obligations d’informations et de conseil au motif que cette dernière n’aurait pas attiré son attention sur le caractère optionnel de la garantie « Cyber surfacturation » susceptible de couvrir son sinistre ainsi que sur l’opportunité de souscrire cette option, et que de ce fait celle-ci aurait subi un découvert d’assurance au titre de son sinistre.

Des échanges sont intervenus entre [U] [P] et [Localité 1] du 17 mai au 2 juin 2023 sans que les parties n’arrivent à un accord. Par courrier en date du 12 juin 2023, [U] [P] a formalisé sa déclaration auprès de [Localité 1], laquelle a procédé à une déclaration de sinistre auprès de son assureur.

PROCEDURE

C’est dans ces circonstances que, par acte de commissaire de justice remis à personne le 20 octobre 2023, [U] [P] a assigné [Localité 1].

Par dernières conclusions récapitulatives (III) déposées à l’audience du 22 novembre 2024, [U] [P] a demandé au tribunal de :

vu l’article 1231-1 du code civil et, ensemble, les articles L. 521-1, II et L. 521-4 du code des assurances,

* condamner [Localité 1] au paiement d’une somme de 104 159,34 € à titre de dommagesintérêts, augmenté des intérêts au taux légal à compter du jugement à intervenir ;

* condamner [Localité 1] au paiement d’une somme de 20 000 € au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Par dernières conclusions récapitulatives n°2 déposées à l’audience du 31 janvier 2025, [Localité 1] a demandé au tribunal de :

* juger que [U] [P] ne démontre pas un manquement imputable à [Localité 1] ; en conséquence,

* débouter [U] [P] de ses demandes, fins et prétentions ;

à titre subsidiaire,

* juger que [U] [P] ne justifie d’aucun préjudice de perte de chance ;

* débouter [U] [P] de ses demandes, fins et prétentions ;

en tout état de cause,

* condamner [U] [P] à verser 8 000 € au titre de l’article 700 du code de procédure civile à [Localité 1].

A l’audience du juge chargé d’instruire l’affaire du 4 avril 2025, les parties ayant confirmé ne pas avoir trouvé de solution amiable et ayant verbalement réitéré leurs demandes, le juge a clos les débats et mis le jugement en délibéré pour être prononcé par mise à disposition au greffe le 24 juin 2025, en application de l’article 450 alinéa 2 du code de procédure civile.

MOYENS DES PARTIES ET MOTIFS DE LA DECISION

Sur la demande principale

[U] [P] soutient :

* qu’en sa qualité d’interlocuteur privilégié du souscripteur, le courtier doit s’assurer que ce dernier comprend bien les risques auxquels il est exposé, mais également les garanties dont il préconise la souscription ;

* que la faute commise par [Localité 1] à l’endroit de [U] [P] est double : en premier lieu, elle réside dans le fait d’avoir, dans le cadre du processus de souscription du contrat d’assurance « Cyber », amené [U] [P] à conclure le contrat sur la base de dispositions contractuelles contredites par les dispositions qui étaient effectivement applicables au contrat finalement conclu, sans avoir attiré l’attention de [U] [P] sur l’existence de cette contradiction et sur ses conséquences et, en second lieu, la faute commise par le courtier -

qui est un corollaire de la première – réside dans le fait de ne pas avoir préconisé la souscription de la garantie Surfacturation, alors que sa connaissance de la nature des activités de [U] [P] l’imposait et qu’en toute hypothèse, son obligation de conseil devait l’amener à déterminer les garanties les plus adaptées pour couvrir les risques induits par ces activités ;

* qu’il ressortait clairement du document d’information sur le produit (IPID) qu’au nombre des garanties optionnelles figurait la « Garantie cyber complète » ;

* que le fait que cette garantie soit qualifiée de « complète » impliquait en toute logique qu’y souscrire entraînait l’application des garanties énoncées, dont la garantie « Cyber-fraude et surfacturation » ;

* qu'[Localité 1] qui avait l’obligation de parfaitement connaître le produit Hiscox dont elle préconisait la souscription n’a jamais attiré l’attention de son client sur le fait que contrairement à la présentation faite par l’IPID communiqué, les garanties optionnelles comprenaient elle-même des options qu’il fallait souscrire, ce qui ressortait des conditions générales de la « Garantie cyber complète » ;

