Pertes de données : un recours collectif envisagé
Certaines entreprises ayant confié leurs données à OVHcloud ont vu leur activité massivement et durablement affectée à la suite de l’incendie du data center de Strasbourg. En dépit des gestes de compensation de l’hébergeur, un nombre croissant de clients envisagent un recours collectif devant le tribunal afin de recevoir une indemnisation à la hauteur du préjudice subi.
OVH, quelles leçons ?
Au lendemain du sinistre, les conséquences de l’incendie tiennent en quelques chiffres : 3,6 millions de serveurs représentant 464 000 noms de domaines ont été affectés. Entre 12 000 et 16 000 clients ont été impactés. Parmi les victimes, des sites très connus tels que la plateforme ouverte de données publiques data.gouv.fr, l’université du Mans, la Fédération française de motocyclisme, ou encore ceux de nombreuses collectivités locales (Arras, Cherbourg, Vichy…).
L’impact de l’incendie d’OVHcloud
Le séisme est donc massif et bien réel, mais la mobilisation rapide des équipes d’OVHcloud et la communication efficace de son PDG Octave Klaba amènent à penser que l’hébergeur accompagne soigneusement tous ses clients pour que la situation rentre dans l’ordre rapidement. Tout en suspendant temporairement la facturation de ses services dégradés, Octave Klaba n’affirmait-il pas dès le 16 mars 2021 que « les clients bénéficieraient de trois mois gratuits en cas de coupure de service et d’une gratuité de six mois en cas de perte de données » ?
Quinze mois après les faits, et malgré le discours affiché, le compte n’y est cependant pas pour un certain nombre de clients touchés par la perte de données.
Recours collectif
À l’heure où nous écrivons ces lignes, 141 entreprises envisagent un recours collectif contre la société OVHcloud. Pour les plaignants, ce recours collectif présente tous les avantages d’une action de groupe : éviter les coûts et la lourdeur d’une procédure individuelle en attaquant ensemble lorsque l’on est victime d’un même manquement commis par un professionnel.
C’est le cabinet parisien Ziegler & Associés qui porte la procédure au nom de ces clients mécontents. Support d’ancrage réel et matériel de la donnée, un data center reste un bâtiment vulnérable à de nombreux risques. Plusieurs clients de l’hébergeur OVHcloud l’ont appris à leurs dépens, certains ayant perdu leurs données de façon irréversible. Ils étaient une vingtaine en 2021, ils sont à présent plus d’une centaine. Quel est leur profil ? « La plupart des entreprises, environ 60 %, emploient plus de 100 salariés, le reste ce sont des PME et TPE », nous explique Jocelyn Ziegler, avocat du cabinet. De fait, on y retrouve des entreprises de différents secteurs : comptabilité, immobilier, marketing, médical, touristique…
À côté de ce recours collectif, trois autres grosses sociétés (entre 10 000 et 15 000 salariés) ont décidé également de faire appel au cabinet pour intenter cette fois-ci des actions individuelles envers l’hébergeur.
Diversité des clients, préjudices analogues
Malgré la diversité des clients et des secteurs engagés dans le recours collectif, les impacts sont essentiellement de deux ordres. Certaines entreprises ont dû supporter une panne de leur site web pendant plusieurs jours, ce qui a impacté leur activité et leur chiffre d’affaires.
Cependant, la majorité des plaignants a subi une perte de données, qui a gravement et durablement paralysé leur activité : perte de données des patients dans le secteur médical, perte des réservations dans le domaine du tourisme… Parfois, l’atteinte aux données a pu provoquer la disparition pure et simple de l’activité, comme dans le cas de l’arrêt du fonctionnement d’un site internet de e-commerce ou l’impossibilité de facturer des clients devenus « fantômes ».
Ces préjudices économiques ont aussi pu entraîner des atteintes à la réputation ou à l’image, pour des entreprises leaders sur leur marché.
Des assurances sans objet
Ces préjudices peuvent-ils être pris en charge par une quelconque assurance ? Cela reste difficile car la perte de données n’est pas couverte par l’assurance multirisque d’une entreprise, ni par la responsabilité civile. Et les entreprises qui ont souscrit une assurance dite « cyber » ne sont pas mieux couvertes puisque la perte de données, hors fait de malveillance, fait généralement partie des exclusions.
Le pire est que certaines entreprises clientes d’OVHcloud croyaient être assurées contre la perte de données. En cas de pertes financières, les professionnels n’ont donc d’autre choix que d’entamer un recours contre l’hébergeur.
