Depuis quinze ans, les tribunaux voient régulièrement passer des litiges nés de pannes de datacenter, de sauvegardes inexistantes en dépit de la conclusion d’un contrat de cloud, de rançongiciels entrés par les comptes du prestataire informatique, de migrations intempestives qui effacent les données clients.

Cette jurisprudence dessine ce qu’un client professionnel d’un service de cloud ou d’un SaaS peut réellement obtenir quand le service s’interrompt ou périclite - qu’il s’agisse des conséquences d’un fait extérieur, tel l’incendie survenu en mars 2021 dans les datacenters d’un célèbre fournisseur de cloud français, ou de la simple inconsistance d’une infrastructure due au prestataire lui-même. Analyser la situation, mesurer les risques, anticiper les coûts : c’est ce que vous propose cet article.

Quelles prestations avez-vous réellement souscrites ?

La question est essentielle. À titre d’exemple, un « contrat de cloud » n’existe pas en tant que catégorie juridique unique : derrière ce mot cohabitent des prestations dont l’objet, et donc les obligations du prestataire, diffèrent radicalement. La location d’un serveur, physique ou virtuel, met à votre disposition une infrastructure : le prestataire doit un espace de stockage et/ou de travail disponible, rien de plus. Le SaaS ajoute une couche applicative : l’éditeur doit l’accès à un logiciel fonctionnel, mais il répercute en général sur vous les limites du contrat qu’il a lui-même conclu avec son hébergeur, dont il dépend pour la disponibilité. L’infogérance confie au prestataire l’exploitation de tout ou partie de votre système : le périmètre des obligations s’élargit d’autant. La maintenance, enfin, porte sur la correction et l’évolution d’un système existant.

Cette cartographie détermine ce que le juge acceptera de considérer comme l’obligation essentielle du prestataire. Un exemple : un bureau d’enregistrement de noms de domaine avait loué chez Free des serveurs, puis des machines virtuelles, dans le datacenter de Vitry-sur-Seine. Le 24 mars 2012, un ouvrier sectionne un câble d’alimentation ; la plateforme tombe, et le serveur du client est relancé avec des données vieilles de sept mois. La cour d’appel de Paris a jugé qu’aucun des deux contrats ne prévoyait de sauvegarde sur serveur externe – l’option de « sauvegarde mutualisée » n’ayant jamais été souscrite – et que la copie automatique deux fois par jour mise en place gracieusement par l’hébergeur ne valait pas engagement de sauvegarde : le client, professionnel de l’hébergement, aurait dû savoir qu’il devait rapatrier lui-même ses données (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746).

Le prix constitue lui aussi un indice du périmètre : un cabinet d’architectes avait fait installer une sauvegarde journalière en cloud pour 35 euros hors taxes par mois ; le tribunal a retenu que ce montant couvrait l’hébergement et le paramétrage initial, et n’incluait aucune obligation de surveiller ensuite que la sauvegarde fonctionnait (T. com. Lorient, 16 mars 2026, n° 2024J00313). Le client qui croyait avoir confié ses données découvre qu’il n’avait loué qu’un espace.

En synthèse. Dans la quasi-totalité des contrats d’hébergement et de cloud, la politique de sauvegarde reste contractuellement à la charge du client. Les conditions d’OVH stipulaient que le prestataire « n’effectue aucune sauvegarde des données et Contenus du Client » (clause citée par T. com. Lille, 21 juin 2022, n° 2021005316) ; celles de Free réservaient la sauvegarde externe à une option payante. Un logiciel ajouté en cours de contrat sans avenant n’entre pas davantage dans le périmètre de l’infogérance souscrite, même si le prestataire l’a installé lui-même (CA Versailles, 13e ch., 30 octobre 2014, n° 13/00726). Si vous n’avez rien souscrit sur ce point, la perte de vos données est, contractuellement, votre affaire.

La leçon se résume ainsi : en cas de conflit, sortez vos bons de souscription et la liste exacte des services actifs au jour de l’incident. Une option souscrite pour quelques euros par mois peut transformer l’obligation essentielle du prestataire, et avec elle l’ensemble du raisonnement judiciaire. Son absence, à l’inverse, laissera le juge constater que vous aviez accepté d’assumer seul le risque survenu.

