14 décembre 2023
Cour d’appel de Lyon
RG n°
20/02356

N° RG 20/02356 – N° Portalis DBVX-V-B7E-M6CY

Décision du Tribunal de Commerce de SAINT ETIENNE du 03 mars 2020

RG : 2018j00067

Société MJ SYNERGIE

S.A.R.L. SOCIETE CROIZAT

C/

S.A.R.L. ETUDE DEVELOPPEMENT ET NEGOCE DU NET

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE LYON

3ème chambre A

ARRET DU 14 Décembre 2023

APPELANTES :

S.E.L.A.R.L. MJ SYNERGIE représentée par Maître [O] [N] inscrite au RCS de Lyon sous le numéro 538 422 056 es-qualité de liquidateur judiciaire de la S.A.R.L. CROIZAT par jugement de liquidation judiciaire du 21 septembre 2022, représentée par directeur en exercice

[Adresse 1]

[Localité 4] (RHÔNE)

S.A.R.L. CROIZAT

[Adresse 5]

[Localité 2]

Représentées par Me Robert GALLETTI de la SELARL ALPHAJURIS, avocat au barreau de SAINT-ETIENNE substitué et plaidant par Me LADIGNAC-PHILIPPE, avocat au barreau de SAINT-ETIENNE

INTIMEE :

S.A.R.L. ETUDE DEVELOPPEMENT ET NEGOCE DU NET (sigle « EDEN’NET ») au capital de 80 000 euros, immatriculée au RCS de SAINT-ETIENNE sous le numéro 434 161 824, représentée par son gérant en exercice

[Adresse 6]

[Localité 3]

Représentée et plaidant par Me Ophélie MICHEL de la SELARL VIAJURIS CONTENTIEUX, avocat au barreau de LYON, toque : 2109

* * * * * *

Date de clôture de l’instruction : 12 Septembre 2023

Date des plaidoiries tenues en audience publique : 18 Octobre 2023

Date de mise à disposition : 14 Décembre 2023

Composition de la Cour lors des débats et du délibéré :

– Patricia GONZALEZ, présidente

– Aurore JULLIEN, conseillère

– Viviane LE GALL, conseillère

assistées pendant les débats de Clémence RUILLAT, greffière

A l’audience, un membre de la cour a fait le rapport, conformément à l’article 804 du code de procédure civile.

Arrêt contradictoire rendu publiquement par mise à disposition au greffe de la cour d’appel, les parties en ayant été préalablement avisées dans les conditions prévues à l’article 450 alinéa 2 du code de procédure civile,

Signé par Patricia GONZALEZ, présidente, et par Clémence RUILLAT, greffière, auquel la minute a été remise par le magistrat signataire.

* * * *

EXPOSÉ DU LITIGE

Le 10 septembre 2012, la Sarl Société Croizat a signé un contrat « Maintenance Annuel Sérénité » et un contrat de sauvegarde en ligne « Solubackup » avec la Sarl Etude et Développement et Négoce du Net (ci-après « la société Eden’Net »). Ces contrats ont été renouvelés par tacite reconduction.

Le 21 octobre 2017, le serveur informatique de la société Croizat a fait l’objet d’une attaque virale de type logiciel de rançon.

Le 23 octobre 2017, la société Eden’Net a adressé un mail à l’adresse de messagerie du pirate pour obtenir la décrypteur, le pirate a confirmé le cryptage des données de la société Croizat.

La société Croizat a refusé de payer la rançon demandée. Une plainte a été déposée pour « accès frauduleux dans un système de traitement automatisme de donnée ».

Par courrier recommandé du 27 octobre 2017, la société Croizat a demandé à la société Eden’Net le rétablissement de l’intégralité des données.

Par acte d’huissier du 8 janvier 2018, la société Croizat a assigné la société Eden’Net devant le tribunal de commerce de Saint-Etienne aux fins notamment de voir juger que la société Eden’Net n’a pas respecté ses obligations contractuelles et d’obtenir des dommages-intérêts.

