Thread by @AlexArchambault

Dire qu’il y a encore des décideurs qui font des choix d’infra IT sans tenir compte des préconisations de ce monsieur, qui s’y connait plutôt très bien en matière de maintien en conditions opérationnelles d’infra ultra-critiques

https://twitter.com/davidrigaudiere/status/1169146687182573574

Twitter : « Ouin, scandaleux, mon infra est down, l’incendie de mon prestataire unique, c’est pas mon problème, je paye, ils me doivent une continuité de service, obligation de résultat je dis, qui va me rembourser ma perte de CA ? »
La réalité : « It’s complicated » #OVHOutage

Déjà, rappelons qu’on est ici sur des contrats entre professionnels, donc Twitter, tout ce que tiens de la fille du voisin qui est en couple avec un juriste qui fait du particulier, ou parce que toi aussi tu as lu le code de la consommation sur Legifrance, tu oublies.

(Petit propos liminaire sur le véritable sens & conséquences - au niveau juridique - de la distinction obligation de résultat / obligation de moyen, qui n’est pas celui perçu par les profanes en général, et les experts de Twitter en particulier)

D’un point de vue juridique, un contrat engage les parties, donc les obligations souscrites doivent être honorées. Point.
Après, le diable étant dans les détails, tout est dans l’interprétation du périmètre des obligations et, surtout, de comment on les évalue / conteste

Et c’est là qu’intervient la distinction obligation de résultat / obligation de moyens (qu’on assimile un peu hâtivement au best effort de la common law)
En obligation de résultat, en cas de pépin, le débiteur d’une obligation est présumé avoir manqué à ses obligations

Dit autrement, en obligation de résultat, la charge de la preuve de l’absence de manquement incombe au presta. Il peut s’en défaire en établissant le manquement de son cocontractant, le fait d’un tiers, la force majeure (sans que cela ne soit open bar, les juridictions veillent)

A l’inverse, en obligation de moyen, en cas de pépin, le débiteur d’une obligation est présumé avoir respecté le contrat. Il appartient donc au client d’établir le manquement du prestataire *à ses obligations contractuelles* (et non à ses propres croyances)

Dit autrement, le « je paye, j’ai tous les droits, le client est le roi », vous oubliez tout de suite lorsque vous souscrivez un contrat IT (que ce soit de l’infra, de la connectivité, du baremetal, du cloud, du logiciel, de la maintenance, du @davidrigaudiere). Le contrat prime

Alors oui, on m’objectera (à juste titre) qu’il peut y avoir une obligation de moyens renforcée, mais sur l’immense majorité des contrats souscrits, hors offres sur mesure, cela n’influe que très peu. On continue donc.

Donc en B2B, la quasi-totalité des contrats liants clients de prestations d’hébergement & cloud et hébergeurs sont en… obligation de moyens. Il appartient donc au client d'établir le manquement aux obligations contractuelles #DealWithIt

Ensuite, et c’est un paramètre sur lequel la plupart des souscripteurs ont tendance à passer un peu vite (absence d’acculturation aux maths & esprit logique), l’engagement du prestataire (en clair la durée d’interruption au-delà de laquelle il y a manquement) est dans le contrat

Ainsi que l’échelle de temps sur laquelle cette interruption est mesurée : hebdo / mensuelle / annuelle (le plus souvent, c’est de l’annuel, mais rien n’interdit de négocier du mensuel ou hebdo, une nouvelle fois, en B2B, les parties négocient comme bon leur semble)

Donc si votre contrat retient 90% de dispo en annuel, cela fait donc une interruption de 36,5 jours. Qui peuvent être des jours ouvrés ou calendaires (rien n’interdit de ne retenir que de l’ouvré)
99%, c’est 3,65 jours
99,9% c’est presque 9 heures

(En très gros, on est sur Twitter, il faut vulgariser) Ce n’est donc qu’à partir de ces seuils qu’il y a donc, juridiquement parlant, un manquement du prestataire à ses obligations en cas de perte de service.

Ensuite, en B2B, le contrat peut tout à fait prévoir (une nouvelle fois, le droit, ce n’est pas la morale) un plafonnement de la responsabilité du débiteur d’une obligation en cas de manquement de ce dernier. Dit autrement, ok, on a planté, voici 6 mois d’abonnement en avoir.

(6 mois, parce que c’est l’usage sur la plupart des contrats B2B bas de marché. Une nouvelle fois, rien n’interdit aux parties de négocier des seuils différents - par ex. X% du préjudice plafonné à Y Brouzoufs - ou + élevés, ce qui peut influer sur le prix)

Enfin, en cas de pépin, en B2B le contrat peut également prévoir de limiter le périmètre de prise en compte du préjudice, par exemple en se cantonnant qu’aux seuls dommages directs, excluant donc les dommages indirects et pertes de données
Illustration avec cet arrêt ⬇️

Sachant que lorsque ça part dans le décor, il n’est pas rare de voir le juge prendre en compte la faute de la victime, à plus forte raison lorsque cette dernières est professionnelle (genre SSII, webagency, etc…). Par exemple ne pas avoir redondé les sauvegardes
Illustration⬇️

⬆️Arrêt de la Cour d’Appel de Paris, en date du 25 janvier 2019 - 16/07746 sur la responsabilité d’un hébergeur en cas d’#AlertePelleteuse se traduisant par une perte de données d’un client n’ayant pas procédé à des sauvegardes. Pas de faute lourde.
doctrine.fr/d/CA/Paris/201…

Remplacez #AlertePelleteuse par #IncendieDataCenter, et vous avez une idée de ce qui attend les clients professionnels de l’Internet qui ont un peu trop misé sur un prestataire unique. #OVHOutage

Et pour conclure, je vais une nouvelle fois faire mon @Bernard_Lamon, mais professionnel de le Web, tu as parfaitement le droit de ne pas être expert en contrats services & infra Internet. C’est toutefois une faute que de ne pas s’entourer le moment venu de conseil

Dit autrement, considérer le conseil juridique / SSI / RGPD comme une prestation superflue, une variable d’ajustement de ton budget, c’est ton choix, mais c’est un risque très lourd de conséquences lorsque tu seras confronté à un gros aléa. Car le risque 0 n’existera jamais. #Fin