Cas CEJM corrigé : les questions de droit

Faits qualifiés. Opsium et Lumea sont liées par un contrat d'infogérance. L'article 4 oblige Opsium à réaliser une sauvegarde quotidienne et « garantit » la restauration complète des données sous 24 heures. Après la déclaration de l'incident le 3 février à 7 h 15, la restauration n'a été obtenue que le 7 février, à partir d'une sauvegarde ancienne, avec la perte de trois semaines de données (annexe 2). Lumea subit un préjudice qu'elle évalue à 85 000 € (annexe 3).

Problème. Le prestataire qui ne parvient pas à restaurer les données de son client dans le délai garanti engage-t-il sa responsabilité contractuelle ?

Règle. Selon l'article 1217 du Code civil (annexe 6), la partie envers laquelle l'engagement n'a pas été exécuté peut demander réparation des conséquences de l'inexécution. La responsabilité civile contractuelle suppose un contrat valable, une inexécution, un dommage et un lien de causalité. Lorsque l'obligation est de résultat, l'absence du résultat promis suffit à établir l'inexécution, sans que le créancier ait à prouver une faute.

Application. L'obligation de l'article 4 est une obligation de résultat : Opsium « garantit » un résultat précis et chiffré (restauration complète en 24 heures), sur une opération qu'elle maîtrise en tant que professionnelle de l'infogérance. Le résultat n'a pas été atteint : la restauration a pris près de quatre jours au lieu de 24 heures et n'a pas été complète. L'inexécution est donc établie. Le dommage est certain : arrêt de la production pendant trois jours, ressaisie de trois semaines de commandes, pénalités versées à des clients. Le lien de causalité est direct : c'est l'impossibilité de restaurer rapidement des données à jour qui a prolongé l'arrêt et imposé la ressaisie. Par ailleurs, Opsium n'a pas appliqué un correctif disponible depuis novembre, alors que cette mission lui incombait (annexe 2).

Conclusion. La responsabilité contractuelle d'Opsium est engagée envers Lumea. Lumea peut demander réparation de son préjudice, sous réserve des moyens de défense d'Opsium (questions 2 et 3).

Problème. Une cyberattaque peut-elle constituer un cas de force majeure exonérant un prestataire d'infogérance de sa responsabilité ?

Règle. Selon l'article 1218 du Code civil (annexe 6), la force majeure suppose un événement qui échappe au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées. Les trois conditions sont cumulatives.

Application. L'attaque a certes été commise par un tiers. Mais elle n'était pas imprévisible : les rançongiciels sont une menace connue de tout prestataire d'infogérance, et la protection contre ce risque est précisément l'objet du contrat. Surtout, ses effets pouvaient être évités par des mesures appropriées : l'attaque a exploité une vulnérabilité dont le correctif était disponible depuis novembre, et la restauration a échoué faute de tests des sauvegardes depuis le 12 janvier (annexe 2). Ces deux mesures relevaient des missions d'Opsium.

Conclusion. Les conditions de la force majeure ne sont pas réunies : Opsium ne peut pas s'exonérer de sa responsabilité sur ce fondement.

Faits qualifiés. L'article 11 est une clause limitative de responsabilité : il plafonne l'indemnisation due par Opsium au montant perçu sur les douze derniers mois, soit au plus 36 000 € HT, alors que Lumea réclame 85 000 €.

Problème. Une clause limitative de responsabilité peut-elle être opposée au créancier lorsque le débiteur a gravement manqué à son obligation essentielle ?

Règle. Entre professionnels, une clause limitative de responsabilité est en principe valable : elle découle de la liberté contractuelle. Elle est toutefois écartée dans plusieurs cas. D'abord, l'article 1170 du Code civil répute non écrite toute clause qui prive de sa substance l'obligation essentielle du débiteur. Ensuite, la limitation des dommages et intérêts ne joue pas lorsque l'inexécution est due à une faute lourde ou dolosive : l'article 1231-3 (annexe 6) le prévoit pour la limite du préjudice prévisible, et la jurisprudence l'applique aux clauses limitatives. La faute lourde est une négligence d'une extrême gravité, qui dénote l'inaptitude du débiteur à accomplir la mission qu'il a acceptée.

Application. Le plafond n'est pas dérisoire (une année de contrat) : il ne vide pas à lui seul l'obligation de restauration de sa substance, et l'article 1170 ne permet donc pas de l'écarter. En revanche, Lumea peut invoquer une faute lourde : un prestataire dont la mission principale est de protéger et sauvegarder le système d'information de son client n'a ni appliqué pendant trois mois un correctif de sécurité disponible, ni testé ses sauvegardes pendant trois semaines après une mise à jour de son outil. Ces manquements portent sur le cœur de sa mission. On pourrait soutenir que l'absence de test pendant trois semaines est une négligence ordinaire, mais leur cumul sur les deux obligations essentielles du contrat plaide pour la faute lourde.

Conclusion. Si le juge retient la faute lourde, la clause sera écartée et Opsium devra réparer l'intégralité du préjudice prouvé par Lumea, jusqu'à 85 000 €. À défaut, l'indemnisation sera plafonnée à 36 000 €. Opsium a intérêt à négocier un accord amiable et à déclarer le sinistre à son assureur de responsabilité civile professionnelle.