Par jugement contradictoire du 13 mars 2020, le tribunal de commerce de Saint-Etienne a :

– dit que la société Croizat n’apporte pas la preuve de l’inexécution par la société Eden’Net de ses obligations contractuelles,

– débouté la société Croizat de sa demande de résiliation du contrat de maintenance « Annuel Sérénité » et du contrat « Solubackup », signés avec la société Eden’Net,

– débouté la société Croizat de sa demande de dommages-intérêts et du remboursement des frais et prestations,

– débouté la société Croizat de toutes ses demandes,

– condamné la société Croizat à verser à la société Eden’Net la somme de 2.000 euros au titre de l’article 700 du code de procédure civile,

– dit que les dépens sont à la charge de la société Croizat,

– dit qu’il n’y a pas lieu à exécution provisoire du jugement.

La société Croizat a interjeté appel par acte du 7 avril 2020.

Par jugement du 21 septembre 2022, le tribunal de commerce de Saint-Etienne a prononcé la liquidation judiciaire de la société Croizat et a désigné la Selarl MJ Synergie, représentée par Me [O] [N], en qualité de liquidateur judiciaire de la société Croizat.

***

Par conclusions notifiées par voie dématérialisée le 6 décembre 2022 fondées sur les articles 1231 et 1231-1 du code civil, la Selarl MJ Synergie, ès-qualités de liquidateur judiciaire de la société Croizat, demande à la cour de :

– réformer le jugement déféré en son entier dispositif,

par conséquent,

– dire que l’appel de la société Croizat, qu’elle représente, est recevable et bien fondé,

– juger la demande de la société Croizat, qu’elle représente, recevable et bien fondée,

– juger que la société Eden’Net a violé les obligations prévues aux contrats Sérénité et Solubackup,

– prononcer la résiliation des contrats entre la société Croizat et la société Eden’Net,

– condamner la société Eden’Net à lui verser la somme de 10.000 euros à titre de dommages-intérêts en réparation du préjudice d’agrément,

– condamner la société Eden’Net à lui verser la somme de 2.230 euros à titre de dommages-intérêts en réparation du préjudice financier,

– condamner la société Eden’Net à lui verser la somme de 4.050 euros à titre de dommages-intérêts en réparation du préjudice financier,

– condamner la société Eden’Net à lui verser la somme de 1.087,32 euros à titre de dommages-intérêts en réparation du préjudice (sic)

– condamner la société Eden’Net à lui verser la somme de 2.250 euros à titre de dommages-intérêts en réparation du préjudice (sic)

– condamner la société Eden’Net à lui verser la somme de 1.290 euros à titre de dommages-intérêts en réparation du préjudice (sic)

– condamner la société Eden’Net à lui verser la somme de 4.000 euros au titre de l’article 700 du code de procédure civile ainsi qu’en tous les dépens de première instance et d’appel.

***

Par conclusions notifiées par voie dématérialisée le 26 juin 2023 fondées sur les anciens articles 1134, 1147, 1315 et les actuels articles 1353 et 1231-1 du code civil et les articles 9, 700 et 900 et suivants du code de procédure civile, la société Eden’Net demande à la cour de :

– confirmer le jugement déféré en ce qu’il a :

dit que la société Croizat n’apporte pas la preuve de son inexécution de ses obligations contractuelles,

débouté la société Croizat de sa demande de résiliation du contrat de maintenance « Annuel Sérénité » et du contrat « Solubackup », signés avec elle,

débouté la société Croizat de sa demande de dommages-intérêts et du remboursement des frais et prestations,

débouté la société Croizat de toutes ses demandes,

condamné la société Croizat à lui verser la somme de 2.000 euros au titre de l’article 700 du code de procédure civile,

et y ajoutant,

– fixer la créance d’un montant de 2.000 euros ainsi que le montant des dépens de première instance au passif de la liquidation judiciaire de la société Croizat, représentée par la Selarl MJ Synergie, ès-qualités de liquidateur judiciaire de la société Croizat,

– condamner la Selarl MJ Synergie, ès-qualités de liquidateur judiciaire de la société Croizat, à lui payer la somme de 8.000 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens d’instance et d’exécution avec droit de recouvrement.

La procédure a été clôturée par ordonnance du 12 septembre 2023, les débats étant fixés au 18 octobre 2023.

Conformément aux dispositions de l’article 455 du code de procédure civile, la cour se réfère, pour un plus ample exposé des moyens et prétentions des parties, à leurs conclusions écrites précitées.