Où sont écrites les obligations de votre prestataire ?

Dans les conditions générales et les conditions particulières de service. Tout y est : les taux de disponibilité garantis, les crédits en cas de manquement, les clauses limitatives et exonératoires de responsabilité, les cas de force majeure conventionnellement élargis, les délais pour réclamer, la loi applicable et le tribunal compétent.

Le texte de référence est l’article 1119 du code civil : « Les conditions générales invoquées par une partie n’ont effet à l’égard de l’autre que si elles ont été portées à la connaissance de celle-ci et si elle les a acceptées ». Le même article règle les conflits internes au contrat : « En cas de discordance entre des conditions générales et des conditions particulières, les secondes l’emportent sur les premières ». La première question est donc de savoir quelles conditions générales s’appliquent. Un hébergeur de datacenter, assigné par la Chambre nationale des commissaires de justice après avoir coupé le lien de migration des données, soutenait que les conditions générales transmises par son propre directeur général deux ans plus tôt n’étaient pas les bonnes, et en produisait d’autres, plus favorables, dont le client n’avait jamais eu connaissance. Le tribunal s’en est tenu aux bons de souscription, qui renvoyaient aux conditions « d’accès aux services », les seules communiquées (TJ Paris, 4e ch. 2e sect., 10 juillet 2025, n° 25/05759).

Deux vérifications s’imposent donc avant toute action. D’abord, réunir la version des conditions applicable au jour de la souscription et au jour de l’incident : ces documents évoluent, et le prestataire produira la sienne. Ensuite, vérifier leur opposabilité. En pratique, la souscription en ligne avec case à cocher suffit presque toujours à établir l’acceptation. Mais l’argument de l’inopposabilité n’est pas mort entre professionnels : une société d’hébergement qui avait loué un espace privatif dans le datacenter d’un opérateur télécom s’est vu réclamer 336 468 euros d’indemnité de résiliation anticipée sur le fondement de conditions générales ni signées, ni paraphées, seulement mentionnées dans les définitions du SLA. La cour les a déclarées inopposables, « peu important à cet égard la prétendue qualité de professionnelle avertie » du client, et a ramené l’indemnité à 20 000 euros (CA Versailles, 3 mai 2016, n° 15/02478).

Obligation de moyens ou obligation de résultat ?

En présence d’une obligation de résultat, l’inexécution se prouve par le seul constat de l’écart entre la promesse et le fait – par exemple, un service level agreement, le SLA, stipulant un niveau de service à 99,5 %. En présence d’une obligation de moyens, il vous faut démontrer que le prestataire n’a pas mis en œuvre les diligences attendues d’un professionnel de sa catégorie, ce qui suppose une analyse technique de ses choix.

À l’exception des clauses de SLA, qui établissent un véritable standard d’accès au service, les clauses-type stipulent bien souvent que le prestataire n’est soumis qu’à une obligation de moyens. Ainsi, dans le contentieux Free, l’article 7 des conditions générales assujettissait le prestataire à « une obligation de moyens eu égard à la technicité des technologies mises en œuvre », et la cour a refusé d’y déroger (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746). Chez OVH, la clause réservait l’obligation de résultat au « respect des niveaux de Services relatifs à la disponibilité de l’Infrastructure et aux délais d’intervention prévus au Contrat » (clause citée par CA Douai, ch. 2 sect. 1, 12 septembre 2024, n° 22/03214). Traduction : le SLA chiffré relève du résultat, tout le reste des moyens.

Même un contrat qui proclame une obligation de résultat peut la vider pour les délais : dans le projet de migration cloud de Dexia confié à Econocom, l’article 11 stipulait une obligation de résultat sur le pilotage, mais l’article 11.2, en promettant « tout le soin et la diligence appropriés », a été lu comme ramenant le calendrier à une obligation de moyens, et la résiliation prononcée par le client pour retard a été jugée fautive (CA Paris, pôle 5 ch. 11, 1er juillet 2022, n° 21/00265).

