obligations d’assurance
Obligation vérifiée le 24 mars 2026. Aucun article du code des assurances n’impose une assurance de responsabilité civile professionnelle au développeur freelance. Une assurance professionnelle peut toutefois être exigée par un contrat freelance ou un donneur d’ordre. Son utilité dépend surtout de la nature des livrables, des données manipulées et du préjudice financier qu’un bug coûteux peut provoquer.
En bref
- Un développeur freelance n’est pas soumis à une obligation légale générale de RC Pro, contrairement à certaines professions réglementées.
- Un bug, une indisponibilité, une migration défaillante ou un retard peuvent donner lieu à une réclamation fondée sur le contrat signé avec le client.
- La garantie des dommages immatériels non consécutifs vise les pertes financières sans dommage matériel préalable, cas fréquent dans les prestations logicielles.
- Une garantie cyber ne recouvre pas automatiquement les mêmes risques que la responsabilité civile professionnelle.
- Le libellé d’activité déclaré, les plafonds, les franchises, la territorialité et les exclusions déterminent la couverture réelle.
Cette page vise les développeurs web, développeurs d’applications, consultants techniques et indépendants intervenant pour des entreprises. Elle ne permet pas de décider si un sinistre précis sera indemnisé, ni de qualifier juridiquement une faute : en cas de réclamation déjà reçue, un avocat ou le Médiateur de l’Assurance peut être saisi selon la nature du différend.
La responsabilité civile professionnelle est-elle imposée au développeur freelance ?
Non. La recherche d’une obligation sectorielle applicable aux professionnels du développement informatique ne fait apparaître aucun texte comparable à ceux qui régissent certaines activités réglementées. Le développeur freelance ne relève pas, du seul fait de son activité, d’une obligation légale générale de responsabilité civile professionnelle.
Cette absence d’obligation ne signifie pas qu’aucun risque n’existe. Elle signifie seulement que la loi ne conditionne pas l’exercice du métier à la remise préalable d’une attestation. La situation change lorsqu’un contrat freelance prévoit une exigence d’assurance, un plafond minimal de garantie ou la production annuelle d’une attestation valide.
Le contrat régulièrement formé s’impose aux parties. L’article 1103 du code civil, dans sa version en vigueur au 24 mars 2026 et consulté sur Légifrance le 24 mars 2026, dispose que les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. Une clause imposant une attestation de responsabilité civile peut donc devenir une condition d’accès à la mission, même sans obligation professionnelle prévue par un code.
La distinction évite une confusion fréquente. Une assurance demandée par une ESN, une entreprise cliente ou un acheteur public n’est pas automatiquement une assurance imposée par la loi. Le développeur doit lire la clause concernée, vérifier l’entité assurée, le montant demandé, les activités couvertes et la date de validité de l’attestation.
Cette logique diffère de la construction. L’assurance de responsabilité de l’architecte s’inscrit notamment dans le champ de l’assurance décennale lorsqu’il intervient sur un ouvrage relevant des articles 1792 et suivants du code civil. Pour un prestataire logiciel, le risque est en principe contractuel et porte sur la conformité, le retard, le paramétrage ou la qualité logicielle livrée.
Le contrat freelance fixe souvent le niveau de couverture attendu
Un donneur d’ordre peut demander une attestation avant la signature, puis exiger son renouvellement pendant l’exécution. Il peut aussi imposer que la police couvre les dommages immatériels, les prestations intellectuelles, les missions en régie ou les interventions réalisées chez le client final.
Une attestation limitée à « conseil informatique » ne décrit pas toujours le développement, l’intégration, la maintenance logiciel, l’hébergement ou l’administration d’infrastructure. Le décalage entre l’activité réellement exercée et celle déclarée fragilise la lecture du contrat. Il faut demander un avenant avant le démarrage si le libellé ne correspond pas aux prestations commandées.
L’engagement de la responsabilité contractuelle repose notamment sur l’inexécution ou le retard. L’article 1231-1 du code civil, version en vigueur au 24 mars 2026, consulté le même jour sur Légifrance, prévoit la condamnation du débiteur à des dommages et intérêts lorsqu’il n’exécute pas son obligation ou tarde à l’exécuter, sauf justification par la force majeure.
Le niveau de garantie ne se déduit donc pas d’un intitulé commercial. Il se lit dans les conditions particulières, les conditions générales et les annexes. L’attestation constitue une pièce de synthèse, pas le contrat complet.
