Panne Microsoft 365 : ce que le contrat vous accorde

Depuis le milieu de la journée du jeudi 12 novembre, des utilisateurs de Microsoft 365 dans les Amériques, Canada compris, ne parviennent plus à joindre leur boîte courriel Exchange Online ; Teams, SharePoint et Copilot sont aussi perturbés. Microsoft attribue l’incident, toujours en cours en milieu d’après-midi, à une charge élevée sur une portion de son infrastructure. Pour les entreprises touchées, la suite se joue moins devant les tribunaux que dans le contrat : celui-ci ne promet que des crédits de service, à réclamer avant le 31 décembre.

Ce que Microsoft a dit, et quand

La journée avait commencé par un autre incident. En matinée, le compte Microsoft 365 Status signalait des difficultés d’accès à Teams en Amérique du Nord (incident TM1550488), avant d’annoncer que ses mesures avaient rétabli le service. Les signalements concernant Outlook ont ensuite bondi sur Downdetector vers 12 h 39, heure de l’Est. À 12 h 54, Microsoft confirmait enquêter sur des problèmes d’accès aux boîtes Exchange Online par plusieurs méthodes de connexion dans les Amériques, et renvoyait les administrateurs à l’incident EX1550543.

Le périmètre s’est élargi en moins d’une heure. Microsoft a reconnu que la connectivité à Microsoft 365 pouvait être touchée dans n’importe quelle région, puis a expliqué qu’une portion de son infrastructure subissait une charge élevée dans plusieurs régions, cause probable des erreurs de connexion. L’entreprise dit avoir suspendu tous ses déploiements, redirigé le trafic hors de l’infrastructure touchée et redémarré des serveurs. Les méthodes d’accès visées incluent Outlook sur le Web, MAPI, Exchange ActiveSync et l’API REST ; un second identifiant, MO1550821, couvre les autres services. Selon le décompte de l’Associated Press rapporté par Yahoo Nouvelles Canada, plus de 120 000 signalements visaient Outlook vers 13 h 30. Il s’agit de signalements d’internautes, pas d’un compte d’utilisateurs touchés. Au Québec, la rédaction du Juridhic constatait elle-même, à 15 h 12, que l’accès à sa messagerie restait impossible.

À 15 h 30, Microsoft n’avançait ni cause définitive ni heure de rétablissement, et classait l’incident comme une dégradation de service plutôt qu’une panne complète. Aucune communication du ministère de la Cybersécurité et du Numérique du Québec ni de Services partagés Canada n’avait été repérée.

Des crédits de service, rien d’autre

Le contrat qui s’applique aux clients d’affaires est le Service Level Agreement for Microsoft Online Services, intégré aux ententes de licence en volume. Pour Exchange Online, Microsoft s’engage sur une disponibilité mensuelle de 99,9 %. Sous ce seuil, le client peut réclamer un crédit de 25 % des frais mensuels du service ; sous 99 %, 50 % ; sous 95 %, 100 %. Le crédit ne vise que les frais du service en cause, jamais la suite entière, et le contrat précise que ces crédits constituent le seul recours du client pour tout problème de disponibilité et ne compensent aucune autre forme de perte.

La définition de la panne est plus étroite que l’expérience des usagers : pour Exchange Online, le temps d’arrêt est la période durant laquelle les utilisateurs ne peuvent ni envoyer ni recevoir de courriel au moyen d’Outlook sur le Web. Un client dont le logiciel de bureau refuse de se connecter, mais dont la version Web fonctionne, n’est pas en panne au sens du contrat. Le calcul se fait en minutes-utilisateurs : la durée de chaque incident multipliée par le nombre d’utilisateurs touchés, rapportée au total du mois. Novembre compte 43 200 minutes ; le seuil de 99,9 % tolère donc 43 minutes et 12 secondes d’arrêt pour l’ensemble des utilisateurs d’une organisation, selon le calcul de la rédaction à partir de la formule contractuelle. Une coupure de trois heures touchant tout un cabinet ramène la disponibilité du mois autour de 99,6 % : le palier de 25 %, pas davantage. Il faudrait plus de sept heures pour franchir celui de 50 %.

Rien n’est automatique. Le client doit déposer une réclamation auprès du soutien technique avant la fin du mois suivant l’incident, soit le 31 décembre 2026, avec une description détaillée, l’heure et la durée de l’arrêt, le nombre et la localisation des utilisateurs touchés et les messages d’erreur observés. Microsoft se donne environ 45 jours pour répondre et avertit que ses propres communications publiques sur une panne ne valent pas reconnaissance d’un manquement. Ce modèle n’a rien d’une particularité de Microsoft : le contrat de Google Workspace, révisé le 31 août 2026, repose sur le même seuil de 99,9 %, des crédits en jours de service et une clause de recours exclusif, avec 30 jours pour réclamer.

Ce que le droit québécois tolère

Peut-on contourner la clause et poursuivre pour les heures perdues ? Entre entreprises, la Cour suprême du Canada a fermé la porte principale dans 6362222 Canada inc. c. Prelco inc., 2021 CSC 39 : une clause limitant la responsabilité d’un prestataire informatique, librement négociée entre personnes morales averties, demeure valide même lorsque le manquement touche une obligation essentielle du contrat. L’article 1474 du Code civil du Québec fixe le plancher : nul ne peut exclure sa responsabilité pour une faute intentionnelle ou lourde, ni pour le préjudice corporel ou moral. Une panne attribuée à une charge excessive relève, a priori, de la faute simple.

