{"id":7385,"date":"2020-06-09T23:52:44","date_gmt":"2020-06-09T21:52:44","guid":{"rendered":"https:\/\/www.agilit.law\/?p=7385"},"modified":"2021-10-27T00:22:59","modified_gmt":"2021-10-26T22:22:59","slug":"acheter-un-fichier-de-donnees-a-caractere-personnel-risques-encourus-et-precautions-elementaires","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/acheter-un-fichier-de-donnees-a-caractere-personnel-risques-encourus-et-precautions-elementaires\/","title":{"rendered":"Acheter un fichier de donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0: risques encourus et pr\u00e9cautions \u00e9l\u00e9mentaires !"},"content":{"rendered":"

Par un arr\u00eat en date du 2 avril 2020,<\/strong> la Cour d\u2019appel d\u2019Amiens est venue rappeler que la validit\u00e9 de la vente d\u2019un fichier de donn\u00e9es \u00e0 caract\u00e8re personnel suppose que ce fichier ait fait l\u2019objet des formalit\u00e9s pr\u00e9alables alors requises aupr\u00e8s de la Commission nationale de l\u2019informatique et des libert\u00e9s (\u00ab Cnil \u00bb).<\/p>\n

Bien que cet arr\u00eat concerne des faits ant\u00e9rieurs \u00e0 l\u2019entr\u00e9e en application du r\u00e8glement europ\u00e9en (UE)2016\/67 9 du 27 avril 2016 dit \u00ab r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es \u00bb (\u00ab\u00a0RGPD\u00a0\u00bb), il constitue l\u2019occasion de s\u2019interroger sur la port\u00e9e d\u2019une telle d\u00e9cision \u00e0 l\u2019heure du RGPD<\/strong> et de faire le point sur les pr\u00e9cautions \u00e0 prendre dans le cadre de l’achat d\u2019un fichier comportant des donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong> ayant vocation \u00e0 \u00eatre utilis\u00e9es par l’acheteur, pour son propre compte, en particulier \u00e0 des fins de prospection.<\/p>\n

 <\/p>\n

 <\/p>\n

La nullit\u00e9 de la vente d\u2019un fichier comportant des donn\u00e9es \u00e0 caract\u00e8re personnel non d\u00e9clar\u00e9 aupr\u00e8s de la Cnil<\/strong><\/h2>\n

Dans l’affaire soumise \u00e0 l’appr\u00e9ciation de la Cour d’appel d’Amiens, un \u00e9tablissement d’\u00e9ducation avait conclu en 2012 avec une soci\u00e9t\u00e9 commerciale sp\u00e9cialis\u00e9e dans la vente et l’achat d’espaces publicitaires, ainsi que dans la cr\u00e9ation de brochures et prospectus pour diverses client\u00e8les, un contrat de partenariat en vue de l’installation dans l’\u00e9tablissement scolaire d’\u00e9crans plasma destin\u00e9s \u00e0 diffuser des messages pour les \u00e9l\u00e8ves, professeurs et parents d’\u00e9l\u00e8ves. En \u00e9change de la fourniture de ces \u00e9crans, l\u2019\u00e9tablissement d\u2019\u00e9ducation s’\u00e9tait engag\u00e9 \u00e0 fournir \u00e0 cette soci\u00e9t\u00e9 une liste d\u00e9taill\u00e9e des parents d’\u00e9l\u00e8ves occupant des postes \u00e0 responsabilit\u00e9s dans des entreprises industrielles et commerciales \u00e0 des fins de prospection publicitaire. Suite \u00e0 la rupture de ce contrat par l\u2019\u00e9tablissement d\u2019\u00e9ducation le 23 avril 2015, la soci\u00e9t\u00e9 commerciale a introduit une action en justice en arguant du caract\u00e8re abusif de la rupture de ce contrat. C\u2019est dans ce contexte que la Cour d\u2019appel d\u2019Amiens a \u00e9t\u00e9 amen\u00e9e \u00e0 se prononcer sur la validit\u00e9 du contrat conclu, ainsi que l\u2019y invitaient les conclusions transmises par l\u2019\u00e9tablissement d\u2019\u00e9ducation.<\/p>\n

A cet \u00e9gard, la Cour a consid\u00e9r\u00e9, sur le fondement de l\u2019article 1128 du Code civil dans sa version applicable aux faits en cause, qui disposait alors qu\u2019\u00ab il n\u2019y a que les choses qui sont dans le commerce qui puissent \u00eatre l\u2019objet des conventions<\/em>\u00a0\u00bb, et de l\u2019article 22 de la loi n\u00b078-17 relative \u00e0 l’informatique, aux fichiers et aux libert\u00e9s dans sa version applicable aux faits en cause, qui disposait alors que tout traitement ou utilisation de donn\u00e9es personnelles, sauf d\u00e9rogations, devait faire l’objet d’une d\u00e9claration pr\u00e9alable aupr\u00e8s de la Cnil, que l’un des \u00e9l\u00e9ments essentiels du contrat, \u00e0 savoir un fichier de donn\u00e9es \u00e0 caract\u00e8re personnel, \u00e9tant hors commerce, le contrat devait \u00eatre consid\u00e9r\u00e9 en son entier comme hors du commerce et comme ayant un objet illicite<\/strong> (Cour d\u2019appel d\u2019Amiens, 1\u00e8re<\/sup> chambre civile, 2 Avril 2020, n\u00b018\/03630).<\/p>\n

