Incroyable victoire judiciaire d’OVHcloud après l’incendie de Strasbourg

Mars 2021. Une date gravée dans la mémoire numérique de milliers d’entreprises. L’incendie dévastateur qui a ravagé une partie des installations d’OVHcloud à Strasbourg n’a pas seulement réduit en cendres des serveurs ; il a également consumé les données de nombreux clients, déclenchant une onde de choc dans l’écosystème technologique européen et soulevant des questions cruciales sur la responsabilité des hébergeurs.

Parmi les victimes collatérales de ce sinistre, la société Bâti Courtage, spécialisée dans le courtage en travaux via son réseau de sites web, s’est retrouvée au cœur d’une bataille judiciaire emblématique contre le géant français du cloud. Après une première décision qui semblait pencher en faveur du client, la Cour d’appel de Douai vient, en avril 2025, de rendre un arrêt qui rebat significativement les cartes, limitant drastiquement l’indemnisation d’OVHcloud et offrant une lecture affinée des obligations contractuelles en matière de sauvegarde de données.

Ce jugement, riche d’enseignements, met en lumière la tension entre les attentes des clients, les termes précis des contrats et la réalité complexe de la gestion des risques dans l’univers du cloud computing.

Le jugement initial : Quand le Tribunal de Commerce pointait la faute de l’hébergeur

Suite à la perte irrémédiable de ses données, hébergées sur un serveur privé virtuel (VPS) et couvertes par une option de sauvegarde automatisée souscrite auprès d’OVHcloud, Bâti Courtage avait assigné l’hébergeur devant le tribunal de commerce de Lille Métropole. L’entreprise estimait son préjudice à 6,5 millions d’euros, invoquant pertes d’exploitation et disparition d’actifs incorporels.

En janvier 2023, le tribunal rendait son jugement. S’il écarta la demande initiale, la jugeant irréaliste et insuffisamment justifiée, il reconnut néanmoins une responsabilité significative d’OVHcloud, le condamnant à un peu plus de 100 000 euros.

Le cœur du raisonnement reposait sur un manquement contractuel : les sauvegardes étaient stockées dans le même bâtiment que le serveur principal, tous deux affectés par l’incendie. Pour les juges, même sans précision contractuelle, les « règles de l’art » impliquaient une séparation géographique. Le tribunal estima qu’OVHcloud avait failli à son obligation essentielle en ne proposant pas ou ne prouvant pas l’existence d’une telle solution. La tentative d’OVHcloud d’invoquer la force majeure fut également balayée, la clause étant jugée non écrite car vidant l’obligation de sauvegarde de sa substance.

Le tournant en Appel : la Cour d’Appel de Douai affine l’analyse juridique

Insatisfait de la décision de première instance, OVHcloud a porté l’affaire devant la Cour d’appel de Douai. L’arrêt rendu le 24 avril 2025 a considérablement modifié la donne, infirmant sur plusieurs points cruciaux le jugement précédent et aboutissant à une réduction drastique de l’indemnisation due à Bâti Courtage.

Point clé 1 : « Physiquement isolé » ne rime pas forcément avec « géographiquement distant »

La Cour d’appel s’est livrée à une analyse minutieuse de la fameuse option de sauvegarde et de sa description contractuelle. Le terme « physiquement isolé de l’infrastructure du serveur » était au cœur des débats. Contrairement au tribunal de commerce, la Cour d’appel a estimé qu’en l’absence de définition contractuelle spécifique ou de norme impérative l’exigeant, cette expression devait s’entendre dans son sens commun : des infrastructures distinctes et séparées, mais pas nécessairement situées dans des lieux géographiquement éloignés. Les juges ont souligné que l’offre souscrite par Bâti Courtage ne mentionnait aucune condition de distanciation géographique et qu’OVHcloud proposait par ailleurs, au moment de la souscription, une offre distincte de Plan de Reprise d’Activité (PRA) garantissant une telle distance. En ne souscrivant pas à cette offre plus complète (et vraisemblablement plus coûteuse), Bâti Courtage ne pouvait exiger contractuellement une sauvegarde sur un site distant. La Cour a donc écarté la faute d’OVHcloud sur ce point précis, considérant que l’hébergeur n’avait pas manqué à son obligation contractuelle telle que définie dans l’offre choisie par le client.

Point clé 2 : La force majeure, une nouvelle fois écartée, mais pour d’autres motifs

Si la Cour d’appel a infirmé le jugement sur le caractère « non écrit » de la clause de force majeure, elle n’a pas pour autant donné raison à OVHcloud sur son applicabilité à l’incendie. Son raisonnement diffère de celui du tribunal de commerce. Pour la Cour d’appel, l’incendie ne constituait pas un cas de force majeure car il ne remplissait pas les critères légaux, notamment celui de l’extériorité et de l’irrésistibilité. D’une part, les éléments versés au débat ne permettaient pas de déterminer l’origine exacte de l’incendie ni d’établir qu’il était « hors du contrôle » d’OVHcloud. D’autre part, un incendie dans un datacenter, bien que grave, n’est pas considéré comme un événement totalement imprévisible ou irrésistible pour le propriétaire des lieux, comme en témoigne l’existence même de normes et de mesures de prévention anti-incendie. OVHcloud ne pouvait donc se prévaloir de la force majeure pour s’exonérer de toute responsabilité.