Il reste une porte latérale. Les conditions de Microsoft sont rédigées d’avance et non négociables pour la plupart des PME et des cabinets ; l’article 1437 du Code civil permet au tribunal d’annuler ou de réduire une clause abusive d’un contrat d’adhésion. Encore faut-il démontrer l’abus, et la rédaction n’a repéré aucune décision québécoise ayant écarté une clause de crédits de service d’un fournisseur infonuagique. Les abonnés grand public, eux, relèvent de la Loi sur la protection du consommateur, un terrain distinct.

Pour les juristes, l’autre urgence est procédurale. L’article 84 du Code de procédure civile ne permet de prolonger un délai de rigueur que si le tribunal est convaincu que la partie a été en fait dans l’impossibilité d’agir plus tôt ; les autres délais peuvent l’être si le tribunal l’estime nécessaire. Une panne de quelques heures en plein jour ouvrable, alors que d’autres voies de dépôt existaient, sera difficile à présenter comme une impossibilité. La prudence commande de documenter dès maintenant l’heure exacte des échecs.

Loi 25 : une panne n’est pas un incident de confidentialité

L’indisponibilité d’un service ne déclenche pas, en soi, les obligations de la Loi sur la protection des renseignements personnels dans le secteur privé. Son article 3.6 définit l’incident de confidentialité par l’accès, l’utilisation ou la communication non autorisés d’un renseignement personnel, ou par sa perte ou toute autre atteinte à sa protection. Tant que Microsoft ne rapporte ni accès non autorisé ni perte de données, l’avis à la Commission d’accès à l’information prévu à l’article 3.5 n’a pas à être envoyé. L’analyse changerait si des courriels mis en file d’attente s’avéraient perdus.

Un État client, une loi fédérale en attente

La dépendance dépasse le secteur privé. Au Québec, le ministère de la Cybersécurité et du Numérique inclut la suite Microsoft 365, la messagerie et Teams dans le service de base qu’il fournit aux organisations publiques. À Ottawa, un avis du Conseil du Trésor en vigueur depuis le 1^er avril 2025 uniformise le milieu de travail fédéral autour des licences Microsoft 365 E5 acquises par Services partagés Canada. Selon Statistique Canada, 48 % des entreprises canadiennes utilisaient l’infonuagique en 2023, la technologie numérique la plus répandue au pays.

Le cadre censé encadrer la résilience des systèmes essentiels existe sur papier. La Loi sur la protection des cybersystèmes essentiels, édictée par le projet de loi C-8 et sanctionnée le 15 juin 2026 (L.C. 2026, ch. 9), obligera les exploitants désignés à établir un programme de cybersécurité, à atténuer les risques liés à la chaîne d’approvisionnement et aux tiers, et à déclarer les incidents. Mais sa partie 2 n’est pas en vigueur : la codification fédérale à jour au 30 septembre 2026 l’indique, et aucune catégorie d’exploitants n’est encore désignée. Les six secteurs visés sont les télécommunications, les pipelines et lignes de transport d’électricité, le nucléaire, les transports de compétence fédérale, les banques et les systèmes de compensation ; les fournisseurs infonuagiques n’y figurent pas. La loi n’atteindra Microsoft, le cas échéant, que par les obligations de ses clients.

Date	Durée et portée	Cause avancée par Microsoft	Source
25-26 novembre 2024 (MO941162)	Plus de 24 heures d’effets ; Exchange Online, Teams, SharePoint	Un changement ayant provoqué un afflux de requêtes de nouvelle tentative	BleepingComputer
22-23 janvier 2026	Environ 10 heures ; Amérique du Nord ; Outlook, Defender, Purview	Une portion de l’infrastructure nord-américaine ne traitait pas le trafic normalement	The Register
24-25 mai 2026	Environ 9 heures ; utilisateurs acheminés par l’infrastructure touchée	Infrastructure SQL peu performante, puis composants d’authentification défaillants	IsDown (relais des avis de Microsoft)
12 novembre 2026 (EX1550543)	En cours à 15 h 30 ; Amériques, puis toute région	Charge élevée sur une portion de l’infrastructure	Microsoft 365 Status

La panne Microsoft 365 du 12 novembre laisse donc trois échéances. Le rapport d’incident que Microsoft publie habituellement dans les jours suivants dira si la charge était réelle ou le fruit d’un routage défaillant. Le 31 décembre est le dernier jour pour réclamer un crédit que le contrat n’accorde pas d’office. Et un décret fédéral, sans date, donnera vie à une loi écrite pour des pannes comme celle-ci.

Le modèle d’IA utilisé par la rédaction est conçu par Anthropic, dont certains modèles sont offerts dans les versions entreprises de Microsoft 365 Copilot.

Note sur ce contenu. Cet article a été rédigé par un(e) journaliste IA du Juridhic. Il reflète ses recherches et son point de vue, sous la supervision et la responsabilité éditoriale de la rédaction humaine du Juridhic. Nous visons la plus grande rigueur, mais des erreurs peuvent subsister. Votre vigilance compte : signalez-nous toute correction à corrections-lejuridhic@protonmail.ch.