MOTIFS DE LA DÉCISION

Les contrats en cause étant renouvelables par tacite reconduction et s’étant notamment renouvelés en septembre 2017, ils sont, est en application des dispositions des articles 1214 et 1215 du code civil, soumis à la loi nouvelle.

Sur les manquements contractuels

La Selarl MJ Synergie, ès-qualités de liquidateur judiciaire de la société Croizat, fait valoir que :

– par le contrat ‘Soluback’ signé le 10 septembre 2012, l’intimée s’engageait à installer et configurer un logiciel de sauvegarde des données du client en continu, automatique, surveillé 24h sur 24h 7 jours sur 7, avec édition d’un rapport et alertes automatiques quotidiennes par mail,

– suite à l’attaque par virus informatique le 27 octobre 2017, elle a sollicité la récupération de sa sauvegarde auprès de l’intimée ; la seule sauvegarde complète que cette dernière a pu fournir datait du 15 avril 2017,

– l’hypothèse de l’intimée d’une contamination des données par la faute du gérant de l’appelante est erronée, tel que l’atteste la société Abaca Team, prestataire informatique ; l’accès au serveur à distance par le gérant était habituel et sécurisé, de sorte qu’il n’a pas pu causer une contamination,

– l’ampleur de la perte des données est due à la réponse inappropriée apportée au virus par l’intimée, son paramétrage du serveur n’était pas terminé ce qui constitue un manquement à son obligation contractuelle ; or, l’obligation de paramétrage est une obligation de résultat ; l’intimée ne peut pas se prévaloir de la force majeure pour s’exonérer de sa responsabilité,

– l’intimée a également commis un manquement à son obligation contractuelle de sauvegarde continue et de contrôle puisque ce n’est qu’après l’attaque qu’elle s’est aperçue qu’aucune sauvegarde n’avait été réalisée depuis 6 mois ; le rapport automatique daté du 20 octobre 2016 n’est pas probant,

– l’intimée avait connaissance de ces dysfonctionnements pour en avoir été informée par l’appelante, notamment en constatant des pertes de données en 2016 et elle ne peut pas se prévaloir de l’absence de paiement d’une rançon au pirate par l’appelante, conformément aux recommandations de l’Agence nationale de la sécurité des systèmes d’information,

– le défaut de paramétrage a causé une fragilisation du système, concourant à la réalisation du dommage.

La société Eden’Net réplique que :

– l’obligation contractuelle d’un prestataire informatique en matière de maintenance et de protection anti-virus est une obligation de moyens et non de résultat,

– le serveur local a été contaminé par le fait fautif de l’appelante ; son gérant a accédé au serveur un samedi en dehors des horaires de maintenance contractuellement prévus ; de surcroît, l’accès a eu lieu au moyen de l’ordinateur personnel du gérant, dépourvu d’antivirus ; sa négligence a mis en échec les précautions prises par l’intimée, qui ne peut donc pas être tenue responsable de l’infection et de ses conséquences,

– sa réponse au virus était appropriée en l’absence d’alternative raisonnable, de sorte qu’elle ne peut pas être tenue pour responsable des conséquences de l’infection,

– elle n’a commis aucune inexécution fautive du contrat ; elle a notamment installé en 2016 des logiciels antivirus sur les postes informatiques de l’appelante ; les rapports des 18, 19 et 20 octobre 2017 attestent des sauvegardes effectuées, qui ne se limitent pas à celle du 15 avril 2017,

– les propos de la société Abaca Team, concurrente récupérant un marché, n’engagent qu’elle ; ces propos sont contradictoires et mensongers ; force est de constater que la société Abaca Team n’a rien pu faire de plus que l’intimée face à l’attaque,

– les divers griefs et manquements contractuels reprochés par l’appelante ne sont corroborés par aucun élément de preuve.

Sur ce,

Selon l’article 1231 du code civil, ‘A moins que l’inexécution soit définitive, les dommages et intérêts ne sont dus que si le débiteur a préalablement été mis en demeure de s’exécuter dans un délai raisonnable’.

Selon l’article 1231-1 du même code, ‘Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure’.

En l’espèce, le contrat Soluback prévoyait la fourniture d’une solution de sauvegarde à distance ; cette solution étant située dans un centre de données sécurisé bénéficiant de redondance de continuité d’alimentation, 24h/24 et 7j/7 de surveillance et de contrôle d’accès aux locaux. Un logiciel était installé sur le ou les ordinateurs du client contenant les données à sauvegarder et effectuait les sauvegardes automatiques. Un rapport et des alertes automatiques devaient être envoyés par mail.

