Depuis quinze ans, les tribunaux voient régulièrement passer des litiges nés de pannes de datacenter, de sauvegardes inexistantes en dépit de la conclusion d’un contrat de cloud, de rançongiciels entrés par les comptes du prestataire informatique, de migrations intempestives qui effacent les données clients.

Cette jurisprudence dessine ce qu’un client professionnel d’un service de cloud ou d’un SaaS – un logiciel fourni en ligne sous forme d’abonnement – peut réellement obtenir quand le service s’interrompt ou périclite, qu’il s’agisse des conséquences d’un fait extérieur, tel l’incendie survenu en mars 2021 dans les datacenters d’un célèbre fournisseur de cloud français, ou de la simple inconsistance d’une infrastructure due au prestataire lui-même. Analyser la situation, mesurer les risques, anticiper les coûts : c’est ce que vous propose cet article.

Le service level agreement (SLA), ou convention de niveau de service, est la clause ou l’annexe du contrat informatique qui fixe les niveaux de service garantis par le prestataire – taux de disponibilité, délais d’intervention et de rétablissement – et la compensation due s’ils ne sont pas atteints, le plus souvent sous forme de crédits de service. Ces crédits étant en général stipulés comme la seule indemnisation due au client, le SLA fonctionne autant comme un plafond que comme une garantie.

Le service s’interrompt : quels réflexes ?

Trois réflexes décident, dans les jours qui suivent l’incident, de l’issue d’un éventuel procès : continuer de payer, figer les preuves, mettre en demeure dans les formes.

Le réflexe à éviter : cesser de payer le prestataire

Le service est tombé, les factures continuent d’arriver : la tentation de suspendre les paiements est immédiate. C’est pourtant, dans la plupart des dossiers, le réflexe qui coûte le plus cher.

L’exception d’inexécution existe, l’article 1219 du code civil l’énonce : une partie « peut refuser d’exécuter son obligation […] si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave ». La gravité suffisante s’apprécie a posteriori par le juge. Une indisponibilité partielle ou temporaire, déjà « tarifée » par les crédits du SLA, franchit rarement le seuil.

Ainsi, et même si votre prestataire est en tort, s’abstenir de payer peut revêtir de lourdes conséquences. A titre d’exemple, le prestataire peut vous condamner à payer une provision en référé (CPC, art. 873). Vous vous exposez ensuite à des sanctions contractuelles : suspension du service, résiliation aux torts du client, indemnité de résiliation et pénalités de retard. Enfin, vous pourriez être tenu de réparer le préjudice subi par le prestataire. La règle de conduite est simple : on continue de payer, sous réserves écrites, et l’on ne met en œuvre que les sanctions prévues par le contrat. Le paiement sous protestation ne vaut pas acquiescement.

Le réflexe à adopter : préserver les preuves et chiffrer le préjudice

Le procès se gagnera sur des pièces établies pendant l’incident. Les journaux applicatifs du client, les réponses d’erreur de l’API du fournisseur, les tickets de support, les messages d’incident et les captures horodatées de la page de statut permettent de dater l’incident et de mesurer le taux de disponibilité. Les journaux internes du prestataire restent en revanche chez lui : cette asymétrie de preuve justifie une supervision externe indépendante et l’export régulier des journaux hors de l’infrastructure concernée.

Le constat de commissaire de justice. Il peut être mandaté directement par le client et effectue des constatations purement matérielles, qui font foi jusqu’à preuve contraire (ordonnance n° 2016-728 du 2 juin 2016, art. 1er, II, 2°). Il doit décrire le matériel, la connexion et les manipulations effectuées, et intervenir pendant l’incident.

Chiffrer le préjudice. Le chiffrage se ventile poste par poste et chaque poste doit être justifié par une pièce. Si vos salariés consacrent leurs journées à réparer les conséquences d’une perte, ce temps interne doit être documenté pendant la crise ; aucun poste ne doit être compté deux fois ; la perte d’exploitation se calcule en marge perdue et les postes non exclus par le contrat doivent être présentés en premier. Les juges écartent les pertes affirmées sans pièces ou calculées en pourcentage du chiffre d’affaires (CA Limoges, ch. soc., 15 juin 2022, n° 21/00432).

Rédiger une mise en demeure

Le code civil subordonne les dommages et intérêts à une mise en demeure préalable, sauf inexécution définitive (art. 1231). La même règle vaut pour la pénalité conventionnelle (art. 1231-5) et la résolution par notification (art. 1226).

