Responsabilité contractuelle : indemnisation pour préjudice lié à une cyberattaque.

JUGEMENT DU 03 Mars 2026

Minute N°
DOSSIER N° RG 25/00126 – N° Portalis DBWS-W-B7J-EJ2M

copie executoire
Me Jérome BOUCHET
Me Nathalie DE ROECK

DEMANDERESSE

Association HOSPITALIERE DE [Localité 1]
anciennement dénommée HOPITAL PRIVE DE ST AGREVE, dont le siège social est sis [Adresse 1]

représentée par Me Jérome BOUCHET, avocat au barreau d’ARDECHE, postulant et par Me Frédéric CHESNEY, avocat au barreau de LYON, plaidant.

DÉFENDERESSE

S.A.S. [N] [A] [U], dont le siège social est sis [Adresse 2]

représentée par Me Nathalie DE ROECK, avocat au barreau d’ARDECHE, postulant et par Me Marie DUVERNE HANCHOWICZ, avocat au barreau de LYON, plaidant

COMPOSITION DU TRIBUNAL

Guillaume RENOULT-DJAZIRI, Président
Sonia ZOUAG et Maéva GELINEAU, assesseurs
assistés de Marjorie MOYSSET, greffier lors des débats et de Audrey GUILLOT, greffier lors du prononcé.

à l’issue des débats à l’audience du 02 Décembre 2025, l’affaire a été mise en délibéré.
Le président a avisé les parties que le jugement serait prononcé le 03 Mars 2026 par mise à disposition au greffe.

La présente décision contradictoire rendue en premier ressort, est signée par Guillaume RENOULT-DJAZIRI, Président et par Audrey GUILLOT, greffier.

Fin 2016, L’Association Hospitalière de [Localité 1], anciennement dénommée Hôpital Privé de [Localité 2], gérant l’établissement Hôpital de [Localité 1], a souhaité externaliser le stockage de ses données. Plusieurs solutions ont été proposées par des entreprises concurrentes, dont la société Erenet et la société Adista. L’association a retenu l’offre de la société Adista et a stocké, sur la plateforme fournie par Adista, ses données et logiciels relatifs aux soins (serveur DELL). Elle a maintenu le stockage de ses logiciels de bureautique (comptabilité, paie, facturation) sur son ancien serveur physique au sein de ses murs (serveur HP).
Par contrat en date du 3 janvier 2017, l’association a conclu avec la société Erenet un contrat de maintenance informatique prévoyant notamment la présence sur place d’un technicien d’un demi-jour par mois. La société [N] [D], société spécialisée dans les services informatiques de proximité auprès des TPE/PME, informatique, bureautique, logiciel et cloud, a repris le patrimoine de la société Erenet le 25 avril 2018 et s’est substituée à elle dans l’exécution dudit contrat.
Le 1er septembre 2018, l’association était victime d’une cyberattaque se traduisant par un cryptage des données présentes sur son serveur physique HP, rendant nécessaire la réinstallation du système ainsi que la récupération des données archivées. Pour cette opération, elle a fait appel à la société [N]
Par courrier en date du 2 octobre 2018, la société [N] a informé l’association que le système de sauvegarde du serveur HP n’avait pas fonctionné et qu’il était impossible de récupérer les données bureautiques cryptées. L’ensemble des données cryptées a dû être ressaisi manuellement par cinq salariés employés à durée déterminée spécifiquement pour cette tâche par l’association. L’association a également eu recours à des prestataires extérieurs pour retrouver des données comptables, paramétrer des logiciels et ressaisir des informations.
Par courrier en date du 30 avril 2019, l’Association a mis en demeure la société [N] de réparer le préjudice qu’elle avait subi.
Par courrier en date du 21 mai 2019, elle a résilié le contrat de maintenance informatique.
Par assignation en date du 23 avril 2019, elle a saisi le tribunal judiciaire de Privas à l’encontre de la société [N] aux fins d’engager sa responsabilité contractuelle et la condamner à réparer son préjudice.
La mise en état a été clôturée le 2 janvier 2020 puis rouverte le 28 mai 2020. Une nouvelle clôture a été prononcée le 21 janvier 2021.
Par jugement en date du 22 juillet 2021, le Tribunal Judiciaire de Privas a ordonné une mesure d’expertise pour décrire le système informatique et ses éléments de fonctionnement, notamment son système de sauvegarde, ses serveurs et serveurs virtuels et retracer la chronologie des événements ayant causé le dommage consécutif à la cyberattaque. Le jugement a également ordonné le sursis à statuer sur le surplus des prétentions des parties, dans l’attente du rapport.
Le rapport d’expertise a été rendu le 29 mars 2024.
L’affaire a été radiée le 18 novembre 2021 en l’absence de diligences nécessaires des parties au bon déroulement de l’instance puis réenrôlée le 21 janvier 2025.

