Incendie OVH : une première décision de condamnation

Publié le 07/02/2023 par Etienne Wery

Le tribunal juge qu’en stockant les 3 réplications de sauvegarde au même endroit que le serveur principal, OVH engage sa responsabilité contractuelle au titre du contrat de sauvegarde. Une ligne est en train de se dessiner dans la jurisprudence OVH : d’un côté les sociétés qui avaient pris soin de souscrire, en supplément, un contrat de sauvegarde et peuvent revendiquer une indemnisation, et d’un autre côté celles qui n’avaient pas pris cette précaution et n’ont que leurs yeux pour pleurer.

Les faits

La SAS OVH est un leader français du cloud computing qui assure notamment des services d’hébergement de sites internet. L’une des particularités de la société réside aussi dans son modèle intégré. La SAS OVH conçoit et fabrique ses propres serveurs et centres de données (ou « datacentres »). La SAS OVH possède un réseau de 32 datacentres situés dans onze pays répartis sur quatre continents. En France, la SAS OVH possède des datacentres à Roubaix, à Gravelines et à Strasbourg.

Afin d’assurer l’hébergement de ses sites, la SAS FRANCE BATI COURTAGE a souscrit auprès de la SAS OVH un contrat de location de serveur virtuel VPS.

Fait important, que le tribunal soulignera plusieurs fois : la SAS FRANCE BATI COURTAGE a, en complément du contrat de location de serveur, souscrit auprès de la SAS OVH une option contractuelle complémentaire de « sauvegarde automatisée » permettant la préservation et la récupération des données du serveur dédié, option interdépendante du service d’espace de stockage alloué à l’option de back-up.

Dans la nuit du 9 au 10 mars 2021, un incendie est survenu dans les datacenters os-sbg1, os-sbg2 et os-sbg4 de la SAS OVH situés à Strasbourg, le datacenter os-sbg1 abritant notamment le serveur et les données de la SAS FRANCE BATI COURTAGE.

La SAS FRANCE BATI COURTAGE, qui pensait récupérer l’ensemble de ses données grâce à l’option de « backup» souscrite, afin de remettre en ligne la dernière version de ses sites internet datant du 09 mars 2021, a appris, le 03 avril 2021, de la SAS OVH que ledit backup avait lui aussi été détruit totalement et irrémédiablement par l’incendie.

Bizarre ? Pas tellement vu que les sauvegardes étaient stockées dans le même bâtiment que celui où se trouvait le serveur principal intégralement détruit par l’incendie. Oui, vous avez bien lu : le backup était réalisé sur un serveur localisé dans le même bâtiment que le serveur sauvegardé … de sorte que l’incendie ayant détruit le bâtiment a engendré la perte du serveur sauvegardé … et des backups.

C’est cette question-là qui est au centre des débats de ce dossier, et qui fait tout l’intérêt du jugement rendu. OVH n’a en effet cessé d’invoquer un jugement du même tribunal ayant considéré que sa responsabilité ne pouvait être mise en cause à la suite de l’incendie, mais le juge se montre inflexible : « L’étude de ce jugement montre que cette affaire est différente de la présente sur un point essentiel : la société ADOMOS, demanderesse avait souscrit uniquement un contrat d’hébergement simple de deux serveurs et n’avait pas souscrit à l’option de sauvegarde automatique proposée par la SAS OVH. Celle-ci n’était donc pas tenue contractuellement d’effectuer de sauvegardes, cette tâche incombant à la société ADOMOS. »

La faute lourde concernant l’aménagement du datacenter

Depuis l’incendie, plusieurs observateurs se sont étonnés de la conception du Datacenter strasbourgeois.