En l\u2019esp\u00e8ce, la Cour a relev\u00e9 que, en vertu de la d\u00e9lib\u00e9ration n\u00b0 2012-184 du 7 juin 2012<\/a> \u00e9labor\u00e9 par la Cnil, les \u00e9tablissements d’\u00e9ducation pouvaient b\u00e9n\u00e9ficier d’une dispense en mati\u00e8re de traitement informatique ayant pour finalit\u00e9 l’\u00e9dition des listes de parents d’\u00e9l\u00e8ve. Toutefois, ils ne pouvaient s\u2019en pr\u00e9valoir que dans le cadre de finalit\u00e9s et \u00e0 destination de destinataires limitativement \u00e9num\u00e9r\u00e9s dans ladite dispense. Aussi, aucune autre donn\u00e9e \u00e0 caract\u00e8re personnel relative aux \u00e9l\u00e8ves ne pouvait \u00eatre communiqu\u00e9e \u00e0 des tiers sans l’accord \u00e9crit de l’un de leurs responsables l\u00e9gaux ou des \u00e9l\u00e8ves concern\u00e9s eux-m\u00eames. Or, en l’esp\u00e8ce, aucune d\u00e9claration aupr\u00e8s de la Cnil n’avait \u00e9t\u00e9 r\u00e9alis\u00e9e par l\u2019\u00e9tablissement d\u2019\u00e9ducation et des donn\u00e9es avaient \u00e9t\u00e9 communiqu\u00e9es \u00e0 une soci\u00e9t\u00e9 commerciale souhaitant les utiliser \u00e0 des fins de prospection publicitaire, sans qu’aucun accord des personnes concern\u00e9es en ce sens n’ai \u00e9t\u00e9 recueilli.<\/p>\n

Ainsi, la Cour a consid\u00e9r\u00e9 que le fichier transmis \u00e0 la soci\u00e9t\u00e9 commerciale n\u2019ayant pas \u00e9t\u00e9 d\u00e9clar\u00e9 \u00e0 la Cnil, il ne pouvait d\u00e8s lors se trouver dans le commerce, si bien que, d\u00e8s lors que la fourniture de ce fichier \u00e9tait un des \u00e9l\u00e9ments essentiels du contrat, ce contrat devait \u00eatre consid\u00e9r\u00e9 comme nul, en raison de l’illic\u00e9it\u00e9 de son objet<\/strong>, et ce alors m\u00eame que la r\u00e9glementation telle qu’applicable aux faits en cause ne pr\u00e9voyait en tant que telle la nullit\u00e9 ou l’illic\u00e9it\u00e9 du fichier en cas de non-respect de cette formalit\u00e9 aupr\u00e8s de la Cnil.<\/p>\n

Un tel raisonnement n\u2019est pas nouveau en jurisprudence. En effet, la Cour de cassation avait d\u00e9j\u00e0 pu consid\u00e9rer, au sujet d\u2019un fichier clients transmis, que le fichier non d\u00e9clar\u00e9 \u00e0 la CNIL par un vendeur \u00e9tait une chose hors du commerce et que, par cons\u00e9quent, la vente d’un tel fichier qui avait un objet illicite devait \u00eatre consid\u00e9r\u00e9e comme nulle (Cass. com., 25 juin 2013, n\u00b0 12-17037<\/a>).<\/p>\n

 <\/p>\n

 <\/p>\n

La fourniture de fichiers comportant des donn\u00e9es \u00e0 caract\u00e8re personnel depuis l\u2019entr\u00e9e en application du RGPD<\/strong><\/h2>\n

Il est int\u00e9ressant de s\u2019interroger sur la port\u00e9e actuelle des d\u00e9cisions pr\u00e9cit\u00e9es en mati\u00e8re de vente de fichiers comportant des donn\u00e9es \u00e0 caract\u00e8re personnel, alors que l’entr\u00e9e en application du RGPD et les nouvelles dispositions fran\u00e7aises en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel n’imposent plus, dans la majorit\u00e9 des cas, que les traitements de telles donn\u00e9es soient d\u00e9clar\u00e9s aupr\u00e8s de la Cnil, et ce d\u2019autant plus que l\u2019article 1128 du Code civil qui disposait qu\u2019 \u00ab il n\u2019y a que les choses qui sont dans le commerce qui puissent \u00eatre l\u2019objet des conventions<\/em>\u00a0\u00bb a \u00e9t\u00e9 abrog\u00e9 lors de la r\u00e9forme du droit des contrats, du r\u00e9gime g\u00e9n\u00e9ral et de la preuve des obligations (Ordonnance n\u00b0 2016-131 du 10 f\u00e9vrier 2016<\/a>).<\/p>\n

