Il ressort de l’article 1148 du Code civil (version applicable aux faits) qu’il n’y « a lieu à aucuns dommages et intérêts lorsque, par suite d’une force majeure ou d’un cas fortuit, le débiteur a été empêché de donner ou de faire ce à quoi il était obligé, ou a fait ce qui lui était interdit ». Ce qui est communément appelé en cas de force majeure permet donc au débiteur d’une obligation non remplie de s’exonérer de toute responsabilité.
Dans une affaire du 7 février 2020 impliquant un virus informatique, la Cour d’appel de Paris a eu l’occasion de se prononcer sur la qualification de force majeure pour les faits relatés. Elle a également pu se prononcer sur la valeur probante d’une expertise privée produite aux débats.
En l’espèce, une société intervenant notamment dans la commercialisation et la maintenance de terminaux de paiement avait conclu avec son prestataire un contrat portant notamment sur l’assistance, la maintenance et l’entretien de postes informatiques ainsi que sur la sécurisation et sauvegarde de données.
Un virus ayant infiltré son système, ladite société s’est retrouvée dans l’incapacité d’utiliser ses fichiers infectés, cryptés par l’assaillant digital.
Son prestataire est en conséquence intervenu, sans réussir cependant à restaurer les données endommagées.
Aucune sauvegarde valide récente ne permettait en outre de pallier la difficulté.
La société cliente a donc mis fin au contrat conclu et annulé une commande ultérieure prévue, ce à quoi s’est opposé son prestataire. Elle l’a donc assigné en justice afin de faire constater la résiliation du contrat et d’obtenir réparation pour le préjudice subi.
En défense, le prestataire :
- invoquait la force majeure. Toutefois, selon la Cour, un virus informatique ne présente ni un caractère imprévisible, ni un caractère irrésistible et ne constitue donc pas un cas de force majeure ni même un fait fortuit exonératoire de responsabilité.
- contestait les conditions dans lesquelles avait été effectuée une expertise privée, sur demande de la société cliente, pour constater l’absence de sauvegarde pendant plusieurs mois, en raison de son caractère non contradictoire. Selon la Cour, la circonstance que la note technique est une expertise privée, à laquelle l’appelante n’a pas participé, n’est pas de nature à lui ôter tout caractère probatoire, cet acte, soumis au débat contradictoire, constituant un élément de preuve parmi d’autres sur lequel le juge ne peut toutefois pas se fonder exclusivement.
L’insuffisance des sauvegardes informatiques effectuées par le prestataire les mois précédent le virus, ont suffi, pour la Cour, à établir sa défaillance dans l’exécution de son obligation de résultat tenant à la sauvegarde des données informatiques et au contrôle des dites sauvegardes.
En raison de la perte de ses données par la société cliente, la Cour lui a donc alloué une indemnisation au titre des coûts supportés (audits de sécurité pour récupérer et réintégrer les archives, la rançon payée pour récupérer les fichiers, l’intervention d’un expert informatique, d’un huissier de justice et la mobilisation du personnel).