Point clé 3 : Les clauses limitatives de responsabilité validées

C’est peut-être le point le plus impactant de la décision. La Cour d’appel a validé les clauses présentes dans les conditions générales d’OVHcloud qui limitaient ou exonéraient sa responsabilité. Elle a notamment considéré que la clause 7-3, qui exonère OVHcloud pour la perte de contenus hébergés car l’hébergeur n’est pas en charge de la continuité d’activité du client, était valide. De même, la clause 7-2, qui plafonne l’indemnisation au montant des sommes payées par le client pour le service concerné au cours des six derniers mois, a été jugée applicable. La Cour a estimé que ces clauses ne vidaient pas les obligations essentielles d’OVHcloud de leur substance (l’hébergement et la fourniture du service de sauvegarde étaient bien assurés, même si la restauration a échoué) et ne créaient pas de déséquilibre significatif entre les droits et obligations des parties, notamment dans un contexte de relations entre professionnels avertis.

Conséquence : Une indemnisation symbolique au regard des attentes

L’application de ces clauses a eu un effet direct sur le montant de l’indemnisation. Si la Cour a reconnu un préjudice pour Bâti Courtage lié à l’impossibilité de restaurer les sauvegardes (manquement à l’obligation de résultat implicite de pouvoir restituer les données sauvegardées) et a évalué les coûts directs de rétablissement des sites à environ 47 900 €, l’application de la clause limitative 7-2 a ramené l’indemnisation due par OVHcloud à la somme de 1 800,48 €. Ce montant correspond au plafond contractuel calculé sur la base des paiements effectués par Bâti Courtage pour le service de sauvegarde automatisée durant la période de référence. Une somme bien loin des 100 000 € accordés en première instance, et à des années-lumière des 6,5 millions initialement réclamés.

Analyse et implications juridiques : Lire entre les lignes des contrats cloud

Au-delà du cas spécifique, l’arrêt de la Cour d’appel de Douai a une portée large pour les acteurs du numérique. Il souligne plusieurs points fondamentaux.

Premièrement, l’importance capitale de la précision terminologique dans les contrats. L’interprétation de « physiquement isolé » rappelle que les termes techniques doivent être définis sans ambiguïté, sinon leur sens commun prévaudra. Les clients doivent lire attentivement les conditions et demander des clarifications pour s’assurer que le service correspond à leurs besoins.

Deuxièmement, la décision distingue clairement sauvegarde (backup) et Plan de Reprise d’Activité (PRA). Le backup vise la restauration après incident mineur, le PRA la continuité après sinistre majeur (impliquant souvent une réplication distante). Le PRA est un service distinct, plus coûteux, relevant de la responsabilité du client (souscription dédiée ou organisation propre). Confondre les deux est une erreur coûteuse.

Troisièmement, l’affaire illustre la difficulté d’invoquer la force majeure pour les infrastructures critiques. Les risques inhérents (pannes, incendies) sont jugés prévisibles et maîtrisables par les opérateurs. Prouver l’extériorité, l’imprévisibilité et l’irrésistibilité est complexe.

Enfin, la validation des clauses limitatives de responsabilité entre professionnels est un signal fort. Généralement admises en B2B si elles ne vident pas l’obligation essentielle de sa substance, elles renforcent la nécessité pour les clients d’évaluer le risque résiduel et de s’assurer pour couvrir les dommages excédant les plafonds contractuels.

Retour sur l’incendie : Un contexte technique particulier

Bien que l’arrêt se concentre sur le contrat, le contexte de l’incendie reste pertinent. Ses causes exactes n’ont jamais été officiellement établies par OVHcloud, malgré des hypothèses initiales. Il est notable que les juridictions successives (tribunal de commerce et cour d’appel) ont écarté l’idée d’une faute lourde ou d’un manquement grave aux normes de sécurité anti-incendie de la part d’OVHcloud dans ce dossier.

La primauté du contrat et la diligence du client

L’affaire OVHcloud contre Bâti Courtage, tranchée en appel, marque une étape importante dans la jurisprudence relative aux contrats de services cloud en France. En donnant la primauté aux termes explicites du contrat sur les « règles de l’art » non contractualisées et en validant les clauses limitatives de responsabilité entre professionnels, la Cour d’appel de Douai renforce la sécurité juridique des fournisseurs mais rappelle aussi aux clients leur devoir de diligence.

Le message est clair : la protection des données et la continuité d’activité dans le cloud ne sauraient reposer sur des présomptions. Elles exigent une lecture attentive des offres, une compréhension fine des niveaux de service proposés (sauvegarde vs PRA) et une évaluation lucide des risques encourus. Le choix d’une solution moins coûteuse peut s’avérer infiniment plus cher en cas de sinistre si les garanties contractuelles ne sont pas à la hauteur des enjeux. Si Bâti Courtage peut encore envisager un pourvoi en cassation (les sources consultées mentionnent cette possibilité), l’arrêt d’appel constitue d’ores et déjà une leçon contractuelle majeure pour tout l’écosystème numérique.

Références :

Serra, Yann. « Incendie de 2021 : OVHcloud gagne en appel face à Bâti Courtage ». LeMagIT, 30 avril 2025. Consulté le 5 mai 2025. [https://www.lemagit.fr/actualites/366623278/Incendie-de-2021-OVHcloud-gagne-en-appel-face-a-Bati-Courtage]
« Incendie OVH : La sauvegarde physiquement isolée en question ». Le Monde Informatique, 30 avril 2025. Consulté le 5 mai 2025. [https://www.lemondeinformatique.fr/actualites/lire-incendie-ovh-la-sauvegarde-physiquement-isolee-en-question-96748.html]
Bohic, Clément. « Incendie OVHcloud : la force majeure rejetée en Cour d’appel ». Silicon.fr, 5 mai 2025. Consulté le 5 mai 2025. [https://www.silicon.fr/Thematique/business-1367/Breves/incendie-ovhcloud-force-majeure-rejetee-cour-appel-475454.htm]
Archambault, Alexandre. Post LinkedIn sur l’arrêt de la Cour d’appel de Douai. Consulté via les articles de presse.