Quels dommages un bug coûteux peut-il provoquer chez un client ?
Un bug coûteux ne se résume pas à une erreur visible sur un écran. Il peut interrompre un parcours de commande, empêcher l’accès à un outil métier, fausser une exportation comptable, supprimer une partie d’une base de données ou ralentir un service dépendant d’une interface applicative.
Le préjudice invoqué par le client peut prendre la forme d’une perte de chiffre d’affaires, de pénalités contractuelles, de frais de reconstitution de données, d’heures de correction mobilisées en urgence ou de dépenses de communication auprès de ses propres utilisateurs. Ces pertes sont souvent immatérielles. Aucun serveur, ordinateur ou matériel n’a besoin d’être détruit pour qu’elles existent.
La responsabilité civile professionnelle peut inclure une garantie de dommages immatériels non consécutifs, parfois désignée par le sigle DINC. Elle vise les préjudices financiers qui ne découlent pas d’un dommage corporel ou matériel garanti. Une indisponibilité causée par une livraison défectueuse entre typiquement dans cette catégorie, sous réserve du texte exact de la police et de ses exclusions.
Le terme « peut inclure » compte. Certains contrats limitent cette garantie à un montant inférieur au plafond général. D’autres excluent les pénalités de retard, les engagements de performance, les obligations de résultat, les pertes d’exploitation indirectes ou les dommages provenant d’une prestation non déclarée. Une couverture annoncée comme informatique ne suffit pas à lever ces limites.
Les incidents de code ne produisent pas tous le même préjudice
| Situation rencontrée | Préjudice allégué par le client | Garantie à rechercher dans le contrat | Limite à lire avant la mission |
|---|---|---|---|
| Erreur de déploiement rendant un service inaccessible | Perte de ventes ou arrêt d’un outil métier | Dommages immatériels non consécutifs | Plafond propre aux pertes financières et franchise |
| Migration de base de données incomplète | Coût de restauration et de ressaisie | Responsabilité civile professionnelle liée aux prestations informatiques | Exclusion des sauvegardes insuffisantes ou des données confiées |
| Conseil technique erroné sur une architecture | Coût de refonte ou retard de projet | Erreur professionnelle et préjudice immatériel | Clause excluant les engagements de résultat |
| Matériel endommagé lors d’une présence chez le client | Réparation ou remplacement d’un équipement | Responsabilité civile exploitation | Territorialité et activités en régie déclarées |
Ce tableau ne préjuge pas de l’indemnisation d’un dossier. La prise en charge dépend des faits, de la déclaration faite lors de la souscription, de la date du fait dommageable, de la réclamation et des stipulations contractuelles. L’assureur apprécie sa garantie ; un désaccord peut ensuite relever du Médiateur de l’Assurance ou du juge.
La gestion des risques commence avant la livraison. Un cahier des charges versionné, des critères de recette, une procédure de validation et une traçabilité des demandes de modification réduisent l’ambiguïté sur le périmètre livré. Ces documents ne remplacent pas l’assurance, mais ils permettent de distinguer un défaut de développement, une évolution demandée après recette ou une attente qui n’avait pas été contractualisée.
Les clauses limitatives de responsabilité méritent la même attention. Elles peuvent plafonner l’indemnisation due au client, mais leur validité et leur portée relèvent d’une analyse juridique du contrat concerné. Cette analyse ne peut pas être tranchée à partir d’un modèle générique.
Quelle couverture rechercher pour des missions de développement logiciel ?
La première pièce à examiner est la définition de l’activité assurée. Un développeur freelance qui réalise du développement web, des applications mobiles, de l’intégration d’API, du conseil en architecture, de la maintenance logiciel ou de l’administration de systèmes ne doit pas présumer qu’une seule formule recouvre automatiquement l’ensemble de ces travaux.
La seconde pièce est la définition du dommage immatériel. La police doit indiquer si les dommages immatériels non consécutifs sont garantis, dans quelles conditions et jusqu’à quel plafond. Le plafond par sinistre, le plafond annuel et la franchise peuvent aboutir à des résultats très différents alors que les intitulés de garantie semblent identiques.
La troisième pièce concerne les exclusions. La perte d’un bénéfice espéré, les pénalités contractuelles, les promesses de délai, la violation délibérée d’une obligation de sécurité ou les prestations réalisées sans déclaration préalable figurent souvent parmi les sujets sensibles. Il faut lire la rédaction exacte et non se contenter de la page de présentation du produit.