Une indemnisation insuffisante
En dehors de l’attitude d’OVHcloud, qui refuserait de discuter et d’entendre les plaintes, l’un des principaux reproches qui lui sont adressés concerne le montant des indemnisations accordées à certains de ses clients affectés par la perte de données : quelques centaines d’euros alors que la majorité de ces entreprises auraient subi « des préjudices s’élevant à plusieurs milliers voire millions d’euros ». L’évaluation de ce préjudice tient compte par exemple de la perte de chiffre d’affaires, du temps et du coût liés à la récupération des données, du nombre de clients perdus, du recours à un autre hébergeur…
En décembre dernier, Jocelyn Ziegler déclarait par exemple au Journal du net que « pour le plus petit client de ce recours, la perte représente 10 000 euros, alors qu’OVH offre à peine l’équivalent de 900 euros en proposant son cloud sans frais pendant quelques mois ». À ce jour, l’avocat estime le montant global du préjudice des 141 plaignants à un montant compris « entre 12 et 14 millions d’euros d’indemnisations ». À noter qu’un premier bilan des indemnisations liées à l’incendie a été évoqué lors de l’assemblée générale d’OVHcloud début janvier 2022. L’octroi de bons d’achats aurait coûté 27,8 millions d’euros, l’émission d’avoirs s’élèverait à 5,2 millions d’euros et les services non facturés à 2,9 millions d’euros. La facture va-t-elle s’alourdir ?
Le recours collectif met en avant deux manquements principaux à l’encontre de l’hébergeur. Primo, les données de certains clients et leur sauvegarde étaient hébergées physiquement au même endroit ; deuxio, le cas de force majeure ne peut être invoqué par l’hébergeur, les caractères imprévisible et irrésistible de l’événement ne pouvant être retenus.
Argumentaire juridique
Quels manquements sont reprochés à l’hébergeur par les victimes via le cabinet Ziegler & Associés ? Deux arguments principaux sont invoqués pour engager la responsabilité d’OVHcloud.
En premier lieu, la perte définitive des données de sauvegarde pour les clients ayant souscrit un service de back-up dans leurs contrats d’hébergement. « Plus de 95 % des entreprises qui intentent le recours collectif ont signé un contrat comportant la facturation d’une option de back-up, précise Jocelyn Ziegler. Dans le monde du clouding, il est établi que la sauvegarde des données doit se faire en doublon dans un lieu différent de l’hébergement initial. Nos clients ont fait confiance à OVHcloud pensant que la sauvegarde de leurs données était externalisée. Or, il s’avère que les back-up ont aussi brûlé car ils étaient stockés en local sur le même site de Strasbourg. L’hébergeur a donc failli à son obligation de résultat. »
Cas de force majeure
L’autre argument fait appel au cas de force majeure, mentionné de façon extensive dans l’une des clauses des contrats, derrière lequel l’hébergeur se retrancherait afin de minimiser ou d’échapper à sa responsabilité. « Le cas de force majeure implique trois conditions : l’événement doit être imprévisible, irrésistible et extérieur, poursuit maître Ziegler. Ces trois conditions sont cumulatives, autrement dit il faut qu’elles soient toutes les trois présentes pour pouvoir invoquer le cas de force majeure. En l’occurrence, seule la condition d’extériorité est ici remplie, à savoir que la cause de l’incendie est extérieure à la société OVHcloud. Par contre, considérant les deux autres conditions, notre argumentation prouve qu’elles ne sont pas réunies : l’absence de dispositif d’extinction automatique montre que le scénario de propagation d’un incendie n’avait pas été suffisamment anticipé, dans un environnement où l’énergie électrique est omniprésente. »
Les suites
Victime de son succès, le recours collectif n’a pu être finalisé dans les temps prévus. La récolte des diverses pièces et le bouclage des dossiers auprès des retardataires devait rendre effective l’action collective fin mars 2022. Elle ne le sera que courant mai. Le but est d’amener OVHcloud à une négociation à l’amiable et confidentielle, avant d’envisager de sortir les armes lourdes : « Si la procédure va à son terme, énonce Jocelyn Ziegler, elle s’exercera auprès du tribunal de commerce. Et elle sera forcément hyper médiatisée, car c’est la première fois qu’un recours collectif s’effectuera contre une entreprise de clouding. »
C’est la première fois qu’un recours collectif s’effectue contre une entreprise de clouding.
Jocelyn Ziegler
Avocat du cabinet Ziegler & Associés
Contrat d’hébergement : les 5 conseils de Jocelyn Ziegler
Vous vous apprêtez à signer un contrat d’hébergement de vos données ? Maître Ziegler préconise 5 points de vigilance :
Article extrait du n° 583 de Face au Risque : « OVH, Quelles leçons ? » (juin 2022).
Bernard Jaguenaud – Rédacteur en chef
Les plus lus…
Dans un avis et un rapport publiés le 18 juin 2024, l'Anses préconise de reconnaître “les travaux exposant aux émissions…
Les textes réglementaires relatifs aux ICPE qui exigent la formation du personnel à la manipulation des extincteurs ne précisent…
Visant à primer les meilleures innovations en matière de sécurité - sûreté, la 18e édition de la « Nuit…
Euralarm a publié un nouveau guide sur l'influence des débits d'air élevés et du confinement des allées chaudes/froides sur la…
-
Le règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024, établissant des règles relatives à l'application de…
À l’ancre depuis le 25 septembre, le vraquier Ruby, chargé de nitrate d’ammonium, est présenté comme une «bombe flottante»…