Le SLA n’est pas une garantie, c’est un plafond

Le mécanisme est standard sur tout le marché : le contrat garantit un taux de disponibilité (99,5 %, 99,9 %…) qui paraît constituer une assurance pour l’acheteur. Or, la clause de SLA est généralement adossée à une clause pénale : une évaluation forfaitaire et anticipée du préjudice, due sans que le client ait à prouver quoi que ce soit d’autre que le franchissement du seuil.

En cas de contentieux, le piège peut se refermer sur l’acheteur : la clause pénale constitue à la fois un minimum de réparation… et un maximum, le juge étant en principe tenu de condamner le fournisseur dans la seule limite de ce dernier. La quasi-totalité des SLA du marché stipulent ainsi que les primes ou crédits octroyés en échange d’une perte ponctuelle d’accès au service « constituent pour le client une indemnisation forfaitaire de l’ensemble des préjudices résultant du non-respect […] des engagements de service en cause, le client renonçant à ce titre à toute autre demande, réclamation et/ou action ». C’est exactement ce qu’a jugé la cour d’appel de Douai dans l’un des contentieux ayant suivi l’incendie des data centers d’OVH en 2021 : en présence d’un bon d’achat de 125,87 euros déjà accordé par l’hébergeur en application des clauses de SLA, représentant environ huit mois d’un abonnement à 15,99 euros mensuels, la cour a jugé que le préjudice du cocontractant était intégralement réparé (CA Douai, 4 juin 2026, n° 24/00967).

Le contrat peut également contenir un plafond d’indemnisation : c’est la clause limitative de responsabilité. Le plafond le plus répandu est un multiple de la facturation mensuelle – dans l’affaire Free, un montant égal à six mois d’abonnement (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746).

Enfin, les contrats excluent souvent purement et simplement de réparer les dommages indirects : pertes d’exploitation, manque à gagner, perte de clientèle, atteinte à l’image. Les juges tiennent cette exclusion pour relevant de la liberté contractuelle. Un cabinet d’expertise comptable avait obtenu 62 654 euros en première instance contre Cegid pour dix-huit mois de bulletins de paie erronés ; la cour a appliqué l’exclusion et ramené la somme à 10 000 euros, correspondant aux loyers du logiciel défaillant, au coût du logiciel de remplacement et au préjudice moral (CA Toulouse, 2e ch., 6 janvier 2026, n° 20/03344). La même solution a prévalu dans l’un des contentieux OVH (CA Douai, ch. 2 sect. 2, 24 avril 2025, n° 23/00858). Ce cantonnement rejoint le droit commun : le débiteur ne répond que du dommage prévisible lors de la conclusion du contrat (code civil, art. 1231-3).

Le véritable levier : faire réputer la clause non écrite

C’est le cœur stratégique du contentieux.

L’article 1170 du code civil dispose que « toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite ». Ce texte permet de neutraliser les clauses limitatives et les clauses pénales qui réduisent à néant l’obligation essentielle confiée au cocontractant. Attention néanmoins : un plafond d’indemnisation reste valable s’il n’est pas dérisoire (arrêt Faurecia c/ Oracle : Cass. com., 29 juin 2010, n° 09-11.841).

L’article 1171 prévoit, lui, que « dans un contrat d’adhésion, toute clause non négociable, déterminée à l’avance par l’une des parties, qui crée un déséquilibre significatif entre les droits et obligations des parties au contrat est réputée non écrite ».

La jurisprudence est divisée sur l’application de ces textes. La cour de Limoges a réputé non écrit le plafond de six mois de redevances de l’intégrateur qui avait effacé les données de gestion de tout un groupe : 9 071,71 euros constituaient « une indemnisation dérisoire » au regard de la perte subie ; elle a alloué 128 284 euros de dommages et intérêts (CA Limoges, ch. soc., 15 juin 2022, n° 21/00432). La cour de Douai avait fait de même pour sanctionner le fournisseur de logiciel qui invoquait une clause plafonnant l’indemnisation à 5 000 euros (CA Douai, ch. 1 sect. 1, 25 octobre 2018, n° 17/05131).