RC Pro, responsabilité civile exploitation et protection juridique ne répondent pas au même risque
La responsabilité civile professionnelle vise les conséquences financières d’une erreur commise dans l’exécution de la prestation. Elle se distingue de la responsabilité civile exploitation, qui vise davantage les dommages accidentels causés dans le fonctionnement courant de l’activité, par exemple lors d’une présence physique dans les locaux d’un client.
La protection juridique est encore distincte. Selon le contrat, elle peut financer ou organiser une défense dans certaines procédures, dans les limites prévues. Elle ne constitue pas une garantie automatique de l’indemnité réclamée par un tiers. Son plafond, son seuil d’intervention, les domaines couverts et la liberté de choisir un avocat doivent être lus dans le document contractuel.
La base de déclenchement compte également. L’article L124-5 du code des assurances, version en vigueur au 24 mars 2026 et consulté sur Légifrance le 24 mars 2026, encadre les contrats déclenchés par la réclamation. Il prévoit notamment, dans certaines conditions, une garantie subséquente d’au moins cinq ans après la résiliation. Cette règle ne dispense pas de vérifier le régime exact inscrit dans la police.
Une mission au forfait et une intervention en régie ne présentent pas la même exposition. Au forfait, le litige porte souvent sur le livrable, la recette, la conformité et le calendrier. En régie, l’indépendant intervient dans l’environnement du client ou d’une ESN, avec une question supplémentaire sur la répartition des responsabilités et les dommages matériels qui pourraient survenir sur site.
La police de l’ESN protège d’abord l’ESN dans les limites de son propre contrat. Elle ne doit pas être interprétée comme une couverture personnelle et automatique du sous-traitant. Le contrat de sous-traitance, l’attestation demandée et le périmètre technique confié doivent être rapprochés avant le début de la mission.
Pourquoi la couverture cyber ne remplace-t-elle pas la RC Pro du développeur ?
Une faille de sécurité peut faire naître deux catégories de conséquences. La première concerne le client qui estime subir un préjudice à cause d’un code, d’un paramétrage ou d’un défaut de prestation. La seconde concerne l’environnement du développeur lui-même, par exemple un poste compromis, un dépôt de code inaccessible ou un ransomware affectant des fichiers de travail.
La responsabilité civile professionnelle répond d’abord à la première logique lorsqu’une réclamation d’un tiers entre dans les garanties souscrites. Une assurance cyber vise, selon ses conditions, les frais et conséquences d’un incident de sécurité affectant l’assuré : investigation, assistance de crise, restauration, notification, défense ou certaines pertes propres. Les deux contrats peuvent se compléter, mais ils ne sont pas interchangeables.
La présence de données personnelles rend la lecture plus stricte. L’article 82 du règlement général sur la protection des données, règlement (UE) 2016/679, texte applicable consulté le 24 mars 2026, prévoit un droit à réparation pour une personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement. Il organise aussi les conditions de responsabilité du responsable du traitement et du sous-traitant.
Cette disposition ne signifie pas qu’un développeur indemnise automatiquement toute fuite de données. La qualification du rôle de chacun, les instructions reçues, les mesures de sécurité, la cause technique de l’incident et les engagements contractuels doivent être examinés. Un avocat spécialisé en protection des données est compétent pour analyser un litige ou une mise en demeure.
Les données et l’hébergement changent le niveau d’exposition
Un développeur qui travaille sur une vitrine sans espace utilisateur n’est pas exposé de la même manière qu’un prestataire administrant une base contenant des données de santé, des données financières ou des identifiants de connexion. L’hébergement, la gestion des accès, les sauvegardes et le traitement d’incidents étendent le périmètre à déclarer.
La couverture recherchée doit donc correspondre aux opérations réalisées. La mention « développement informatique » ne renseigne pas toujours sur l’infogérance, la conservation de données, les services cloud, l’audit de sécurité ou l’exploitation d’une plateforme. Une activité non déclarée peut déclencher une discussion sur l’étendue de la garantie.
L’article L113-2 du code des assurances, version en vigueur au 24 mars 2026, consulté le même jour, impose notamment à l’assuré de répondre exactement aux questions posées par l’assureur lors de la conclusion du contrat. L’article L113-9, version en vigueur à cette date, prévoit les conséquences d’une omission ou déclaration inexacte non intentionnelle, dont une réduction proportionnelle de l’indemnité lorsqu’elle est constatée après sinistre.