* qu'[Localité 1] n’avait en outre pas accompagné l’envoi du projet d’extension cyber d’une communication des conditions générales de la « Garantie cyber complète » ;

* qu'[Localité 1] n’a pas plus attiré l’attention de [U] [P] sur la portée des garanties réellement souscrites pendant la période qui s’est achevée le 16 décembre 2021, date de la signature électronique par [U] [P] du contrat RC Pro et de l’avenant d’extension cyber à effet du 13 décembre 2021 ;

* qu'[Localité 1] a expressément reconnu, dans son courrier du 9 juin 2023, que le module CCTECH0619 qui précisait que la garantie Surfacturation était optionnelle n’avait pas été communiqué à [U] [P] lorsque’elle avait donné son bon pour accord le 24 novembre 2021 ;

* que, ne l’ayant pas fait, [Localité 1] a manqué à son obligation de conseil, qui impliquait en application de l’article L. 521-1, II du code des assurances qu’il adresse à son client des informations « claires, exactes et non trompeuses » ;

* que la deuxième faute commise par le courtier réside dans l’inobservation des obligations qui lui étaient faites par l’article L. 521-4 du code des assurances ;

* qu'[Localité 1] savait que [U] [P] avait exprimé le besoin de souscrire une assurance cyber risques, puisqu’en janvier 2021, elle lui avait demandé de lui faire une proposition de contrat d’assurance cyber et qu’une proposition lui avait d’ailleurs été faite le 8 janvier 2021, sans qu’il n’y ait été donné suite ;

* que, compte tenu de sa parfaite connaissance des solutions d’assurance qu’elle proposait, [Localité 1] ne pouvait ignorer que la garantie Surfacturation était optionnelle ;

* qu’elle avait donc l’obligation, d’une part, d’attirer l’attention de [U] [P] sur la nécessité de souscrire cette option et, d’autre part, de lui en proposer la souscription ;

* que l’existence d’un risque couvert par la garantie Surfacturation, applicable en cas d’utilisation frauduleuse par un cyber-pirate d’un système de téléphonie ou d’une connexion à internet ou à un service de cloud, lorsque cette utilisation est répercutée sur le montant des factures qui sont adressées par l’opérateur, procédait du fait que la redirection téléphonique faisait partie intégrante de la solution [U] [P] ;

* que, s’agissant du préjudice, la faute commise par [Localité 1] à l’endroit de [U] [P] a amené l’assureur Hiscox à décliner sa garantie, en l’absence de souscription de la garantie Surfacturation ;

* que le préjudice subi par [U] [P] est double : en premier lieu, il est de nature purement financière, puisque [U] [P] a été contrainte de procéder elle-même au règlement de la facture de la société Vonage qui comprend un montant de 84 159,34 € HT qui correspond aux 9 904 appels qui ont été passés à la faveur de l’attaque des serveurs du 8 au 11 avril

2023 et, en second lieu, il est d’ordre moral, principalement en raison des multiples échanges qui ont eu lieu avec [Localité 1] en avril, mai et juin 2023, à l’issue desquels [Localité 1] a fini par admettre que l’avenant d’assurance cyber risques avait été souscrit par [U] [P] sans que celle-ci ait eu connaissance de la réalité des dispositions contractuelles applicables.

Assur’Up réplique :

* qu’il résulte des circonstances de fait que le document d’information sur le produit d’assurance et sur la base duquel [U] [P] prétend avoir été trompée, a été transmis par [Localité 1] avant même et donc hors de toute discussion sur l’adjonction du volet Cyber à la police RC Pro ;

* que [U] [P] avait à sa disposition au moment de la souscription de l’avenant Cyber, du périmètre précis de la garantie Cyber qu’elle souscrivait mais également du caractère optionnel de la garantie Cyber Fraude incluant la surfacturation ;

* qu’à titre subsidiaire, et dans l’hypothèse où le tribunal viendrait à retenir un manquement imputable à [Localité 1] à ses obligations d’information et de conseil, il ne pourra que juger que le préjudice indemnisable, qui doit nécessairement se limiter à une perte de chance, est, en l’espèce, inexistant ;

