CA Montpellier, 4e ch. civ., 13 juin 2024, n° 22/01303

FAITS ET PROCÉDURE

L'Union Régionale des Professions Infirmiers Libéraux (ci-après l'URPS) est une association ayant pour but de contribuer à l'organisation et l'évolution de l'offre de santé au niveau régional et à sa mise en oeuvre. Dans ce cadre, elle peut conclure des contrats avec l'Agence Régionale de Santé et assurer des missions particulières impliquant les professionnels de santé libéraux dans les domaines de compétence de l'agence.

Le 9 octobre 2017, lors de l'assemblée générale, divers projets ont été présentés, soumis au vote et retenus :

Le projet LEO, outil de coordination présenté par les associés de la société Orion santé (M.M [C] et [M]),

Le projet Inzeecare développé par la société Idelyo, projet conçu comme étant une plate-forme de mise en relation des professionnels de santé libéraux, des établissements et des patients.

Lors de cette assemblée, l'URPS a voté l'adoption du projet LEO et donné mandat à son président, M. [S] [U], de signer un contrat d'abonnement avec la société Orion.

La SAS Community Care Technology(ci-après CCT) a été créée le 12 avril 2018 laquelle a transmis à l'URPS le 3 octobre 2018 un projet de contrat et une demande d'acompte d'un montant de 60 000 euros réglé par Mme [H], trésorière de l'URPS.

Soutenant que l'URPS a refusé de manière fautive de signer le contrat en dépit du développement du projet durant deux années, la société Community Care Technology l'a invitée suivant courrier du 9 décembre 2019 à signer le contrat avant le 23 décembre 2019.

M. [U] a exprimé un refus et sollicité en vain le remboursement de la somme de 60 000 € versée à titre d'acompte.

C'est dans ce contexte que par acte du 24 décembre 2019, la CCT a fait assigner l'URPS en paiement de dommages et intérêts sur le fondement des dispositions des articles 1104,111 et 1240 du code civil.

Par jugement contradictoire du 28 janvier 2022, le tribunal judiciaire de Montpellier a :

- Débouté la SAS Community Care Technology de l'ensemble de ses demandes formées à l'encontre de l'URPS Infirmier Libéraux Occitanie ;

- Condamné la SAS Community Care Technology à payer à l'URPS Infirmier Libéraux Occitanie les sommes suivantes :

- la somme de 18 240 € en réparation de son préjudice financier,

- la somme de 2 000 € en réparation de son préjudice moral,

- la somme de 60 000 € en remboursement de l'acompte perçu indûment avec intérêts au taux légal à compter de la signification du présent jugement,

- la somme de 4 000 euros en application des dispositions de l'article 700 du code de procédure civile ;

- Rejeté le surplus des demandes ;

- Condamné la SAS Community Care Technology aux dépens.

La CCT a relevé appel de ce jugement le 7 mars 2022.

PRÉTENTIONS

Par dernières conclusions remises par voie électronique le 11 mars 2024, la CCT demande en substance à la cour d'infirmer le jugement en ce qu'il l'a débouté de l'ensemble de ses demandes formées à l'encontre de l'URPS, et l'a condamné à payer les sommes susvisées, outre aux dépens, et statuant à nouveau de :

- Condamner l'URPS Infirmier Libéraux Occitanie à payer à lui payer :

A titre principal 501 040,04 € et à titre subsidiaire 400000€ HT au titre du préjudice économique,

25 000 € au titre des frais d'avocat engagés en pure perte,

60 000 € au titre du préjudice moral,

10 000 € au titre du caractère abusif de la saisie-conservatoire du 3 juin 2022.

- Débouter l'URPS Infirmier Libéraux Occitanie de son appel incident et spécialement de sa demande de restitution de la somme de 60 000 € versée à titre d'acompte, de sa demande de dommages et intérêts et, de manière plus générale, de toutes demandes, moyens et prétentions ;

- Condamner l'URPS Infirmier Libéraux Occitanie à payer à la SAS Community Care Technology la somme de 5 000 € au titre de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens.

