Pour la première fois depuis son entrée en vigueur en 2018, le RGPD a été utilisé par un tribunal français pour prononcer la nullité d’un contrat commercial.
Le 12 janvier 2023, la chambre commerciale de la Cour d’appel de Grenoble a prononcé la nullité d’un contrat de licence d’exploitation d’un site internet sur le fondement du non-respect du RGPD.
1. Les faits :
Un opticien a mandaté une agence de création de site web pour créer, installer et maintenir le site internet dédié à son activité professionnelle.
Un an après sa conclusion, l’opticien a demandé au prestataire la résiliation du contrat de prestation.
Lorsque celui-ci se voit refuser la résiliation du contrat par l’agence web, il décide d’arrêter de régler les mensualités prévues dans le contrat.
Après plusieurs mises en demeure de payer, l’agence assigne le client en justice.
En première instance, le Tribunal de commerce de Grenoble le condamne à régler les sommes prévues dans le contrat.
2. La décision :
La Cour d’appel de Grenoble a considéré que le non-respect de la règlementation relative à la protection des données personnelles entrainait de facto la nullité du contrat.
En conséquence, la Cour d’appel a condamné l’agence web à rembourser 100% du prix de la prestation.
Motivation de la décision
La Cour d’appel a considéré que « le contrat est nul en raison de son objet, puisqu’il est un instrument de collecte illégale de données personnelles ».
Pourquoi la Cour fait-elle référence à « un instrument de collecte illégale » ?
Car le site présentait les caractéristiques suivantes :
- Cookies déposés automatiquement
- Cookies GA3 dont l’usage a été jugé illégal par la CNIL
- Transfert hors UE des données collectées
Un risque élevé pour le client
Le client n’a pas été informé par le prestataire de « l’existence de logiciels permettant l’installation de cookies destinés à utiliser de telle données ».
Une information précontractuelle aurait donc être délivrée et aurait suffi à écarter la nullité du contrat.
La Cour considère également que le fait pour le client de réceptionner le site internet sans réserve ni observation « ne peut pallier ce manque d’informations », car « il n’est pas un spécialiste en la matière ».
L’absence d’observations du client ne vaut pas acceptation du dispositif puisqu’il n’est pas un professionnel en la matière.
Cette décision rappelle l’importance de suivre et d’encadrer vos relations avec vos partenaires digitaux.
Les prestataires de création et de suivi des sites internet adoptent des pratiques qui ne sont pas conformes à la règlementation et qui vous placent en situation de risque. La Cour d’appel le rappelle, c’est initialement la responsabilité du Responsable de traitement donc du client qui est engagée.
LOB peut vous accompagner pour garantir la bonne prise en compte des enjeux RGPD par votre agence digitale.