Deux sanctions très différentes coexistent dans le code des assurances, et c'est la bonne foi du souscripteur qui décide laquelle s'applique.
Tout dépend de votre bonne foi, car le code des assurances prévoit deux régimes distincts. Une fausse déclaration intentionnelle, celle qui change la nature du risque ou qui conduit l'assureur à le croire plus faible qu'il n'est, entraîne l'annulation du contrat : la garantie tombe, et les primes que vous avez déjà payées, l'assureur les garde. Si la mauvaise foi n'est pas établie, le contrat est maintenu et la garantie joue, mais réduite : l'indemnité est diminuée dans le rapport entre la prime payée et celle qui aurait été due si le risque avait été exactement déclaré. Le tableau plus bas met les deux régimes en regard, avec le texte de chacun. Point souvent décisif : la loi vous oblige à répondre exactement aux questions posées, et à celles-là seulement. Une case cochée trop vite ouvre donc autant une discussion sur la précision de la question que sur l'exactitude de la réponse.
L'article L. 113-2 oblige l'assuré à « répondre exactement aux questions posées par l'assureur, notamment dans le formulaire de déclaration du risque ». La rédaction est protectrice : le périmètre de ce que vous devez est dessiné par le questionnaire, pas par une obligation de tout exposer spontanément.
En cyber, ces questions portent sur des faits datés et vérifiables : authentification multifacteur, sauvegardes testées, comptes à privilèges, plan de reprise. Cocher une case, c'est affirmer un état du système d'information à une date donnée. Le 3° du même article prolonge l'obligation après la signature : les circonstances nouvelles qui rendent « inexactes ou caduques les réponses faites à l'assureur » se déclarent dans les quinze jours.
Les deux textes s'excluent. L'assureur qui invoque la nullité supporte la démonstration de l'intention ; à défaut s'applique la réduction proportionnelle, et la garantie subsiste.
| Point de comparaison | Article L. 113-8 | Article L. 113-9 |
|---|---|---|
| Situation visée | Réticence, c'est-à-dire silence gardé volontairement, ou fausse déclaration intentionnelle | Omission ou déclaration inexacte, mauvaise foi non établie |
| Sort du contrat | Nul | Maintenu |
| Sort de l'indemnité | Aucune indemnité | Réduite dans le rapport du taux de prime payé au taux qui aurait été dû |
| Sort des primes | Acquises à l'assureur, majorées des primes échues à titre de dommages et intérêts | Restituées au prorata si résiliation, sinon revues à la hausse |
| Inexactitude découverte avant tout sinistre | La nullité reste encourue | Augmentation de prime acceptée, ou résiliation dix jours après notification |
| Rôle du défaut dans la survenance du sinistre | Indifférent, le texte le précise | Indifférent, selon une jurisprudence constante |
Un exemple rend la règle concrète. Vous payez 6 000 euros de prime. Si l'assureur avait connu la situation réelle, il en aurait demandé 10 000. Il vous indemnise alors à hauteur de 60 %, soit 6 000 divisés par 10 000 : sur un sinistre à 500 000 euros, vous en encaissez 300 000.
La réduction proportionnelle n'est pas une appréciation discrétionnaire, c'est un calcul, que l'assureur doit pouvoir justifier. Il applique un texte, comme une franchise ou un plafond.
Depuis un arrêt de la Cour de cassation du 7 février 2014, l'assureur ne peut se prévaloir d'une fausse déclaration intentionnelle que si elle procède des réponses apportées à des questions qu'il a lui-même posées. En pratique : les mentions pré-imprimées des conditions particulières, dont l'assuré n'est pas l'auteur, ne suffisent pas ; le questionnaire et les réponses doivent être produits.
Une question fermée et datée sur l'activation de l'authentification multifacteur laisse peu de place à l'interprétation. Une question large sur le « niveau de sécurité » en laisse beaucoup, et cette imprécision profite au souscripteur. Relire le formulaire question par question avant de le signer revient à mesurer par avance ce qui pourra vous être opposé.
Le deuxième alinéa de l'article L. 113-9 ouvre une voie peu empruntée : constatée avant tout sinistre, l'inexactitude conduit l'assureur à choisir entre maintenir le contrat moyennant une augmentation de prime acceptée, et le résilier dix jours après notification. Rapportée à une réduction d'indemnité sur un sinistre à sept chiffres, la première branche est presque toujours la moins coûteuse.