Par dernières conclusions remises par voie électronique le 13 mars 2024, l'URPS demande en substance à la cour de confirmer le jugement entrepris en toutes ses dispositions, et de :

Débouter la SAS Community Care Technology de l'intégralité de ses demandes ;

Condamner la SAS Community Care Technology à lui verser la somme de 15 000 € au titre de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens en application de l'article 699 du code de procédure civile, au bénéfice de l'avocat soussigné.

Vu l'ordonnance de clôture du 13 mars 2024.

Pour plus ample exposé des éléments de la cause, moyens et prétentions des parties, il est fait renvoi aux écritures susvisées, conformément à l'article 455 du code de procédure civile.

MOTIFS :

Au soutien de son appel, la société CCT fait valoir en substance qu'alors que l'assemblée générale de l'URPS du 9 octobre 2017 a donné mandat à son président M. [U] de signer avec la société Orion un contrat de mise à disposition opérationnelle de la solution de coordination des équipes de soins primaires et qu'elle lui a transmis le projet de contrat et sa facture en octobre 2018, l'URPS n'a eu de cesse, par l'intermédiaire de son président, d'oeuvrer pour que le contrat ne soit jamais signé.

Elle en veut pour preuve la rigueur excessive dont l'URPS a fait montre à son égard alors que le deuxième projet présenté par la société Idelyo lors de la même assemblée générale, a été adopté sans la moindre difficulté.

Elle fait grief au premier juge d'avoir considéré qu'elle avait la qualité d'hébergeur de données de santé soumise en cette qualité à l'obligation d'agrément alors qu'elle avait choisi pour assurer cette prestation d'hébergement la société Az Network laquelle disposait bien de toutes les accréditations nécessaires exigées par les dispositions du code de la santé publique, précisant que si cette société a obtenu la certification le 15 novembre 2019, elle était précédemment agréée depuis 2013 et que l'URPS était parfaitement avertie qu'une fois le contrat signé, la CCT ferait appel à un hébergeur et qu'ainsi c'est à tort que l'URPS a mis en avant cette obligation de certification pour refuser de signer le contrat, ajoutant que contrairement aux allégations de l'URPS, elle n'a jamais proposé des prestations d'infogérance soumise à une certification et que si comme l'indique son contradicteur, des tests étaient prévus avant le lancement de l'application, il était entendu entre les parties que la phase de test n'aurait lieu qu'après la signature du contrat et qu'en tout état de cause, s'étant engagée aux termes du projet de contrat à fournir une solution fonctionnelle, l'URPS aurait été en mesure de résilier librement le contrat et d'engager sa responsabilité si cette solution n'avait pas été livrée.

L'URPS conclut au soutien de sa demande de confirmation du jugement déféré que la société CCT a fait preuve d'une particulière mauvaise foi durant la phase de négociation précontractuelle en détournant notamment la somme de 60 000 euros par l'intermédiaire de la trésorière de l'association, en faisant croire que les redevances devaient servir à l'utilisation de la solution alors qu'elles étaient en réalité destinées à financer son développement, en ne proposant pas une solution opérationnelle, en n'ayant conclu aucun contrat d'hébergement avec un hébergeur de données de santé, son contrat conclu le 27 novembre 2019 avec la société Az Network n'ayant été produit pour la première fois qu'en cause d'appel, alors qu'elle n'ignorait pas les exigences des dispositions du code de la santé publique régissant l'hébergement des données de santé, connues dès le début des négociations, et ayant en outre refusé à deux reprises une réunion aux fins de discussion et de finalisation de la négociation, ajoutant enfin que la société CCT est à l'initiative de la rupture prématurée des négociations en fin d'année 2019 à la veille de l'élection de nouveaux représentants de l'URPS.

L'article 1104 du code civil dispose que « les contrats doivent être négociés, formés et exécutés de bonne foi ».

En vertu de l'article 1112 du code civil, « l'initiative, le déroulement et la rupture des négociations précontractuelles sont libres. Ils doivent impérativement satisfaire aux exigences de la bonne foi.

En cas de faute commise dans les négociations, la réparation du préjudice qui en résulte ne peut avoir pour objet de compenser ni la perte des avantages attendus du contrat conclu ni la perte de chance d'obtenir ces avantages ».