Dans le contentieux né de l’incendie du data center d’OVH, le tribunal de commerce de Lille avait retenu que l’octroi d’un crédit d’utilisation de 1 800,48 euros, face à des préjudices chiffrés en centaines de milliers d’euros, faisait naître un déséquilibre significatif au profit de l’hébergeur (jugement du 26 janvier 2023). Saisie en appel, la cour de Douai a infirmé : tout en retenant le manquement de l’hébergeur, elle a jugé que les clauses ne privaient pas l’obligation essentielle de sa substance, que les pénalités – qui pouvaient atteindre 100 % du montant facturé – n’étaient pas dérisoires et visaient au contraire à contraindre le prestataire à respecter ses obligations. Condamnation finale : 1 800,48 euros, le montant exact du plafond contractuel (CA Douai, ch. 2 sect. 2, 24 avril 2025, n° 23/00858).

À retenir. Même affaibli devant certaines cours d’appel, le moyen tiré des articles 1170 et 1171 reste le principal levier de négociation. Un prestataire qui mesure le risque, même minoritaire, de voir le plafond réputé non écrit sur l’ensemble de son parc de clients transige à des niveaux sans rapport avec les crédits du SLA. L’action se prépare donc aussi pour ménager des leviers de négociation avant l’audience.

Un autre moyen, distinct, peut également être envisagé : la faute lourde ou dolosive du prestataire, qui écarte la limitation au dommage prévisible (code civil, art. 1231-3). La barre est haute. Les juges définissent la faute lourde comme un comportement d’une extrême gravité confinant au dol et dénotant l’inaptitude du débiteur à accomplir sa mission. Mais ils refusent de la reconnaître pour une erreur de paramétrage isolée (CA Paris, 27 novembre 2025, n° 24/14708), pour une erreur humaine de manipulation (CA Limoges, ch. soc., 15 juin 2022, n° 21/00432), pour la sous-estimation de la difficulté d’un projet (CA Chambéry, 1re ch., 6 novembre 2018, n° 17/00893) ou pour un incident de datacenter réparé en quelques heures (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746).

Le piège des délais contractuels pour former réclamation

Un droit à indemnisation peut se perdre par le jeu de la forclusion stipulée au contrat. On y retrouve deux types de clauses.

La première abrège la prescription : le contrat stipule que toute action relative au service se prescrit par un ou deux ans au lieu des cinq ans de droit commun. Cette stipulation est expressément autorisée entre les parties par l’article 2254 du code civil, avec un plancher : « Elle ne peut toutefois être réduite à moins d’un an ni étendue à plus de dix ans ». Le contrat-cadre d’infogérance d’une société de sécurité privée stipulait ainsi que les parties « ne peuvent engager leur responsabilité respective que pendant un délai d’un an à compter de la connaissance du dommage, toutes actions étant ensuite éteintes et tous droits prescrits » (clause citée par T. com. Nanterre, 1er octobre 2024, n° 2023F00027) : un an, le minimum légal, à compter d’un point de départ que le prestataire fera courir dès le premier courriel d’incident.

La seconde institue un délai de réclamation, dit de forclusion : le crédit ou l’indemnité doit être demandé dans un délai bref à compter de l’incident – trente jours dans nombre de SLA de grands fournisseurs –, dans des formes précises, faute de quoi le droit est perdu. Les conditions examinées à Douai organisaient ainsi le dédommagement « par déduction sur la facture du mois suivant réception […] de la demande de dédommagement » : sans demande du client, pas de crédit. Ces délais conventionnels ne sont pas soumis au plancher d’un an de l’article 2254, qui ne vise que la prescription ; leur seul contrôle passe par les articles 1170 et 1171, avec les incertitudes décrites plus haut.

La conséquence pratique est la suivante : dès l’incident, réclamez par écrit, dans les formes prévues au contrat (espace client, adresse dédiée), puis doublez d’une lettre recommandée avec accusé de réception. Selon le contexte, cette réclamation peut conserver vos droits, interrompre la discussion sur la forclusion et dater officiellement l’incident. Elle ne vaut pas renonciation à demander davantage, sous une réserve à manier avec précaution : certains SLA stipulent que l’acceptation du crédit emporte renonciation à toute autre action. Encaisser l’avoir sans réserve peut alors se retourner contre vous ; l’accompagner d’un courrier de réserves expresses est le minimum.