La lettre identifie le contrat, décrit chaque manquement en le rattachant au SLA, fixe un délai raisonnable, demande le rétablissement du service, les crédits prévus, le rapport d’incident et la conservation des journaux. Elle précise que les paiements sont maintenus sous toutes réserves et qu’elle ne vaut pas renonciation à la réparation intégrale. Une lettre recommandée doublée du canal prévu au contrat est la pratique la plus sûre.

Les délais contractuels doivent être contrôlés immédiatement : prescription abrégée, parfois réduite à un an (art. 2254), et délai de réclamation de trente jours dans nombre de SLA. N’encaissez jamais un avoir sans réserves expresses si le contrat prétend lui faire produire un effet libératoire.

Panne du prestataire : obtenir réparation

Quelles prestations avez-vous réellement souscrites ?

Un « contrat de cloud » n’existe pas en tant que catégorie juridique unique : derrière ce mot cohabitent des prestations dont l’objet, et donc les obligations du prestataire, diffèrent radicalement. La location d’un serveur, physique ou virtuel, met à votre disposition une infrastructure : le prestataire doit un espace de stockage et/ou de travail disponible, rien de plus. Le SaaS ajoute une couche applicative : l’éditeur doit l’accès à un logiciel fonctionnel, mais il répercute en général sur vous les limites du contrat qu’il a lui-même conclu avec son hébergeur, dont il dépend pour la disponibilité. L’infogérance confie au prestataire l’exploitation de tout ou partie de votre système : le périmètre des obligations s’élargit d’autant. La maintenance, enfin, porte sur la correction et l’évolution d’un système existant.

Cette cartographie détermine ce que le juge acceptera de considérer comme l’obligation essentielle du prestataire. Un exemple : un bureau d’enregistrement de noms de domaine avait loué chez Free des serveurs, puis des machines virtuelles, dans le datacenter de Vitry-sur-Seine. Le 24 mars 2012, un ouvrier sectionne un câble d’alimentation ; la plateforme tombe, et le serveur du client est relancé avec des données vieilles de sept mois. La cour d’appel de Paris a jugé qu’aucun des deux contrats ne prévoyait de sauvegarde sur serveur externe – l’option de « sauvegarde mutualisée » n’ayant jamais été souscrite – et que la copie automatique deux fois par jour mise en place gracieusement par l’hébergeur ne valait pas engagement de sauvegarde : le client, professionnel de l’hébergement, aurait dû savoir qu’il devait rapatrier lui-même ses données (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746).

Le prix constitue lui aussi un indice du périmètre : un cabinet d’architectes avait fait installer une sauvegarde journalière en cloud pour 35 euros hors taxes par mois ; le tribunal a retenu que ce montant couvrait l’hébergement et le paramétrage initial, et n’incluait aucune obligation de surveiller ensuite que la sauvegarde fonctionnait (T. com. Lorient, 16 mars 2026, n° 2024J00313). Le client qui croyait avoir confié ses données découvre qu’il n’avait loué qu’un espace.

En synthèse. Dans la quasi-totalité des contrats d’hébergement et de cloud, la politique de sauvegarde reste contractuellement à la charge du client. Les conditions d’OVH stipulaient que le prestataire « n’effectue aucune sauvegarde des données et Contenus du Client » (clause citée par T. com. Lille, 21 juin 2022, n° 2021005316) ; celles de Free réservaient la sauvegarde externe à une option payante. Un logiciel ajouté en cours de contrat sans avenant n’entre pas davantage dans le périmètre de l’infogérance souscrite, même si le prestataire l’a installé lui-même (CA Versailles, 13e ch., 30 octobre 2014, n° 13/00726). Si vous n’avez rien souscrit sur ce point, la perte de vos données est, contractuellement, votre affaire.

La leçon se résume ainsi : en cas de conflit, sortez vos bons de souscription et la liste exacte des services actifs au jour de l’incident. Une option souscrite pour quelques euros par mois peut transformer l’obligation essentielle du prestataire, et avec elle l’ensemble du raisonnement judiciaire. Son absence, à l’inverse, laissera le juge constater que vous aviez accepté d’assumer seul le risque survenu.

Où sont écrites les obligations de votre prestataire ?

Dans les conditions générales et les conditions particulières de service. Tout y est : les taux de disponibilité garantis, les crédits en cas de manquement, les clauses limitatives et exonératoires de responsabilité, les cas de force majeure conventionnellement élargis, les délais pour réclamer, la loi applicable et le tribunal compétent.

