Chapitre 716 minIntermédiaire
Inexécution du contrat et responsabilité civile et pénale
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- choisir la sanction adaptée à l'inexécution d'un contrat ;
- reconnaître un cas de force majeure ;
- distinguer responsabilité contractuelle et extracontractuelle ;
- identifier une infraction et la responsabilité pénale d'une société.
3 exercices corrigés1 schéma
La responsabilité est l'obligation de répondre de ses actes devant la loi : la responsabilité civile oblige à réparer le dommage causé à autrui, la responsabilité pénale expose l'auteur d'une infraction à une peine (amende, prison). La responsabilité civile est contractuelle quand le dommage résulte de l'inexécution d'un contrat, extracontractuelle dans les autres cas. Ce chapitre montre comment l'entreprise identifie ses risques, ce que peut faire la victime d'un contrat mal exécuté, et comment qualifier la responsabilité engagée. C'est la seconde question juridique du thème 3 : « Quelles réponses apporte le droit face aux risques auxquels s'expose l'entreprise ? »
Les risques auxquels s'expose l'entreprise
Toute activité comporte des risques. Pour une ESN ou un éditeur de logiciels, on retrouve :
| Type de risque | Exemple chez Kerys | Réponse juridique ou organisationnelle |
|---|---|---|
| Contractuel | Retard de livraison, bug bloquant en production, perte de données d'un client | Contrats bien rédigés (obligations, limites de responsabilité), recette, procédures qualité |
| Délictuel | Un consultant endommage le matériel d'un client ; un site développé par Kerys diffuse un contenu diffamatoire | Assurance responsabilité civile professionnelle |
| Cyber | Rançongiciel, fuite de données, usurpation d'identité de la présidente pour une fraude au virement | Sécurité du système d'information, sauvegardes, formation, cyber-assurance |
| Pénal | Hébergement de données sans sécurité suffisante, utilisation de logiciels sans licence | Conformité (RGPD, licences), délégations de pouvoirs claires |
| Social | Accident du travail, harcèlement, contentieux prud'homal | Prévention, document unique d'évaluation des risques |
| Financier | Client qui ne paie pas, dépendance à un gros client | Acomptes, clause de réserve de propriété, diversification |
L'entreprise peut prévenir le risque (procédures, sécurité), le transférer (assurance, clauses contractuelles, sous-traitance) ou l'accepter en le provisionnant. Depuis 2023, une assurance ne peut indemniser une entreprise victime d'une cyberattaque que si celle-ci a porté plainte au plus tard 72 heures après avoir eu connaissance de l'attaque.
L'inexécution du contrat : les cinq sanctions
Quand un cocontractant n'exécute pas son obligation, ou l'exécute mal, l'autre partie dispose de cinq réponses, énumérées par l'article 1217 du Code civil. Elles peuvent être cumulées si elles sont compatibles, et des dommages et intérêts peuvent toujours s'y ajouter.
| Sanction | Ce qu'elle permet | Condition principale | Exemple |
|---|---|---|---|
| Exception d'inexécution (art. 1219 et 1220) | Suspendre sa propre obligation | Inexécution suffisamment grave ; elle peut même être anticipée si l'inexécution future est manifeste, après notification | Kerys suspend la maintenance tant que les factures impayées ne sont pas réglées |
| Exécution forcée en nature (art. 1221 et 1222) | Obtenir l'exécution elle-même, ou la faire faire par un tiers aux frais du débiteur | Mise en demeure préalable ; pas d'impossibilité ni de disproportion manifeste entre son coût pour un débiteur de bonne foi et son intérêt pour le créancier | Le client fait terminer le développement par une autre ESN aux frais de Kerys |
| Réduction du prix (art. 1223) | Payer moins pour une prestation imparfaite | Exécution imparfaite acceptée ; mise en demeure, puis notification de la réduction | Le client paie 80 % du prix pour un logiciel livré sans le module de statistiques |
| Résolution (art. 1224 à 1230) | Mettre fin au contrat | Clause résolutoire, notification au débiteur en cas d'inexécution suffisamment grave (aux risques du créancier), ou décision du juge | Le client met fin au contrat après trois mois de retard et des relances sans effet |
| Dommages et intérêts (art. 1231 à 1231-7) | Être indemnisé du préjudice | Mise en demeure préalable (sauf inexécution définitive) ; un préjudice prouvé | Le client obtient réparation des ventes perdues pendant une panne |
La force majeure libère le débiteur. Selon l'article 1218, il y a force majeure lorsqu'un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l'exécution. Si l'empêchement est temporaire, l'exécution est suspendue ; s'il est définitif, le contrat est résolu de plein droit et les parties sont libérées.