Le réflexe à éviter : cesser de payer le prestataire

L’exception d’inexécution existe, l’article 1219 du code civil l’énonce : une partie « peut refuser d’exécuter son obligation […] si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave ». En matière de services informatiques, ce réflexe est pourtant celui qui transforme le plus sûrement une victime en défendeur condamné, pour trois raisons cumulées.

D’abord, la gravité suffisante s’apprécie a posteriori par le juge, et une indisponibilité partielle ou temporaire, déjà « tarifée » par les crédits du SLA, franchit rarement le seuil.

Ensuite, le fournisseur dispose d’une voie rapide : le référé. Devant le président du tribunal de commerce, « dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, il peut accorder une provision au créancier » (code de procédure civile, art. 873). Or votre obligation de payer résulte d’un contrat écrit et de factures ; vos griefs, eux, supposent une analyse technique au fond. Un groupe du bâtiment avait souscrit des licences Salesforce et confié leur intégration à un partenaire de l’éditeur ; l’intégrateur a abandonné le projet après avoir annoncé un dépassement de 345 000 euros, et le client n’a jamais pu utiliser le logiciel. La cour d’appel de Lyon a néanmoins accordé à Salesforce une provision de 47 221,84 euros au titre des licences activées, le client ne contestant pas « sérieusement » qu’elles l’avaient été (CA Lyon, 8e ch., 16 avril 2025, n° 24/06229). Devant le juge de l’évidence, le contrat et la facture pèsent plus lourd que l’invocation de dysfonctionnements.

Enfin, le non-paiement confère au fournisseur les droits prévus par le contrat : suspension du service, résiliation, et clause pénale. Une avocate qui avait cessé de payer les 379 euros mensuels de son site internet, jugeant le référencement inefficace, a été condamnée à la totalité des échéances restant à courir sur quarante-huit mois majorée de 10 %, soit 16 509,24 euros, la cour jugeant la clause licite et sans déséquilibre significatif (CA Orléans, 20 janvier 2026, n° 23/01807).

La règle de conduite est simple : on continue de payer, sous réserves écrites, et l’on ne met en œuvre que les sanctions prévues par le contrat. Le paiement sous protestation ne vaut pas acquiescement ; le non-paiement, lui, vaut presque toujours un contentieux perdu d’avance en référé.

Le bon réflexe : préserver les preuves et chiffrer le préjudice

Une action en réparation se gagne sur la preuve du manquement et sur celle du préjudice. La constitution des preuves peut être anticipée. Elle doit l’être en particulier lorsque l’infrastructure est celle du provider.

Le versant technique : établir le manquement après coup

Oui, à condition d’avoir conservé ou capté les bonnes traces. Prenons un cas devenu banal : une entreprise d’intelligence artificielle entraîne ses modèles sur l’infrastructure d’un fournisseur cloud ; un incident de stockage lui fait perdre une semaine de travail, checkpoints d’entraînement compris. Que peut-on reconstituer après coup ?

Du côté du client, beaucoup : les journaux applicatifs de ses propres machines (erreurs d’écriture, échecs d’accès aux volumes, horodatages des dernières opérations réussies), les réponses d’erreur de l’API du fournisseur, les tickets de support et leur chronologie, les courriels et messages d’incident du fournisseur, les captures horodatées de sa page de statut publique. Ces éléments datent l’incident, en mesurent la durée et, confrontés au SLA, établissent le franchissement des seuils.

Du côté du fournisseur, presque rien ne vous est accessible : ses journaux internes, seuls capables d’expliquer la cause de l’incident, sont chez lui. Cette asymétrie de preuve justifie deux réflexes préventifs qui coûtent quelques dizaines d’euros par mois : une supervision externe indépendante (sondes tierces qui testent la disponibilité de vos services depuis l’extérieur et en conservent l’historique, opposable parce qu’elle n’émane ni de vous ni du fournisseur), et l’export régulier de vos journaux hors de l’infrastructure du fournisseur concerné. Le jour du litige, la mesure du taux de disponibilité réel ne reposera alors ni sur votre parole ni sur les outils de l’adversaire.