Dans ses dernières conclusions en date du 14 mai 2025, l’Association sollicite :
Condamner la société [N] à lui payer 42.453,06 euros au titre du préjudice subiRejeter la demande reconventionnelle en paiement de l’indemnité de préavis et l’indemnité de résiliation suite à la résiliation du contrat de maintenance informatique le 21 mai 2019Condamner la société [N] à lui verser 6.000 euros au titre des frais irrépétibles outre les entiers dépens dont les frais d’expertise.Elle engage la responsabilité contractuelle de la société [N] en expliquant que l’annexe 1 du contrat de maintenance informatique comprend la surveillance régulière des processus de sauvegarde. Elle affirme que la société [N] était informée de l’existence de serveurs HP physiques au sein de l’Hôpital et a manqué à son obligation de vérification des sauvegardes durant 13 mois.
Elle détaille ensuite le montant du préjudice qu’elle dit avoir subi, comprenant les embauches de personnel en CDD et le recours à des prestataires extérieurs.
Elle soutient enfin que la résiliation du contrat de maintenance sans préavis a été faite non pour convenance personnelle mais pour violation par la société [N] de ses obligations contractuelles.

Dans ses dernières conclusions en date du 19 mars 2025, la société [N] sollicite :
Rejeter les prétentions adversesCondamner l’association à lui verser une somme de 7.859,38 euros correspondant à l’indemnité de préavis et de résiliation suite à la résiliation du contrat de maintenance informatique le 21 mai 2019Condamner l’association à lui verser 10.000 euros au titre des frais irrépétibles outre les dépens de l’instance. Elle conteste tout manquement contractuel. Elle dit ignorer que l’association avait maintenu des données sur un serveur HP après l’intervention de la société Adista. Selon elle, elle n’intervenait que pour répondre aux incidents listés par l’association. Elle indique ensuite que la vérification des sauvegardes pesait sur le client en vertu du contrat.
Subsidiairement, elle sollicite le rejet des demandes au motif que le préjudice invoqué n’est ni lié à un manquement de sa part ni certain dans son principe comme dans son montant.
Reconventionnellement, elle indique que l’association a résilié le contrat unilatéralement sans respecter son préavis ni lui verser l’indemnité contractuelle. Elle conteste toute résiliation pour violation d’une obligation contractuelle.

La clôture de la mise en état a été prononcée le 16 octobre 2025.
A l’audience du 2 décembre 2025, la décision a été mise en délibéré au 3 mars 2026.
MOTIFS

Sur la demande de condamnation de la société [N] à payer à l’Association la somme de 42.453,06 euros au titre du préjudice subi
Selon l’article 1103 du code civil : « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. »
Aux termes de l’article 1217 du même code : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut :
– refuser d’exécuter ou suspendre l’exécution de sa propre obligation ;
– poursuivre l’exécution forcée en nature de l’obligation ;
– obtenir une réduction du prix ;
– provoquer la résolution du contrat ;
– demander réparation des conséquences de l’inexécution.
Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. »
En l’espèce, selon l’article 2 du contrat de maintenance informatique conclu entre l’Association et la société Erenet le 3 janvier 2017, les missions du Prestataire sont celles définies à l’annexe 1 au contrat. Cette annexe prévoit notamment comme services dus par le Prestataire : « surveiller régulièrement les processus de sauvegarde, veiller au taux de charge des serveurs […] mettre en place des processus simples de redémarrage après incident […]gérer le parc installé pour en optimiser son usage et son évolution ».
L’article 5.2.3 du contrat stipule cependant : « Le client s’engage à réaliser et à s’assurer du bon déroulement des sauvegardes des logiciels ou Fichiers avec une fréquence telle qu’en cas de Panne, celui-ci n’entraine pas des pertes d’informations autres que celles tolérables par lui-même. Le Client s’interdit de rechercher la responsabilité du Prestataire en cas de perte d’informations ou de données. »
Afin que la clause 5.2.3 du contrat ne prive pas d’effet l’annexe 1 concernant le contrôle des sauvegardes, il faut comprendre que si le contrôle quotidien du bon déroulement des sauvegardes est sous la responsabilité du Client, le Prestataire doit s’assurer ponctuellement du bon déroulement de ce processus.
Ainsi, il pesait sur la société [N], ayant repris le patrimoine de la société Erenet, une obligation de contrôle ponctuelle des processus de sauvegarde.
La société [N] indique alors que l’Asssociation a modifié son installation informatique suite à l’intervention de la société Adista et qu’elle ignorait que d’anciens serveurs physiques étaient encore utilisés pour la sauvegarde de données. Toutefois, l’annexe 2 du contrat, signé postérieurement à l’intervention d’Adista, reprend comme matériels à maintenir « Serveurs : 3 », rappelant qu’il y a, au sein de l’Hôpital, seulement 3 serveurs d’après l’expertise (page 4):
Ancien serveur physique S2-A0212 stockant les logiciels de soins, comptabilité, facturation, paye, bureautiqueNouveau serveur physique S-Hote01 hébergeant lui-même 3 serveurs virtuelsNouveau serveur physique S-Repl01 répliquant les données du serveur S-Hote01
Il est donc démontré que la société [N] devait s’assurer ponctuellement de la sauvegarde de l’ensemble des serveurs de l’Asssociation, dont elle avait connaissance.
Or, suite à la cyberattaque du 1er septembre 2018, il est apparu que le processus de sauvegarde de l’ancien serveur physique S2-A0212 n’a jamais fonctionné (page 6 de l’expertise : « sur l’ancien serveur, seules d’anciennes données provenant d’anciennes sauvegardes réalisées par hasard par l’éditeur [T] ont permis de récupérer quelques informations ») sans que la société [N] en informe son cocontractant.
Il en découle une violation par la société [N] de son obligation contractuelle de contrôle du processus de sauvegarde.
Ce manquement a causé un dommage direct à l’Association en l’empêchant de retrouver les données cryptées par la cyberattaque. Elle a dû, pour ressaisir les données perdues, engager plusieurs dépenses, caractérisant un préjudice.
L’association est donc fondée à demander réparation des conséquences de l’inexécution contractuelle.

