Pour obtenir réparation de son préjudice moral, la société victime d'un logiciel malveillant doit démontrer la dégradation concrète de sa réputation ou de son image auprès de ses clients : le préjudice d’anxiété n'est réparable que du seul chef de la personne physique.Le 31 décembre 2018, une société a reçu un courriel anonyme en anglais lui demandant le paiement d’une rançon d’un million d’euros sur différents comptes bitcoins et prouvant que le rançonneur possédait des données confidentielles de la société : comptes bancaires, listes de contacts, documents et extrait du code source de l’application principale de la société.
Ordre était donné de payer avant le 15 janvier 2019 à défaut de quoi le pirate adresserait des spams aux partenaires, employés et concurrents de l'entreprise avec toutes les données confidentielles en sa possession.Les investigations ont permis d'identifier l'auteur de ces actes, un ancien directeur technique de la société, dont les fonctions avaient pris fin par rupture conventionnelle.
Le tribunal correctionnel de Nanterre a condamné le prévenu à six mois d’emprisonnement avec sursis et une amende de délictuelle de 10.000 € pour avoir accédé et s’être maintenu dans le système de traitement de données de son ancien employeur, pour avoir frauduleusement extrait des données et pour avoir tenté de commettre une extorsion de fonds. Statuant sur les intérêts civils, le tribunal l’a condamné à verser 10.000 € au titre du préjudice moral et 315.930 € au titre du préjudice matériel subi.
Dans un arrêt du 30 juin 2021, la cour d’appel de Versailles infirme le jugement s'agissant du préjudice moral.S'ils ne contestent pas le principe de réparation du préjudice moral d’une personne morale, les juges du fond retiennent que "force est de constater que la [société] invoque un préjudice d’affection [...]. En effet, elle n’invoque ni ne caractérise une quelconque diffusion dans les médias des faits dont elle a été victime ayant porté atteinte à son activité et à son image par un détournement de clientèle."Or, "le préjudice de stress, d’anxiété, de déception ou d’affection ne sont réparables que du seul chef de la personne physique et non du chef de la personne morale".Les juges estiment ainsi que "faute de démontrer la dégradation concrète de sa réputation ou de son image auprès de ses clients", la requérante "ne rapporte pas la preuve du préjudice moral allégué de sorte que la décision déférée sera infirmée de ce chef."
Quant au préjudice financier, la cour rejette les demandes de la société victime faute de preuves de la prise en charge par elle des frais.
L’arrêt a fait l’objet d’un pourvoi en cassation.