* que, s’agissant de la garantie surfacturation, elle est mentionnée dans le document d’Hiscox au titre des « garanties optionnelles » par opposition aux « garanties systématiquement prévues » par le contrat d’assurance Métiers de l’informatique HA PRC0259607, celle-ci n’étant pas précédée d’une coche, [U] [P] ne saurait prétendre comme elle le fait que la lecture de ce document lui aurait fait croire qu’elle était automatiquement couverte au titre de la garantie Surfacturation ;

* que, quand bien même la présentation faite dans ce document des garanties serait porteuse de confusion sur le caractère optionnel des garanties incluses dans la garantie Cyber du fait de la mention « complète », [U] [P] ne peut sérieusement prétendre avoir donné son accord à l’Avenant Cyber, sur la base de ce document et, plus encore, sur la base de ce seul document ;

* que c’est sans aucun fondement que [U] [P] reproche à [Localité 1] de ne pas lui avoir indiqué ou attiré son attention sur le fait que contrairement à ce que la mention « complète » impliquait les sous-garanties Cyber étaient elles-mêmes optionnelles ;

* qu’au 1 er décembre 2021, le projet d’extension Cyber n’avait pas encore fait l’objet de discussion quant à son contenu ;

* que, dans ces conditions, il ne peut être contesté que le document d’information sur le produit d’assurance a été remis dans le cadre de la souscription du contrat d’assurance responsabilité civile professionnelle Métiers de l’informatique et non dans le cadre des discussions sur le volet Cyber ;

* que, partant, [U] [P] ne peut prétendre que ce document l’aurait induite en erreur sur le périmètre de sa garantie Cyber dans la mesure où la transmission de ce document avait pour unique objet d’apporter certaines informations sur la garantie responsabilité civile, et uniquement sur ce volet ;

* que, dès lors, il ne saurait être reproché à [Localité 1] de ne pas avoir attiré l’attention de [U] [P] sur le fait que les garanties Cyber mentionnées dans le document d’information sur le produit d’assurance IPID TECH-RCE- 190919 étaient pour certaines seulement optionnelles ;

* qu’elle avait parfaitement connaissance du périmètre de sa garantie Cyber et du caractère optionnel de la garantie Surfacturation, ce dès la souscription de la garantie Cyber ;

* que le module n°CCTEC0619 qui était mis sur l’espace de gestion de [U] [P] et auquel le projet d’avenant qui lui a été transmis le 2 décembre 2021 renvoyait, liste très clairement

les garanties systématiquement prévues dans le volet cyber et celles qui sont optionnelles et ne sont accordées que si elles sont mentionnées dans le tableau des garanties des Conditions Particulières de la police ;

* que la garantie Surfacturation est expressément visée comme une garantie optionnelle ;

* que ce module avait été mis à disposition de [U] [P] sur son espace de gestion dès le 1 er décembre 2021, et qu’en signant électroniquement l’avenant Cyber à son contrat Métiers de l’informatique, le 15 décembre 2021, [U] [P] avait expressément reconnu avoir reçu le Module n° CCTEC0619 ;

* que jamais [U] [P] n’a évoqué un besoin spécifique de garantie de surfacturation que ce soit dans le cadre des discussions de janvier 2021 que dans celles qui se sont poursuivies en novembre 2021 ;

* qu’alors même que [U] [P] avait pour unique souhait de remplacer son contrat d’assurance souscrit auprès de la société CNA qui arrivait à terme le 24 novembre 2024, par un contrat équivalent offrant les mêmes garanties, [Localité 1] a consciencieusement rappelé à sa cliente, les risques auxquels elle pouvait être exposée et jusqu’alors non garantis par sa garantie Responsabilité civile ;

* que dès lors que [U] [P] n’avait pas spécifié de besoin particulier s’agissant de la couverture du risque spécifique de surfacturation, s’est totalement désintéressée du risque Cyber, n’a déclaré aucune sinistralité liée à un risque Cyber dans le cadre du questionnaire de souscription, a bénéficié d’un conseil adapté à ses besoins et a de ce fait, opté pour l’intégration d’une garantie non obligatoire Cyber qui n’avait jusqu’alors jamais été souscrite, il n’appartenait pas à Assur’Up de mettre spécialement en garde [U] [P] sur l’absence dans l’avenant cyber proposé de la garantie Cyber Fraude incluant la surfacturation ;