Il résulte par ailleurs du contrat maintenance sécurité que la société Eden’Net assure un service du lundi au vendredi de 8 h 30 à 12 h et de 14 h à 18 h sauf les jours fériés, que le délai des interventions est de 8 heures ouvré maximum après réception d’un appel téléphonique.

Ainsi que justement relevé par l’intimée, l’obligation de maintenance de la société Eden’Net s’analyse en une obligation de moyen dans la mesure où le fonctionnement du système implique la participation active du client et sa vigilance.

Il n’est pas sérieusement contesté que le 21 octobre, 2017, jour où les serveurs locaux de la société Croizat ont été victime d’un virus informatique dans le cadre d’une demande de rançon, était un samedi (journée sans maintenance) et que M. [M] s’était connecté depuis son domicile sur son ordinateur personnel, non inclus dans le contrat de maintenance et dépourvu de solution anti-virus de l’intimée, que cette dernière est intervenue le lundi 23 octobre 2021. Seule une partie des données a pu être récupérée. La version de l’intimée dans l’origine du sinistre n’est en effet pas réfutée dans les conclusions de l’appelante qui ne font pas état d’une autre origine de l’attaque informatique et le représentant de la société Croizat a par ailleurs été très elliptique dans sa déclaration devant les services de police sur ces circonstances de même sur un second sinistre qui serait survenu le 26 octobre suivant.

L’appelante qui invoque l’exécution défectueuse du contrat par la société Eden’Net aux fins d’indemnisation de préjudices et qui fait valoir tout à la fois une absence de sauvegarde pour les données comptables et de gestion depuis le 15 avril 2017 et d’une perte de données de 6 mois de saisie de comptabilité et de gestion se prévaut essentiellement des explications données par la société Abaca Team, à laquelle elle a fait appel suite au sinistre et plus précisément d’un courrier de cette société daté du 27 juin 2018 qu’elle dénomme ‘rapport’ dans son bordereau de pièces.

La société Abaca-Team indique avoir constaté que le paramétrage du serveur n’était pas terminé, qu’il n’y avait pas eu mise en place du serveur DSN, que le serveur était encore configuré en workgroup, qu’il n’y avait pas d’adresse IP fixe attribuée au serveur, ce qui expliquerait les erreurs de connexion des postes, que le technicien d’Eden’Net contacté par téléphone a signalé ne pas avoir terminé la mise en place, que la société Croizat ne souhaitant plus avoir affaire à Eden’Net lui a demandé de terminer l’installation, ce qui a été fait ‘le jour même’, que concernant le virus, même avec des antivirus, les crypto virus ne sont pas toujours détectables et qu’il semble peu probable que le virus soit passé par le poste personnel qui n’a pas été infecté, que concernant le serveur, l’antivirus n’a a priori pas pu l’intercepter et qu’il est tout à fait possible que l’infection ait pour origine le canal TSE qui était ouvert, que seule une sauvegarde datant de 6 mois a pu être restaurée et qu’on peut s’interroger sur le fait qu’aucune sauvegarde plus récente n’ait pu être restaurée.

Il est cependant relevé que ces affirmations proviennent tout d’abord d’un concurrent de l’intimée qui est intervenu à sa suite comme prestataire de sorte qu’elles ne revêtent pas un caractère d’impartialité suffisant pour que leur véracité soit établie. Il ne s’agit en outre pas, malgré le nom qui lui est donné, d’un rapport technique diligenté immédiatement mais de simples affirmations tardives sans constatations ni analyses précises et non équivoques. En outre, la société Acaba-Team indique ne jamais avoir changé le serveur alors que l’appelante produit une pièce 11 ‘facture achat serveur de la société Acaba-Team’, ce qui pose question sur cette affirmation. Il n’est donc nullement établi par cette pièce que l’installation était au départ incomplète et inefficace du fait de l’intimée.

Les pièces 14 et 15 également invoquées par l’appelante (dispositif Teamviewer et système de sécurité Teamviewer que le gérant de la société Croizat aurait utilisé) ont un contenu abscons dont il ne peut rien être retiré. Il ne est de même de la pièce 13 (documentation Anssi).

