Un matin, votre boîte mail ne répond plus. Le webmail affiche une erreur, le logiciel ne synchronise rien, puis l’accès revient et des dossiers entiers ont disparu : factures, échanges avec un client, documents administratifs, photos de famille. Pour un particulier comme pour une entreprise, la coupure d’une messagerie n’est jamais un simple désagrément technique. Les messages perdus valent preuve dans un litige, les contacts professionnels conditionnent l’activité, et les données de santé ou de vie privée enfermées dans les archives touchent à l’intime.
Face à cette situation, deux réflexes s’imposent : agir vite pour récupérer vos messages, et constituer dès les premières heures le dossier qui permettra, si rien ne rentre dans l’ordre, de faire reconnaître la faute du fournisseur, de résilier le contrat et d’obtenir réparation. Le droit applicable combine le contrat d’abonnement, avec ses engagements de disponibilité et de sauvegarde, et le règlement européen sur les données personnelles, qui fait de la disponibilité de vos messages une obligation encadrée et assortit chaque manquement de recours précis.
Cet article décrit la méthode complète : ce que le fournisseur vous doit sur le fondement du contrat et du règlement européen, comment exiger la copie et la portabilité de vos messages, quelles preuves conserver, quand saisir la CNIL et le juge, et comment chiffrer votre préjudice. Il s’applique aux boîtes mail des grands fournisseurs comme aux messageries professionnelles hébergées, à Paris comme ailleurs en France.
I. Vos messages sont des données personnelles : ce que le fournisseur vous doit
A. Disponibilité, sauvegarde et sécurité : une obligation de résultat encadrée
Votre messagerie n’est pas un simple tuyau technique. Les messages stockés sur les serveurs du fournisseur, avec vos contacts, vos pièces jointes et vos archives, constituent des données personnelles dont un responsable de traitement a la charge. Le règlement européen impose à ce responsable et à son sous-traitant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement (paragraphe 1, point b, de l’article 32 du règlement (UE) 2016/679. Le même texte leur impose de pouvoir rétablir la disponibilité des données personnelles et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique (paragraphe 1, point c, de l’article 32 du même règlement. Une boîte mail qui reste inaccessible pendant des jours, puis rouvre vide, heurte directement cette exigence.
La jurisprudence française tire de ces engagements une conséquence nette pour les professionnels de l’hébergement : la disponibilité des données constitue l’obligation essentielle du contrat. Dans un arrêt du 19 mai 2022 opposant un intégrateur à son hébergeur après la perte complète des données comptables d’une association, la cour d’appel de Versailles a jugé que l’obligation essentielle de l’hébergeur consistait à rendre disponibles les données et applications hébergées, avec un taux de disponibilité de 99,5 % (cour d’appel de Versailles, 12e chambre, 19 mai 2022, n° 20/05106). L’incident, survenu le 28 juin 2017, avait entraîné une interruption de service et la perte complète des données, sans qu’aucune sauvegarde exploitable ne puisse être restaurée dans le délai contractuel de quatre heures, ni ultérieurement. La cour a confirmé que l’hébergeur avait manqué à ses obligations contractuelles.
Cet arrêt apporte trois enseignements directement transposables à une messagerie défaillante. D’abord, le fournisseur ne peut se retrancher derrière une explication technique unilatérale : la cour a relevé que le seul rapport d’incident rédigé par l’hébergeur, non corroboré par un élément extérieur, ne démontrait pas que l’indisponibilité avait une cause imputable au client, rappelant au passage qu’une partie ne peut se constituer une preuve à elle-même et que le seul rapport d’incident rédigé par le prestataire ne suffisait pas. Ensuite, les conseils généraux adressés au client, comme une recommandation de mettre à jour sa plateforme, ne suffisent pas à établir le lien entre l’état des systèmes et l’impossibilité de restaurer les fichiers. Enfin, la clause qui limite la réparation à quelques mois de redevance n’a pas été écartée : la cour l’a jugée valable, dès lors qu’elle avait été portée à la connaissance du client et qu’elle ne contredisait pas l’obligation essentielle, tout en condamnant l’hébergeur à verser 8 497,20 euros et à annuler une facture émise pour une période sans service. Conservez donc votre contrat : le taux de disponibilité promis, le délai de rétablissement garanti et le plafond de responsabilité déterminent l’issue du litige.