La responsabilité civile contractuelle
La responsabilité civile contractuelle oblige le débiteur à réparer le dommage causé à son cocontractant par l'inexécution ou la mauvaise exécution du contrat (article 1231-1 du Code civil). Elle suppose quatre conditions :
- un contrat valable entre la victime et le responsable ;
- une inexécution (totale, partielle, tardive ou défectueuse). Pour une obligation de résultat, l'absence de résultat suffit ; pour une obligation de moyens, la victime doit prouver une faute du débiteur (chapitre 4) ;
- un dommage certain : perte subie (frais engagés, données à reconstituer) et gain manqué (chiffre d'affaires perdu), selon l'article 1231-2. Seul le dommage prévisible lors de la conclusion du contrat est réparé, sauf faute lourde ou dolosive (article 1231-3) ;
- un lien de causalité entre l'inexécution et le dommage.
Le débiteur peut s'exonérer, totalement ou partiellement, en prouvant une force majeure, le fait du créancier (le client n'a pas fourni les accès promis) ou en invoquant une clause limitative de responsabilité valable.
La responsabilité civile extracontractuelle
La responsabilité extracontractuelle (on dit aussi délictuelle) s'applique quand il n'existe pas de contrat entre la victime et le responsable, ou quand le dommage n'a rien à voir avec le contrat. Elle suppose trois conditions : un fait générateur, un dommage et un lien de causalité entre les deux. Le Code civil prévoit plusieurs faits générateurs :
- le fait personnel : toute faute qui cause un dommage à autrui oblige son auteur à le réparer (article 1240), y compris une simple négligence ou imprudence (article 1241). C'est le fondement de la concurrence déloyale (chapitre 5) ;
- le fait des choses : on est responsable du dommage causé par les choses que l'on a sous sa garde (article 1242, alinéa 1), sans avoir à prouver de faute. Un serveur mal fixé tombe sur un visiteur : le gardien du serveur est responsable ;
- le fait d'autrui : les commettants (les employeurs) sont responsables du dommage causé par leurs préposés (leurs salariés) dans les fonctions auxquelles ils les ont employés (article 1242, alinéa 5). Si un consultant de Kerys efface par erreur des fichiers d'un tiers pendant une mission, c'est Kerys qui répond, sauf si le salarié a agi hors de ses fonctions, sans autorisation et à des fins étrangères à ses attributions ;
- les produits défectueux : le producteur est responsable du dommage causé par un défaut de son produit, qu'il soit lié ou non par un contrat avec la victime (articles 1245 et suivants). Une directive européenne de 2024 étend explicitement ce régime aux logiciels, avec une transposition attendue d'ici décembre 2026.
La responsabilité pénale
La responsabilité pénale sanctionne l'auteur d'une infraction, c'est-à-dire d'un comportement interdit par la loi pénale. Elle ne vise pas à réparer, mais à punir et à protéger la société. Elle repose sur le principe de légalité : nul ne peut être puni pour un fait qui n'était pas défini comme une infraction par un texte au moment où il a été commis.
Une infraction comporte trois éléments :
- un élément légal : un texte qui définit le comportement et la peine ;
- un élément matériel : l'acte (ou l'abstention) effectivement commis ;
- un élément moral : l'intention de commettre l'infraction, ou pour certaines infractions une imprudence ou une négligence.
Les infractions sont classées selon leur gravité : contraventions (amende, jugées par le tribunal de police), délits (jusqu'à 10 ans d'emprisonnement, tribunal correctionnel), crimes (cour d'assises ou cour criminelle départementale).
Une personne morale peut être pénalement responsable des infractions commises pour son compte par ses organes ou représentants (article 121-2 du Code pénal). L'amende encourue est alors égale au quintuple de celle prévue pour une personne physique, et d'autres peines sont possibles (interdiction d'exercer une activité, exclusion des marchés publics, dissolution). La responsabilité de la société n'exclut pas celle du dirigeant ou du salarié qui a commis l'infraction.
