L’article 22 de la loi n° 78-17 du 6 janvier 1978 impose une déclaration des traitements automatisés de données à caractère personnel. Cette déclaration doit être antérieure au traitement et se fait auprès de la Commission nationale de l’informatique et des libertés, plus communément désignée par son acronyme CNIL. Qu’advient-il lorsqu’une personne omet de déclarer un fichier, et le cède à un tiers ? Ce contrat de vente est-il valable ? C’est la question à laquelle a dû répondre la chambre commerciale de la Cour de cassation dans un arrêt du 25 juin 2013.

En l’espèce une société a constitué un fichier informatisé de 6 000 clients sans le déclarer préalablement à la CNIL comme le prescrit pourtant l’article 22 de la loi du 6 janvier 1978. Le fichier est cédé à un particulier qui demande ensuite l’annulation de la vente.

L’acquéreur est débouté de sa demande et la Cour d’appel de Rennes confirme le jugement par un arrêt du 17 janvier 2012 au motif que « si le traitement du fichier clients de la société BOUT-CHARD doit faire l’objet d’une déclaration simplifiée qui en l’espèce n’a pas été faite, il apparaît que la loi n’a pas prévu que la sanction de l’absence de déclaration du traitement du fichier clients soit la nullité du fichier, son illicéité, de sorte que la vente du fichier portant sur ce fichier serait nulle, pour l’illicéité d’objet, ou pour illicéité de cause ».

On éprouve quelque difficulté à concevoir comment un fichier informatique pourrait être « nul ». La nullité est une fiction juridique, un droit de critique qui ne peut concerner qu’un acte juridique. Le fichier informatique relève du domaine du factuel et ne peut donc pas être « nul ». Il peut être illicite, hors du commerce juridique, mais il ne peut pas être nul, cela n’aurait aucun sens. Si l’on excepte cette imprécision terminologique, l’argument de la Cour d’appel de Rennes parait convaincant de prime abord : la loi de 1978 ne sanctionne pas le fichier en lui même en cas de non déclaration préalable. En effet, l’arsenal des sanctions prévues aux articles 45 et suivants de la loi concerne exclusivement le responsable du fichier : la CNIL peut prononcer un avertissement, une sanction pécuniaire pouvant aller jusqu’à 150 000 euros, ou encore une injonction de cesser le traitement. Rien n’indique que le fichier en lui-même ne pourrait être cédé. Les sanctions subjectives semblent donc préférées aux sanctions objectives.

La Cour d’appel poursuit un peu plus loin dans son arrêt que « la déclaration simplifiée peut être faite à tout moment », sous-entendu que l’acquéreur du fichier a la possibilité d’effectuer lui-même la déclaration postérieurement à la vente pour pouvoir exploiter le fichier clients en toute légalité et ainsi faire cesser tout risque d’éviction de la chose vendue.

Pourtant l’arrêt est cassé au double visa de l’article 1128 du Code civil et de l’article 22 de la loi du 6 janvier 1978 : « en statuant ainsi, alors que tout fichier informatisé contenant des données à caractère personnel doit faire l’objet d’une déclaration auprès de la CNIL et que la vente par la société Bout-Chard d’un tel fichier qui, n’ayant pas été déclaré, n’était pas dans le commerce, avait un objet illicite, la cour d’appel a violé les textes susvisés ».

La solution semble opportune car elle confère une effectivité beaucoup plus importante aux prescriptions de l’article 22 de la loi de 1978. Certes on pourrait autoriser le commerce des fichiers non déclarés à la CNIL, à charge pour l’acquéreur, qui devient responsable du fichier à la place du vendeur, de régulariser la situation en le déclarant à la CNIL sous peine de s’exposer aux sanctions prévues aux articles 45 et suivants. Mais donner un blanc seing à ces contrats risquerait de créer une sorte de commerce sous-terrain des fichiers non déclarés : tant que la CNIL n’est pas informée de l’existence de ces fichiers, le vendeur comme l’acquéreur ne risquent rien, et si le contrat de vente est juridiquement inattaquable ni le vendeur ni l’acquéreur n’ont intérêt à déclarer le fichier. A contrario déclarer ces contrats nuls pour objet illicite retire toute valeur marchande aux fichiers illicites non déclarés et oblige les propriétaires de tels fichiers à les déclarer avant de pouvoir les mobiliser par le biais d’un acte juridique.

Cette jurisprudence de la chambre commerciale de la Cour de cassation a donc pour effet d’immobiliser juridiquement les fichiers non déclarés en les plaçant hors du commerce juridique : ils ne peuvent pas faire l’objet d’actes juridiques, ces derniers sont nuls. Le propriétaire du fichier non déclaré peut donc l’exploiter personnellement, mais le jour où il voudra mobiliser le fichier en faisant intervenir un tiers dans son exploitation par le biais d’un acte juridique (acte de cession, licence d’utilisation, etc), il devra régulariser sa situation en déclarant le fichier. S’il tente de passer outre et de conclure malgré tout un contrat ayant pour objet le fichier non déclaré, alors le contrat sera nul, et ce ne sera que justice : le propriétaire du fichier a voulu ignorer le droit en ne déclarant pas son fichier, le droit ignorera son contrat en refusant de lui reconnaître une quelconque force obligatoire et d’apporter son concours à son exécution forcée. Une solution fortement comminatoire et qui ne nécessite la mise en œuvre d’aucune sanction pécuniaire, d’aucune injonction de faire. Une simple fiction juridique, la nullité, suffit. Et cette sanction est automatique, elle ne requiert pas l’intervention, trop rare en pratique, de la CNIL, contrairement aux sanctions énumérées dans la loi de 1978 : le titulaire du fichier sait que son contrat sera nul s’il ne déclare pas préalablement son fichier, or à quoi bon conclure un contrat que l’on sait nul alors que l’intérêt du contrat est d’être un instrument d’anticipation censé offrir prévisibilité et sécurité juridique ?

L’arrêt est reproduit in extenso ci-dessous.

Cour de cassation
chambre commerciale
Audience publique du mardi 25 juin 2013
N° de pourvoi: 12-17037
FS-P+B+I

Sur le troisième moyen :

Vu l’article 1128 du code civil, ensemble l’article 22 de la loi n° 78-17 du 6 janvier 1978 ;

Attendu, selon l’arrêt attaqué, que M. X… a fait assigner la société Bout-Chard en nullité de la vente d’un fichier de clients informatisé ;

Attendu que pour rejeter cette demande, l’arrêt, après avoir constaté que le fichier de clientèle tenu par la société Bout-Chard qui aurait dû être déclaré à la Commission nationale informatique et libertés (la CNIL) ne l’avait pas été, retient que la loi n’a pas prévu que l’absence d’une telle déclaration soit sanctionnée par la nullité ;

Attendu qu’en statuant ainsi, alors que tout fichier informatisé contenant des données à caractère personnel doit faire l’objet d’une déclaration auprès de la CNIL et que la vente par la société Bout-Chard d’un tel fichier qui, n’ayant pas été déclaré, n’était pas dans le commerce, avait un objet illicite, la cour d’appel a violé les textes susvisés ;

PAR CES MOTIFS, et sans qu’il y ait lieu de statuer sur les autres griefs :
CASSE ET ANNULE en toutes ses dispositions, l’arrêt rendu le 17 janvier 2012, entre les parties, par la cour d’appel de Rennes ; remet, en conséquence, la cause et les parties dans l’état où elles se trouvaient avant ledit arrêt et, pour être fait droit, les renvoie devant la cour d’appel de Rennes, autrement composée ;