B. Accès, copie et portabilité : vos droits sur le contenu de la boîte
Quand l’accès est coupé, le premier réflexe consiste à exiger du fournisseur la restitution de vos propres messages. Le droit européen vous y aide. Toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées et, lorsqu’elles le sont, l’accès à ces données (paragraphe 1 de l’article 15 du règlement (UE) 2016/679. Le responsable doit en outre fournir une copie des données faisant l’objet du traitement (paragraphe 3 du même article 15. Lorsque la demande est présentée par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire. Concrètement, écrivez au fournisseur, exigez la copie complète de votre boîte, fixez un délai et conservez la preuve de l’envoi.
Le droit à la portabilité complète ce dispositif lorsque la messagerie repose sur votre consentement ou sur le contrat d’abonnement : chacun peut recevoir les données à caractère personnel les concernant qu’elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable du traitement sans que le responsable du traitement auquel les données à caractère personnel ont été communiquées y fasse obstacle (paragraphe 1 de l’article 20 du même règlement. Vous pouvez ainsi exiger vos messages dans un format exploitable et les faire transmettre directement à un nouveau fournisseur, lorsque cela reste techniquement possible. Ce droit ne porte pas atteinte aux droits des tiers : les messages reçus de vos correspondants, qui contiennent aussi leurs données, appellent une extraction soigneuse, sans exposition inutile.
Si le fournisseur garde le silence ou refuse, le relais existe déjà dans la jurisprudence récente du site : une demande d’accès restée sans réponse ouvre la voie vers la CNIL puis vers le juge, comme l’explique notre analyse du droit d’accès resté sans réponse. Formulez donc votre demande en visant expressément les articles 15 et 20 du règlement : un refus opposé à une demande précise et datée pèse lourd dans la suite du dossier, tant devant l’autorité de contrôle que devant le tribunal.
II. Boîte coupée ou vidée : la méthode pour récupérer, prouver et être indemnisé
A. Constater, mettre en demeure et alerter : les premières 72 heures décisives
Dès la coupure, chaque heure compte pour la preuve. Capturez les messages d’erreur datés, photographiez l’écran du webmail et du logiciel, conservez les accusés d’échec d’envoi reçus par vos correspondants et demandez à deux ou trois d’entre eux une attestation décrivant les messages qu’ils ne parviennent plus à vous adresser. Notez l’heure exacte de la première impossibilité de connexion, puis chaque tentative : un journal précis, tenu au jour le jour, vaut mieux qu’un récit reconstitué des mois plus tard. Si des messages ont disparu après le rétablissement, exportez immédiatement ce qui reste et faites constater l’absence des dossiers effacés, par exemple par un commissaire de justice pour les boîtes professionnelles à fort enjeu. Le rapport d’incident rédigé par le seul fournisseur ne suffit pas à établir les faits, comme l’a montré l’affaire jugée à Versailles : seule une constatation extérieure, datée et contradictoire, fait pièce solide.
Adressez ensuite une mise en demeure au fournisseur, par lettre recommandée avec accusé de réception doublée d’un courriel. Exigez le rétablissement de l’accès, la restauration des messages à partir des sauvegardes, la copie complète de la boîte sur le fondement de l’article 15 du règlement et, le cas échéant, la portabilité prévue par son article 20. Rappelez les engagements du contrat : taux de disponibilité, délai de rétablissement, gestion des sauvegardes. Cette mise en demeure n’est pas une formalité : elle conditionne la suite. Le Code civil autorise le créancier à « résoudre le contrat par voie de notification ». Il ajoute : « Sauf urgence, il doit préalablement mettre en demeure le débiteur défaillant de satisfaire à son engagement dans un délai raisonnable. » La mise en demeure doit en outre prévenir : « La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat », selon l’article 1226 du Code civil. Mentionnez donc expressément la résolution envisagée : sans cette phrase, une résiliation unilatérale reste fragile.
Vérifiez aussi si la panne cache une violation de données personnelles. Quand des messages deviennent accessibles à des tiers, sont exposés ou sont définitivement perdus par le fournisseur, celui-ci doit, comme responsable de traitement, notifier l’incident à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, à moins que la violation en question ne serait pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ( paragraphe 1 de l’article 33 du règlement (UE) 2016/679. Si votre messagerie est fournie par un prestataire qui agit comme sous-traitant de votre entreprise, ce prestataire avertit le responsable du traitement de toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance ( paragraphe 2 du même article 33. Demandez par écrit au fournisseur s’il a procédé à cette notification et s’il a averti les personnes concernées : le règlement dispense d’avertir chacun uniquement dans trois cas, notamment lorsque le responsable avait mis en oeuvre des mesures de protection techniques et organisationnelles appropriées, comme un chiffrement rendant les données incompréhensibles aux personnes non autorisées, selon le paragraphe 3, point a, de l’article 34 du même règlement. Une absence de notification, alors que des milliers de messages ont disparu, constitue un indice sérieux de manquement à la sécurité.