Les scripts.

Faits qualifiés. Romain Lefort, salarié d'Opsium jusqu'au 27 février, a développé en 2024 des scripts de supervision dans le cadre de ses missions (annexe 4). Ces scripts sont des logiciels. Il les a copiés avant son départ et les propose à ses prospects.

Règle. Le logiciel est une œuvre protégée par le droit d'auteur. Selon l'article L113-9 du Code de la propriété intellectuelle (annexe 6), les droits patrimoniaux sur les logiciels créés par des employés dans l'exercice de leurs fonctions ou d'après les instructions de leur employeur sont dévolus à l'employeur, seul habilité à les exercer. Toute reproduction ou diffusion d'un logiciel sans l'autorisation du titulaire des droits est une contrefaçon.

Application. Les scripts ont été écrits par un salarié, dans le cadre de ses missions : les droits patrimoniaux appartiennent à Opsium. En les copiant et en les proposant à des tiers sans autorisation, Romain Lefort commet une contrefaçon.

Conclusion. Opsium peut agir en contrefaçon : faire constater les faits (saisie-contrefaçon), obtenir l'interdiction d'utiliser les scripts et des dommages et intérêts, et porter plainte au pénal (article L335-2 du Code de la propriété intellectuelle). Elle peut aussi agir en concurrence déloyale contre la société de Romain Lefort, qui profite indûment de son travail.

La clause de non-concurrence.

Faits qualifiés. Le contrat contient une clause qui interdit à Romain Lefort, pendant un an, de travailler pour les clients d'Opsium avec lesquels il a été en relation au cours des deux dernières années, dans le Puy-de-Dôme, moyennant une indemnité mensuelle de 30 % de son salaire.

Règle. Selon la jurisprudence (Cass. soc., 10 juillet 2002), une clause de non-concurrence est licite si elle est indispensable à la protection des intérêts légitimes de l'entreprise, limitée dans le temps et dans l'espace, si elle tient compte des spécificités de l'emploi du salarié et comporte une contrepartie financière. Ces conditions sont cumulatives.

Application. L'intérêt légitime d'Opsium est réel : un technicien d'infogérance connaît les systèmes et les interlocuteurs de ses clients. La clause est limitée dans le temps (un an) et dans l'espace (un département). Elle tient compte des spécificités de l'emploi : elle ne vise que les clients avec lesquels il a été en relation, ce qui lui laisse la possibilité d'exercer son métier pour d'autres entreprises. Elle comporte une contrepartie financière non dérisoire (30 % du salaire chaque mois).

Conclusion. La clause est valable. Démarcher les clients d'Opsium prépare une violation de la clause : dès que la société de Romain Lefort réalisera une prestation pour l'un des clients visés, la clause sera violée. Opsium peut le lui rappeler par une mise en demeure ; en cas de violation, elle pourra cesser de verser la contrepartie, saisir le juge pour faire cesser l'activité et obtenir des dommages et intérêts. Elle devra prouver qu'il s'agit bien de clients avec lesquels il était en relation.

Faits qualifiés. Opsium, entreprise de 62 salariés dotée d'un CSE, veut enregistrer toutes les sessions d'administration de ses techniciens sur les serveurs des clients (commandes et écrans), conservées six mois, pour analyser les incidents. Ce dispositif collecte des informations sur l'activité de chaque technicien identifié : il traite des données personnelles et permet un contrôle de l'activité des salariés.

Problème. À quelles conditions un employeur peut-il mettre en place un dispositif permettant de contrôler l'activité de ses salariés ?

Règle. Selon l'article L1121-1 du Code du travail, les restrictions aux droits des personnes doivent être justifiées par la nature de la tâche et proportionnées au but recherché. Selon l'article L1222-4 (annexe 6), aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. Selon l'article L2312-38 (annexe 6), le CSE est informé et consulté préalablement à la décision de mise en œuvre de moyens de contrôle de l'activité des salariés. Le RGPD impose en outre une finalité déterminée, une durée de conservation limitée, la sécurité des données et l'inscription au registre des traitements.

Application. La finalité est légitime : tracer les interventions sur des systèmes critiques de clients est une mesure de sécurité reconnue, qui permet d'analyser les incidents et de prouver le travail réalisé. Le dispositif est proportionné s'il se limite aux sessions d'administration sur les serveurs des clients, et non à toute l'activité des techniciens sur leur poste. La durée de six mois devra être justifiée par le besoin d'analyse des incidents. En revanche, le calendrier envisagé (« dès la semaine prochaine ») ne permet pas de respecter les étapes obligatoires : l'entreprise compte plus de 50 salariés, le CSE doit donc être informé et consulté avant la décision, et les techniciens doivent être informés préalablement.

Conclusion. Opsium peut mettre en place la passerelle, mais pas dès la semaine prochaine : elle doit d'abord consulter le CSE, informer individuellement les techniciens (finalité, données enregistrées, durée de conservation, personnes ayant accès, droits), inscrire le traitement à son registre et en restreindre l'accès aux personnes habilitées. Sans ces étapes, les enregistrements ne pourraient pas, en principe, justifier une sanction contre un salarié.