A cet \u00e9gard, il convient de relever que si le Code civil a fait l\u2019objet d\u2019une refonte en profondeur, les principes applicables en mati\u00e8re de validit\u00e9 des contrats n\u2019ont pas \u00e9t\u00e9 totalement abandonn\u00e9s<\/strong> puisque les articles 1128 et 1162 du Code civil, tels qu\u2019en vigueur \u00e0 ce jour, pr\u00e9voient respectivement que \u00ab\u00a0Sont n\u00e9cessaires \u00e0 la validit\u00e9 d\u2019un contrat : 1\u00b0 Le consentement des parties ; 2\u00b0 Leur capacit\u00e9 de contracter ; 3\u00b0 Un contenu licite et certain<\/em>\u00a0\u00bb et que \u00ab\u00a0Le contrat ne peut d\u00e9roger \u00e0 l’ordre public ni par ses stipulations, ni par son but, que ce dernier ait \u00e9t\u00e9 connu ou non par toutes les parties<\/em>\u00a0\u00bb. Il en r\u00e9sulte que, pour qu\u2019un contrat soit valide, il doit porter sur un contenu, et donc un objet, licite.<\/strong><\/p>\n

Par ailleurs, une des importantes nouveaut\u00e9s issues du RGPD,<\/strong> entr\u00e9 en application le 25 mai 2018, r\u00e9side dans la disparition de l\u2019obligation de r\u00e9aliser des formalit\u00e9s pr\u00e9alables aupr\u00e8s de la Cnil dans la majorit\u00e9 des situations<\/strong>. La logique des formalit\u00e9s pr\u00e9alables a \u00e9t\u00e9 remplac\u00e9e par celle de la responsabilisation des acteurs. Ainsi, en contrepartie de la suppression de certaines formalit\u00e9s, les responsables de traitement et sous-traitants doivent \u00eatre en mesure de d\u00e9montrer, \u00e0 tout moment, leur conformit\u00e9 \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel en tra\u00e7ant toutes les d\u00e9marches entreprises (cf. principe d\u2019\u00ab accountability <\/strong>\u00bb).<\/p>\n

Ainsi, en l\u2019absence d\u2019obligation des responsables de traitement de r\u00e9aliser des formalit\u00e9s aupr\u00e8s de la Cnil, les solutions issues des d\u00e9cisions susvis\u00e9es pourraient \u00eatre consid\u00e9r\u00e9es comme n’\u00e9tant pas adapt\u00e9es ou transposables aux situations couvertes par la r\u00e9glementation actuellement en vigueur<\/strong>. Pour autant, il convient de faire preuve de prudence et de vigilance dans la mesure o\u00f9 il pourrait \u00eatre consid\u00e9r\u00e9 que d\u2019autres manquements<\/strong> de la part d\u2019un responsable de traitement \u00e0 la r\u00e9glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel (d\u00e9faut d\u2019information des personnes concern\u00e9es, absence de recueil du consentement le cas \u00e9ch\u00e9ant, absence de tenue d\u2019un registre des activit\u00e9s de traitement,\u2026) pourraient entacher d\u2019illic\u00e9it\u00e9 un fichier<\/strong> comportant des donn\u00e9es \u00e0 caract\u00e8re personnel transmis par ses soins \u00e0 un tiers, et ainsi rendre un contrat nul<\/strong> si la communication d\u2019un tel fichier constitue un des \u00e9l\u00e9ments essentiels du contrat conclu entre le responsable de traitement et le tiers destinataire du fichier.<\/p>\n

 <\/p>\n

 <\/p>\n

Pr\u00e9cautions contractuelles en mati\u00e8re d’achat de fichier<\/strong><\/h2>\n

En tout \u00e9tat de cause, il est recommand\u00e9 \u00e0 tout organisme souhaitant acqu\u00e9rir des fichiers de donn\u00e9es \u00e0 caract\u00e8re personnel aupr\u00e8s d’un tiers de s\u2019assurer aupr\u00e8s dudit tiers \u00ab fournisseur du fichier \u00bb (et de se faire garantir contractuellement par ce dernier) que (i) la collecte et le traitement des donn\u00e9es des personnes concern\u00e9es ont \u00e9t\u00e9 effectu\u00e9es de mani\u00e8re loyale et licite (information des personnes concern\u00e9es, voire consentement le cas \u00e9ch\u00e9ant en fonction des utilisations envisag\u00e9es et des situations particuli\u00e8res pouvant \u00eatre rencontr\u00e9es, respect des droits des personnes concern\u00e9es, respect des principes directeurs en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel) et que<\/strong> (ii) les donn\u00e9es peuvent \u00eatre licitement r\u00e9utilis\u00e9es par l\u2019organisme destinataire pour les finalit\u00e9s souhait\u00e9es par ce dernier.<\/strong><\/p>\n

Aussi, tout contrat d’achat d’un fichier de donn\u00e9es \u00e0 caract\u00e8re personnel conclu avec un “fournisseur de fichier” doit notamment comporter :<\/p>\n