Le texte de référence est l’article 1119 du code civil : « Les conditions générales invoquées par une partie n’ont effet à l’égard de l’autre que si elles ont été portées à la connaissance de celle-ci et si elle les a acceptées ». Le même article règle les conflits internes au contrat : « En cas de discordance entre des conditions générales et des conditions particulières, les secondes l’emportent sur les premières ». La première question est donc de savoir quelles conditions générales s’appliquent. Un hébergeur de datacenter, assigné par la Chambre nationale des commissaires de justice après avoir coupé le lien de migration des données, soutenait que les conditions générales transmises par son propre directeur général deux ans plus tôt n’étaient pas les bonnes, et en produisait d’autres, plus favorables, dont le client n’avait jamais eu connaissance. Le tribunal s’en est tenu aux bons de souscription, qui renvoyaient aux conditions « d’accès aux services », les seules communiquées (TJ Paris, 4e ch. 2e sect., 10 juillet 2025, n° 25/05759).

Deux vérifications s’imposent donc avant toute action. D’abord, réunir la version des conditions applicable au jour de la souscription et au jour de l’incident : ces documents évoluent, et le prestataire produira la sienne. Ensuite, vérifier leur opposabilité. En pratique, la souscription en ligne avec case à cocher suffit presque toujours à établir l’acceptation. Mais l’argument de l’inopposabilité n’est pas mort entre professionnels : une société d’hébergement qui avait loué un espace privatif dans le datacenter d’un opérateur télécom s’est vu réclamer 336 468 euros d’indemnité de résiliation anticipée sur le fondement de conditions générales ni signées, ni paraphées, seulement mentionnées dans les définitions du SLA. La cour les a déclarées inopposables, « peu important à cet égard la prétendue qualité de professionnelle avertie » du client, et a ramené l’indemnité à 20 000 euros (CA Versailles, 3 mai 2016, n° 15/02478).

Que contient une clause SLA ?

Le service level agreement (SLA), ou convention de niveau de service, traduit la qualité du service en indicateurs mesurables et fixe la compensation due lorsqu’ils ne sont pas atteints. Il comporte les indicateurs de disponibilité, de prise en charge et de rétablissement, la période et l’outil de mesure, les exclusions et les crédits de service.

Les indicateurs usuels sont les suivants, sous réserve de la définition qu’en donne chaque contrat, seule déterminante :

  • le taux de disponibilité : la part du temps, sur la période de mesure, pendant laquelle le service doit être accessible ;
  • la garantie de temps d’intervention (GTI) : le délai maximal entre le signalement d’un incident et sa prise en charge par le prestataire ;
  • la garantie de temps de rétablissement (GTR) : le délai maximal dans lequel le service doit être rétabli ;
  • les crédits de service, parfois appelés pénalités : la somme, généralement imputée sur les factures suivantes, due lorsque l’un de ces engagements n’est pas tenu.

GTI et GTR sont souvent modulées selon la gravité de l’incident et décomptées en heures ouvrées. Les exclusions pèsent autant que les chiffres : maintenance programmée, incidents imputables au client ou à ses propres fournisseurs, cas de force majeure élargis par le contrat sont en général retranchés du calcul. Un taux de 99,9 % mesuré hors maintenance et hors incidents non déclarés dans le délai contractuel ne promet pas la même chose qu’un taux mesuré sur la totalité du temps.

Comprendre le chiffre indiqué dans le SLA : pas une garantie, mais un plafond

Les conditions d’OVH prévoyaient, en cas de non-respect du taux de disponibilité, un dédommagement de 0,5 % du montant mensuel par tranche consécutive d’une minute d’indisponibilité, dans la limite du montant mensuel facturé (clause citée par CA Douai, ch. 2 sect. 2, 24 avril 2025, n° 23/00858). Quelle que soit la durée de la panne, le crédit ne dépassait donc jamais un mois d’abonnement. Sur un mois de trente jours, un taux de 99,9 % tolère 43 minutes d’indisponibilité et un taux de 99,5 % tolère 3 heures et 36 minutes.

Le mécanisme est standard sur tout le marché : le contrat garantit un taux de disponibilité (99,5 %, 99,9 %…) qui paraît constituer une assurance pour l’acheteur. Or, la clause de SLA est généralement adossée à une clause pénale : une évaluation forfaitaire et anticipée du préjudice, due sans que le client ait à prouver quoi que ce soit d’autre que le franchissement du seuil.