* qu’à titre subsidiaire, sur l’absence de préjudice indemnisable, si le tribunal devait juger que la responsabilité d'[Localité 1] devait être engagée en sa qualité de courtier au titre d’un manquement à ses obligations d’information et de conseil, l’indemnisation ne pourrait qu’être limitée à une perte de chance de ne pas avoir bénéficié de la garantie de son sinistre par la société Hiscox, perte de chance qui ne peut être fixée que par un pourcentage, mais qui en toute hypothèse ne peut en aucun cas représenter la totalité du préjudice invoqué;

* qu’en l’espèce la perte de chance de couverture du sinistre, outre qu’elle n’est pas démontrée, est en tout état de cause nulle, [U] [P] n’était pas éligible à la garantie Cyber Fraude incluant la garantie Surfacturation dès lors que [U] [P] a répondu négativement à une des questions posées dans le cadre du questionnaire de souscription, la société Hiscox n’aurait de toute façon pas accordé la garantie Cyber Fraude et donc a fortiori la garantie Surfacturation qui est l’une des composantes de cette garantie.

Sur ce, le tribunal motive ainsi sa décision :

L’article 1231-1 du code civil, dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ».

L’article L. 521-1, II du code des assurances dispose que : « […] toutes les informations […] adressées par le distributeur de produits d’assurance à un souscripteur éventuel ou à un adhérent éventuel doivent être claires, exactes et non trompeuses » et l’article L. 521-4 du même code précise que :

« I. Avant la conclusion de tout contrat d’assurance, le distributeur mentionné à l’article L. 511-1 précise par écrit, sur la base des informations obtenues auprès du souscripteur éventuel ou de l’adhérent éventuel, les exigences et les besoins de celui-ci et lui fournit des informations

objectives sur le produit d’assurance proposé sous une forme compréhensible, exacte et non trompeuse afin de lui permettre de prendre une décision en toute connaissance de cause. Le distributeur conseille un contrat qui est cohérent avec les exigences et les besoins du souscripteur éventuel ou de l’adhérent éventuel et précise les raisons qui motivent ce conseil. […]

III.-Les précisions mentionnées au I et au II du présent article et de l’article L. 522-5, qui reposent en particulier sur les éléments d’information communiqués par le souscripteur éventuel ou l’adhérent éventuel, sont adaptées à la complexité du contrat d’assurance proposé. Ces précisions sont communiquées au souscripteur éventuel ou à l’adhérent éventuel sous une forme compréhensible, exacte et non trompeuse afin de lui permettre de comprendre la cohérence du contrat proposé avec ses exigences et ses besoins et de prendre une décision en toute connaissance de cause. ».

En l’espèce, [U] [P] soutient en premier lieu que le document d’information (IPID) que lui envoyé [Localité 1] serait trompeur et lui aurait faussement laissé croire qu’elle souscrivait à la totalité des garanties listées dont la garantie « Cyber-fraude et surfacturation » litigieuse. Or, il ressort des pièces produites aux débats que l’IPID a été envoyé à [U] [P] le 23 novembre 2021 soit antérieurement aux discussions relatives à la police Cyber litigieuse ainsi que le reconnait dans ses écritures, [U] [P] qui date elle-même le début de ces discussions au 1 er décembre 2021 (« le projet d’extension du contrat concernant la « garantie cyber complète » n’était pas rédigé le 1 er décembre 2021 » ), de sorte que l’IPID ne saurait être considéré comme le document récapitulant des garanties relatives cette police cyber. En outre, ce document distingue clairement les « GARANTIES SYSTEMATIQUEMENT PREVUES », figurant au début, des « GARANTIES OPTIONNELLES ». Les premières sont précédées d’un symbole \sqrt{} , étant précisé en pied du document que « Les garanties précédées d’un coche v sont systématiquement prévus au contrat » alors que les garanties optionnelles, dont fait partie la garantie « Cyber-fraude et surfacturation », sont précédées d’un simple tiret. Par ailleurs, bien que la garantie « Cyber-fraude et surfacturation » soit listée parmi d’autres garanties dans un sous-ensemble intitulé « Garantie cyber complète », ce terme « complète » ne saurait s’interpréter comme constituant un tout indissociable et ce alors même que chacune des garanties listées est précédée d’un tiret et donc qu’elles sont toutes susceptibles d’être souscrites indépendamment les unes des autres au regard de la grille de lecture précitée.

