Auto-entrepreneur du numérique : pourquoi une ligne de code peut vous coûter cher

Un freelance numérique livre du code, du paramétrage, de l'intégration, du support. Rien qui ne s'abîme visiblement. Aucun sinistre matériel spectaculaire n'est à craindre : pas de mur qui s'écroule, pas de client qui glisse dans un atelier. C'est précisément cette absence de dommage visible qui fait croire, à tort, que le risque est faible. Il est en réalité plus difficile à cerner, souvent plus élevé en valeur, et régulièrement mal couvert par les contrats standards.

Un développeur en micro-entreprise qui plafonne à 77 700 euros de chiffre d'affaires annuel peut, en une intervention malheureuse, générer un préjudice cent fois supérieur à ce montant. Le sinistre le plus fréquent chez les freelances du numérique n'est pas le poste de travail volé, c'est la ligne de code, le script de déploiement ou la configuration réseau qui, une fois en production, provoque une panne, une perte de données ou une intrusion. Décortiquer ces cas typiques, et les garanties qui les prennent en charge, est le meilleur moyen de choisir une RC pro adaptée plutôt qu'une RC pro générique.

Les quatre sinistres typiques du freelance numérique

Quatre situations concentrent la majorité des mises en cause observées dans le secteur, tous statuts confondus. Chacune correspond à un mécanisme juridique et à une garantie précise.

Le bug qui casse la production. Un développeur pousse une mise à jour un vendredi soir. Le lundi matin, le back-office de son client est inaccessible pendant onze heures. Aucune donnée n'est perdue, aucun matériel n'est endommagé, mais l'e-commerçant chiffre son manque à gagner à 42 000 euros. Ce préjudice est purement financier, sans support matériel ni corporel. Il relève des dommages immatériels non consécutifs, catégorie qui n'est jamais incluse par défaut dans une RC pro généraliste. Il faut vérifier, ligne par ligne, que cette garantie figure au contrat, avec un plafond en cohérence avec le chiffre d'affaires du client type.

La perte de données. Un administrateur système freelance intervient sur la baie de stockage d'un cabinet comptable. Une mauvaise commande efface l'arborescence d'un dossier client représentant six mois de production. Les sauvegardes sont incomplètes, le préjudice porte sur la reconstitution des fichiers et sur le retard livré aux clients finaux. Ici, deux couches se superposent : les dommages immatériels non consécutifs pour le manque à gagner, et une garantie spécifique « perte, altération, destruction de données » pour les frais de reconstitution. La deuxième n'est pas systématique.

La faille de sécurité exploitée. Un intégrateur livre un site vitrine sur un CMS. Un plugin utilisé n'est pas mis à jour, une faille connue est exploitée, le site est défiguré et sert à héberger une campagne de phishing pendant deux jours. Le client subit un préjudice réputationnel, se retrouve mis en cause par ses propres clients, et récupère un signalement de la CNIL pour manquement à l'article 32 du RGPD. Ce type de sinistre relève à la fois de la RC pro traditionnelle, pour la faute technique du freelance, et d'une garantie cyber dédiée, qui prend en charge les frais de notification, l'assistance juridique en cas de contrôle et parfois les sanctions administratives lorsque le contrat le prévoit et que la loi ne l'interdit pas.

La dépendance non licenciée. Un développeur intègre une bibliothèque open source sous licence GPL dans un logiciel propriétaire vendu par son client. Un an plus tard, l'auteur de la bibliothèque met le client en demeure de publier son code source ou de payer une licence commerciale. Le préjudice se chiffre en frais de refonte et en dommages négociés. C'est un cas de responsabilité pour manquement au devoir de conseil et à l'obligation de vérifier la conformité des composants livrés. La garantie « atteinte aux droits de propriété intellectuelle des tiers » est parfois incluse, parfois plafonnée séparément, parfois exclue purement et simplement.

Les garanties qu'il faut nommer une par une

Une RC pro « développeurs et métiers du numérique » digne de ce nom se lit sur une seule page qui aligne les intitulés exacts. Cinq lignes doivent y figurer, avec pour chacune un plafond et une franchise clairement identifiés.

Les dommages corporels et matériels aux tiers constituent la base commune à toutes les RC pro. Pour un freelance numérique, le sujet est marginal : le coup de coude qui renverse le café du client en réunion, le portable qui tombe pendant une démo. Un plafond de plusieurs millions d'euros couvre largement ces hypothèses.

Les dommages immatériels consécutifs couvrent le manque à gagner qui découle d'un dommage matériel ou corporel garanti. Un serveur endommagé lors d'une intervention physique qui bloque l'exploitation du client entre dans ce cadre. Le plafond est en général mutualisé avec les précédents.

Les dommages immatériels non consécutifs sont la garantie clef. Ils couvrent le préjudice financier pur, sans support matériel préalable. Le plafond doit être discuté au regard du chiffre d'affaires des clients : un e-commerçant qui réalise 2 000 euros par heure ne se contente pas d'un plafond de 100 000 euros. Un chiffrage réaliste pour un freelance qui intervient sur des sites transactionnels situe le plafond utile entre 300 000 et 500 000 euros par sinistre.