En cas de contentieux, le piège peut se refermer sur l’acheteur : la clause pénale constitue à la fois un minimum de réparation… et un maximum, le juge étant en principe tenu de condamner le fournisseur dans la seule limite de ce dernier. La quasi-totalité des SLA du marché stipulent ainsi que les primes ou crédits octroyés en échange d’une perte ponctuelle d’accès au service « constituent pour le client une indemnisation forfaitaire de l’ensemble des préjudices résultant du non-respect […] des engagements de service en cause, le client renonçant à ce titre à toute autre demande, réclamation et/ou action ». C’est exactement ce qu’a jugé la cour d’appel de Douai dans l’un des contentieux ayant suivi l’incendie des data centers d’OVH en 2021 : en présence d’un bon d’achat de 125,87 euros déjà accordé par l’hébergeur en application des clauses de SLA, représentant environ huit mois d’un abonnement à 15,99 euros mensuels, la cour a jugé que le préjudice du cocontractant était intégralement réparé (CA Douai, 4 juin 2026, n° 24/00967).

Le contrat peut également contenir un plafond d’indemnisation : c’est la clause limitative de responsabilité. Le plafond le plus répandu est un multiple de la facturation mensuelle – dans l’affaire Free, un montant égal à six mois d’abonnement (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746).

Enfin, les contrats excluent souvent purement et simplement de réparer les dommages indirects : pertes d’exploitation, manque à gagner, perte de clientèle, atteinte à l’image. Les juges tiennent cette exclusion pour relevant de la liberté contractuelle. Un cabinet d’expertise comptable avait obtenu 62 654 euros en première instance contre Cegid pour dix-huit mois de bulletins de paie erronés ; la cour a appliqué l’exclusion et ramené la somme à 10 000 euros, correspondant aux loyers du logiciel défaillant, au coût du logiciel de remplacement et au préjudice moral (CA Toulouse, 2e ch., 6 janvier 2026, n° 20/03344). La même solution a prévalu dans l’un des contentieux OVH (CA Douai, ch. 2 sect. 2, 24 avril 2025, n° 23/00858). Ce cantonnement rejoint le droit commun : le débiteur ne répond que du dommage prévisible lors de la conclusion du contrat (code civil, art. 1231-3).

Obligation de moyens ou obligation de résultat ?

En présence d’une obligation de résultat, l’inexécution se prouve par le seul constat de l’écart entre la promesse et le fait – par exemple, un service level agreement, le SLA, stipulant un niveau de service à 99,5 %. En présence d’une obligation de moyens, il vous faut démontrer que le prestataire n’a pas mis en œuvre les diligences attendues d’un professionnel de sa catégorie, ce qui suppose une analyse technique de ses choix.

À l’exception des clauses de SLA, qui établissent un véritable standard d’accès au service, les clauses-type stipulent bien souvent que le prestataire n’est soumis qu’à une obligation de moyens. Ainsi, dans le contentieux Free, l’article 7 des conditions générales assujettissait le prestataire à « une obligation de moyens eu égard à la technicité des technologies mises en œuvre », et la cour a refusé d’y déroger (CA Paris, pôle 5 ch. 11, 25 janvier 2019, n° 16/07746). Chez OVH, la clause réservait l’obligation de résultat au « respect des niveaux de Services relatifs à la disponibilité de l’Infrastructure et aux délais d’intervention prévus au Contrat » (clause citée par CA Douai, ch. 2 sect. 1, 12 septembre 2024, n° 22/03214). Traduction : le SLA chiffré relève du résultat, tout le reste des moyens.

Même un contrat qui proclame une obligation de résultat peut la vider pour les délais : dans le projet de migration cloud de Dexia confié à Econocom, l’article 11 stipulait une obligation de résultat sur le pilotage, mais l’article 11.2, en promettant « tout le soin et la diligence appropriés », a été lu comme ramenant le calendrier à une obligation de moyens, et la résiliation prononcée par le client pour retard a été jugée fautive (CA Paris, pôle 5 ch. 11, 1er juillet 2022, n° 21/00265).

Déjouer la défense du prestataire : les leviers juridiques

C’est le cœur stratégique du contentieux.

