RC Pro et cyber-risques : êtes-vous protégé en cas de piratage ?

« Ma RC Pro me couvrira. » La phrase n'est pas fausse, elle est incomplète. Une assurance de responsabilité ne connaît qu'une seule question : que devez-vous à quelqu'un d'autre ? Si l'attaque n'a coûté qu'à vous, elle ne trouve rien à payer.

Un piratage produit pourtant les deux effets en même temps. Des conséquences chez vos clients, qui peuvent vous être réclamées. Et des conséquences chez vous, que personne ne vous réclamera jamais. Les cinq croyances qui suivent naissent toutes de cette confusion, et chacune se règle avec un texte.

« Une cyberattaque, c'est un sinistre : mon assurance s'en occupe »

Un sinistre, au sens d'un contrat de responsabilité, n'est pas un événement grave. C'est une réclamation. L'article L124-1 du Code des assurances le pose sans détour : en assurance de responsabilité, l'assureur n'est tenu que si une réclamation est formée par le tiers lésé. Tant que personne ne vous reproche rien, il n'y a rien à garantir, quel que soit le désordre dans vos serveurs.

Cette règle a une face plus favorable. La victime n'est pas tenue d'attendre votre bon vouloir.

Un client peut-il s'adresser directement à l'assureur après une fuite de données ?

Oui. L'article L124-3 du Code des assurances donne au tiers lésé une action directe contre l'assureur : il peut réclamer sa réparation à lui, sans passer par vous et sans que vous ayez reconnu quoi que ce soit. En pratique, les contrats prévoient un délai de déclaration du sinistre à l'assureur, et la réclamation peut lui parvenir avant de parvenir à l'assuré.

« Le vol de mes données clients est couvert »

Deux choses portent ici le même nom. Les fichiers sont chez vous ; le préjudice, lui, est chez les personnes dont ils parlent. C'est cette seconde moitié, et elle seule, qu'une RC Pro peut prendre en charge.

Le fondement ne manque pas. L'article 1240 du Code civil oblige l'auteur fautif d'un dommage causé à autrui à le réparer, et l'article 1241 y ajoute la négligence et l'imprudence — une base laissée accessible relève plutôt du second. Envers le client professionnel qui vous avait confié ces données, c'est l'article 1231-1 qui joue : l'inexécution d'une obligation ouvre droit à des dommages-intérêts, sauf force majeure. Si votre prestation comportait un engagement de sécurisation, la faille est une inexécution, pas un accident.

Une sanction administrative est-elle prise en charge par la RC Pro ?

Non. Une pénalité prononcée contre vous par une autorité n'est pas une réparation due à un tiers : personne ne vous la réclame en qualité de victime. Elle sort de l'objet même d'une assurance de responsabilité. La notification aux personnes concernées, l'expertise technique, la reconstitution des fichiers suivent la même logique : ce sont vos dépenses, pas votre dette. Un contrat cyber-risques les traite, une RC Pro non.

« La perte d'exploitation, c'est bien un préjudice »

C'en est un, mais c'est le vôtre. Les journées de production perdues, les commandes qui ne passent pas pendant que le site est à l'arrêt, le temps passé à tout remonter : aucune de ces pertes n'est due à un tiers, donc aucune n'entre dans une garantie de responsabilité.

La RC Pro couvre-t-elle la perte d'exploitation subie après un piratage ?

Non, lorsqu'il s'agit de la vôtre. Retournez la situation et la réponse change : si c'est votre client qui s'arrête parce que l'outil que vous lui avez livré a été compromis, sa perte est un dommage causé à un tiers, et la question de la garantie se pose réellement.

Elle se pose même deux fois. Un préjudice purement financier est un dommage immatériel, et les contrats distinguent celui qui découle d'un dommage matériel garanti de celui qui ne découle de rien de physique. Une intrusion informatique ne casse en général aucun bien : le préjudice du client est donc immatériel non consécutif, la catégorie la plus souvent sous-plafonnée quand elle n'est pas exclue. Pour un prestataire du numérique, cette ligne des conditions particulières pèse plus lourd que le plafond affiché en première page, et elle mérite d'être lue avant la signature plutôt qu'après l'incident. Le détail de cette distinction est traité dans notre article sur les dommages immatériels.

« La rançon, l'assureur finira par la rembourser »

Une rançon n'est pas une dette de réparation : c'est un décaissement que vous décidez, au bénéfice de celui qui vous attaque. Aucun tiers lésé ne vous la réclame. Elle est donc hors du champ d'un contrat de responsabilité par construction, et non par le jeu d'une exclusion qu'on pourrait racheter.

L'assureur peut-il prendre en charge une rançon versée à un pirate ?