Pensez aussi à exploiter le support du fournisseur comme source de preuve. Chaque ticket d’assistance horodaté, chaque réponse qui reconnaît une opération de maintenance ou une restauration en cours fixe la chronologie de l’incident et, parfois, son périmètre. Téléchargez ces échanges au format complet, avec en-têtes et dates, avant toute résiliation : une fois le compte fermé, l’espace client devient souvent inaccessible et ces pièces disparaissent avec lui. Pour les boîtes professionnelles, désignez dès le premier jour une personne chargée de centraliser les pièces dans un dossier unique, avec un tableau qui associe à chaque date l’événement constaté et la pièce correspondante. Les juges consulaires et civils accueillent favorablement ces chronologies documentées, qui rendent le préjudice tangible et crédible.
En parallèle, vous pouvez saisir la CNIL par une réclamation. Toute personne qui estime subir une violation du règlement peut introduire une réclamation auprès d’une autorité de contrôle ( paragraphe 1 de l’article 77 du règlement (UE) 2016/679. En France, la Commission « traite les réclamations, pétitions et plaintes introduites par une personne concernée », « examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable », selon le 2°, d, du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978. Joignez à votre réclamation la chronologie des faits, la mise en demeure et sa réponse éventuelle : un dossier documenté obtient une instruction plus rapide. La réclamation ne suspend pas vos recours contractuels, elle les renforce, car les constats de l’autorité pèsent devant le juge.
B. Suspendre, résilier et obtenir réparation : chiffrer chaque préjudice
Si l’accès n’est pas rétabli ou si les messages restent perdus, le contrat offre une palette de sanctions. La partie qui n’obtient pas l’exécution promise dispose de plusieurs sanctions : elle peut « refuser d’exécuter ou suspendre l’exécution de sa propre obligation », « poursuivre l’exécution forcée en nature de l’obligation », « obtenir une réduction du prix », « provoquer la résolution du contrat » ou « demander réparation des conséquences de l’inexécution », selon l’article 1217 du Code civil. Ces sanctions se cumulent lorsqu’elles restent compatibles, et le texte ajoute : « Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter. ». Concrètement, vous pouvez suspendre le paiement de l’abonnement tant que le service reste indisponible, exiger une réduction du prix pour la période dégradée, puis provoquer la résolution du contrat si l’inexécution se révèle suffisamment grave, puisque « la résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice », selon l’article 1224 du Code civil. La Cour de cassation contrôle strictement cette gravité : dans un arrêt du 29 janvier 2025, la chambre commerciale a censuré une cour d’appel qui déclarait une résiliation justifiée tout en relevant qu’aucun manquement grave n’était caractérisé (Cour de cassation, chambre commerciale, 29 janvier 2025, n° 23-17.795). Évaluez donc la gravité avec réalisme : une coupure de quelques heures avec restauration complète se répare par une réduction de prix, tandis qu’une perte définitive de plusieurs années d’archives professionnelles justifie la résolution.
Pour les abonnements de communications électroniques souscrits par un consommateur, la loi verrouille en outre la sortie : « La durée du préavis de résiliation par un consommateur d’un contrat de services de communications électroniques ne peut excéder dix jours à compter de la réception par le fournisseur de la demande de résiliation », selon l’article L224-39 du Code de la consommation. Et lorsque le contrat à durée déterminée se prolonge tacitement, « le consommateur a le droit de résilier ce contrat à tout moment à compter de la date de la prolongation, moyennant un délai de préavis qui ne peut excéder dix jours, et sans supporter de frais sauf les charges liées à la réception du service pendant le délai de préavis », selon l’article L224-40 du même code. Un fournisseur qui impose un préavis d’un mois ou facture des frais de résiliation après tacite reconduction méconnaît ces textes : contestez par écrit et, à défaut d’avoir gain de cause, saisissez le médiateur des communications électroniques avant le tribunal.
L’indemnisation suppose de prouver trois éléments : la faute, le préjudice et le lien entre les deux. La faute résulte du manquement aux engagements de disponibilité et de sauvegarde, ou aux obligations de sécurité du règlement. Le préjudice se chiffre poste par poste : factures d’un nouveau prestataire et frais de migration, heures de ressaisie au taux horaire justifié, chiffre d’affaires perdu sur les commandes restées sans réponse, frais de constat et de procédure. Le Code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure », selon l’article 1231-1 du Code civil. La force majeure, souvent invoquée après un incident, suppose un événement imprévisible et irrésistible : une panne de disque dur sans sauvegarde exploitable, comme dans l’affaire versaillaise, ne remplit pas ces conditions.
