Pertes de données : un recours collectif envisagé

Au lendemain du sinistre, les conséquences de l’incendie tiennent en quelques chiffres : 3,6 millions de serveurs représentant 464 000 noms de domaines ont été affectés. Entre 12 000 et 16 000 clients ont été impactés. Parmi les victimes, des sites très connus tels que la plateforme ouverte de données publiques data.gouv.fr, l’université du Mans, la Fédération française de motocyclisme, ou encore ceux de nombreuses collectivités locales (Arras, Cherbourg, Vichy…).

Le séisme est donc massif et bien réel, mais la mobilisation rapide des équipes d’OVHcloud et la communication efficace de son PDG Octave Klaba amènent à penser que l’hébergeur accompagne soigneusement tous ses clients pour que la situation rentre dans l’ordre rapidement. Tout en suspendant temporairement la facturation de ses services dégradés, Octave Klaba n’affirmait-il pas dès le 16 mars 2021 que « les clients bénéficieraient de trois mois gratuits en cas de coupure de service et d’une gratuité de six mois en cas de perte de données » ?

Quinze mois après les faits, et malgré le discours affiché, le compte n’y est cependant pas pour un certain nombre de clients touchés par la perte de données.

Malgré la diversité des clients et des secteurs engagés dans le recours collectif, les impacts sont essentiellement de deux ordres. Certaines entreprises ont dû supporter une panne de leur site web pendant plusieurs jours, ce qui a impacté leur activité et leur chiffre d’affaires.

Cependant, la majorité des plaignants a subi une perte de données, qui a gravement et durablement paralysé leur activité : perte de données des patients dans le secteur médical, perte des réservations dans le domaine du tourisme… Parfois, l’atteinte aux données a pu provoquer la disparition pure et simple de l’activité, comme dans le cas de l’arrêt du fonctionnement d’un site internet de e-commerce ou l’impossibilité de facturer des clients devenus « fantômes ».

Ces préjudices économiques ont aussi pu entraîner des atteintes à la réputation ou à l’image, pour des entreprises leaders sur leur marché.

Ces préjudices peuvent-ils être pris en charge par une quelconque assurance ? Cela reste difficile car la perte de données n’est pas couverte par l’assurance multirisque d’une entreprise, ni par la responsabilité civile. Et les entreprises qui ont souscrit une assurance dite « cyber » ne sont pas mieux couvertes puisque la perte de données, hors fait de malveillance, fait généralement partie des exclusions.

Le pire est que certaines entreprises clientes d’OVHcloud croyaient être assurées contre la perte de données. En cas de pertes financières, les professionnels n’ont donc d’autre choix que d’entamer un recours contre l’hébergeur.

Quels manquements sont reprochés à l’hébergeur par les victimes via le cabinet Ziegler & Associés ? Deux arguments principaux sont invoqués pour engager la responsabilité d’OVHcloud.

En premier lieu, la perte définitive des données de sauvegarde pour les clients ayant souscrit un service de back-up dans leurs contrats d’hébergement. « Plus de 95 % des entreprises qui intentent le recours collectif ont signé un contrat comportant la facturation d’une option de back-up, précise Jocelyn Ziegler. Dans le monde du clouding, il est établi que la sauvegarde des données doit se faire en doublon dans un lieu différent de l’hébergement initial. Nos clients ont fait confiance à OVHcloud pensant que la sauvegarde de leurs données était externalisée. Or, il s’avère que les back-up ont aussi brûlé car ils étaient stockés en local sur le même site de Strasbourg. L’hébergeur a donc failli à son obligation de résultat. »

L’autre argument fait appel au cas de force majeure, mentionné de façon extensive dans l’une des clauses des contrats, derrière lequel l’hébergeur se retrancherait afin de minimiser ou d’échapper à sa responsabilité. « Le cas de force majeure implique trois conditions : l’événement doit être imprévisible, irrésistible et extérieur, poursuit maître Ziegler. Ces trois conditions sont cumulatives, autrement dit il faut qu’elles soient toutes les trois présentes pour pouvoir invoquer le cas de force majeure. En l’occurrence, seule la condition d’extériorité est ici remplie, à savoir que la cause de l’incendie est extérieure à la société OVHcloud. Par contre, considérant les deux autres conditions, notre argumentation prouve qu’elles ne sont pas réunies : l’absence de dispositif d’extinction automatique montre que le scénario de propagation d’un incendie n’avait pas été suffisamment anticipé, dans un environnement où l’énergie électrique est omniprésente. »

Victime de son succès, le recours collectif n’a pu être finalisé dans les temps prévus. La récolte des diverses pièces et le bouclage des dossiers auprès des retardataires devait rendre effective l’action collective fin mars 2022. Elle ne le sera que courant mai. Le but est d’amener OVHcloud à une négociation à l’amiable et confidentielle, avant d’envisager de sortir les armes lourdes : « Si la procédure va à son terme, énonce Jocelyn Ziegler, elle s’exercera auprès du tribunal de commerce. Et elle sera forcément hyper médiatisée, car c’est la première fois qu’un recours collectif s’effectuera contre une entreprise de clouding. »

Vous vous apprêtez à signer un contrat d’hébergement de vos données ? Maître Ziegler préconise 5 points de vigilance :