Pas au titre d'une RC Pro. Certains contrats cyber prévoient une intervention sur ce poste, avec leurs propres conditions et leurs propres limites ; d'autres l'écartent. C'est une clause à vérifier contrat par contrat, et jamais une réponse générale. Les frais de négociation, de restauration des systèmes et de gestion de crise relèvent de la même famille : ils protègent votre entreprise, pas ses victimes.

« Une faille due à ma négligence fait tomber la garantie »

C'est l'inverse. Une assurance de responsabilité est faite pour la faute : sans faute, il n'y aurait aucune dette à couvrir. L'article 1241 du Code civil vise expressément la négligence et l'imprudence. Un correctif jamais appliqué, un mot de passe partagé, une sauvegarde qu'on n'a pas testée depuis deux ans : rien de tout cela ne prive de garantie en soi.

En pratique, les contrats écartent le dommage intentionnel et couvrent les fautes non intentionnelles, sous réserve des exclusions qu'ils énoncent — la liste se lit dans les conditions générales.

Faut-il déclarer à l'assureur un changement dans le traitement des données ?

Oui, dès lors qu'il aggrave le risque. L'article L113-2 3° du Code des assurances laisse quinze jours pour déclarer toute circonstance nouvelle qui aggrave le risque ou en crée un nouveau. Se mettre à héberger soi-même les fichiers de ses clients, ouvrir une boutique en ligne, reprendre l'infogérance d'un parc informatique : ces évolutions ne ressemblent pas à un changement de métier, elles en sont un du point de vue du contrat.

Ce qui se joue là mérite d'être connu, parce que les deux issues n'ont rien de comparable. L'article L113-8 vise la fausse déclaration intentionnelle et prononce la nullité du contrat, les primes restant acquises à l'assureur. L'article L113-9 vise la déclaration inexacte faite de bonne foi et écarte la nullité : surprime, résiliation, ou, si l'omission n'apparaît qu'après le sinistre, réduction de l'indemnité en proportion des primes payées par rapport à celles qui auraient été dues. L'oubli coûte une part de l'indemnité ; le mensonge coûte le contrat.

Deux contrats, deux questions différentes

Reste la défense, sur laquelle circule une dernière approximation : la RC Pro finance bien les frais engagés pour vous défendre quand un tiers vous met en cause. L'assureur y a un intérêt direct, puisqu'il paierait l'indemnité. Ce qu'elle ne fait pas, c'est vous armer quand c'est vous qui voulez agir.

Cette fonction-là appartient à la protection juridique, que l'article L127-1 du Code des assurances définit comme la prise en charge de frais de procédure ou la fourniture de services en cas de litige avec un tiers. L'article L127-3 y attache une prérogative peu exercée : dès qu'un recours à un tiers est prévu, l'assuré choisit librement son avocat, et l'assureur ne peut pas lui en suggérer un sans demande écrite préalable. En cas de conflit d'intérêts ou de désaccord, l'article L127-5 impose à l'assureur de rappeler ce libre choix et d'indiquer la procédure de règlement des divergences.

Une intrusion informatique n'appelle donc pas un contrat, mais une répartition. Ce que vos clients vous réclament relève de la responsabilité ; ce que l'attaque vous coûte relève d'un contrat cyber ; ce que vous voulez réclamer à quelqu'un d'autre relève de la protection juridique. La question utile, avant l'incident, n'est pas « suis-je couvert ? » mais « lequel des trois répondrait à ce dossier ? ». Le point de départ reste le périmètre de la responsabilité civile professionnelle déjà souscrite.

Qui écrit ces pages

Adallom est un courtier en assurances immatriculé à l'ORIAS sous le numéro 11061659, sous le contrôle de l'ACPR. Nous exerçons en agence de souscription : nous concevons nos propres contrats de responsabilité civile professionnelle, le risque étant porté par un assureur agréé partenaire, et nous en assurons la souscription comme la gestion. Le devoir de conseil prévu à l'article L521-4 du Code des assurances nous impose de préciser par écrit vos exigences et vos besoins, et de motiver ce que nous vous recommandons. Cet article décrit le droit applicable ; il ne remplace pas l'examen de votre situation ni la lecture de vos conditions générales.

À lire également : Données clients et RGPD pour petites structures : éviter les sanctions et les litiges · RC Pro et assurances complémentaires : quelles garanties associer ? · Que se passe-t-il sans RC Pro ? Risques financiers et juridiques · Quels sont les litiges les plus fréquents pour un professionnel indépendant ?.

Découvrir l'offre Adallom : Assurance cyber-risques Adallom — accompagnement humain, garanties claires, devis en ligne.