Les négociations précontractuelles objets du litige ont pris naissance le 9 octobre 2017 par l'adoption d'une résolution rédigée par l'assemblée générale de l'URPS en ces termes :

« l'Assemblée de l'URPS donne mandat au Président pour signer un contrat d'abonnement avec la société Orion pour une mise à disposition de sa solution de coordination des Esp ».

Cette solution est présentée comme livrable au second semestre 2018.

Or, ce n'est qu'un an plus tard, le 4 octobre 2018, qu'à la faveur de l'assemblée générale de l'URPS est proposé à sa signature un projet de contrat, non avec la société Orion conformément à la décision de l'assemblée générale mais avec la société CCT, et qu'est émis à l'ordre de celle-ci et avant toute signature de ce projet par le représentant légal de l'association, par sa trésorière, un chèque d'un montant de 60 000 euros lequel sera immédiatement encaissé par l'URPS.

Le refus de signer ce premier projet de contrat en l'état, et la demande de restitution de l'acompte formalisée le 11 octobre 2018 par le président de l'association ne peuvent être tenus pour fautifs dès lors que ce projet désignait une autre entité juridique que la société Orion avec laquelle il avait reçu mandat de contracter, quand bien même cette société avait-elle les mêmes dirigeants que la société CCT.

De même, n'apparaissent pas davantage dénuées de fondements les réserves exprimées le 18 janvier 2019 par le président de l'association à la société Orion en réponse à son courrier du 12 décembre 2018 quant à la possibilité pour cette société de contracter avec la société CCT au regard des termes du mandat issu de la résolution de l'assemblée générale du 9 octobre 2017 qui précisait en substance que le projet proposé n'était pas conforme à ce mandat et l'informait qu'une nouvelle assemblée générale de l'association était convoquée, destinée à évoquer cette difficulté.

Le président de l'URPS recevant un nouveau mandat à l'issue de cette nouvelle assemblée générale tenue le 24 janvier 2019 de : « (...) trouver avec la CCT une solution contractuelle plus adaptée concernant le projet LEO et ce par l'intermédiaire d'un avocat spécialisé en droit des NTIC et de l'informatique », c'est seulement à compter de cette date que les parties vont réellement entrer en discussion et s'échanger plusieurs projets de contrat, le premier établi par l'URPS après réunion des parties le 27 février 2019, comprenant cinq annexes dont la cinquième portait sur les conditions d'hébergement de données de santé et prévoyant plusieurs dispositions destinées à garantir le respect de la réglementation en vigueur applicable au traitement des données à caractère personnel et en particulier à fixer les obligations du sous-traitant hébergeur de données de santé, et prévoyant une disposition précisant que ce dernier reconnaît être titulaire d'un certificat de conformité ou d'un agrément pour la conservation des données de santé.

Ce projet, modifié le 22 mai suivant par la société CCT, n'a pas suscité l'adhésion de l'URPS s'agissant d'une part des dispositions relatives au caractère opérationnel de l'application, et tenant d'autre part les modifications apportées à sa version s'agissant de la sécurité de l'hébergement des données de santé, et par suite de la responsabilité qu'elle pourrait encourir en sa qualité de distributeur.

Ces points ont été débattus à une nouvelle assemblée générale de l'URPS du 26 juin 2019.

Deux nouvelles réunions vont se tenir entre les parties sur ces difficultés au cours des mois de juillet et août suivants, qui vont générer l'élaboration par la CCT le 20 août 2019 d'un nouveau projet (pièce 42 de son dossier) qui comportait des avancées en termes d'accord des parties notamment en ce qu'il intégrait une phase de test de l'application, mais ont laissé subsister des points de blocage relativement aux obligations de la CCT quant à l'hébergement des données de santé, l'annexe 5 initialement proposé par l'URPS et retirée par la CCT, n'étant pas réintégrée dans ce projet de sorte que l'URPS l'a amendé à son tour pour y intégrer (pièce 43 du dossier de CCT) à l'article 10.1.4 une disposition par laquelle l'éditeur (CCT) s'engage avant la signature du contrat à justifier auprès de l'utilisateur (URPS) qu'il est bien titulaire d'une certification d'hébergeur de données de santé et à informer son co-contractant sur les conditions de recours à d'éventuels prestataires techniques externes assurant un niveau de protection équivalent.

