Exclusion de la responsabilité contractuelle assumée

Une police de responsabilité couvre la dette de réparation que la loi met à la charge de l'assuré lorsqu'il cause un dommage. Elle n'a pas vocation à couvrir les engagements qu'il a choisi de prendre par contrat et qui vont au-delà : une clause pénale forfaitaire, un plafond de responsabilité supprimé, une indemnisation de toutes les conséquences d'un incident quelle qu'en soit la cause, une garantie de disponibilité assortie de pénalités. Sans cette exclusion, l'assuré pourrait accroître à volonté l'engagement de son assureur en négociant avec ses clients. L'exclusion prévoit en général une exception essentielle : elle ne s'applique pas à la responsabilité que l'assuré aurait encourue même en l'absence du contrat. Dans les polices cyber, elle comporte souvent d'autres réintégrations, pour les obligations de confidentialité, pour les pénalités dues aux réseaux de cartes de paiement, ou pour les clauses d'indemnisation relatives aux données. Pour un prestataire informatique, dont les contrats clients contiennent des engagements de service lourds, c'est la clause qui décide si la police sert : un contrat qui transfère au prestataire la totalité du risque cyber du client peut créer une exposition très supérieure à ce que l'assurance couvrira. Relire ses contrats au regard de sa police est la première diligence de gestion du risque.