Les clauses abusives

L’article 1170 du code civil dispose que « toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite ». Ce texte permet de neutraliser les clauses limitatives et les clauses pénales qui réduisent à néant l’obligation essentielle confiée au cocontractant. Attention néanmoins : un plafond d’indemnisation reste valable s’il n’est pas dérisoire (arrêt Faurecia c/ Oracle : Cass. com., 29 juin 2010, n° 09-11.841).

La jurisprudence est divisée sur l’application de l’article 1170. La cour de Limoges a réputé non écrit le plafond de six mois de redevances de l’intégrateur qui avait effacé les données de gestion de tout un groupe : 9 071,71 euros constituaient « une indemnisation dérisoire » au regard de la perte subie ; elle a alloué 128 284 euros de dommages et intérêts (CA Limoges, ch. soc., 15 juin 2022, n° 21/00432). La cour de Douai avait fait de même pour sanctionner le fournisseur de logiciel qui invoquait une clause plafonnant l’indemnisation à 5 000 euros (CA Douai, ch. 1 sect. 1, 25 octobre 2018, n° 17/05131).

Dans l’affaire France Bâti Courtage, le tribunal de commerce de Lille avait jugé que la sauvegarde était une obligation essentielle et réputé non écrite une clause de force majeure qui en exonérait OVH. Saisie en appel, la cour de Douai a infirmé : les pénalités, qui pouvaient atteindre 100 % du montant facturé, n’étaient pas dérisoires et visaient à contraindre le prestataire à respecter ses obligations. Condamnation finale : 1 800,48 euros, le montant exact du plafond contractuel (CA Douai, 24 avril 2025, n° 23/00858).

Les clauses déséquilibrantes

Le texte applicable est le suivant : « Engage la responsabilité de son auteur et l’oblige à réparer le préjudice causé le fait, dans le cadre de la négociation commerciale, de la conclusion ou de l’exécution d’un contrat, par toute personne exerçant des activités de production, de distribution ou de services : […] 2° De soumettre ou de tenter de soumettre l’autre partie à des obligations créant un déséquilibre significatif dans les droits et obligations des parties » (C. com., art. L. 442-1, I, 2°).

La condition. Le client doit démontrer « l’absence de négociation effective des clauses incriminées ». Le rapport de force général entre les parties ne suffit pas : il doit être complété « par d’autres indices établissant l’absence de négociation effective » (Cass. com., 20 novembre 2019, n° 18-12.823). Le déséquilibre lui-même s’apprécie au terme d’une « appréciation concrète et globale du contrat » (Cass. com., 3 mars 2015, n° 13-27.525). Le contrôle peut aussi porter sur le prix : l’article L. 442-1, I, 2° « n’exclut pas […] que le déséquilibre significatif puisse résulter d’une inadéquation du prix au bien vendu » (Cass. com., 25 janvier 2017, n° 15-23.547). Des frais de réversibilité ou de restitution des données sans rapport avec leur coût réel entrent ainsi dans le champ du contrôle.

La sanction. L’article L. 442-1 ouvre une action en responsabilité, et l’article L. 442-4 y ajoute la nullité : « Seule la partie victime des pratiques prévues aux articles L. 442-1 […] peut faire constater la nullité des clauses ou contrats illicites et demander la restitution des avantages indus » (C. com., art. L. 442-4, I). Concrètement : la demande vise l’annulation du plafond ou de la clause pénale, et la réparation du préjudice que leur application aurait laissé sans indemnisation.

Le juge. Les litiges relatifs à l’article L. 442-1 relèvent de huit tribunaux de commerce seulement – Marseille, Bordeaux, Tourcoing, Fort-de-France, Lyon, Nancy, Paris et Rennes –, et l’appel relève de la seule cour d’appel de Paris (C. com., art. L. 442-4, III, et D. 442-2, annexe 4-2-1). La Cour de cassation y voit « une règle de compétence d’attribution exclusive » : le tribunal non désigné doit se déclarer incompétent si son incompétence est soulevée, et soit surseoir à statuer, soit renvoyer l’affaire pour le tout devant la juridiction spécialisée (Cass. com., 18 octobre 2023, n° 21-15.378). Une clause attributive de juridiction désignant un autre tribunal ne devrait pas permettre de contourner cette répartition, que la Cour qualifie de règle d’ordre public (Cass. com., 29 janvier 2025, n° 23-15.842).

Attention. Un contrat standardisé, jamais négocié, peut échapper à tout contrôle du déséquilibre si le client ne parvient pas à prouver la soumission, notamment parce qu’il pouvait choisir un autre prestataire. La difficulté est réelle sur le marché du cloud, où les offres concurrentes existent mais où les conditions générales sont partout les mêmes.