Les infractions que croise une entreprise du numérique :
| Infraction | Texte | Peine maximale (personne physique) |
|---|---|---|
| Accéder ou se maintenir frauduleusement dans un système informatique | Article 323-1 du Code pénal | 3 ans d'emprisonnement et 100 000 € d'amende ; 5 ans et 150 000 € si des données sont supprimées ou modifiées |
| Entraver le fonctionnement d'un système (attaque par déni de service) | Article 323-2 | 5 ans et 150 000 € |
| Introduire, modifier ou supprimer frauduleusement des données | Article 323-3 | 5 ans et 150 000 € |
| Traiter des données personnelles sans les sécuriser | Article 226-17 | 5 ans et 300 000 € |
| Usurper l'identité d'un tiers, y compris en ligne | Article 226-4-1 | 1 an et 15 000 € |
| Contrefaire un logiciel (copie ou diffusion sans licence) | Article L335-2 du Code de la propriété intellectuelle | 3 ans et 300 000 € |
Le même fait peut engager à la fois la responsabilité pénale et la responsabilité civile. La victime peut alors se constituer partie civile devant le juge pénal pour obtenir, en plus de la condamnation de l'auteur, la réparation de son préjudice.
| Responsabilité civile | Responsabilité pénale | |
|---|---|---|
| But | Réparer le dommage de la victime | Punir l'auteur, protéger la société |
| Fondement | Contrat (art. 1231-1) ou Code civil (art. 1240 et suivants) | Un texte pénal précis (principe de légalité) |
| Qui agit ? | La victime | Le ministère public (procureur), la victime pouvant déclencher l'action en portant plainte |
| Sanction | Dommages et intérêts, exécution, résolution | Amende, emprisonnement, peines complémentaires |
| Assurable ? | Oui (assurance de responsabilité civile) | Non : une amende pénale n'est jamais assurable |
Cas Kerys : la mise à jour qui a effacé les commandes
Kerys assure la TMA du site marchand de la société Ébène, une PME qui vend des meubles en ligne. Le contrat prévoit : « Le prestataire réalise une sauvegarde quotidienne de la base de données et garantit sa restauration en moins de 4 heures. » Un vendredi soir, un développeur de Kerys déploie une mise à jour non testée qui efface la table des commandes. La sauvegarde de la veille n'a pas fonctionné depuis trois semaines sans que personne ne s'en aperçoive. Ébène perd 312 commandes et le chiffre d'affaires du week-end. Plusieurs de ses clients, livrés en retard, demandent un dédommagement.
- Ébène contre Kerys : responsabilité contractuelle. Les deux sociétés sont liées par le contrat de TMA. L'obligation de sauvegarde et de restauration en 4 heures est une obligation de résultat : l'absence de sauvegarde exploitable suffit à établir l'inexécution. Le dommage (perte des commandes, coût de reconstitution, chiffre d'affaires du week-end) était prévisible pour un prestataire de site marchand. Le lien de causalité est direct. Kerys ne peut invoquer aucune force majeure : le défaut de sauvegarde et le déploiement non testé relèvent de son organisation. Si le contrat contient une clause limitative de responsabilité, Ébène pourra soutenir qu'une absence de sauvegarde pendant trois semaines, jointe à un déploiement sans test, constitue une faute lourde qui l'écarte.
- Le développeur n'est pas personnellement responsable envers Ébène : il a agi dans le cadre de ses fonctions, et c'est son employeur qui répond. Kerys pourrait envisager une sanction disciplinaire si une procédure de déploiement existait et qu'il l'a ignorée (chapitre 12).
- Les clients d'Ébène n'ont pas de contrat avec Kerys : ils se retournent contre Ébène, leur vendeur, sur le terrain contractuel. Ébène pourra ensuite répercuter ces indemnisations dans sa demande contre Kerys.
- Pas de responsabilité pénale a priori : aucune infraction intentionnelle. Il en irait autrement si les données perdues étaient des données personnelles dont la sécurité était manifestement négligée (article 226-17 du Code pénal).
Exercices
Exercice 1 sur 3 Quelle responsabilité ? Réussi À revoir
Pour chaque situation, indique la ou les responsabilités engagées.
- Un éditeur de logiciels livre une application de facturation qui calcule mal la TVA ; son client doit payer un redressement.
- Un ancien salarié de Kerys utilise des identifiants qu'il avait conservés pour se connecter au serveur et copier la base clients.
- Un livreur trébuche sur un câble réseau qui traverse le couloir de Kerys et se blesse.
- Une société publie sur LinkedIn que le logiciel d'un concurrent « contient des portes dérobées », sans aucune preuve.
Voir la réponseMasquer la réponse de l'exercice 1
- Responsabilité civile contractuelle de l'éditeur : il est lié au client par le contrat, et le logiciel livré ne remplit pas sa fonction. Le redressement fiscal est un dommage prévisible pour un logiciel de facturation.
- Responsabilité pénale de l'ancien salarié : accès et maintien frauduleux dans un système de traitement automatisé de données (article 323-1 du Code pénal), puisqu'il n'avait plus le droit d'y accéder. Kerys peut porter plainte et se constituer partie civile pour obtenir réparation. Si la copie a profité à un concurrent qui le savait, la concurrence déloyale de ce concurrent peut aussi être engagée.