Ces dissensions portant sur le contour des obligations de la société CCT au regard des dispositions du code de la santé publique relatives à la sécurité des données personnelles vont demeurer au coeur des échanges entre les parties ainsi qu'il résulte de leurs courriels des 5, 8, 13 et 18 et 19 novembre 2019 (pièces 19 et 20 ,21, 23 du dossier d'URPS), celle-ci déplorant le non-respect de ces dispositions et l'absence de possibilité de vérifier la reproduction de ces clauses dans le contrat que la CCT envisageait de conclure avec son hébergeur la société Az Network, la CCT la mettant finalement en demeure dans son courriel du 19 novembre 2019 de signer le contrat en l'état, précisant que son hébergeur bénéficiait d'un agrément de l'Etat et refusant de participer à une nouvelle réunion de consolidation, mise en demeure à laquelle ne déférera pas le président de l'association qui lui opposera un refus par lettre recommandée en date du 9 décembre 2019, laissant toutefois une possibilité de reprise ultérieure des discussions.

La cour ne trouve pas dans le rappel de la chronologie du déroulement des négociations et échanges entre les parties, d'éléments de nature à caractériser de la part de l'association URPS un positionnement fautif, empreint de mauvaise foi ou de volonté de les faire échouer, son souci réitéré de s'assurer de la conformité du contrat aux dispositions contraignantes du code de la santé publique relativement à la sécurité des données personnelles et de santé et de surcroît dans un contexte législatif et réglementaire en constante et récente évolution puisque les parties ont entrepris l'élaboration des dispositions du contrat litigieux - ayant pour mémoire, la mise à disposition et l'utilisation d'une application informatique destinée à coordonner entre professionnels le parcours de santé d'un patient, et hébergeant de ce fait des informations de santé à caractère éminemment personnel - quelques mois seulement après l'entrée en vigueur le 1er avril 2018 des articles L1111-8, R1111-8-8, R1111-8-9, R1111-11 du code de la santé publique aux termes desquels :

> Article L1111-8 :

« I.-Toute personne qui héberge des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, réalise cet hébergement dans les conditions prévues au présent article.

L'hébergement, quel qu'en soit le support, papier ou numérique, est réalisé après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime.

La prestation d'hébergement de données de santé à caractère personnel fait l'objet d'un contrat.

II.-L'hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d'un certificat de conformité. S'il conserve des données dans le cadre d'un service d'archivage électronique, il est soumis aux dispositions du III.

Ce certificat est délivré par des organismes de certification accrédités par l'instance française d'accréditation ou l'instance nationale d'accréditation d'un autre Etat membre de l'Union européenne mentionnée à l'article 137 de la loi n° 2008-776 du 4 août 2008 de modernisation de l'économie.

Les conditions de délivrance de ce certificat sont fixées par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés et des conseils nationaux de l'ordre des professions de santé (...) ».

> Article R1111-8-8 :

« I. - L'activité d'hébergement de données de santé à caractère personnel mentionnée au I de l'article L.1111-8 consiste à héberger les données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social :

1° Pour le compte de personnes physiques ou morales, responsables de traitement au sens de la loi n° 78-17 du 6 janvier 1978, à l'origine de la production ou du recueil de ces données ;

2° Pour le compte du patient lui-même.

Toutefois, ne constitue pas une activité d'hébergement au sens de l'article L. 1111-8, le fait de se voir confier des données pour une courte période par les personnes physiques ou morales, à l'origine de la production ou du recueil de ces données, pour effectuer un traitement de saisie, de mise en forme, de matérialisation ou de dématérialisation de ces données.

II. - Les responsables de traitement mentionnés au 1° du I, qui confient l'hébergement de données de santé à caractère personnel à un tiers, s'assurent que celui-ci est titulaire du certificat de conformité mentionné au II de l'article L. 1111-8 ».