À retenir. Même affaibli devant certaines cours d’appel, le moyen tiré de l’article 1170 du code civil et de l’article L. 442-1 du code de commerce reste le principal levier de négociation. Un prestataire qui mesure le risque, même minoritaire, de voir son plafond écarté sur l’ensemble de son parc de clients transige à des niveaux sans rapport avec les crédits du SLA. L’action se prépare donc aussi pour ménager des leviers de négociation avant l’audience, en choisissant dès l’origine la juridiction spécialisée lorsque l’article L. 442-1 est invoqué.

La faute lourde ou dolosive du prestataire

La faute lourde ou dolosive permet d’obtenir une réparation dépassant le simple dommage prévisible lors de la conclusion du contrat (code civil, art. 1231-3). La barre est haute. La faute lourde ne résulte pas du seul manquement à une obligation essentielle : elle suppose un comportement d’une extrême gravité dénotant l’inaptitude du débiteur à accomplir sa mission. Un incident inexpliqué, une erreur de paramétrage isolée ou une erreur humaine ne suffisent pas. Ce qui peut la caractériser est l’accumulation de négligences élémentaires sur la durée : mots de passe administrateur jamais changés, correctifs de sécurité non installés et sauvegardes non isolées du réseau.

La faute dolosive suppose une inexécution délibérée. Elle se plaide sur des faits, non sur des qualificatifs : une chronologie documentée des négligences et des échanges internes est indispensable pour écarter un plafond contractuel.

Le fondement exclu : l’article 1171 du code civil

Entre professionnels, l’article 1171 du code civil est en principe fermé lorsque le contrat relève des activités de production, de distribution ou de services. Il prévoit pourtant que, dans un contrat d’adhésion, toute clause non négociable créant un déséquilibre significatif est réputée non écrite (art. 1171).

La Cour de cassation juge que ce texte ne s’applique pas aux contrats conclus par une personne exerçant des activités de production, de distribution ou de services, sauf si l’application de l’article L. 442-1 du code de commerce est exclue par une autre disposition (Cass. com., 23 sept. 2026, n° 24-20.775 ; Cass. com., 13 mai 2026, n° 24-17.137 ; Cass. com., 26 janv. 2022, n° 20-16.782). Un hébergeur, un éditeur SaaS et un infogérant exercent une activité de services : leur contrat relève donc de l’article L. 442-1.

L’expertise judiciaire : quand elle est utile, quand elle ne sert à rien

L’expertise judiciaire s’impose quand la cause du manquement est technique, contestée, et hors de votre portée ; elle est inutile quand le manquement se lit dans les documents ; elle est refusée quand elle sert à pallier l’absence de preuve.

Les litiges où l’expertise est le bon outil

Ce sont ceux où la responsabilité dépend d’une analyse que vous ne pouvez pas faire seul.

Les projets d’intégration, de migration ou de déploiement où le rôle de chaque partie est en cause. Le projet de planification des ressources de beIN Sports, confié à un éditeur anglais en 2018, n’avait toujours pas été mis en service en 2022. Le client soutenait qu’une obligation de résultat et l’absence de réception rendaient toute expertise inutile ; le tribunal l’a ordonnée malgré son opposition, à la demande du prestataire, parce que la phase de déploiement en méthode agile supposait la collaboration active des deux parties et que « le caractère technique de l’origine des préjudices » interdisait de trancher sur pièces. La mission confiée à l’expert dit ce que le juge ne sait pas faire : décrire l’organisation et les ressources mises en place de chaque côté, dire si les comités de pilotage ont fonctionné, mesurer l’état de finition de la version standard, recenser les demandes de modification du client et la manière dont elles ont été traitées (T. com. Nanterre, 2e ch., 13 janvier 2025, n° 2023F00977). Même logique pour le groupe du bâtiment abandonné par son intégrateur Salesforce : la cour de Lyon a jugé que le client justifiait « d’un procès latent, possible et non manifestement voué à l’échec », qu’une simple consultation technique ne suffisait pas, et a ordonné l’expertise en y attrayant l’éditeur, tenu de rétablir l’accès au cloud sur demande de l’expert (CA Lyon, 8e ch., 16 avril 2025, n° 24/06229). Le groupe d’expertise comptable victime des plans de paie détruits a obtenu de la même manière une expertise avant dire droit ; le rapport a établi que le logiciel livré « était inachevé » (CA Chambéry, 1re ch., 6 novembre 2018, n° 17/00893).