Le versant juridique : la séquence probatoire avant toute action

La preuve technique se constitue dans un ordre précis.

Premier temps : le constat d’huissier, réalisé pendant l’incident ou immédiatement après, qui fige l’inaccessibilité du service, les messages d’erreur, la page de statut du fournisseur, l’état de vos interfaces. Ce constat a une force probante qu’aucune capture d’écran maison n’égale. Il ne peut plus être fait une fois le service rétabli.

Deuxième temps : l’expertise amiable, dite expertise de partie, confiée à un expert informatique de votre choix – idéalement inscrit sur une liste de cour d’appel –, qui analyse les traces, qualifie techniquement les manquements au regard du contrat et des règles de l’art, et chiffre les préjudices poste par poste. Les tribunaux admettent ces rapports, même établis sans l’adversaire, dès lors qu’ils sont versés aux débats et discutés ; mais ils ne les retiennent que corroborés par d’autres pièces (T. com. Nanterre, 1er octobre 2024, n° 2023F00027, et CA Paris, pôle 5 ch. 11, 1er juillet 2022, n° 21/00265). Le rapport de l’expert de votre assureur, établi en présence du prestataire et de son propre assureur, a une force très supérieure : c’est lui qui a établi l’erreur de manipulation de l’intégrateur dans l’affaire jugée à Limoges (CA Limoges, ch. soc., 15 juin 2022, n° 21/00432).

Troisième temps, si le dossier le justifie : l’expertise judiciaire, qui fait l’objet de la section suivante parce qu’elle est le point où le plus d’actions se perdent.

Le chiffrage obéit à la même exigence documentaire. Les juges écartent les postes affirmés sans pièces et retiennent ceux qui sont justifiés facture par facture. Le groupe de négoce victime de l’effacement de ses données a obtenu le coût des 330 heures de reclassement de bons de livraison, établi par sa comptabilité analytique, et les trois bulletins de salaire de la caissière embauchée en renfort, mais pas la « perte de pilotage » de 182 988 euros fondée sur une attestation qu’il s’était délivrée à lui-même, ni les postes calculés en pourcentage du chiffre d’affaires « permettant de penser » qu’une perte s’était produite (CA Limoges, ch. soc., 15 juin 2022, n° 21/00432). Chacune des demandes sera débattue poste par poste : un chiffrage global, non ventilé, est le plus sûr moyen de voir la condamnation s’effondrer.

L’expertise judiciaire : quand elle est utile, quand elle ne sert à rien

L’expertise judiciaire s’impose quand la cause du manquement est technique, contestée, et hors de votre portée ; elle est inutile quand le manquement se lit dans les documents ; elle est refusée quand elle sert à pallier l’absence de preuve.

Les litiges où l’expertise est le bon outil

Ce sont ceux où la responsabilité dépend d’une analyse que vous ne pouvez pas faire seul.

Les projets d’intégration, de migration ou de déploiement où le rôle de chaque partie est en cause. Le projet de planification des ressources de beIN Sports, confié à un éditeur anglais en 2018, n’avait toujours pas été mis en service en 2022. Le client soutenait qu’une obligation de résultat et l’absence de réception rendaient toute expertise inutile ; le tribunal l’a ordonnée malgré son opposition, à la demande du prestataire, parce que la phase de déploiement en méthode agile supposait la collaboration active des deux parties et que « le caractère technique de l’origine des préjudices » interdisait de trancher sur pièces. La mission confiée à l’expert dit ce que le juge ne sait pas faire : décrire l’organisation et les ressources mises en place de chaque côté, dire si les comités de pilotage ont fonctionné, mesurer l’état de finition de la version standard, recenser les demandes de modification du client et la manière dont elles ont été traitées (T. com. Nanterre, 2e ch., 13 janvier 2025, n° 2023F00977). Même logique pour le groupe du bâtiment abandonné par son intégrateur Salesforce : la cour de Lyon a jugé que le client justifiait « d’un procès latent, possible et non manifestement voué à l’échec », qu’une simple consultation technique ne suffisait pas, et a ordonné l’expertise en y attrayant l’éditeur, tenu de rétablir l’accès au cloud sur demande de l’expert (CA Lyon, 8e ch., 16 avril 2025, n° 24/06229). Le groupe d’expertise comptable victime des plans de paie détruits a obtenu de la même manière une expertise avant dire droit ; le rapport a établi que le logiciel livré « était inachevé » (CA Chambéry, 1re ch., 6 novembre 2018, n° 17/00893).