Deux limites appellent la vigilance. D’abord, la clause qui plafonne l’indemnisation à quelques mois de redevance s’applique en principe, comme l’a confirmé la cour d’appel de Versailles, sauf si elle vide l’obligation essentielle de sa substance ou si une faute lourde ou un dol sont établis. Faites vérifier la clause par un examen attentif du contrat signé et des conditions générales qui y sont visées : une clause jamais portée à votre connaissance avant la souscription se discute, et une exclusion qui couvrirait jusqu’à l’absence totale de sauvegarde frôle la contradiction avec l’obligation de disponibilité. Ensuite, le préjudice moral tiré de la seule violation du règlement ne se présume pas : « Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon la Cour de cassation qui vise le paragraphe 1 de l’article 82 du règlement (UE) 2016/679, mais la Haute juridiction, dans un arrêt du 24 juin 2026, a jugé que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et qu’il appartient au juge d’apprécier si le demandeur établit que la violation lui a causé un dommage matériel ou moral (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). Cet arrêt reprend la jurisprudence de la Cour de justice de l’Union européenne, qui exclut toute condition de gravité minimale du préjudice moral mais refuse tout automatisme indemnitaire (CJUE, 4 mai 2023, C-300/21, Österreichische Post) et impose au demandeur d’établir la violation, le dommage et le lien entre eux (CJUE, 25 janvier 2024, C-687/21, MediaMarktSaturn). Décrivez donc concrètement votre dommage : angoisse documentée par un suivi médical, démarches interminables pour reconstituer les dossiers, perte d’une chance identifiée dans un recrutement ou une transaction. Un préjudice raconté avec pièces se répare ; un préjudice affirmé en une phrase s’évapore.
Lorsque la messagerie est adossée à votre propre nom de domaine, préparez la migration sans attendre l’issue du litige. Le nom de domaine et les messages sont deux objets distincts : conservez la maîtrise du premier auprès du bureau d’enregistrement, et faites pointer vos enregistrements de messagerie vers le nouveau prestataire dès que la portabilité ou la copie de l’ancien contenu est obtenue. Exigez de l’ancien fournisseur, sur le fondement de l’article 20 du règlement quand le traitement repose sur le contrat, la transmission directe des données vers le nouveau service, et vérifiez message par message que les dossiers sensibles ont suivi. Une migration propre, documentée et sans perte supplémentaire démontre votre diligence et prive le fournisseur sortant de l’argument selon lequel vous auriez aggravé votre propre préjudice.
À Paris et en Île-de-France, le contentieux se joue devant des juridictions rompues à ces dossiers : le tribunal judiciaire de Paris pour les litiges de données personnelles entre particuliers et fournisseurs, le tribunal de commerce pour les messageries professionnelles, avec une mise en état qui valorise les dossiers chiffrés et datés. Les constats y sont diligentés rapidement, et la médiation des communications électroniques, saisie en ligne, règle une partie des résiliations contestées sans audience. Conservez chaque pièce au format original, sans modifier les métadonnées : exports, journaux de connexion, factures et échanges avec le support forment la colonne vertébrale du dossier parisien comme provincial.
Conclusion
En définitive, une boîte mail inaccessible ou vidée n’est pas une fatalité technique dont le client ferait les frais. Le fournisseur promet la disponibilité, le règlement impose la sécurité et la restauration, et le contrat comme la loi organisent la sortie et la réparation. Celui qui constate vite, met en demeure avec précision, saisit la CNIL à bon escient et chiffre chaque poste de préjudice transforme une panne subie en dossier gagné. La société qui externalise sa messagerie sans exiger de sauvegardes testées, comme le particulier qui conserve dix ans d’archives sans export local, découvre à cette occasion la valeur de la prévention : une sauvegarde régulière sur un second support reste l’assurance la moins chère contre la prochaine coupure.
Trois réflexes résument la conduite à tenir. D’abord, écrire : chaque demande au fournisseur, chaque constat et chaque délai se prouve par un document daté. Ensuite, viser juste : les articles 15, 20, 32 et 33 du règlement, les articles 1217, 1224, 1226 et 1231-1 du Code civil et les articles L224-39 et L224-40 du Code de la consommation forment le socle de toute réclamation sérieuse, sans qu’il soit besoin d’invoquer des principes généraux. Enfin, chiffrer : un préjudice détaillé poste par poste, pièces à l’appui, obtient réparation là où une demande globale et approximative échoue. La messagerie concentre aujourd’hui la preuve de la vie personnelle comme de l’activité professionnelle : le droit lui reconnaît cette place centrale, et protège celui qui s’en sert avec méthode.