Cour d'appel, chambre-1 civile et com., 28 avril 2026 — n° 24/01502

PAR CES MOTIFS La cour, statuant par arrêt contradictoire, Infirme la décision entreprise en toutes ses dispositions ; Statuant à nouveau, Rejette la demande de dommages et intérêts de la société MISA pour atteinte à l'honneur et à la considération de la société ou de ses représentants ; Rejette la demande de la société MISA tendant à la suppression des écrits figurant dans les conclusions de la société 3 services informatiques ; Dit que la société 3 services informatiques est responsable à hauteur de 50 % des dommages subis par la société MISA ; Condamne la société 3 services informatiques à verser à la société MISA la somme de 12 097,59 euros en réparation de ses préjudices détaillée comme suit : - 7 862,47 euros au titre de la perte d'exploitation, - 2 673,78 euros au titre du coût de la remise en état du système informatique, - 131,25 euros au titre du coût du paramétrage des connexions à distance, - 52,50 euros au titre de la réinstallation du logiciel Gestmag, - 1 377,59 euros au titre du coût de la rançon ; Rejette les demandes de la société MISA formées au titre : ' du préjudice issu du temps à remettre en service le système informatique, ' de l'audit informatique, ' du préjudice moral ; Rejette la demande d'indemnisation de la société 3 services informatiques pour procédure abusive ; Condamne la société 3 services informatiques aux dépens de première instance et d'appel ; Condamne la société 3 services informatiques à payer à la société MISA la somme de 3 000 euros sur le fondement de l'article 700 du code de procédure civile ; La déboute de sa demande formée à ce titre. Le greffier La présidente

* * * * * EXPOSE DU LITIGE La SARL MISA a pour objet social l'installation de machines et d'équipements mécaniques. Suivant devis du 5 février 2020, accepté le 20 février 2020, la société 3 services informatiques a proposé à la société MISA la refonte de son système informatique dans la perspective d'intégrer un logiciel de gestion assistée par ordinateur ainsi qu'un interface de services distanciels dans l'objectif de permettre aux salariés de cette société de travailler en réseau. L'installation du serveur et les prestations afférentes, débutées le 6 mars 2020, ont été interrompues du fait du confinement lié à l'épidémie de COVID 19 imposant la fermeture de la société à compter du 17 mars 2020. Le 10 mars 2020 une première facture a été adressée à la société MISA. Le 16 avril 2020, la SARL MISA ayant constaté que la sauvegarde du système informatique n'était pas parachevée et que le système présentait des lenteurs, la société 3 services informatiques est intervenue pour ajouter de la mémoire et finaliser la sauvegarde. Cette dernière a présenté une facture à la première de 288 euros. Le 18 avril 2020, la société MISA a subi une attaque informatique de type «ransomware » (rançon logiciel) qui a crypté ses fichiers l'obligeant à régler la somme de 2 755,18 euros. La société 3 services informatiques est intervenue les 20, 21, 24 et 30 avril 2020 pour mettre en place une sauvegarde de sécurité et remettre le serveur en état. Elle a édité une facture de 972 euros TTC. La société MISA a fait appel aux sociétés Esprit Digital et A2SI pour un audit informatique. Par courrier recommandé réceptionné le 31 août 2021, la société MISA a dénoncé les manquements contractuels de la société 3 services informatiques. Par courriel du 21 septembre 2021, cette dernière, par l'intermédiaire de son conseil, a contesté sa responsabilité. Par arrêt du 13 septembre 2022, cette cour, infirmant l'ordonnance du 12 avril 2022 du président du tribunal de commerce de Troyes, statuant en référé, a ordonné une expertise judiciaire, confiée à M. [P] [Y]. L'expert a déposé son rapport le 27 février 2023. Par exploit du 27 décembre 2023, la société MISA a fait assigner la société 3 services informatiques aux fins d'indemnisation de ses préjudices. Par jugement du 10 septembre 2024, le tribunal de commerce de Troyes a : - reçu la société MISA en ses demandes mais l'a déclarée mal fondée et l'a déboutée de l'intégralité de ses demandes, - reçu la société 3 services informatiques en ses demandes mais l'a déclarée mal fondée et l'a déboutée de l'intégralité de ses demandes, - condamné la société MISA à supporter les entiers dépens de l'instance en ce compris les frais de greffe liquidés, - liquidé les dépens à recouvrer par le greffe à la somme de 60,22 euros dont 10,04 euros de TVA. Par