Dans la nuit du 9 au 10 mars 2021, un incendie s’est déclaré dans l’un des datacenters de la société OVH cloud. Plusieurs entreprises ont été victimes de cet incendie et de nombreux sites internet ont déploré une perte irréversible de leurs données. Que les pertes de données n’aient été que temporaires ou définitives, cet incendie a porté, dans tous les cas, un préjudice économique à plusieurs milliers de sociétés. Le cabinet d’avocats qui porte le recours collectif contre OVHcloud accentue la pression et souhaite privilégier la négociation. Aujourd’hui, les parties se dirigeraient vers un accord amiable à 12 M€.La CNIL a procédé à la publication d’une note sur son site qui rappelle les règles du RGPD aux propriétaires des sites web affectés par les incidents OVH. S'ils ont perdu des données personnelles, il faut le signaler à l'autorité :
« Suite à l’incendie du 10 mars 2021 ayant eu lieu dans un centre de données d’OVH à Strasbourg, la CNIL rappelle les obligations en matière de notification de violation en cas d’indisponibilité ou de destruction de données personnelles. La destruction de données personnelles (temporaire ou définitive), y compris accidentelle, constitue une violation de données au sens du RGPD. À ce titre, les responsables de traitement qui hébergeaient des données personnelles au sein des infrastructures touchées doivent documenter la violation (les faits, ses effets et les mesures prises pour y remédier) dans un registre tenu en interne. Les sous-traitants doivent informer leurs clients de l'incident afin que ces derniers puissent remplir leurs propres obligations, dont celle de documentation dans le registre des violations tenu en interne par chacun d’entre eux. »
En mi-mars, une action collective des entreprises qui ont souffert de l'incendie qui a détruit le centre de données SBG2 d'OVHcloud en 2021 a été retardée pour permettre à davantage de clients de se joindre. Ziegler & Associés avait prévu d'envoyer une lettre fin février, énonçant des demandes d'indemnisation aux clients d'OVHcloud dont les entreprises ont été affectées par l'incendie, mais maintient l'action ouverte jusqu'à la mi-avril, car davantage de clients se sont joints. Parallèlement, OVHcloud a enrichi son offre en lançant un service de cloud privé basé sur Nutanix et de stockage objet basé sur NetApp.
Plus d'un an après, OVHcloud n'a toujours pas formellement expliqué la cause de l'incendie. Un rapport des pompiers publié ce mois-ci souligne les défaillances dans le système de sécurité du bâtiment. Le bâtiment n’était notamment pas équipé d’un dispositif de coupure de l’électricité selon ce rapport : « la pérennité de l'alimentation électrique est un enjeu fort pour ce type d'exploitation. La conception intrinsèque de l'activité est faite pour éviter les coupures d'électricité. Deux niveaux de groupes électrogènes sont prévus pour palier une défaillance du réseau. Aucun organe de coupure d'urgence n'existe (choix de stratégie économique de l'entreprise) ».
La procédure de recours collectif que le cabinet porte contre OVHcloud s’accélère. Selon des sources, les lettres d’avocat vont être envoyées aux alentours du 15 avril. Au dernier pointage, « plus de 140 entreprises » s’y sont jointes. Préjudice global estimé : 12 millions d’euros… à condition de négocier à l’amiable.
« Si on part en justice, ce chiffre [quadruple] », étant donné les dommages-intérêts et les frais de justice, prétend-on chez Ziegler & Associés. Si, en l’espèce, OVHcloud a plus à gagner à accepter la conciliation, c’est aussi, nous assure-t-on, eu égard à sa cotation en Bourse. Et de nous rappeler, sur ce point, l’effet qu’avait eu la médiatisation d’un rapport du SDIS 67 (Service départemental d’incendie et de secours du Bas-Rhin). Ce rapport avait été rendu public le 22 février sur le portail national de l’Ensosp (École nationale supérieure des officiers sapeurs-pompiers). Voici, ci-dessous, quelques elements importants du rapport :
- voie engin étroite et par endroits très proche de SBG2 ;
- risque toxique lié au plomb contenu dans les onduleurs ;
- sécurité incendie du site : absence de système d’extinction automatique ;
- Les deux cours intérieures de SBG2 prévues pour le refroidissement des serveurs ont fait office de « cheminées d’incendie. » ;
- Le datacenter SBG2, que les flammes ont détruit, avec des planchers en bois, accentuant le risque de propagation aux étages ;
- DECI (défense extérieure contre l’incendie) : réseau en antenne, avec capacité limitée à un hydrant délivrant 70 m3/h à 1 bar ; aspiration dans la darse rendue impossible dans un premier temps par la présence d’un grillage ;
- alimentation du site difficile à couper, précisément car conçue pour (deux niveaux de groupes électrogènes pour pallier une défaillance)… et aussi du fait d’un « choix économique » : aucun organe de coupure d’urgence. Il avait fallu, à compter du premier appel au CTA, (Centre de Traitement de l’Alerte) près de trois heures pour couper l’alimentation externe du site. Il restait alors encore du courant dans les onduleurs.
Le rapport souligne les défaillances dans le système de sécurité du bâtiment. Le bâtiment n’était notamment pas équipé d’un dispositif de coupure de l’électricité selon ce rapport : « la pérennité de l'alimentation électrique est un enjeu fort pour ce type d'exploitation. La conception intrinsèque de l'activité est faite pour éviter les coupures d'électricité. Deux niveaux de groupes électrogènes sont prévus pour palier une défaillance du réseau. Aucun organe de coupure d'urgence n'existe (choix de stratégie économique de l'entreprise) ».
Et vous ?
Que pensez-vous de ce possible accord amiable à 12 M€ ?Voir aussi :
Près de 60 entreprises, dont un groupe du CAC 40, demandent réparation après l'incendie d'OVH Cloud. Les procédures sont désormais entamées Incendie OVH : l'action du recours collectif est retardée jusqu'à mi-avril pour permettre à davantage d'entreprises d'en faire partieTandis qu'OVHcloud lance des services avec Nutanix et NetApp
Incendie OVH : absence de système d'extinction incendie automatique et de dispositif de coupure électrique général, le rapport des pompiers souligne des défaillances 
Envoyé par Bruno