Par ailleurs, le 1 er décembre 2021, Assur’Up a mis à disposition sur l’espace de gestion de [U] [P] le projet d’avenant cyber, les conditions générales applicables ainsi que le module d’assurance et, le lendemain Assu’UP a transmis par courriel le projet d’avenant intégrant le volet cyber. Le module prévoit expressément que la couverture surfacturation est une garantie optionnelle et précise que : « Les garanties qui suivent sont accordées uniquement lorsqu’il en est fait mention dans le tableau de garantie des Conditions particulières de votre police, et dans la limite indiquée au sein dudit tableau ». [U] [P] oppose qu’elle n’allait pas sur son espace de gestion et n’a pu prendre connaissance de ce document au moment de la souscription du contrat. Cependant dans le contrat d’Hiscox qu’elle a signé, juste au-dessus du pavé de signature, il est indiqué que « Votre contrat d’assurance […] est constitué des présentes Conditions Particulières […] ; des Conditions Générales […] et de l’extension de garantie […] et du module n° CCTEC0619. Vous reconnaissez avoir reçu un exemplaire de chacun de ces documents. ». Ainsi, [U] [P] ne peut plus invoquer la méconnaissance de ce dernier document qui exclut les surfacturations des garanties souscrites.

[U] [P] conteste enfin le caractère de support durable, au sens de l’article L. 111-9 du code des assurance, de l’espace de gestion sur lequel le module a été déposé faute pour [Localité 1] de n’avoir pas, par un comportement actif, porté à sa connaissance l’existence et la disponibilité

du module dans l’espace de gestion, en s’appuyant sur une jurisprudence de la Cour de justice de l’Union européenne du 25 janvier 2017. Cependant, en ayant reconnu par sa signature du contrat postérieurement à cette mise à disposition avoir pris connaissance du module, ce débat devient dès lors sans objet, le contenu du module lui étant dès lors pleinement opposable.

Ainsi, le tribunal ne retiendra pas les griefs soulevés par [U] [P] et considérera que, d’une part, l’IPID n’a pas été susceptible de l’avoir induite en erreur quant à la souscription de sa garantie cyber et que, d’autre part, [Localité 1] n’a pas manqué à son obligation de conseil en fournissant les documents contractuels correspondant à la police envisagée que [U] [P] a ensuite expressément acceptés.

En conséquence, le tribunal déboutera [U] [P] de toutes ses demandes.

Sur l’application de l’article 700 du code de procédure civile

Pour faire reconnaître ses droits, [Localité 1] a dû exposer des frais non compris dans les dépens qu’il serait inéquitable de laisser à sa charge, le tribunal condamnera [U] [P] à lui payer la somme de 3 000 € au titre de l’article 700 du code de procédure civile, débout du surplus de la demande.

Sur les dépens

Par application de l’article 696 du code de procédure civile, les dépens seront mis à la charge de [U] [P] qui succombe.

PAR CES MOTIFS,

Le tribunal, statuant publiquement par un jugement contradictoire et en premier ressort :

* déboute la SAS [U] [P] France de toutes ses demandes ;

* condamne la SAS [U] [P] France à payer à la SAS [Localité 1] la somme de 3 000 € au titre de l’article 700 du code de procédure civile ;

* condamne la SAS [U] [P] France aux dépens.

Liquide les dépens du greffe à la somme de 70,91 euros, dont TVA 11,82 euros.

Délibéré par M. Jean-François MAZURIE, président du délibéré, M. Charles-Emmanuel [C] [V] et M. [Z] [R], (M. Jean-François MAZURIE étant juge chargé d’instruire l’affaire).

Le présent jugement est mis à disposition au greffe de ce tribunal, les parties en ayant été préalablement avisées verbalement lors des débats dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile.

La minute du jugement est signée électroniquement par le président du délibéré et le greffier.