Les obligations des prestataires informatiques en cas de perte de données (CA Paris 18 octobre 2007)

Les prestations informatiques les plus simples peuvent donner lieu à des contentieux révélateurs, et rappellent l’étendue de l’obligation de conseil du professionnel face au profane qu’est son client. Quiconque a déjà perdu les données de son disque dur ou de son disque de sauvegarde connaît les habituelles exclusions de garanties que les professionnels mettent en place afin de se prémunir contre les pertes de données à l’occasion des opérations de maintenance.

Il ne s’agissait pas en l’espèce de l’implémentation d’un ERP à l’échelle d’un grand groupe industriel, mais plus simplement de l’installation d’un logiciel professionnel sur le portable d’un dentiste. Ce médecin avait acquis le matériel nomade, ainsi qu’un disque externe de sauvegarde et un logiciel professionnel, auprès d’un prestataire auquel il a demandé d’intervenir suite à des dysfonctionnements du logiciel.

Le prestataire a d’abord renvoyé son client vers le constructeur du portable, qui a diligenté son sous-traitant auprès du dentiste… Or le sous-traitant a malencontreusement effacé les données présentes sur le disque de sauvegarde, en même temps que le disque dur était retourné au constructeur et entièrement reformaté. Le dentiste a ainsi perdu ses données dans la mesure où il n’avait pas activé régulièrement le disque de sauvegarde.

Le litige subséquent a vu les juges du fond condamner le prestataire, le constructeur et le sous-traitant, en faisant porter au dentiste 10 % de la responsabilité consécutive à la perte des données non correctement sauvegardées.

En appel, les trois professionnels se renvoyant mutuellement la responsabilité du dommage, le dentiste reprochait une faute particulière à chacun des défendeurs : le prestataire avait manqué à son obligation d’information quant à la nécessité d’effectuer des sauvegardes régulières et exhaustive des données, le constructeur n’avait pas restitué le disque dur du portable (recyclé entretemps), et le sous-traitant avait commis une faute en effaçant les données restant sur le disque dur.

La Cour d’appel a rappelé, dans son arrêt du 18 octobre 2007, que la question ne concernait pas la panne initiale mais se limitait à la définition des responsabilités « dans la défaillance des moyens mis en œuvre pour prévenir les conséquences d’une telle panne et y remédier ».

Les juges du second degré ont relevé que le manuel d’utilisation du logiciel ne préconisait pas de sauvegarde régulière, mais uniquement dans des cas exceptionnels tels que l’installation d’une autre application, et précisait que les sauvegardes étaient effectuées automatiquement par le logiciel. Ils ont donc exclu toute responsabilité du dentiste dans son propre dommage, et confirmé celle du prestataire, qui avait manqué à son obligation d’information.

En outre, la Cour d’appel a considéré que le sous-traitant du constructeur avait commis des négligences dans son intervention, en ne prenant pas soin de conserver le disque de sauvegarde avant de s’être assuré de la récupération des données du disque dur. La négligence ainsi reprochée au sous-traitant constitue un manquement à une obligation de « précaution » qui semble accompagner selon la Cour d’appel la manipulation des disques de sauvegarde.

En revanche, la Cour d’appel a considéré que le constructeur n’avait pas engagé sa responsabilité en recyclant le disque dur sans s’être assuré de la récupération préalable des données, dans la mesure où il n’avait tout simplement pas été informé des circonstances de sa propre intervention.

On notera d’une part le rappel du principe selon lequel le profane n’a pas à prendre plus de précautions que ne lui en indique le prestataire, et d’autre part la clémence à l’égard du constructeur auquel on ne reproche pas d’avoir recyclé le disque dur puisqu’il ignorait les difficultés rencontrées avec le disque dur externe.

En revanche, l’obligation de conseil du prestataire qui fournit la technologie, et l’obligation de précaution qui s’impose au technicien qui intervient directement sur le matériel, sont réaffirmées avec force. Les données constituent une valeur commerciale toujours plus forte, et leur sauvegarde une opération indispensable.

En toute hypothèse, même si la Cour d’appel de Paris retient ici une obligation de précaution renforcée à l’encontre du sous-traitant en charge de la maintenance, pas un contrat informatique ne devrait faire l’impasse sur la question de la responsabilité afférente à la sauvegarde des données, pendant leur exploitation normale comme en cas de défaillance.