S’agissant du montant sollicité :
Sur les salariés embauchés en CDD : L’Association a eu recours à l’embauche de 5 salariés à durée déterminée. Chacun de ces contrats comprend en leur article 2 l’objet de répondre à « un accroissement temporaire de l’activité (en raison) de données informatiques en paie et en comptabilité à ressaisir suite au piratage. » (pièces 30 à 34 demandeur). Il y a donc un lien direct entre l’impossibilité de retrouver les données qui n’ont pas été sauvegardées et le préjudice financier lié à l’embauche de ce personnel. Le coût total de cette embauche (salaires bruts + charges sociales et fiscales) est de 24.387,31 euros (pièces 10 à 14 demandeur), qu’est fondée l’Association à réclamer à la société [N].

Sur les heures supplémentaires de Madame [P] [K]. Madame [P] [K], salariée de l’association, a été affectée à la ressaisie des données comme il ressort de son attestation (pièce 37 demandeur). Ce coût est la conséquence de l’absence de sauvegarde des données. La société [N] est donc redevable du coût de ces heures supplémentaires pour 321,21 euros.

Sur l’intervention du prestataire [V] [M] et Associés : Le cabinet comptable a permis la saisie de plusieurs données cryptées. Il y a donc un lien entre l’absence de sauvegarde et le coût de cette prestation de 13.440 euros (pièce 39 demandeur : factures), dont est redevable la société [N] à l’Association.

Sur l’intervention du prestataire Cegi [T] : Selon factures (pièce 19), ce prestataire est intervenu pour réinstaller des logiciels perdus pour un coût de 2.784 euros. Il y a donc un lien direct entre l’absence de sauvegarde due à la faute contractuelle de [N] et le préjudice subi par l’association. En conséquence, [N] devra l’indemniser de ce préjudice.

Sur l’intervention de la société [N] elle-même : La société [N] est intervenue hors contrat de maintenance pour réinstaller le logiciel Microsoft Office, pour un montant de 673,14 euros, coût du logiciel perdu compris. (pièce 20 demandeur). Ni l’expert ni la société [N] n’expliquent en quoi cette intervention serait distincte de la perte de donnée alors qu’elle correspond à l’installation d’un logiciel perdu suite à la cyberattaque et donc en lien direct avec l’absence de sauvegarde due à la faute contractuelle de [N]. En conséquence, [N] devra indemniser l’association de ce préjudice.

Sur la mise à disposition de personnel : Il ressort de l’attestation de Madame [O], employée de l’Ehpad, qu’elle a été mise à disposition de l’Association pour ressaisir des données perdues. Le coût de cette mise à disposition de personnel est de 2.188,74 euros selon factures (pièce 21). Ce coût est la conséquence de l’absence de sauvegarde des données et la société [N] est donc redevable du coût de cette mise à disposition pour 2.188,74 euros.

