Perte de données chez votre hébergeur

Un incendie, un rançongiciel, une fibre coupée par un engin de chantier : le jour où l'infrastructure tombe, l'entreprise découvre ce que son contrat d'hébergement contient réellement. Le contentieux né de l'incendie du datacentre strasbourgeois d'OVHcloud, en mars 2021, l'a montré : un client peut obtenir gain de cause sur le principe et voir son indemnisation ramenée au plafond contractuel. La protection ne se construit pas devant le tribunal. Elle se négocie avant la signature.

01Une sauvegarde n'est pas une promesse de restauration

Une société exploitant un réseau de franchise sur internet louait un serveur privé virtuel chez OVH et avait souscrit l'option de sauvegarde automatisée. Dans la nuit du 9 au 10 mars 2021, l'incendie a détruit le serveur. Il a aussi détruit les sauvegardes, stockées dans le même bâtiment. Le client réclamait plus de six millions d'euros.

La cour d'appel de Douai, le 24 avril 2025, a retenu un manquement du prestataire. Une fois l'option souscrite, l'hébergeur est tenu d'une obligation de résultat : réaliser la copie et permettre au client d'y accéder pendant toute la durée du contrat. L'incendie n'a pas été jugé constitutif d'un cas de force majeure : dans un datacentre rempli de serveurs, de batteries et de réseaux électriques, ce risque n'est ni imprévisible ni irrésistible pour l'exploitant.

Mais sur tout le reste, le client a perdu. L'engagement contractuel d'un espace de sauvegarde « physiquement isolé » a été lu dans son sens commun : un serveur et une salle distincts, pas un site géographiquement éloigné. Y voir une obligation de distance aurait, selon la cour, ajouté au contrat une condition qu'il ne prévoyait pas. La règle dite « 3-2-1 » — trois copies, deux supports, un site externe — n'a pas été jugée opposable au prestataire, la politique de sauvegarde relevant du client selon les conditions générales. Aucune faute lourde n'a été caractérisée. Les clauses limitatives de responsabilité et l'exclusion des dommages indirects (perte de commandes, atteinte à l'image) ont été jugées valables.

Réf. CA Douai, ch. 2 sect. 2, 24 avril 2025, n° 23/00858, infirmant partiellement T. com. Lille Métropole, 26 janvier 2023.

02Le devoir de conseil protège surtout ceux qui ne sont pas du métier

Un fabricant de portails avait confié à un intégrateur le remplacement de son infrastructure. Quelques mois plus tard, un rançongiciel a chiffré la production et les sauvegardes, qui restaient administrables depuis le réseau de l'entreprise. Rien n'était déconnecté.

La cour d'appel de Rennes, le 19 novembre 2024, a jugé que l'intégrateur devait analyser les besoins de son client, le conseiller sur l'architecture nécessaire à la sécurité de ses données et lui signaler que sa prestation ne comportait pas de sauvegardes déconnectées. Le client n'était pas un professionnel de l'informatique. L'intégrateur a été condamné à 50 000 euros au titre de la perte de chance d'éviter le sinistre — une fraction du dommage, non sa totalité.

La comparaison avec l'affaire de Douai est instructive. La société hébergée chez OVH tirait l'essentiel de son activité de ses sites internet ; la cour l'a traitée en professionnel averti et a refusé de mettre à la charge de l'hébergeur un devoir de conseil particulier. Plus une entreprise dispose de compétences internes, moins elle pourra reprocher à son prestataire de ne pas l'avoir alertée. Pour une ETI dotée d'une DSI, la protection passe donc par le contrat, non par le devoir de conseil.

Réf. CA Rennes, 3e ch. com., 19 novembre 2024, n° 23/04627.

03La redondance promise doit pouvoir être prouvée

Une entreprise pensait disposer de deux adductions fibre distinctes. Les deux chemins se rejoignaient en réalité dans un même local technique, quelques kilomètres plus loin ; un coup de pelleteuse a suffi à couper les deux. Le cas, rapporté en 2026 par un associé cybersécurité de Wavestone dans la presse professionnelle, résume le problème : une redondance qui n'a jamais été vérifiée reste une hypothèse.

Juridiquement, deux situations se distinguent. Si le contrat promet une « haute disponibilité » ou une « redondance » sans les définir, le prestataire défendra, comme à Douai, une lecture minimale de son engagement — et le juge risque de la retenir. Si, au contraire, le prestataire a présenté une architecture qu'il savait inexistante, le terrain devient celui du dol (art. 1137 du Code civil) : le contrat peut être annulé, et la faute dolosive fait tomber le plafond de responsabilité (art. 1231-3). Encore faut-il le démontrer.

La preuve se prépare avant le procès. L'article 145 du Code de procédure civile permet d'obtenir du juge, sur requête ou en référé, qu'un commissaire de justice assisté d'un technicien constate l'architecture réelle : chemins physiques, localisation des copies, journaux de bascule. Cette mesure, prise vite, décide souvent de l'issue du dossier.

