UN FICHIER CLIENTS ILLICITE NE PEUT ETRE VALABLEMENT COMMERCIALISE

Avec le développement des nouvelles technologies d'information, la constitution et l'exploitation de fichiers de données personnelles (par exemple de clients ou de prospects) sont devenues stratégiques pour le développement commercial de toute entreprise. Ces fichiers ont une valeur économique indéniable parmi les actifs d'une entreprise.

Mais le traitement automatisé de données personnelles est soumis au respect de règles impératives posées principalement par la loi Informatique et Liberté du 6 janvier 1978 dont le respect est contrôlé strictement par la CNIL. En substance, l'entreprise doit collecter des informations qui sont pertinentes au regard de la finalité du traitement, doit assurer la confidentialité et la sécurité informatique des données qui ne peuvent être conservées que pendant la durée nécessaire à leur traitement, doit veiller à ne pas transférer ces données hors de l'Union Européenne (. surtout à l'heure du cloud computing), doit recueillir l'accord de chaque personne pour pouvoir utiliser ces données dans un but commercial et enfin doit accorder à chaque personne un droit effectif d'accès, de rectification et d'opposition au traitement. La création de tous les fichiers de données personnelles doit en outre être portée à la connaissance de la CNIL soit sous forme de déclaration préalable soit plus exceptionnellement aux fins d'autorisation. Le non-respect de ces différentes formalités expose le responsable du traitement à des sanctions prononcées directement par la CNIL ou à des condamnations ordonnées par les juridictions répressives (peine d'emprisonnement jusqu'à 5 ans et peine d'amende jusqu'à 300 000 ?).

Cour de cassation le 25 juin 2013 est considérable dans la mesure où pour la première fois une juridiction judiciaire tire les conséquences directes de l'absence de déclaration d'un fichier sur la validité d'une transaction commerciale. En l'occurrence l'acquéreur d'un fichier clients de plusieurs milliers de noms avait découvert que ce fichier n'avait pas été déclaré à la CNIL et avait sollicité, vainement devant les juridictions du fond, l'annulation de la vente et le remboursement du prix. La Cour suprême a jugé que « tout fichier informatisé contenant des données à caractère personnel doit faire l'objet d'une déclaration auprès de la CNIL et que la vente d'un tel fichier qui, n'ayant pas été déclaré, n'était pas dans le commerce, avait un objet illicite ». Cet arrêt est rendu sur le fondement combiné de l'article 1128 du Code civil disposant qu'un contrat ne peut être valablement conclu que s'il a un objet licite et de l'article 22 de laloi Informatique et Liberté imposant une déclaration préalable des traitements de données personnelles.

Le message ainsi lancé est très clair : au-delà des sanctions administratives ou pénales qui ne sont prononcées qu'à l'initiative de la CNIL ou des juridictions répressives, les commerçants peuvent eux-mêmes invoquer en justice la nullité d'une transaction commerciale portant sur un fichier de données personnelles non déclaré et obtenir le remboursement du prix payé.

Cette décision peut avoir une portée très large : (i) cette sanction devrait s'appliquer à tout type de contrat ayant pour objet un fichier de données personnelles, tel que cession, location, financement, assurance, oucession d'éléments isolés d'un fonds de commerce, voire une cession de fonds de commerce ; (ii) cette sanction pourrait également s'étendre aux cas de nonrespect d'autres formalités imposées par la loi Informatique et Liberté, notamment les autorisations ou l'information de chaque personne concernée ; (iii) enfin, tout tiers intéressé (et non uniquement le cocontractant lésé) pourrait solliciter la nullité de la convention pendant un délai de 5 ans.

Les responsables de traitements de données personnelles doivent donc veiller encore plus à ce que tous leurs fichiers soient créés puis exploités en conformité avec la réglementation, faute de quoi ces fichiers n'auront pas de véritable valeur patrimoniale. De leur côté, les acquéreurs ou locataires de fichiers auront intérêt non seulement à procéder à un audit préalable à la transaction mais également à obtenir du responsable du traitement une garantie formelle du respect de toutes les obligations légales en la matière