GuiGui's Show

+ https://web.archive.org/web/20231006084131/https://nitter.privacydev.net/AlexArchambault/status/1369583075211022336
+ https://web.archive.org/web/20231006084051/https://nitter.privacydev.net/AlexArchambault/status/1622570901366616064

Droit des contrats B2B, responsabilité d'un prestataire, dans le cadre de l'incendie d'un centre de données OVH en 2021.

Distinction obligation de moyens / obligation de résultat :

D’un point de vue juridique, un contrat engage les parties, donc les obligations souscrites doivent être honorées. Point.
Après, le diable étant dans les détails, tout est dans l’interprétation du périmètre des obligations et, surtout, de comment on les évalue / conteste
Et c’est là qu’intervient la distinction obligation de résultat / obligation de moyens (qu’on assimile un peu hâtivement au best effort de la common law). En obligation de résultat, en cas de pépin, le débiteur d’une obligation est présumé avoir manqué à ses obligations
Dit autrement, en obligation de résultat, la charge de la preuve de l’absence de manquement incombe au presta. Il peut s’en défaire en établissant le manquement de son cocontractant, le fait d’un tiers, la force majeure (sans que cela ne soit open bar, les juridictions veillent)
A l’inverse, en obligation de moyen, en cas de pépin, le débiteur d’une obligation est présumé avoir respecté le contrat. Il appartient donc au client d’établir le manquement du prestataire à ses obligations contractuelles (et non à ses propres croyances)
[…]
Donc en B2B, la quasi-totalité des contrats liants clients de prestations d’hébergement & cloud et hébergeurs sont en… obligation de moyens.

Limitation de responsabilité en B2B :

Ensuite, en B2B, le contrat peut tout à fait prévoir (une nouvelle fois, le droit, ce n’est pas la morale) un plafonnement de la responsabilité du débiteur d’une obligation en cas de manquement de ce dernier. Dit autrement, ok, on a planté, voici 6 mois d’abonnement en avoir. (6 mois, parce que c’est l’usage sur la plupart des contrats B2B bas de marché. Une nouvelle fois, rien n’interdit aux parties de négocier des seuils différents - par ex. X% du préjudice plafonné à Y Brouzoufs - ou + élevés, ce qui peut influer sur le prix).
Enfin, en cas de pépin, en B2B le contrat peut également prévoir de limiter le périmètre de prise en compte du préjudice, par exemple en se cantonnant qu’aux seuls dommages directs, excluant donc les dommages indirects et pertes de données
Sachant que lorsque ça part dans le décor, il n’est pas rare de voir le juge prendre en compte la faute de la victime, à plus forte raison lorsque cette dernières est professionnelle (genre SSII, webagency, etc…). Par exemple ne pas avoir redondé les sauvegardes Arrêt de la Cour d’Appel de Paris, en date du 25 janvier 2019 - 16/07746 sur la responsabilité d’un hébergeur en cas d’#AlertePelleteuse se traduisant par une perte de données d’un client n’ayant pas procédé à des sauvegardes. Pas de faute lourde.
[…]
Par contre, ami hébergeur, à partir du moment où tu proposes une prestation de sauvegarde, *attention* à ce que tu écris. Si tu la vends comme l'option "tous risques", tu ne peux coller des clauses la vidant de toute portée. […] Dit autrement, si la tentation peut être grande (on ne sait jamais, sur un malentendu, cela peut marcher) de prévoir tout plein de cas où padbol spanou, c'est courir le risque de voir le juge écarter des clauses revenant à vider de sa substance l'obligation souscrite

Dans les deux jugements en première instance de février et mars 2023 (frappés d'appel), ce n'est pas l'incendie qui a entraîné la responsabilité d'OVH mais d'autres erreurs :

• Dans le premier cas, le client a souscrit à l'option de sauvegarde automatique proposée par OVH. OVH avait donc deux missions distincts : héberger et sauvegarder. La sauvegarde était dans le même centre de données. La clause du contrat qui dégage OVH de sa responsabilité étant trop générale, dégageant OVH de sa responsabilité en quasi tout sinistre, alors qu'une sauvegarde se définit comme un remède à un sinistre, a été réputée nulle. C'est celle qui entraîne la responsabilité d'OVH ;
  
  
• Dans le deuxième cas, le client d'OVH effectue sa sauvegarde lui-même. Sur la foi des informations fournies par OVH, dont la localisation des serveurs (primaire et sauvegarde)… dont l'une était erronée : les serveurs étaient dans le même centre de données…

[ Avec ] un contrat d'adhésion (rappel, en B2B, un contrat d'adhésion s'interprète en faveur [ du ] client), il faut faire super gaffe à ce qu'on écrit dans le contrat sur la portée de l'obligation. [ Il ] suffit de proposer plusieurs choix à ton prospect (1 € / plafonnement à 6 mois, etc… 1000 € pour 1 million € de plafonnement / etc) en l'invitant à choisir, documenter tout cela, pour écarter la qualification contrat d'adhésion

Les contrats établis à l'avance, standardisés, dont un client ne peut négocier aucune clause, sont des contrats d'adhésion. Ainsi, un contrat qui propose des sauvegardes « physiquement isolées de l'infrastructure du client » doit être interprété en faveur du client, c'est-à-dire sauvegarde dans un centre de données différent.

En outre, quand bien même la responsabilité du prestataire est engagée, on n'est pas aux 🇺🇸 avec des [ dommages-intérêts ] punitifs : il appartient au demandeur d'étayer ses demandes d'indemnisation par des éléments concrets, et se contenter de généralités ne suffit pas. Du coup, quand on peut étayer par des éléments concrets, on est indemnisé, intégralement quand c'est justifié. Quand on ne s'en tient qu'à des généralités, le tribunal ne suit pas. Quand c'est exagéré, le tribunal décide souverainement.

2026 : CA Douai, 04/06/2026, 24/00967 :

Cet arrêt confirme les principes retenus dans précédentes décisions :
➡️ l'incendie DataCenter n'est pas un cas de force majeure
➡️ peut constituer un manquement de l'hébergeur si l'interruption dépasse les standards SLA convenus
➡️ validité clauses limitatives d'indemnisation