> Article R1111-9 :

« Est considérée comme une activité d'hébergement de données de santé à caractère personnel sur support numérique au sens du II de l'article L.1111-8, le fait d'assurer pour le compte du responsable de traitement mentionné au 1° du I de l'article R.1111-8-8 ou du patient mentionné au 2° du I de ce même article, tout ou partie des activités suivantes :

1° La mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d'héberger l'infrastructure matérielle du système d'information utilisé pour le traitement des données de santé ;

2° La mise à disposition et le maintien en condition opérationnelle de l'infrastructure matérielle du système d'information utilisé pour le traitement de données de santé ;

3° La mise à disposition et le maintien en condition opérationnelle de l'infrastructure virtuelle du système d'information utilisé pour le traitement des données de santé ;

4° La mise à disposition et le maintien en condition opérationnelle de la plateforme d'hébergement d'applications du système d'information ;

5° L'administration et l'exploitation du système d'information contenant les données de santé ;

6° La sauvegarde des données de santé ».

> Article R1111-11 :

« I.-Le contrat d'hébergement mentionné au dernier alinéa du I de l'article L. 1111-8 est conclu entre l'hébergeur et son client. Il contient au moins les clauses suivantes :

1° L'indication du périmètre du certificat de conformité obtenu par l'hébergeur, ainsi que ses dates de délivrance et de renouvellement;

2° La description des prestations réalisées, comprenant le contenu des services et résultats attendus notamment aux fins de garantir la disponibilité, l'intégrité, la confidentialité et l'auditabilité des données hébergées ;

3° L'indication des lieux d'hébergement ;

4° Les mesures mises en 'uvre pour garantir le respect des droits des personnes concernées par les données de santé dont notamment :

- les modalités d'exercice des droits de portabilité des données ;

- les modalités de signalement au responsable de traitement de la violation des données à caractère personnel ;

- les modalités de conduite des audits par le délégué à la protection des données ;

5° La mention du référent contractuel du client de l'hébergeur à contacter pour le traitement des incidents ayant un impact sur les données de santé hébergées ;

6° La mention des indicateurs de qualité et de performance permettant la vérification du niveau de service annoncé, le niveau garanti, la périodicité de leur mesure, ainsi que l'existence ou l'absence de pénalités applicables au non-respect de ceux-ci ;

7° Une information sur les conditions de recours à d'éventuels prestataires techniques externes et les engagements de l'hébergeur pour que ce recours assure un niveau de protection équivalent de garantie au regard des obligations pesant sur l'hébergeur ;

8° Les modalités retenues pour encadrer les accès aux données de santé à caractère personnel hébergées ;

9° Les obligations de l'hébergeur à l'égard de la personne physique ou morale pour le compte de laquelle il héberge les données de santé à caractère personnel en cas de modifications ou d'évolutions techniques introduites par lui ou imposées par le cadre légal applicable ;

10° Une information sur les garanties et les procédures mises en place par l'hébergeur permettant de couvrir toute défaillance éventuelle de sa part ;

11° La mention de l'interdiction pour l'hébergeur d'utiliser les données de santé hébergées à d'autres fins que l'exécution de l'activité d'hébergement de données de santé ;

12° Une présentation des prestations à la fin de l'hébergement, notamment en cas de perte ou de retrait de certification et les modalités de mise en 'uvre de la réversibilité de la prestation d'hébergement de données de santé ;

13° L'engagement de l'hébergeur de restituer, à la fin de la prestation, la totalité des données de santé au responsable de traitement ;

14° L'engagement de l'hébergeur de détruire, à la fin de la prestation, les données de santé après l'accord formel du responsable de traitement et sans en garder de copie.

II.-Lorsque le responsable de traitement de données de santé ou le patient mentionnés au I de l'article R. 1111-8-8 fait appel à un prestataire qui recourt lui-même pour l'hébergement des données à un hébergeur certifié, le contrat qui lie le responsable de traitement ou le patient avec son prestataire reprend les clauses mentionnées au I telles qu'elles figurent dans le contrat liant le prestataire et l'hébergeur certifié ».