La faute lourde à démontrer contre un infogérant. Une société de sécurité privée paralysée par un rançongiciel reprochait à son infogérant des mots de passe administrateur jamais changés depuis 2017, un correctif de sécurité non installé depuis 2019, un antivirus absent de l’hyperviseur et des sauvegardes non isolées du réseau. Elle produisait le rapport de la société de réponse à incident qu’elle avait mandatée. Le tribunal a retenu la responsabilité du prestataire, mais a refusé la faute lourde faute de « toute analyse contradictoire, que, notamment un expert judiciaire aurait pu établir », et a appliqué le plafond contractuel : 39 435,23 euros pour 450 544 euros réclamés (T. com. Nanterre, 1er octobre 2024, n° 2023F00027). Pour faire sauter un plafond par la faute lourde, le rapport de votre prestataire de crise ne suffit pas ; il faut l’expertise contradictoire, et il faut l’avoir demandée avant que les traces disparaissent.

L’accès aux éléments détenus par l’adversaire. Quand la cause de l’incident se trouve dans les journaux internes, les procédures ou les choix d’architecture du prestataire, l’expertise sur le fondement de l’article 145 du code de procédure civile est le seul moyen de les obtenir, et le juge peut enjoindre au fournisseur de maintenir ou rétablir les accès pour les besoins de l’expert (CA Lyon, 8e ch., 16 avril 2025, n° 24/06229). La clause attributive de compétence du contrat, qui désigne le tribunal du siège du prestataire, ne vous est pas opposable pour cette demande : le juge compétent est celui du lieu où les mesures doivent être exécutées, fût-ce partiellement, c’est-à-dire chez vous (même arrêt).

Les litiges où elle ne sert à rien, ou vous sera refusée

Ce sont ceux où le manquement se prouve par les documents à votre disposition.

L’indisponibilité d’un service sous SLA chiffré. Quand le contrat garantit 99,5 % de disponibilité et que la page de statut du fournisseur et ses propres courriels d’incident établissent un taux inférieur, le manquement à l’obligation de résultat est acquis sans expert. L’expertise n’ajouterait que la cause de la panne, laquelle est indifférente sous une obligation de résultat, sauf force majeure que le prestataire devra prouver lui-même. Demander une expertise dans ce cas revient à offrir au fournisseur un an de délai et un débat sur les causes qu’il n’aurait pas eu.

Le manquement documenté par le prestataire lui-même. Le cabinet d’expertise comptable client de Cegid a fait juger que son logiciel de paie était défaillant sans aucune expertise, en produisant le relevé de l’outil d’assistance du fournisseur : 159 signalements d’erreur en un an, dont 56 étiquetés « critiques », et les courriels où les techniciens attribuaient eux-mêmes les anomalies à une base endommagée et à des bugs en attente de correction. Le fournisseur, qui imputait les difficultés au serveur du client et au défaut de formation, ne produisait « aucune pièce, notamment technique » (CA Toulouse, 2e ch., 6 janvier 2026, n° 20/03344). Les comptes rendus de comités de pilotage jouent le même rôle dans les grands projets : le litige à quinze millions d’euros entre Dexia et Econocom a été tranché sur les procès-verbaux des comités, dont il ressortait qu’à la veille de la mise en demeure les deux parties avaient décidé conjointement de décaler le calendrier (CA Paris, pôle 5 ch. 11, 1er juillet 2022, n° 21/00265).

L’expertise demandée pour combler un dossier vide. Les sociétés qui avaient perdu leurs données chez un petit hébergeur demandaient « en tant que de besoin » à la cour de désigner un expert pour déterminer l’étendue des obligations du prestataire et l’origine de la perte ; la cour a refusé, « les mesures d’expertise n’ayant pas vocation à pallier la carence d’une partie dans l’administration de la preuve qui lui incombe », et a confirmé le débouté (CA Versailles, 13e ch., 30 octobre 2014, n° 13/00726).