déclaration du 1er octobre 2024, la SARL MISA a interjeté appel de cette décision. Aux termes de ses dernières conclusions transmises par la voie électronique le 23 avril 2025, elle demande à la cour de : - la juger recevable et bien fondée en son appel, - infirmer le jugement sauf en ce qu'il a reçu la société 3 services informatiques en ses demandes mais l'a déclarée mal fondée et l'a déboutée de l'intégralité de ses demandes, statuant à nouveau, - condamner la société 3 services informatiques à lui verser une somme de 5 000 euros de dommages et intérêts pour atteinte à l'honneur et à la sa considération et celles de ses représentants, - ordonner la suppression des conclusions d'intimée notifiées par RPVA le 10 mars 2025 de la société 3 services informatiques et de toutes autres écritures des écrits suivants : « menaces, intimidations, chantage, séquestration de la part de Mr [C], gérant de la société MISA INTERNALTIONAL, à l'égard de Mr [U] [J], technicien informatique de la société 3 SERVICES INFORMATIQUES. Celui-ci se réserve d'ailleurs le droit de déposer plainte à l'encontre de Mr [C] »

MOTIFS DE LA DÉCISION - Sur la demande d'indemnisation pour atteinte à l'honneur et à la considération de la société MISA et de ses représentants et la demande de suppression des écrits figurant dans les conclusions de l'intimée : Selon l'article 41 de la loi du 29 juillet 1881, ne donneront lieu à aucune action en diffamation, injure ou outrage, ni le compte rendu fidèle fait de bonne foi des débats judiciaires, ni les discours prononcés ou les écrits produits devant les tribunaux. Pourront néanmoins les juges, saisis de la cause et statuant sur le fond, prononcer la suppression des discours injurieux, outrageants ou diffamatoires, et condamner qui il appartiendra à des dommages-intérêts. Pourront toutefois les faits diffamatoires étrangers à la cause donner ouverture, soit à l'action publique, soit à l'action civile des parties, lorsque ces actions leur auront été réservées par les tribunaux, et, dans tous les cas, à l'action civile des tiers. En l'espèce, la société intimée écrit (page 12 de ses conclusions) que « il convient de porter à la connaissance de la Cour le contexte dans lequel s'est déroulée cette relation commerciale : -Menaces, intimidations, chantage et séquestration de la part de Mr [C], gérant de la société MISA INTERNATIONAL, à l'égard de Mr [U] [J], technicien informatique de la société 3 SERVICES INFORMATIQUES. Celui-ci se réserve d'ailleurs le droit de déposer plainte à l'encontre de Mr [C] ». Elle verse par ailleurs aux débats deux attestations (ses pièces 15 et 17) émanant de M. [U] [J] et de son père, M. [T] [J], aux termes desquelles le premier relate avoir été victime le 21 avril 2020 d'une « tentative de séquestration et de menace » de la part de M. [C], détaillant les pressions et obstructions exercées pour empêcher son départ du site de la société, le second certifiant que son fils, contacté par message le jour des faits, lui a fait part des actes dont il était victime. Les conclusions ne font que reprendre les termes des attestations produites. Elles décrivent le contexte de l'intervention d'un technicien de la société intimée postérieurement à l'incident informatique à l'origine de l'action en responsabilité intentée par l'appelante. Elles concernent en conséquence les faits en cause. C'est donc à tort que la société Misa soutient qu'elles dépassent le cadre d'une défense légitime et sont totalement étrangers au litige à trancher. La société appelante échouant à établir la faute commise par l'intimée portant atteinte à son honneur ou sa considération, la demande d'indemnisation présentée de ce chef doit être rejetée. Il n'y a pas davantage lieu d'ordonner la suppression du paragraphe litigieux des conclusions en cause faute de démontrer le caractère diffamatoire et étranger à la cause de cet écrit. - Sur la responsabilité de la société 3 services informatiques : Selon les articles 1103 et 1104 du code civil, les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. Ils doivent être négociés, formés et exécutés de bonne foi. En application de l'article 1217 du code civil, la partie envers laquelle l'engagement n'a pas été exécuté, ou l'a été imparfaitement, peut demander réparation des conséquences de l'inexécution. En matière de contrats informatiques, les deux parties ont des obligations complémentaires. Le prestataire de services informatique chargé de la création et de l'élaboration de logiciels, sites web