La démarche tient en peu de gestes : retrouver le questionnaire signé, reprendre chaque réponse, dater et signaler ce qui a changé. C'est aussi le moment de vérifier que la couverture correspond à l'exposition réelle, sujet que traite notre page assurance cyber, dans un marché où les primes et la sinistralité des ETI évoluent en sens contraire. Le dirigeant qui valide ce questionnaire y engage sa signature, terrain voisin de l'engagement de ses biens personnels.
Accent Conseil archive le questionnaire signé, la pièce qui appuie chaque réponse et sa date. Nous rouvrons ce dossier à chaque renouvellement et dès qu'une brique de votre système d'information change, pour que la déclaration reste exacte aussi longtemps que le contrat.
Audit gratuit
Reprise de chaque question, de la réponse portée et de la pièce qui la justifie, puis remise des points à corriger.
Demander un audit en 30 minQuestions liées
Oui, et c'est le point le plus contre-intuitif de la matière. L'article L. 113-8 prévoit expressément que la nullité s'applique « alors même que le risque omis ou dénaturé par l'assuré a été sans influence sur le sinistre ». La Cour de cassation retient la même logique pour la réduction proportionnelle de l'article L. 113-9 : il suffit que la déclaration inexacte ait changé l'objet du risque ou modifié l'opinion que l'assureur s'en faisait. Le raisonnement porte sur la tarification au moment de la souscription, pas sur la chaîne causale de l'incident.
À l'assureur, sur les deux terrains. Il lui appartient d'établir l'inexactitude, son incidence sur son appréciation du risque, et, s'il vise la nullité, le caractère intentionnel. Depuis l'arrêt de chambre mixte du 7 février 2014, il doit également produire le questionnaire et les réponses qui lui ont été faites : une mention pré-imprimée aux conditions particulières, que le souscripteur n'a pas rédigée, ne suffit pas à démontrer qu'une question précise a été posée.
Pas à l'égard de l'assureur. L'obligation de l'article L. 113-2 pèse sur le souscripteur, et les réponses portées au formulaire qu'il signe lui sont opposables, quelle que soit la personne qui les a saisies. La répartition interne des responsabilités reste un sujet entre vous et celui qui vous a renseigné. Sur le plan pratique, la parade consiste à faire contresigner les réponses techniques par celui qui les produit et à conserver les pièces correspondantes.
La déclarer. Le 3° de l'article L. 113-2 vise les circonstances nouvelles qui aggravent le risque et rendent inexactes ou caduques les réponses déjà faites, et impose de les porter à la connaissance de l'assureur dans un délai de quinze jours à partir du moment où vous en avez eu connaissance, par lettre recommandée ou envoi recommandé électronique. Une migration d'infrastructure, la reprise d'une filiale ou l'arrêt temporaire d'un dispositif d'authentification entrent typiquement dans ce champ.
Le code ne fixe ni plancher ni plafond : la réduction suit le rapport entre le taux de prime payé et le taux qui aurait été appliqué si le risque avait été complètement et exactement déclaré. Sur un risque cyber où l'absence d'une mesure attendue peut faire varier fortement la tarification, l'abattement peut donc être élevé. L'assureur doit justifier ce calcul, ce qui en fait un point discutable pièce en main plutôt qu'une décision à subir.
Les actions dérivant d'un contrat d'assurance se prescrivent par deux ans. En matière de réticence, d'omission ou de déclaration fausse ou inexacte sur le risque couru, l'article L. 114-1 précise que ce délai ne court que du jour où l'assureur en a eu connaissance. Autrement dit, l'ancienneté du questionnaire ne protège pas en elle-même : le compteur démarre à la découverte, qui intervient le plus souvent pendant l'instruction du sinistre.
Sources
Textes : article L. 113-2 du code des assurances ; article L. 113-8 ; article L. 113-9 ; article L. 114-1 ; Cour de cassation, chambre mixte, 7 février 2014, pourvoi n° 12-85.107.
Pour aller plus loin : la responsabilité des dirigeants au titre de NIS 2 et la page responsabilité civile.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