Avant toute signature : la négociation des clauses

Les clients professionnels traitent les conditions générales d’un fournisseur cloud ou SaaS comme un bloc à prendre ou à laisser. C’est exact pour le tarif public souscrit en ligne. C’est faux dès qu’un commercial entre dans la boucle, ce qui est le cas de la plupart des souscriptions d’entreprise à partir de quelques centaines d’euros mensuels.

Ce moment, celui où le commercial veut conclure, est le seul où le rapport de force vous est favorable. Trois clauses méritent d’être mises sur la table par écrit, dans l’ordre : le plafond de responsabilité (obtenir un plafond en valeur absolue, corrélé à votre risque réel, plutôt qu’un multiple de facturation mensuelle), les délais de réclamation (obtenir leur allongement ou leur suppression), et le périmètre exact de la sauvegarde (qui sauvegarde, où, à quelle fréquence, avec quel engagement de restauration). Même un refus a une valeur : l’échange écrit établira que la clause a été discutée ou qu’elle ne l’a jamais été. Ce point pèsera lourd le jour où vous soutiendrez que le contrat est un contrat d’adhésion au sens de l’article 1171 du code civil, dont l’application suppose précisément une clause « non négociable, déterminée à l’avance par l’une des parties ». Le prestataire qui a refusé toute discussion aura documenté lui-même le caractère d’adhésion de son contrat.

L’essentiel

  • Le périmètre exact des prestations souscrites – hébergement, cloud, SaaS, infogérance, maintenance – et les options réellement actives au jour de l’incident déterminent l’obligation essentielle du prestataire. La sauvegarde reste presque toujours à la charge du client.

  • Hors SLA chiffré, le prestataire n’est en général tenu que d’une obligation de moyens : le manquement suppose alors une démonstration technique.

  • Le SLA n’est pas qu’une garantie, c’est aussi un plafond : les crédits sont stipulés comme indemnisation forfaitaire de tous les préjudices, et l’exclusion des dommages indirects écarte souvent ceux liés aux pertes d’exploitation et aux manques à gagner.

  • Le principal levier est de faire réputer la clause non écrite (code civil, art. 1170 et 1171) ou de démontrer une faute lourde – deux voies exigeantes, mais décisives dans la négociation.

  • Attention aux délais contractuels : prescription abrégée à un an et délai de réclamation de trente jours sont la norme. Réclamez par écrit dès l’incident, et n’encaissez jamais un avoir sans réserves.

  • Ne cessez pas de payer, sauf si un avocat vous le conseille.

  • La preuve se prépare avant le litige : supervision externe indépendante, export des journaux, constat de commissaire de justice pendant l’incident, expertise contradictoire lorsque la cause est chez l’adversaire.

Ce que le contrat ne dit pas

Votre indemnisation dépend de plusieurs éléments contractuels : l’objet exact du contrat (hébergement, cloud, SaaS, infogérance), les options souscrites, la qualification d’obligation de moyens ou de résultat, les clauses limitatives de responsabilité et les délais contractuels de réclamation. Dans la plupart des contentieux, cesser de payer le service hors les conditions prévues au contrat et avant d’avoir réuni des preuves techniques irréfutables constitue la mauvaise stratégie.

Les règles ci-dessus fixent le cadre. Mais ce que ce cadre ne dit pas, c’est où se situe votre dossier : l’existence d’une première décision en référé, les contrats souscrits, les options réellement actives au jour de l’incident, la qualification de vos échanges précontractuels, la solidité de vos traces techniques et l’opportunité, propre à chaque espèce, d’une transaction plutôt que d’un jugement. Ces éléments de fait pèsent ici autant que le droit, et c’est sur leur base qu’un avocat construit, ou déconseille, d’agir.

Grégoire Lefaivre est avocat au Barreau de Paris. Il intervient en contentieux commercial et en droit des entreprises en difficulté.

À lire également : Assignation en redressement ou en liquidation judiciaire : comment se défendre