La faute lourde à démontrer contre un infogérant. Une société de sécurité privée paralysée par un rançongiciel reprochait à son infogérant des mots de passe administrateur jamais changés depuis 2017, un correctif de sécurité non installé depuis 2019, un antivirus absent de l’hyperviseur et des sauvegardes non isolées du réseau. Elle produisait le rapport de la société de réponse à incident qu’elle avait mandatée. Le tribunal a retenu la responsabilité du prestataire, mais a refusé la faute lourde faute de « toute analyse contradictoire, que, notamment un expert judiciaire aurait pu établir », et a appliqué le plafond contractuel : 39 435,23 euros pour 450 544 euros réclamés (T. com. Nanterre, 1er octobre 2024, n° 2023F00027). Pour faire sauter un plafond par la faute lourde, le rapport de votre prestataire de crise ne suffit pas ; il faut l’expertise contradictoire, et il faut l’avoir demandée avant que les traces disparaissent.

L’accès aux éléments détenus par l’adversaire. Quand la cause de l’incident se trouve dans les journaux internes, les procédures ou les choix d’architecture du prestataire, l’expertise sur le fondement de l’article 145 du code de procédure civile est le seul moyen de les obtenir, et le juge peut enjoindre au fournisseur de maintenir ou rétablir les accès pour les besoins de l’expert (CA Lyon, 8e ch., 16 avril 2025, n° 24/06229). La clause attributive de compétence du contrat, qui désigne le tribunal du siège du prestataire, ne vous est pas opposable pour cette demande : le juge compétent est celui du lieu où les mesures doivent être exécutées, fût-ce partiellement, c’est-à-dire chez vous (même arrêt).

Les litiges où elle ne sert à rien, ou vous sera refusée

Ce sont ceux où le manquement se prouve par les documents à votre disposition.

L’indisponibilité d’un service sous SLA chiffré. Quand le contrat garantit 99,5 % de disponibilité et que la page de statut du fournisseur et ses propres courriels d’incident établissent un taux inférieur, le manquement à l’obligation de résultat est acquis sans expert. L’expertise n’ajouterait que la cause de la panne, laquelle est indifférente sous une obligation de résultat, sauf force majeure que le prestataire devra prouver lui-même. Demander une expertise dans ce cas revient à offrir au fournisseur un an de délai et un débat sur les causes qu’il n’aurait pas eu.

Le manquement documenté par le prestataire lui-même. Le cabinet d’expertise comptable client de Cegid a fait juger que son logiciel de paie était défaillant sans aucune expertise, en produisant le relevé de l’outil d’assistance du fournisseur : 159 signalements d’erreur en un an, dont 56 étiquetés « critiques », et les courriels où les techniciens attribuaient eux-mêmes les anomalies à une base endommagée et à des bugs en attente de correction. Le fournisseur, qui imputait les difficultés au serveur du client et au défaut de formation, ne produisait « aucune pièce, notamment technique » (CA Toulouse, 2e ch., 6 janvier 2026, n° 20/03344). Les comptes rendus de comités de pilotage jouent le même rôle dans les grands projets : le litige à quinze millions d’euros entre Dexia et Econocom a été tranché sur les procès-verbaux des comités, dont il ressortait qu’à la veille de la mise en demeure les deux parties avaient décidé conjointement de décaler le calendrier (CA Paris, pôle 5 ch. 11, 1er juillet 2022, n° 21/00265).

L’expertise demandée pour combler un dossier vide. Les sociétés qui avaient perdu leurs données chez un petit hébergeur demandaient « en tant que de besoin » à la cour de désigner un expert pour déterminer l’étendue des obligations du prestataire et l’origine de la perte ; la cour a refusé, « les mesures d’expertise n’ayant pas vocation à pallier la carence d’une partie dans l’administration de la preuve qui lui incombe », et a confirmé le débouté (CA Versailles, 13e ch., 30 octobre 2014, n° 13/00726).

Avant toute signature : la négociation des clauses

Les clients professionnels traitent les conditions générales d’un fournisseur cloud ou SaaS comme un bloc à prendre ou à laisser. C’est exact pour le tarif public souscrit en ligne. C’est faux dès qu’un commercial entre dans la boucle, ce qui est le cas de la plupart des souscriptions d’entreprise à partir de quelques centaines d’euros mensuels.