Le juge relève que « s’il est surprenant et inhabituel que la SAS OVH ait choisi de construire une partie de son datacenter de Strasbourg avec des containers maritimes recyclés et que ces derniers ne comportent pas de système d’extinction automatique, d’une part ces choix n’enfreignent aucune loi ou réglementation, d’autre part il n’est pas démontré que ces choix soient à l’origine ou aient contribué aux destructions engendrées par l’incendie qui s’est déclaré dans la nuit du 09 au 10 mars 2021. »

Par ailleurs, il apparait du dossier que la SAS OVH avait pris des mesures de précaution d’usage contre l’incendie, « à savoir des équipements de détection et la formation des agents pour intervenir, comme peuvent le faire les autres acteurs du marché de l’hébergement ».

L’exclusion pour force majeure ?

C’est un des arguments centraux de OVH : les contrats souscrits prévoient explicitement que l’incendie est un cas de force majeure et stipulent en ce cas une exclusion totale de responsabilité.

Le juge revient sur l’importance du contrat de backup souscrit en supplément et il se livre à une approche logique : « Avec une telle clause, en cas de sinistre, la SAS OVH n’est jamais tenue de réaliser sa mission au moment où, pourtant, celle-ci est nécessaire. Les copies de sauvegarde n’ont pas d’intérêt en l’absence de sinistre et elles ne sont d’ailleurs pas utilisées. Les copies de sauvegarde ne sont utiles qu’en cas de sinistre. »

Pour le tribunal, cette clause dans un contrat de backup « vide le contrat de sa principale obligation et [OVH] se libère de ses engagements dans des circonstances où justement ils sont nécessaires ».

La clause est donc réputée non-écrite sur pied de l’article 1170 du Code civil : « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. »

La localisation des sauvegardes

C’est le point central du litige : le fait d’avoir localisé les sauvegardes dans le même bâtiment que le serveur sauvegardé caractérise-t-il une exécution fautive du contrat ?

Le juge se montre sévère : « Selon la SAS OVH, l’engagement contractuel était de réaliser des « sauvegardes locales », c’est à dire des sauvegardes stockées au même endroit que le serveur principal, dans le même datacenter. Or, stocker les données au même endroit que le serveur principal, et a fortiori, de conserver toutes les copies de sauvegarde au même endroit ne permet pas de mettre à l’abri les données, ne respecte par l’état de l’art de la sauvegarde et ne permet pas d’atteindre l’objectif fixé par le contrat. »

Le juge souligne encore que dans la mesure où OVH dispose de nombreux centres de données, il lui était d’autant plus facile de sauvegarder dans un bâtiment séparé.

Pour le tribunal, « En stockant les 3 réplications de sauvegardes au même endroit que le serveur principal, la SAS OVH n’a pas respecté ses obligations contractuelles vis-à-vis de la SAS FRANCE BATI COURTAGE. »

La clause limitative de responsabilité

Ayant établi la responsabilité de OVH, le tribunal s’attache ensuite à la détermination du dommage et commence logiquement par se pencher sur la clause limitative de responsabilité selon laquelle le montant maximal de l’indemnisation ne peut dépasser le montant des sommes payées à OVH en contrepartie des services impactés au cours des 6 mois qui précèdent la demande d’indemnisation.

Le juge retient 2 éléments importants :

• D’une part, les stipulations contractuelles doivent être relativisées par le fait qu’il s’agit d’un contrat d’adhésion que le client n’a pas la possibilité de négocier.
• D’autre part, il faut revenir à l’essentiel, à savoir qu’il y a deux prestations distinctes : d’un côté l’hébergement des données, et d’un autre côté leur sauvegarde.

Par rapport à la prestation de sauvegarde, le juge considère qu’appliquer la clause limitative de responsabilité revient à créer un déséquilibre significatif au sens de l’article 1171 du Code civil. Il déclare dès lors la clause non-écrite.

Le juge se livre ensuite à une évaluation du préjudice. Nous renvoyons à la décision qui est jointe en annexe, si ce n’est pour souligner qu’OVH s’en sort plutôt bien grâce au fait que son client, quoique lésé, a pu récupérer une partie des données grâces un ancien backup dont il disposait par ailleurs.

Plus d’infos ?

La décision est jointe (lien ci-dessous).