Mon prestataire a perdu mes données: Qui est responsable et que puis-je obtenir ?

Une migration de serveur ratée, une panne non anticipée, un incendie de datacenter, un ransomware qui chiffre tout, y compris les sauvegardes.

Dans chacun de ces cas, la première question est la même : est-ce que mon prestataire est responsable, et est-ce que je peux obtenir réparation ?

La réponse dépend d’un élément central que la plupart des dirigeants ne vérifient pas au moment de signer : le périmètre exact des obligations que le prestataire a acceptées dans le contrat.

Cette page explique comment lire votre situation, les recours dont vous disposez, et ce que les tribunaux accordent effectivement dans ce type de litige.

La première question : que prévoyait exactement votre contrat ?

La responsabilité du prestataire en cas de perte de données dépend directement de ce qu’il s’est engagé à faire (pas de ce que vous pensiez qu’il faisait).

Deux contrats très différents coexistent souvent sans que le client en mesure la distinction.

Les trois situations dans lesquelles le prestataire peut être déclaré responsable

1. Erreur d’exécution lors d’une migration de données: responsabilité quasi automatique

Votre prestataire était chargé de migrer vos données vers un nouveau serveur ou une nouvelle solution? Des erreurs de paramétrage ou de configuration ont conduit à une perte partielle ou totale?

La Cour d’appel de Limoges a jugé en 2022 qu’une erreur de paramétrage lors d’une migration, ayant conduit à une perte de données majeure, engage la responsabilité pleine du prestataire.

La clause limitative plafonnant l’indemnisation à environ 9 000 € a été écartée comme dérisoire au regard du préjudice réel.

→ jurisprudence clause limitative de responsabilité

2.Données non sauvegardées malgré un contrat de sauvegarde = Faute lourde et clause limitative de responsabilité non opposable

Votre prestataire était contractuellement chargé de sauvegarder vos données.

Suite à un incident, il s’avère que certaines données n’ont jamais été sauvegardées ou que les sauvegardes ne fonctionnaient pas.

La Cour d’appel de Paris a jugé en 2022 qu’un prestataire qui n’alertait pas son client sur le fait que certaines données, en l’espèce les données comptables, n’étaient pas incluses dans le périmètre de sauvegarde, alors que le contrat général ne les excluait pas expressément, commet une faute lourde.

Cette faute lourde rend la clause limitative de responsabilité inopposable.

→ jurisprudence contrats informatiques 2021-2023

Si les sauvegardes existaient mais ne fonctionnaient pas (ex: fichiers corrompus, sauvegardes constituées de raccourcis sans contenu réel), la responsabilité du prestataire est également engagée.

3. Sinistre au niveau du datacenter et sauvegardes dans la même infrastructure  = Clause d’exclusion inopérante

Votre hébergeur vous avait proposé une option de sauvegarde avec réplication géographique.

Un incendie ou un sinistre a détruit à la fois le serveur principal et les sauvegardes, qui se trouvaient en réalité dans la même infrastructure.

Dans une affaire OVH (Tribunal de Commerce de Lille, 26 janvier 2023, il a été considéré que la clause d’exclusion de responsabilité en cas de sinistre est inopérante : les sauvegardes n’ont d’utilité que précisément en cas de sinistre.

L’exclusion de toute responsabilité dans ce cas vide de sa substance l’obligation essentielle du contrat. Indemnisation totale : 95 000 €, couvrant le préjudice d’image, la perte de chiffre d’affaires, le coût de reconstitution des données, les frais de prestataires externes et les frais financiers.

→ jurisprudence cyberattaque responsabilité prestataire informatique

Cas dans lesquels le prestataire informatique n’est pas responsable

• Cyberattaque sans contrat de cybersécurité : Si votre prestataire n’avait qu’un contrat de maintenance standard et que la perte de données résulte d’une cyberattaque externe, sa responsabilité n’est pas automatiquement engagée. La Cour d’appel de Lyon l’a confirmé en 2025 : un contrat de maintenance informatique ne couvre pas la protection contre les cyberattaques. Pour engager sa responsabilité, il faut démontrer que l’attaque a utilisé comme porte d’entrée un outil ou un accès du prestataire en raison d’une faute de sa part.
• Données hors périmètre de sauvegarde (si vous en étiez informé): Si le contrat listait précisément les données sauvegardées et que vous aviez été informé de l’exclusion de certaines catégories, la responsabilité du prestataire pour les données hors périmètre est limitée.

Ce que vous pouvez potentiellement obtenir en cas d’action judiciaire

La reconstitution des données et ses coûts: Le coût de reconstitution est le chef principal.

Le Tribunal de commerce de Nanterre a posé en 2019 une formule précise :

• Préjudice = Coût forfaitaire de vérification + (Nombre de fichiers × Temps de reconstitution × Coût horaire)
• Appliquée à un volume de 11 700 à 38 600 fichiers, cette formule donne une fourchette entre 509 325 € et 1 401 850 €.