Ce moment, celui où le commercial veut conclure, est le seul où le rapport de force vous est favorable. Trois clauses méritent d’être mises sur la table par écrit, dans l’ordre : le plafond de responsabilité (obtenir un plafond en valeur absolue, corrélé à votre risque réel, plutôt qu’un multiple de facturation mensuelle), les délais de réclamation (obtenir leur allongement ou leur suppression), et le périmètre exact de la sauvegarde (qui sauvegarde, où, à quelle fréquence, avec quel engagement de restauration). Même un refus a une valeur : l’échange écrit établira que la clause a été discutée ou qu’elle ne l’a jamais été. Ce point pèsera lourd le jour où vous soutiendrez avoir été soumis à un déséquilibre significatif au sens de l’article L. 442-1 du code de commerce, puisque la soumission se prouve par « l’absence de négociation effective des clauses incriminées » (Cass. com., 20 novembre 2019, préc.). Le prestataire qui a refusé toute discussion sur son plafond aura documenté lui-même cette absence. Un piège inverse guette le client qui a obtenu des concessions sur d’autres points : la négociation de certaines clauses ne suffit pas nécessairement à exclure la soumission des clauses incriminées.

L’essentiel

  • Le périmètre exact des prestations souscrites – hébergement, cloud, SaaS, infogérance, maintenance – et les options réellement actives au jour de l’incident déterminent l’obligation essentielle du prestataire. La sauvegarde reste presque toujours à la charge du client.

  • Hors SLA chiffré, le prestataire n’est en général tenu que d’une obligation de moyens : le manquement suppose alors une démonstration technique.

  • Le SLA n’est pas qu’une garantie, c’est aussi un plafond : les crédits sont stipulés comme indemnisation forfaitaire de tous les préjudices, et l’exclusion des dommages indirects écarte souvent ceux liés aux pertes d’exploitation et aux manques à gagner.

  • Le principal levier est de faire tomber la clause : réputée non écrite si elle prive l’obligation essentielle de sa substance (code civil, art. 1170), annulée si elle procède d’une soumission à un déséquilibre significatif (C. com., art. L. 442-1, I, 2°, et L. 442-4), ou de démontrer une faute lourde – trois voies exigeantes, mais décisives dans la négociation.

  • Le déséquilibre significatif se plaide sur le fondement de l’article L. 442-1 du code de commerce, devant l’une des huit juridictions spécialisées, avec appel devant la cour d’appel de Paris.

  • L’article 1171 du code civil ne s’applique pas aux contrats conclus par un prestataire de services, sauf si un autre texte écarte l’article L. 442-1.

  • Attention aux délais contractuels : prescription abrégée à un an et délai de réclamation de trente jours sont la norme. Réclamez par écrit dès l’incident, et n’encaissez jamais un avoir sans réserves.

  • Ne cessez pas de payer, sauf si un avocat vous le conseille.

  • La preuve se prépare avant le litige : supervision externe indépendante, export des journaux, constat de commissaire de justice pendant l’incident, expertise contradictoire lorsque la cause est chez l’adversaire.

  • Le préjudice se chiffre poste par poste, pièce par pièce, en commençant par les postes que le contrat n’exclut pas.

Ce que le contrat ne dit pas

Votre indemnisation dépend de plusieurs éléments contractuels : l’objet exact du contrat (hébergement, cloud, SaaS, infogérance), les options souscrites, la qualification d’obligation de moyens ou de résultat, les clauses limitatives de responsabilité et les délais contractuels de réclamation. Dans la plupart des contentieux, cesser de payer le service hors les conditions prévues au contrat et avant d’avoir réuni des preuves techniques irréfutables constitue la mauvaise stratégie.

Les règles ci-dessus fixent le cadre. Mais ce que ce cadre ne dit pas, c’est où se situe votre dossier : l’existence d’une première décision en référé, les contrats souscrits, les options réellement actives au jour de l’incident, la qualification de vos échanges précontractuels, la solidité de vos traces techniques et l’opportunité, propre à chaque espèce, d’une transaction plutôt que d’un jugement. Ces éléments de fait pèsent ici autant que le droit, et c’est sur leur base qu’un avocat construit, ou déconseille, d’agir.

À lire également : Assignation en redressement ou en liquidation judiciaire : comment se défendre · Procédure collective : que devient l’instance en cours ? · Débiteur en procédure collective : qui sont les codébiteurs actionnables ?