Selon l’article 22 de la loi Informatique et Libertés, un traitement automatisé doit faire l’objet d’une déclaration auprès de la CNIL, sauf exceptions prévues par la loi.
En l’espèce, la Chambre commerciale de la Cour de Cassation a été saisie d’un pourvoi formé à l’encontre d’une décision de la Cour d’appel de Rennes, laquelle avait rejeté une demande en nullité d’une vente d’un fichier de clients informatisé non déclaré à la CNIL, considérant qu’une telle sanction n’était pas expressément prévue par la loi.
La Cour de Cassation a cassé cet arrêt sur le fondement de l’article 22 précité mais également sur celui de l’article 1128 du code civil selon lequel « Il n’y a que les choses qui sont dans le commerce qui puissent être l’objet des conventions ».
En effet, la Cour de Cassation a considéré que « tout fichier informatisé contenant des données à caractère personnel doit faire l’objet d’une déclaration auprès de la CNIL et (…) la vente par [la société cédante] d’un tel fichier qui, n’ayant pas été déclaré, n’était pas dans le commerce, avait un objet illicite ».
Cette solution conduit à souligner l’importance que revêt la conformité des traitements de fichiers personnels à la loi Informatique et Libertés et notamment, au regard des formalités à effectuer auprès de la CNIL.
En effet, outre le risque attaché aux sanctions en cas de défaut de déclaration, le risque financier est également à prendre en compte puisque qu’un tel manquement peut empêcher la valorisation du fichier, ce qui a été le cas en l’espèce.
Il appartient aux juristes d’assurer, lors des due diligences, la vérification du respect des obligations de déclaration auprès de la CNIL afin d’éviter que le défaut de déclaration puisse entraîner la nullité d’une vente ultérieure du fichier.
Olivier HAYAT
Téléchargez cet article au format .pdf
Confirmation en appel du statut d’éditeur d’un site de vente aux enchères et de parking de noms de domaine
