Contrat d'infogérance : jusqu'où vos pénalités SLA peuvent vraiment vous coûter ?

Tout infogérant a, un jour, signé un contrat avec une clause qui ressemble à celle-ci : « en cas de manquement au taux de disponibilité de 99,9 % mensuel, le prestataire versera une pénalité égale à 5 % de la redevance du mois concerné, plafonnée à un mois de redevance par incident ». Cette mécanique paraît équilibrée : le client est dédommagé, le prestataire connaît son risque maximum. Beaucoup d'administrateurs systèmes y voient une limitation contractuelle de leur responsabilité, et ajustent leur tarif en conséquence.

La réalité juridique est bien différente. Sauf rédaction extrêmement précise, une pénalité SLA n'est qu'un mécanisme de réparation forfaitaire pour l'indisponibilité elle-même. Elle ne couvre ni la perte de chiffre d'affaires du client, ni les amendes RGPD qu'il pourrait subir, ni le coût de remédiation d'une attaque qui aurait pu être évitée. Tous ces postes restent réclamables en justice, sur le fondement de l'article 1231-1 du Code civil (responsabilité contractuelle) ou de l'article 1240 (responsabilité délictuelle vis-à-vis des tiers utilisateurs finaux).

Autrement dit, le client qui touche 800 € de pénalités pour une coupure de 4 heures peut tout à fait, en parallèle, vous assigner pour 80 000 € de perte d'exploitation. Et son avocat n'aura aucune difficulté à plaider que la pénalité visait l'indisponibilité, pas le préjudice économique consécutif.

Vous avez probablement, dans vos contrats, une clause qui ressemble à : « la responsabilité du prestataire est en tout état de cause limitée au montant des redevances perçues au cours des douze mois précédant le sinistre ». Ce plafond est très répandu et, dans la majorité des incidents bénins, il tient.

Mais il existe deux situations où les tribunaux le neutralisent purement et simplement :

• La faute lourde ou dolosive du prestataire. L'article 1231-3 du Code civil est sans ambiguïté : un débiteur ne peut pas limiter sa responsabilité pour les fautes qu'il a commises délibérément ou avec une négligence d'une particulière gravité. Un administrateur qui désactive volontairement une sauvegarde pour gagner du temps, qui ignore des alertes répétées, ou qui partage un mot de passe administrateur en clair par e-mail, prend le risque que sa clause de plafond soit anéantie en justice.
• Le manquement à une obligation essentielle. Issue de l'arrêt Chronopost (Cass. com. 22 oct. 1996), cette jurisprudence est aujourd'hui codifiée à l'article 1170 du Code civil : « toute clause qui prive de sa substance l'obligation essentielle du débiteur est réputée non écrite ». Concrètement, si vous vous engagez à assurer la continuité de service et que votre clause limitative ramène votre responsabilité à un montant dérisoire en cas d'interruption massive, le juge écartera la clause.

Les Cours d'appel ont déjà appliqué cette logique à des contrats d'hébergement, de SaaS et d'infogérance. Le raisonnement est mécanique : si la disponibilité est l'essence même de votre prestation, vous ne pouvez pas, par une clause périphérique, prétendre n'en répondre que pour quelques centaines d'euros.

Quand un incident survient chez un client, la facture qui revient le plus souvent vers l'infogérant n'est pas le coût de réparation technique. C'est le dommage immatériel consécutif, c'est-à-dire l'ensemble des préjudices économiques qui découlent de l'incident sans porter sur un bien matériel précis. Voici un ordre de grandeur des postes que vos clients réclameront :

C'est précisément cette catégorie que votre responsabilité civile professionnelle doit couvrir explicitement. Or beaucoup de contrats d'assurance excluent les « pertes financières non consécutives » ou plafonnent à un montant trop faible le poste « atteintes aux données ». À la souscription, exigez une lecture détaillée de ces lignes-là, pas seulement du plafond global.

La meilleure protection ne réside pas dans une assurance, mais dans la cohérence entre vos contrats clients et votre couverture. Un infogérant qui signe des engagements à 99,99 % de disponibilité avec une astreinte 24/7, alors que sa RC Pro ne couvre les interruptions de service que jusqu'à 50 000 €, court un risque structurel. Voici les quatre vérifications à mener chaque trimestre sur vos contrats actifs :

1. Le périmètre du SLA est-il précisément défini ? Indiquez ce qui est exclu (maintenance programmée, défaillance de l'opérateur télécom, attaques DDoS d'un volume supérieur à un seuil mesurable). Un SLA qui couvre tout ne couvre rien et sera retenu contre vous.
2. Vos plafonds de responsabilité sont-ils en ligne avec votre prime d'assurance ? Si votre RC Pro plafonne à 1 M€, n'acceptez pas de signer des contrats clients sans plafond ou avec un plafond supérieur, sauf à le négocier expressément avec votre assureur.
3. La clause de réversibilité est-elle opérationnelle ? Le client doit pouvoir récupérer ses données et sa documentation en cas de rupture. Une absence de réversibilité peut, en cas d'incident, être analysée comme un manquement à une obligation essentielle.
4. Les obligations du client sont-elles documentées ? Application des correctifs, fourniture des accès, validation des sauvegardes : la coresponsabilité du client doit être tracée par écrit, sous peine de tout assumer seul.

Le bon réflexe : aligner contrat, assurance et politique interne

Un audit annuel mené par un avocat en droit du numérique coûte généralement entre 1 500 € et 4 000 €. Comparé à un contentieux d'infogérance qui se chiffre vite à six zéros, c'est l'un des investissements à plus fort rendement pour la profession. Couplez cet audit avec une RC Pro adaptée aux métiers du numérique, et complétez-la d'une garantie Cyber qui prendra le relais sur les volets violation de données et restauration.

En cas de contentieux, le tribunal de commerce ne se contentera pas de lire vos CGV. Il reconstituera la chaîne de responsabilité à partir de plusieurs éléments concrets : la documentation technique de l'intervention (tickets, journaux de connexion, captures), la traçabilité des décisions (validation client par e-mail, comptes-rendus de réunion), la conformité aux règles de l'art (référentiel ANSSI, ISO 27001, bonnes pratiques OWASP selon le contexte), et la diligence de votre réponse à l'incident.

Un administrateur qui peut produire un ticket horodaté montrant qu'il a alerté le client trois fois sur l'obsolescence d'un serveur de fichiers se place dans une situation très différente de celui qui n'a rien tracé. Dans le premier cas, la responsabilité du client est engagée ; dans le second, c'est l'infogérant qui assume seul.

La traçabilité n'est pas un confort administratif : c'est votre première pièce de défense. Un système de tickets correctement utilisé peut valoir plusieurs dizaines de milliers d'euros le jour d'un sinistre.