Dès lors que la société CCT avait la qualité - conformément aux conditions générales d'utilisation de l'outil LEO jointes en annexe 2 du projet de contrat communiquées par elle à l'URPS le 13 novembre 2019 - « d'Editeur de l'application » assurant à ce titre le traitement de données personnelles intégrées dans l'application par l'utilisateur et ayant, comme l'hébergeur, nécessairement accès à ces données personnelles (article 10.1.2 des conditions générales de l'outil LEO) et qu'en outre, elle faisait référence à la société Az Network présentée comme étant son futur hébergeur une fois le contrat signé (article 2.3 de son projet de contrat) n'étant pas contesté le fait qu'elle n'a communiqué qu'en cause d'appel le projet de contrat élaboré avec cette société seulement le 27 novembre 2019, soit postérieurement à la rupture des pourparlers précontractuels, ce qui n'a pas permis à l'URPS d'examiner la conformité des clauses de ce projet avec les exigences de l'article R1111-11 II du code de la santé publique, il apparaît que l'URPS pouvait, de bonne foi, exiger la mention des clauses prévues par les dispositions sus-citées de l'article R1111-11 I. du dit code ou à tout le moins, ainsi qu'elle le fait dans son courriel adressé à la société CCT le 18 novembre 2019, obtenir une réunion afin d'évoquer les difficultés résiduelles nées de l'application ou de l'interprétation de ces dispositions qui pour être, ainsi que le conclut la société, « le seul point de blocage », étaient néanmoins à compter parmi l'un des éléments essentiels des pourparlers précontractuels dès lors que traitant de la sécurité, la sauvegarde et la confidentialité des données de santé, elles étaient susceptibles de générer entre autres risques, celui non négligeable de mise en jeu de sa responsabilité civile.

Il sera relevé enfin pour répondre à l'argument de la société CCT selon lequel elle aurait fait l'objet d'un traitement pour le moins inéquitable par rapport à celui réservé à la société Idelyo dont l'application « Inzee Care », adoptée lors de la même assemblée générale que le projet LEO, a été mise en oeuvre sans réserves, que le projet d'application de la société Idelyo était, contrairement au projet LEO, immédiatement opérationnel pour avoir été déjà utilisé par les URPS d'autres régions avant l'entrée en vigueur des dispositions sus-citées du code de la santé publique ayant renforcé le dispositif de protection des données de santé recueillies à l'occasion d'activités de prévention, diagnostic, de soins ou suivi social ou médico-social.

Et il sera enfin et surtout relevé au vu des pièces 41 et 42 du dossier de l'URPS, que la société Idelyo a justifié avoir confié l'hébergement des données de santé à une société titulaire d'une certification au titre des activités 1 à 6 visées par l'article R1111-9 du code de la santé publique.

Il ressort de l'ensemble de ces considérations que la société CCT ne rapporte pas la preuve dont elle a la charge de ce que le déroulement, puis la rupture des négociations précontractuelles engagées avec l'association URPS n'ont pas satisfait de la part de cette dernière aux exigences de la bonne foi érigée en principe devant présider à l'élaboration de tout contrat par les dispositions sus-visées des articles 1104 et 1112 du code civil.

Il en résulte que le jugement déféré sera confirmé en ce qu'il a débouté la société CCT de ses demandes indemnitaires formées à l'encontre de l'URPS.

Il le sera également en ce qu'il a fait droit aux demandes reconventionnelles de l'URPS en restitution de l'acompte versé à la CCT le 4 octobre 2018 d'un montant de 60 000 euros et en paiement des sommes de 18 240 euros au titre de son préjudice financier dûment justifié, outre 2 000 euros au titre du préjudice moral.

Partie succombante, la société Community Care Technology sera condamnée aux dépens d'appel par application des dispositions de l'article 696 du code de procédure civile.

PAR CES MOTIFS

Statuant par arrêt contradictoire,

Confirme le jugement déféré en toutes ses dispositions,

Y ajoutant,

Condamne la Sas Community Care Technology aux dépens d'appel,

Condamne la Sas Community Care Technology à payer à l'Union Régionale des Professions Infirmiers Libéraux Occitanie la somme de 6 000 euros sur le fondement de l'article 700 du code de procédure civile.