04Le fournisseur hors d'Europe qui coupe le service

Les responsables de la sécurité le disent désormais ouvertement : leur crainte principale n'est plus seulement l'attaque, mais l'arrêt de fourniture par un prestataire soumis à une autorité étrangère — sanctions, contrôle des exportations, injonction d'un État tiers.

Le fournisseur qui suspend son service invoquera la force majeure. L'article 1218 du Code civil exige un événement qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat. Le raisonnement suivi à Douai pour l'incendie se transpose : un risque inhérent à l'activité ou à la structure même du prestataire se prête mal à cette qualification. Un fournisseur qui relève d'une juridiction étrangère connaît, au jour de la signature, l'exposition que cela implique.

Ce raisonnement a toutefois ses limites. Les conditions générales des grands fournisseurs prévoient presque toujours une faculté de suspension pour se conformer aux lois de contrôle des exportations ; le client qui les a acceptées aura du mal à s'en plaindre. L'action se reporte alors sur le prestataire français qui a conçu ou revendu la solution, lequel répond de ses propres fournisseurs, et, lorsque la relation commerciale est établie, sur la rupture brutale sans préavis suffisant (art. L. 442-1, II, du Code de commerce). La meilleure défense reste l'anticipation : savoir de qui l'on dépend, et organiser la sortie avant d'en avoir besoin.

05La réversibilité : le terrain où le juge agit vite

Lorsque le prestataire retient les données en fin de contrat, le juge des référés intervient en quelques jours. Le tribunal judiciaire de Paris, le 10 juillet 2025, a enjoint sous astreinte à un hébergeur qui avait interrompu la migration après la résiliation — en soutenant que le contrat s'était tacitement prolongé — de rétablir le transfert et de permettre la récupération des serveurs. La restitution des données hébergées est due, et sauf stipulation contraire, elle est gratuite.

La cour d'appel de Bordeaux, le 14 avril 2025, a statué dans le même sens à propos d'un éditeur SaaS de billettique qui avait coupé l'accès d'un exploitant de transports à l'échéance sans transférer les données des usagers. Sur le fondement de l'article 873 du Code de procédure civile, l'éditeur a été contraint d'exécuter le plan de réversibilité prévu au contrat.

Dans les deux cas, le client disposait d'une base écrite. Un plan de réversibilité précis — format, délai, assistance, prix — transforme un litige incertain en procédure d'urgence. Le règlement européen sur les données (Data Act), dont le chapitre consacré au changement de fournisseur cloud s'applique depuis le 12 septembre 2025, renforce encore ces obligations de portabilité.

Réf. TJ Paris, 4e ch. 2e sect., 10 juillet 2025, n° 25/05759 · CA Bordeaux, 4e ch. com., 14 avril 2025, n° 24/01325 · Règlement (UE) 2023/2854, art. 23 à 31.

06Pour les entités régulées, le contrat devient une pièce de conformité

La directive NIS 2 impose aux entités essentielles et importantes des mesures de continuité d'activité, de sauvegarde et de gestion de crise, ainsi que la maîtrise de la sécurité de leur chaîne d'approvisionnement (art. 21). Le règlement DORA exige du secteur financier des politiques de sauvegarde et des procédures de restauration testées (art. 11 et 12). Pour ces organisations, un contrat d'hébergement silencieux sur la localisation des copies ou sur les tests de restauration n'est plus seulement un risque commercial : c'est un écart que l'autorité de contrôle relèvera.

07Sept clauses à relire avant de signer

1. Localisation des sauvegardes. Site, bâtiment, distance minimale, nombre de copies, existence d'une copie déconnectée ou immuable. Écrire « géographiquement distant » si c'est ce qui est attendu.
2. Tests de restauration. Fréquence, procès-verbal remis au client, objectifs chiffrés de durée de reprise (RTO) et de perte de données admissible (RPO).
3. Redondance. Schéma d'architecture annexé au contrat, chemins physiques distincts, droit d'audit, tests de bascule documentés.
4. Responsabilité. Plafond proportionné à la valeur des données confiées ; liste des dommages exclus relue ligne à ligne ; articulation entre crédits de service et indemnisation.
5. Force majeure. Liste fermée, excluant les événements inhérents à l'activité : incendie du site, cyberattaque, défaillance d'un sous-traitant.
6. Dépendances hors Union européenne. Sous-traitants identifiés, information préalable en cas de changement, préavis et export des données en cas de suspension imposée par une autorité étrangère.
7. Réversibilité. Format de restitution, délai, assistance, prix, maintien du service pendant la transition.

08Après le sinistre : les premières quarante-huit heures

Faire constater l'état du service et l'indisponibilité des données par un commissaire de justice. Conserver les échanges avec le prestataire et exiger la communication des journaux. Mettre en demeure de restituer les données et les sauvegardes. Saisir le juge des référés si le prestataire retient les données ou si des éléments de preuve risquent de disparaître. Chaque jour perdu affaiblit la reconstitution des faits.