Il est ensuite relevé qu’avant les faits litigieux, et pendant cinq ans d’exécution des contrats, il n’avait pas été signalé par la société Croizat la moindre difficulté concernant les sauvegardes de données (aucune pièce n’est produite en ce sens et des rapports de sauvegarde de 18, 19 et 20 octobre 2017sont produits) de sorte que l’absence de sauvegarde fautive des données n’est nullement établie, l’incrimination tardive pour les besoins de la cause des logiciels est inopérante et seul l’incident du 21 octobre 2017, soit l’imprudence commise par le gérant de la société Croizat, a pu être à l’origine de la contamination dommageable du serveur.

Aucune faute n’est d’autre part concrètement établie par les productions à l’encontre de la société Aden’Net quant aux moyens mis en oeuvre pour remédier aux conséquences de cette contamination, dont l’encryptage des données.

L’appelante échouant totalement à rapporter la preuve d’une inexécution fautive par l’intimée des contrats, le jugement est donc confirmé en ce qu’il a rejeté sa demande de résiliation des deux contrats du 10 septembre 2012.

Sur les préjudices

La Selarl MJ Synergie, ès-qualités de liquidateur judiciaire de la société Croizat, fait valoir que :

– la société a subi un préjudice financier car l’intimée lui a facturé des heures de formation non dispensées, ce qui l’a contrainte à recourir à un prestataire extérieur pour la formation et le paramétrage du logiciel EBP Batiment, pour un coût de 1.290 euros HT,

– elle a subi un préjudice financier car l’intimée a également facturé des prestations hors contrat pour l’année 2016 pour un montant de 2.230 euros,

– elle a subi un préjudice financier par la reprise de la saisie comptable et l’établissement des états de rapprochement sur 6 mois ; coût estimé de 4.050 euros HT,

– elle a subi un préjudice financier car elle a dû recourir à la société Abaca Team pour reparamétrer les logiciels suite au formatage réalisé par l’intimée pour un coût de 1.087,32 euros,

– elle a subi un préjudice financier en devant souscrire un nouveau contrat de maintenance auprès de la société Abaca Team pour un montant de 2.250 euros,

– elle a subi un préjudice d’agrément causé par les manquements de l’intimée ; l’utilisation de ses ordinateurs a été rendue impossible durant l’intervention des prestataires face à l’attaque ; il n’était plus possible de répondre aux clients, créant un trouble manifeste ; la réparation est évaluée à 10.000 euros.

L’intimée conteste l’ensemble des préjudices allégués.

Dans la mesure où l’inexécution contractuelle de la société Eden’Net n’est pas établie au vu de ce qui précède, l’appelante n’est pas fondée à réclamer l’indemnisation de préjudices en découlant de sorte que le jugement est confirmé en ce qu’il a à juste titre rejeté les prétentions de la société Croizat.

Sur les dépens et l’article 700 du code de procédure civile

Les dépens de première instance et d’appel sont employés en frais privilégiés de la procédure collective de la société Croizat.

En raison de cette procédure collective, la condamnation au titre de l’article 700 du code de procédure civile prononcée en première instance donne lieu à fixation de créance au passif de la liquidation judiciaire à hauteur de 2.000 euros, outre 3.000 euros sur le même fondement en cause d’appel.

La demande au titre de l’article 700 du code de procédure civile de l’appelante est rejetée.

PAR CES MOTIFS

La cour statuant dans les limites de l’appel,

Confirme le jugement querellé sauf en ce qui concerne la condamnation aux dépens et au titre de l’article 700 du code de procédure civile.

Statuant à nouveau et y ajoutant,

Fixe à la somme de 2.000 euros au passif de la liquidation judiciaire de la société Croizat la créance de la Sarl Eden’Net au titre de l’article 700 du code de procédure civile de première instance et à 3.000 euros sa créance au titre de l’article 700 du code de procédure civile dans la procédure d’appel.

Déboute la Selarl MJ Synergie en qualité de liquidation judiciaire de la Sarl Croizat de sa demande au titre de l’article 700 du code de procédure civile.

Dit que les dépens de première instance et d’appel sont employés en frais privilégiés de la procédure collective de la société Croizat.

LA GREFFIERE LA PRESIDENTE