Soit un préjudice financier total subi par l’association de 43.794,40 euros.
Afin de limiter ce montant aux termes de la demande qui ne prend pas le verso de la facture de la mise à disposition de personnel, il y a lieu de condamner la société [N] [D] à payer à l’Association Hospitalière de [Localité 1] la somme de 42.453,06 euros en réparation de son préjudice financier.

Sur la demande reconventionnelle en condamnation de l’association à verser à la société [N] la somme de 7.859,38 eurosL’article 11 du contrat de maintenance conclu entre les parties stipule : « le présent contrat pourra être résilié d’une manière anticipée dans l’un des cas suivants :
Violation par l’une ou l’autre des parties de l’une quelconque des obligations contractuelles et à laquelle il n’aurait pas été mis fin 15 jours après l’envoi d’une lettre « recommandée avec accusé de réception »Défaut de paiement […]En cas de procédure de redressement judiciaire […]Le client pourra, par ailleurs, résilier le contrat, à tout moment pour convenance personnelle moyennant le respect d’un préavis de trois mois envoyé par lettre recommandée avec accusé de réception et moyennant le versement au Prestataire d’une indemnité correspondant à la moitié des redevances annuelles restant à courir sans que cette indemnité ne puisse être inférieure à une année de redevance. »
Sans se fonder sur l’inexécution contractuelle de la société [N] de son obligation de contrôle du processus de sauvegarde évoquée précédemment, l’Association a notifié le 21 mai 2019 (pièce 35) la résiliation du contrat pour violation contemporaine de trois obligations pesant sur la société [N] :
Violation du planning d’intervention du technicienViolation de l’obligation de résoudre une liste de problèmes et mettre à jour le systèmeViolation de l’obligation de mise à disposition de ressources pour assurer les prestations
Or, elle ne démontre pas avoir envoyé de mise en demeure préalable de s’exécuter sous quinze jours, le courrier en date du 18 février 2019 (pièce 36) n’étant pas accompagné d’un accusé de réception par la société [N], ni ne justifie des manquements qu’elle allègue dans son courrier alors que la société [N], informée de la volonté de l’Association de reprendre le planning d’intervention du technicien ½ journée par mois, justifie proposer la mise en place de ce calendrier à compter du 22 mai 2019.
Faute de démontrer l’inexécution contractuelle dont elle se prévaut dans sa lettre de résiliation, il doit être considéré que l’Association a résilié le contrat pour convenance personnelle et est redevable envers la société [N] d’une indemnité de préavis de trois mois ainsi qu’une indemnité « correspondant à la moitié des redevances annuelles restant à courir sans que cette indemnité ne puisse être inférieure à une année de redevance ».
La redevance annuelle fixée à l’annexe 3 est de 5.970 HT.
Ainsi, l’indemnité de préavis de 3 mois correspond à 1.492,50 euros et l’indemnité de résiliation à une année de redevance, soit 5.970 euros.
En conséquence, l’Association est condamnée à verser à la société [N] la somme de 7.462,50 euros.

Sur les frais irrépétibles et les dépensL’article 696 dispose : « La partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie. »
Selon l’article 700 du code de procédure civile : « Le juge condamne la partie tenue aux dépens ou qui perd son procès à payer :
1° A l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens,
2° Et, le cas échéant, à l’avocat du bénéficiaire de l’aide juridictionnelle partielle ou totale une somme au titre des honoraires et frais, non compris dans les dépens, que le bénéficiaire de l’aide aurait exposés s’il n’avait pas eu cette aide. Dans ce cas, il est procédé comme il est dit aux alinéas 3 et 4 de l’article 37 de la loi n° 91-647 du 10 juillet 1991.
Dans tous les cas, le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a pas lieu à ces condamnations. »

En l’espèce, la société [N] est partie perdante pour la demande principale et sera condamnée aux entiers dépens, dont les frais d’expertise, ainsi qu’à payer à l’Association la somme de 4.000 euros au titre des frais irrépétibles.
PAR CES MOTIFS

Le tribunal, statuant publiquement, par jugement mis à disposition au greffe, contradictoire et en premier ressort ;

CONDAMNE la société [N] [D] à payer à l’Association Hospitalière de [Localité 1] la somme de 42.453,06 euros en réparation de son préjudice financier
CONDAMNE l’Association Hospitalière de [Localité 1] à verser à la société [N] [D] la somme de 7.462,50 euros au titre de l’indemnité de résiliation du contrat de maintenance
CONDAMNE la société [N] [D] à payer à l’Association Hospitalière de [Localité 1] la somme de 4.000 euros au titre des frais irrépétibles
CONDAMNE la société [N] [D] aux entiers dépens, dont les frais de l’expertise
RAPPELLE l’exécution provisoire de la présente décision.

Le greffier Le président