OVHcloud : des lésés de Strasbourg préparent un recours collectif

Après l’incendie à Strasbourg, dans quelle mesure OVHcloud doit-il craindre des poursuites judiciaires ? Le dernier rapport annuel de l’entreprise – pour son exercice 2021, achevé fin août – a donné une idée de ce à quoi elle s’attend. Il y est fait état du provisionnement de 31,1 millions d’euros pour couvrir les « effets du sinistre »*. Cela inclut les frais d’expertise, de procédure… et au titre des actions en responsabilité.

En tête de liste, un recours collectif qui se prépare sous la houlette de Ziegler & Associés. Aux dernières nouvelles, une vingtaine d’entreprises ont rejoint la boucle. Le cercle pourrait s’étendre à une trentaine, voire une quarantaine de plaignants d’ici à la fin de l’année, veut croire le cabinet d’avocats. Pour un enclenchement de la procédure à l’horizon 2022.

Cette procédure se fait, en droit français, sur le schéma de l’action collective. Portée par un avocat, donc, mais impliquant autant de procédures individuelles que de plaignants. Et donc potentiellement autant de jugements propres.

Angle d’attaque : des manquements à la responsabilité contractuelle de stockage et de sécurisation des données. Avec, pour conséquence, la perte de ces données.
Le régime de responsabilité n’est cependant pas le même selon les options que le client a choisies, expliquait Ziegler & Associés en mai dernier, lorsqu’il avait commencé à communiquer publiquement à propos de l’incident.

OVHcloud attaqué sur la sécurité physique des datacenters

Pour les plaignants, la question se résume ainsi : la sauvegarde était-elle comprise dans le contrat ? Dans la négative, on ne pourra pas engager la responsabilité d’OVHcloud, que l’enquête judiciaire démontre ou non l’existence desdits manquements. Dans l’affirmative, on pourra faire valoir l’article 1231-1 du Code civil. Il impose le paiement de dommages-intérêts en cas d’inexécution d’une obligation contractuelle. À moins que cette inexécution résulte d’un cas de force majeure (définie au 1218 du même texte).

Ziegler & Associés estime que les préjudices qu’ont subi les membres de la class action vont de 10 000 à 200 000 €. Une évaluation fondée notamment sur la comparaison du chiffre d’affaires avant et après l’incident. Ainsi que sur le volume de clients perdus et le temps de travail pour récupérer les données perdues.

La plupart des plaignants avaient bien souscrit à des services de sauvegarde, nous explique-t-on. Sauf que les backups/snapshots se trouvaient également à Strasbourg**. Avec eux, on arrive sur un autre terrain : la conception – et donc la sécurité physique – des bâtiments. Avec une question sous-jacente : l’accident était-il prévisible ? On sait, en particulier, qu’il ne s’y trouvait pas de systèmes d’extinction automatique des incendies.

* OVHcloud estime que l’incendie lui a coûté environ 57 M€. Hors mesures comptabilisées en diminution des revenus, comme l’octroi d’avoirs et de bons d’achat.

** Exemple avec les backups automatisés des VPS et des instances Public Cloud. Ils dépendaient du service de stockage objet, dont une partie était hébergée dans le datacenter SBG2… que les flammes ont détruit.

Photo d’illustration (datacenter SBG2) © OVHcloud