Le défaut de déclaration à la CNIL d'un fichier clients rend-il la vente de ce fichier nulle ? La Chambre Commerciale de la Cour de cassation a répondu par l'affirmative, par une décision en date du 25 juin dernier.
Elle consacre ainsi le respect des obligations découlant de la règlementation de la Loi Informatique et Liberté ("LIL") comme une des conditions essentielles de validité d'un des éléments du fonds de commerce, à savoir la clientèle.

Un fichier client non déclaré est bien illicite

En l'espèce, l'acquéreur d'un fonds de commerce de vente de vins aux particuliers comprenant notamment, au titre de ses éléments incorporels, un fichier clients informatisé, constate après la vente que ledit fichier n'avait pas été déclaré à la CNIL par le vendeur. L'acquéreur demande l'annulation de la vente du fichier clients en raison de l'illicéité de son objet, mais tant le Tribunal de Commerce de Saint Nazaire que la Cour d?appel de Rennes refusent, cette dernière considérant que "la LIL ne sanctionne pas l?absence de déclaration du traitement du fichier par la nullité, de sorte que la vente d'un tel fichier ne peut être nulle, pour illicéité d?objet, ou pour illicéité de cause ».

L'acquéreur obtient finalement gain de cause auprès de la Cour de cassation qui au contraire considère que « tout fichier informatisé contenant des données à caractère personnel doit faire l?objet d?une déclaration auprès de la CNIL et que la vente par la société X d?un tel fichier qui, n?ayant pas été déclaré, n?était pas dans le commerce, avait un objet illicite ».

Sanction d'illicéité nouvelle pour la nullité de l'objet vendu

En faisant d'une formalité à la CNIL un critère de licéité d'un fichier objet d'une vente, cette décision fait preuve d'audace et tire les conséquences en droit civil d'une non-conformité à la LIL. La démarche n'est pas sans rappeler celle de la jurisprudence en droit social qui considère qu'un licenciement ne pouvait être fondé sur un traitement de données non déclaré à la CNIL (Soc. 6 avril 2004, pour un licenciement fondé sur le défaut d'utilisation d'une pointeuse dont le fichier n'avait pas été déclaré à la CNIL ; CA Dijon 14 septembre 2010, pour un licenciement fondé notamment sur des données de géolocalisation dont le traitement n'avait pas été déclaré à la CNIL).

En revanche, c'est la première fois que la Cour de cassation décide que l'objet de la vente est illicite du seul fait de la non réalisation des formalités relatives à cet objet. La sanction de l'illicéité de l'objet étant l'invalidité de l'acte juridique envisagé et donc sa nullité, cette sanction est donc applicable en l'espèce à la vente du fichier clients non déclaré. La Cour de cassation n'est nullement sensible à l'argument de la Cour d'Appel de Rennes, selon lequel la nullité ne figure pas parmi la liste de sanctions prévue par la LIL, et se place au contraire sur le terrain du droit civil pour sanctionner une illicéité résultant de l'application de la LIL.

Une portée pratique de la loi Informatique et Liberté

La Cour de Cassation donne ainsi à la LIL une portée pratique sans précédent dans la mesure où un élément non conforme à cette réglementation est désormais susceptible de dévaloriser l'actif incorporel de l?entreprise.
Cette solution devrait sans nul doute contribuer au renforcement de la prise de conscience des entreprises à la nécessité de respecter les obligations de la LIL. En effet, si la validité de toute opération juridique impliquant la vente de fichiers de données personnelles est susceptible d'être remise en cause, les responsables de traitement ne pourront qu'être incités à procéder de façon systématique aux formalités déclaratives auprès de la CNIL.

A cet égard, rappelons que la déclaration n?est que la confirmation par le responsable de traitement du respect de plusieurs obligations (information des personnes concernées, respect du principe de proportionnalité, durée de conservation limité, sécurité des données traitées etc.). Ainsi, si une entreprise se contente de faire une déclaration en ligne pour échapper aux conséquences de la nullité, mais sans respecter les obligations lui incombant au regard de la LIL, elle doit être consciente que son fichier demeure illicite puisque sa déclaration aura été fausse?
 

*Denise Lebeau-Marianna, Senior Counsel au sein du département Technologies de l'information et Communication du cabinet Baker & McKenzie. Elle a rédigé cette tribune avec la contribution de Magalie Dansac, Avocate Senior.