→ jurisprudence préjudices contrats informatiques

La perte d’exploitation : Si la perte de données a rendu votre activité partiellement ou totalement impossible pendant un temps : indisponibilité du système, impossibilité de facturer, perte de commandes etc., vous pouvez demander réparation de cette perte d’exploitation. Dans l’affaire OVH, ce chef a été indemnisé en addition du coût de reconstitution.

Le préjudice d’image et de réputation : Si vos clients ont été impactés par la perte de leurs données chez vous, vous pouvez demander réparation de l’atteinte à votre image. Les tribunaux accordent en moyenne des indemnités forfaitaires entre 5 000 € et 30 000 € selon l’ampleur documentée.

Les frais de prestataires externes engagés en urgence : Les honoraires des experts informatiques mandatés pour tenter de récupérer les données, les coûts d’infrastructure alternative, et les frais de prestataires de substitution sont indemnisés sur factures.

Les quatre actions à mener immédiatement

1. Préservez les preuves techniques

Avant toute intervention, demandez à un expert informatique de prendre une image du système dans son état actuel.

Cette image préserve les traces de l’incident : logs, fichiers corrompus, tentatives de sauvegarde, qui seront indispensables pour établir la responsabilité du prestataire.

2. Notifiez votre prestataire par écrit

Adressez sans délai une notification écrite au prestataire décrivant la perte de données constatée et lui demandant une explication sur les causes.

Cette notification établit la date de la connaissance du sinistre et marque le point de départ de votre démarche.

3. Constituez l’inventaire des données perdues

Établissez un inventaire aussi précis que possible des données perdues : nature, volume (nombre de fichiers), ancienneté, criticité pour votre activité.

Cet inventaire servira de base à l’évaluation expertale du préjudice selon la formule jurisprudentielle.

4. Relisez votre contrat

Identifiez précisément les obligations de sauvegarde souscrites par le prestataire : périmètre des données, fréquence, durée de conservation, conditions de restauration.

C’est ce périmètre contractuel qui définit l’étendue de sa responsabilité.

Questions fréquentes

Mon prestataire oppose une clause limitative de responsabilité plafonnant l’indemnisation à quelques milliers d’euros. Que puis-je faire ?

Contester cette clause. Les tribunaux l’écartent régulièrement dans les contentieux de perte de données lorsqu’elle conduit à une indemnisation dérisoire au regard du préjudice réel, ou lorsqu’elle vide de sa substance l’obligation essentielle du contrat, c’est-à-dire la sauvegarde elle-même. La Cour d’appel de Limoges et le Tribunal de commerce de Lille ont tous deux écarté des clauses de ce type. Les fondements sont les articles 1170 et 1171 du Code civil.

→ jurisprudence clause limitative de responsabilité

La perte de données résulte d’un ransomware. Mon prestataire de sauvegarde est-il responsable si les sauvegardes ont également été chiffrées ?

Cela dépend de la nature des sauvegardes promises. Si le contrat prévoyait une réplication dans une infrastructure physiquement isolée (non connectée au réseau infecté) et que les sauvegardes se trouvaient en réalité dans la même infrastructure que les données principales, la clause d’exclusion en cas de sinistre sera inopérante. En revanche, si les sauvegardes étaient connectées au réseau et que cette configuration était conforme au contrat, la responsabilité du prestataire est plus difficile à établir sur ce seul fondement.

Mon prestataire affirme que la perte de données résulte d’une force majeure. Puis-je contester cet argument ?

Oui, dans plusieurs situations. La force majeure suppose un événement imprévisible, irrésistible et extérieur. Dans une affaire OVH, la clause d’exclusion pour force majeure a été écartée au motif que la prestation souscrite : la sauvegarde, n’avait d’utilité que précisément pour faire face à ce type de sinistre. Par ailleurs, un incendie d’un datacenter n’est pas imprévisible pour un hébergeur professionnel. C’est un risque connu pour lequel des mesures de prévention et de redondance sont attendues.

Comment évaluer le montant de mon préjudice avant d’agir ?

En combinant plusieurs éléments : coût de reconstitution des données selon la formule expertale (coût forfaitaire + nombre de fichiers × temps × coût horaire), perte d’exploitation pendant la période d’indisponibilité, frais de prestataires externes engagés, et préjudice d’image si applicable. Cette évaluation préliminaire permet de déterminer si l’intérêt économique d’une action en justice est justifié au regard des coûts et délais de la procédure.

→ jurisprudence préjudices contrats informatiques

Quantic Avocats analyse votre situation

Quantic Avocats intervient dans les litiges relatifs à la perte de données : migration ratée, sauvegarde défaillante, cyberattaque, sinistre d’hébergeur. Spécialisé en droit informatique et données personnelles, partenaire agréé de Numeum. Si votre prestataire a perdu vos données, nous analysons votre contrat, évaluons sa responsabilité, et vous indiquons les recours disponibles et les montants que vous pouvez raisonnablement espérer obtenir.

Paris : 01 86 95 84 61 et Bordeaux : 05 56 24 43 85 –

François-Xavier Langlais – fxlanglais@quantic-avocats.com

Analyse confidentielle sous 48h – Intervention toute France