ou applications mobiles, prestations intellectuelles complexes par nature soumises à des aléas résultant de l'obligation de collaboration du client et de l'évolution rapide du secteur informatique, est tenu d'une obligation de moyens renforcée quant à la délivrance de l'ouvrage commandé. Il lui appartient ainsi de rapporter la preuve qu'il a accompli toute diligence en vue de l'obtention du résultat escompté, mais également qu'il n'a pas commis de faute dans l'exécution de ses obligations. Il incombe par ailleurs au vendeur professionnel de prouver qu'il s'est acquitté de l'obligation de conseil lui imposant de se renseigner sur les besoins de l'acheteur afin d'être en mesure de l'informer quant à l'adéquation de la chose proposée à l'utilisation qui en est prévue. L'obligation de conseil inhérente à tout contrat de fourniture informatique impose au vendeur de se renseigner sur les besoins de l'acheteur et d'informer ce dernier de l'aptitude du produit proposé à l'utilisation qui en est prévue. Il s'en déduit que ce devoir de conseil consiste à rechercher une solution qui soit adaptée aux besoins du client et à le mettre en garde contre les difficultés que présente l'implantation et l'exploitation d'un équipement présentant une certaine complexité. L'obligation de conseil de la société informatique (analyse des besoins, orientation vers la solution adaptée, alerte sur les risques) est une obligation de moyens renforcée. Si le client soutient qu'il n'a pas été correctement informé des limites du logiciel ou des risques du projet, il lui suffit d'alléguer qu'une information était due ; c'est alors au prestataire de prouver qu'il a effectivement délivré les explications et mises en garde nécessaires. Le client a, pour sa part, un devoir de collaboration. Il doit exposer correctement ses besoins, souvent via un cahier des charges, surtout si le projet est complexe. Si le client a sérieusement manqué à son obligation de coopération, le juge peut réduire la responsabilité du prestataire. En l'espèce, il ressort des devis établis par la société 3 services informatiques le 5 février 2020 (pièce 1 de l'intimée) et du rapport d'expertise (page 8) qu'ils répondent à une demande de la société MISA de refonte de son système informatique dans la perspective d'intégrer un logiciel de gestion intégrée par ordinateur ainsi qu'une interface de services distanciels. Il résulte de la facture datée du 10 mars 2020 que la société appelante a choisi le premier devis, moins onéreux (le premier chiffrant le coût des prestations à la somme de 3 764,89 euros HT contre 4 250,89 euros HT pour le second) prévoyant un seul onduleur (contre 3 dans le second devis) et une prestation informatique à hauteur de 8 heures (contre 9 dans le second). Il n'est pas contesté que le 20 mars 2020, la société MISA a fait l'objet d'une cyberattaque par « ransomware » bloquant l'accès à ses données et qu'elle a été contrainte de régler la somme réclamée par ses auteurs pour obtenir le déverrouillage des données chiffrées. L'expert judiciaire relève (page 20) que cette attaque est survenue en distanciel. Il indique que l'analyse des causes ayant rendu possible cette attaque mettent en lumière un déploiement candide du système d'exploitation Windows server 2019 en totale inadéquation avec les prescriptions sécuritaires du moment. Il rappelle (page 9) que la norme de référence dans le déploiement d'un parc informatique au sein d'une entreprise est la norme internationale ISO/CEI 27000-2018 et qu'une agence nationale de la sécurité des systèmes d'information a été mise en place avec un sous-service (le CERT-FR) ayant pour mission de piloter la réponse nationale aux attaques informatiques visant les actifs essentiels de la nation. Il ajoute que l'accès à ces services est connu de tous les acteurs du monde de l'informatique et que des sites assurent une veille technologique et une mission d'alerte quant aux nouveaux vecteurs de cyberattaques. Selon l'expert, ils assurent périodiquement la délivrance d'outils et de recommandations pour la mise en place et le déploiement d'un système numérique. Or, l'expert note que l'ajout de logiciels dit « sécuritaires » n'a eu aucune incidence sur le niveau de sécurité de l'installation puisque ces derniers ne sont que des outils complémentaires totalement dépendants de l'environnement dans lequel ils sont mis en 'uvre. Il conclut que cette configuration primaire est le vecteur de la compromission du système d'information de la société MISA.