- Responsabilité civile extracontractuelle du fait des choses (article 1242, alinéa 1) : Kerys est gardienne du câble, qui a joué un rôle actif dans la chute par sa position anormale. Le livreur n'a pas de contrat avec Kerys. L'accident étant survenu pendant sa tournée, c'est aussi un accident du travail, pris en charge par la Sécurité sociale, qui pourra se retourner contre Kerys.
- Responsabilité civile extracontractuelle pour faute (article 1240) : c'est du dénigrement, forme de concurrence déloyale. Selon les termes employés, une diffamation (infraction pénale) peut aussi être envisagée.
Tu avais trouvé ?
Exercice 2 sur 3 Force majeure ? Réussi À revoir
Un hébergeur ne peut plus fournir son service pendant cinq jours. Dis si la force majeure peut être retenue dans chaque cas.
- Un rançongiciel chiffre ses serveurs ; les correctifs de sécurité n'avaient pas été appliqués depuis huit mois.
- Une inondation exceptionnelle détruit son centre de données, situé hors zone inondable selon les cartes officielles ; une réplication sur un second site était prévue au contrat et a fonctionné, mais avec 48 heures de retard.
- Son fournisseur d'électricité subit une panne de deux heures ; le centre de données n'a pas de groupe électrogène.
Voir la réponseMasquer la réponse de l'exercice 2
- Non : une cyberattaque est prévisible pour un hébergeur, et ses effets pouvaient être évités par l'application des correctifs. Les trois conditions de l'article 1218 ne sont pas réunies.
- Partiellement : l'inondation échappe au contrôle de l'hébergeur et n'était pas raisonnablement prévisible (site hors zone inondable). Mais ses effets pouvaient être en partie évités par la réplication prévue au contrat. La force majeure peut couvrir le délai normal de bascule, pas le retard de 48 heures, qui relève d'un défaut d'organisation de l'hébergeur.
- Non : une coupure d'électricité est prévisible pour un centre de données, et ses effets sont évitables par des moyens standards (onduleurs, groupe électrogène). De plus, deux heures de panne n'expliquent pas cinq jours d'interruption.
Tu avais trouvé ?
Exercice 3 sur 3 Que peut faire le client ? Réussi À revoir
Une clinique a commandé à Kerys un logiciel de gestion des stocks, à livrer le 1er mars pour 45 000 € HT, dont 15 000 € versés à la commande. Le 15 avril, rien n'est livré malgré deux relances par courriel. La clinique veut confier le projet à une autre ESN et récupérer son acompte. Rédige la réponse.
Voir la réponseMasquer la réponse de l'exercice 3
Faits qualifiés. La clinique et Kerys sont liées par un contrat de prestation informatique. Kerys n'a pas exécuté son obligation de livrer à la date convenue : au 15 avril, le retard atteint six semaines, malgré deux relances.
Problème. Un créancier peut-il mettre fin au contrat et récupérer les sommes versées lorsque son cocontractant n'exécute pas son obligation ?
Règle. Selon l'article 1217 du Code civil, la partie envers laquelle l'engagement n'a pas été exécuté peut notamment provoquer la résolution du contrat et demander réparation. La résolution peut résulter d'une clause résolutoire, d'une notification du créancier au débiteur en cas d'inexécution suffisamment grave, ou d'une décision de justice (article 1224). Sauf urgence, le créancier doit d'abord mettre le débiteur en demeure de s'exécuter dans un délai raisonnable (article 1226). La résolution entraîne la restitution des sommes versées, et des dommages et intérêts peuvent s'y ajouter (articles 1229 et 1231-1).
Application. L'inexécution est suffisamment grave : six semaines de retard sur un délai ferme, sans livraison partielle. Les deux courriels de relance peuvent valoir mise en demeure s'ils demandaient clairement la livraison dans un délai précis ; par prudence, la clinique doit adresser une mise en demeure formelle (lettre recommandée) fixant un dernier délai.
Conclusion. À l'expiration de ce délai, la clinique peut notifier à Kerys la résolution du contrat, en motivant sa décision, puis confier le projet à une autre ESN. Kerys devra restituer l'acompte de 15 000 € et pourra être condamnée à des dommages et intérêts couvrant le surcoût éventuel du nouveau prestataire. Si Kerys conteste la gravité du manquement, c'est le juge qui tranchera : la résolution par notification se fait aux risques du créancier.
Tu avais trouvé ?