Décrire précisément ses activités n’est donc pas une formalité administrative. Le développement de code, la maintenance logiciel, le conseil d’architecture, les interventions d’urgence et l’accès aux environnements de production doivent correspondre aux réponses données lors de la souscription.
Comment vérifier une attestation avant de signer une mission informatique ?
Une attestation utile commence par l’identification exacte du professionnel assuré. Le nom commercial, la dénomination sociale, le numéro d’immatriculation et la période de validité doivent correspondre à la personne qui signe le contrat freelance. Une attestation émise au nom d’une autre société ne transfère pas sa couverture à l’indépendant.
La ligne qui décrit l’activité mérite une lecture mot à mot. Elle doit couvrir le développement, le conseil, la maintenance ou la régie lorsque ces prestations sont effectivement proposées. Une formule vague peut nécessiter la consultation des conditions particulières ou une confirmation écrite de l’assureur.
Le plafond ne s’interprète jamais isolément. Un plafond global élevé peut être accompagné d’un sous-plafond plus faible pour les dommages immatériels non consécutifs. La franchise reste due selon les modalités prévues, même si la garantie est acquise. L’attestation peut aussi renvoyer aux conditions générales sans reproduire les exclusions.
La vérification doit suivre le déroulement concret de la mission
- Comparez l’activité inscrite sur l’attestation avec les prestations effectivement prévues dans le contrat freelance, y compris la maintenance logiciel après livraison.
- Relevez le plafond applicable aux dommages immatériels et vérifiez s’il s’agit d’un plafond par sinistre, par année d’assurance ou d’un sous-plafond.
- Contrôlez si les missions réalisées en régie, chez le client final ou pour une ESN sont incluses dans le périmètre déclaré.
- Lisez la territorialité si le client, les utilisateurs, les serveurs ou le lieu de réclamation se situent hors de France.
- Demandez les conditions générales et particulières lorsque l’attestation ne permet pas de lire la franchise, les exclusions et la garantie cyber.
La territorialité mérite une attention particulière pour les prestations internationales. Les exclusions ou restrictions visant les États-Unis et le Canada sont fréquentes dans les contrats de responsabilité civile. Il faut vérifier si le contrat regarde le lieu où la prestation est faite, le domicile du client, le territoire où le dommage survient ou celui où la réclamation est introduite.
La comparaison avec les autres activités réglementées montre pourquoi cette lecture documentaire est nécessaire. La page consacrée aux assurances du diagnostiqueur immobilier repose sur des textes d’obligation et des seuils propres à cette profession. Le développeur freelance doit, lui, vérifier la cohérence entre une exigence contractuelle et les garanties réellement écrites dans sa police.
Si une attestation ne correspond pas à la mission, la solution n’est pas de modifier seul le document ou d’interpréter largement une activité déclarée. Il faut demander à l’assureur un avenant ou une confirmation écrite avant de commencer. Une attestation conforme au périmètre réel vaut davantage qu’un intitulé rassurant mais imprécis.
Un développeur freelance doit-il légalement souscrire une RC Pro ?
Non. Aucun texte général n’impose une responsabilité civile professionnelle au seul titre de l’activité de développement informatique. Une assurance peut toutefois être exigée par un client, une ESN ou une clause du contrat freelance.
La garantie DINC couvre-t-elle un site indisponible après un bug ?
Elle peut couvrir les pertes financières sans dommage matériel préalable, selon la définition et les exclusions du contrat. Il faut vérifier le sous-plafond applicable, la franchise et l’exclusion éventuelle des pertes d’exploitation ou des pénalités.
L’assurance d’une ESN couvre-t-elle automatiquement son sous-traitant ?
Non. La police de l’ESN couvre d’abord l’ESN dans les limites de son contrat. Le sous-traitant doit vérifier sa propre responsabilité civile professionnelle et la déclaration des missions en régie ou chez le client final.
Une RC Pro suffit-elle lorsqu’un développeur manipule des données personnelles ?
Pas nécessairement. La RC Pro traite la réclamation d’un tiers dans les limites prévues, tandis qu’une garantie cyber peut viser certains frais liés à un incident subi par le professionnel. Les conditions générales permettent de vérifier la répartition exacte des garanties.