La garantie cyber couvre les conséquences d'un incident de sécurité imputable à la prestation. Elle inclut typiquement les frais de notification aux personnes concernées prévus par l'article 34 du RGPD, l'expertise forensique, l'assistance de communication de crise, et parfois la défense en cas de contrôle CNIL. Elle est distincte de la RC pro traditionnelle même si elle est souvent adossée au même contrat.

La garantie propriété intellectuelle couvre les mises en cause pour contrefaçon, atteinte au droit d'auteur ou usage non autorisé d'un composant tiers. Elle est particulièrement pertinente pour les intégrateurs qui assemblent des briques logicielles issues de sources multiples. Certains contrats la limitent aux « atteintes involontaires », excluant de fait les cas où le manquement au devoir de vérification est retenu.

Chiffrages réalistes et repères de marché

Pour un développeur freelance en micro-entreprise, sans salarié, réalisant entre 30 000 et 60 000 euros de chiffre d'affaires annuel sur des prestations B2B, le budget d'une RC pro comprenant les cinq garanties précitées se situe généralement entre 350 et 700 euros par an. Les écarts s'expliquent par trois variables principales : le plafond en dommages immatériels non consécutifs, la présence ou non d'une garantie cyber véritable, et le périmètre géographique. Une clientèle exclusivement française coûte moins cher qu'une clientèle européenne, elle-même moins chère qu'une clientèle intégrant les États-Unis, régulièrement exclus ou surprimés.

Deux repères jurisprudentiels aident à calibrer les plafonds. La Cour de cassation a rappelé à plusieurs reprises que l'obligation du prestataire informatique est en principe une obligation de moyens, mais qu'elle glisse vers l'obligation de résultat sur les tâches simples et standardisées, notamment en matière de sauvegarde. Elle a également confirmé que le devoir de conseil du prestataire s'étend à l'alerte sur les risques liés à l'utilisation d'un composant tiers, y compris libre. Ces deux jurisprudences se traduisent, côté assureur, par une lecture stricte des exclusions et par une valorisation attentive des plafonds proposés.

La franchise, souvent oubliée, mérite d'être négociée. Une franchise de 10 % du sinistre avec un minimum de 1 500 euros et un maximum de 5 000 euros est un standard raisonnable en dommages immatériels. En cyber, la franchise est parfois exprimée en heures, l'assureur ne prenant en charge que les incidents dont l'impact dépasse un certain seuil temporel.

L'essentiel à retenir

• Le sinistre typique du freelance numérique est un dommage financier pur, sans support matériel, souvent supérieur à son chiffre d'affaires annuel.
• Les dommages immatériels non consécutifs ne sont pas inclus par défaut dans une RC pro généraliste ; c'est la première clause à vérifier.
• Une véritable RC pro numérique aligne cinq garanties nommées : corporels et matériels, immatériels consécutifs, immatériels non consécutifs, cyber, propriété intellectuelle.
• Le devoir de conseil du prestataire s'étend à la conformité des composants tiers utilisés, y compris open source.
• Une couverture calibrée pour un freelance en micro-entreprise se paie entre 350 et 700 euros par an, avec des variations liées au plafond immatériel et au périmètre géographique.

Questions fréquentes

Une RC pro « auto-entrepreneur tous métiers » à 150 euros par an couvre-t-elle mon activité de développeur ? Rarement de façon utile. Ces contrats généralistes plafonnent en général les dommages immatériels non consécutifs à 30 000 ou 50 000 euros, quand ils les incluent, et excluent presque toujours la garantie cyber et la garantie propriété intellectuelle. Ils sont conçus pour des activités à faible enjeu financier, pas pour des prestations dont un simple manquement peut bloquer la production d'un client. Le prix bas correspond à un périmètre bas.

Suis-je obligé de souscrire une RC pro pour développer en freelance ? Non, aucun texte n'impose légalement la souscription d'une RC pro pour un développeur, un intégrateur ou un administrateur système exerçant en libéral ou en micro-entreprise. En revanche, la plupart des contrats commerciaux passés avec des clients grands comptes en font une condition contractuelle, et exigent une attestation d'assurance avant la première prestation. L'absence de garantie ne dispense pas de la responsabilité, elle laisse simplement l'intégralité du préjudice à la charge du prestataire.

Mon client m'a fait signer une clause limitative de responsabilité qui plafonne mon indemnisation au montant de sa commande. Suis-je protégé ? Partiellement, et uniquement dans les relations B2B. La clause limitative est valable entre professionnels sous réserve qu'elle ne prive pas d'effet une obligation essentielle du contrat et qu'elle ne soit pas jugée créatrice d'un déséquilibre significatif au sens de l'article L442-1 du Code de commerce. Elle est écartée en cas de faute lourde ou dolosive. Elle protège partiellement contre les mises en cause du client direct, mais pas contre celles émanant de tiers, par exemple les utilisateurs finaux du site que vous avez développé.