Les juges ont pour la première fois jugé que la méconnaissance de la réglementation en matière de données personnelles puisse servir à justifier l’annulation d’un contrat.

Non-respect du RGPD : nullité d’un contrat de création d’un site internet non conforme au droit des données à caractère personnel.   

Après avoir retenu que le non-respect du RGPD pouvait constituer un acte de concurrence déloyale (Tribunal judiciaire de Paris 15 avril 2022 n°19/12628), les juges ont pour la première fois jugé que la méconnaissance de la réglementation en matière de données personnelles puisse servir à justifier l’annulation d’un contrat de création de site internet pour erreur sur les qualités essentielles du site internet (Cour d’appel de Grenoble, Chambre commerciale, 12 janvier 2023 n°21/03701). 

Les faits de l’espèce étaient relativement simples. En mars 2016, une société X exerçant l’activité d’opticien a conclu un contrat avec la société Y portant sur la création, l’installation et la maintenance d’un site internet dédié à cette activité professionnelle. 

Après avoir demandé la résiliation unilatérale dudit contrat en juin 2016, la société X a cessé de régler ses mensualités à compter de novembre 2017. 

Cette dernière a été condamnée en première instance à verser des indemnités au profit de la société Y. 

En appel, la société X accusait la société Y d’être à l’origine de plusieurs manquements en matière de données personnelles, et notamment : 

• le dépôt et la collecte de cookies sur le site internet en méconnaissance des règles applicables en la matière (défaut d’information et de consentement des internautes) ; 
• le défaut d’information sur les traitements de données à caractère personnel dans le formulaire de contact. 

La Cour d’appel de Grenoble a reproché à la société Y de ne pas avoir porté à la connaissance de la société X « un élément essentiel concernant le site qu’elle a conçu et installé. Le fait que le site ait fait l’objet d’une réception sans réserve ni observation ne peut pallier ce manque d’information, l’appelante n’étant pas une spécialiste en la matière ».  

Partant, elle en a déduit que « le contrat est nul pour erreur sur une qualité essentielle du site internet, puisque la société X pouvait s’attendre légitimement à ce que le site ne collecte pas illégalement des données personnelles ». 

Cet arrêt est une illustration parfaite de l’influence du droit des données à caractère personnel sur le droit des contrats. 

Il rappelle par ailleurs la nécessité de respecter un processus contractuel rigoureux notamment par l’élaboration d’un cahier des charges et l’obligation pour les prestataires de services informatiques d’être transparent concernant les traitements de données mis en œuvre et l’obligation d’assurer leur conformité.