Cookies publicitaires : contrat de création de site internet annulé pour manquement au RGDP

L’application des dispositions protectrices du code de la consommation aux contrats conclus hors établissement suppose que le professionnel emploie cinq salariés au plus, condition dont la charge de la preuve incombe à celui qui s’en prévaut. En l’espèce, la déclaration faite dans le contrat indiquant un effectif de six salariés exclut l’application du code de la consommation, même si la partie invoque une interprétation différente.

Par ailleurs, le simple fait de faire référence à certaines dispositions du code de la consommation dans un contrat ne suffit pas à soumettre l’ensemble du contrat à ce code. Sur le fond, le manquement au devoir d’information sur l’installation de cookies publicitaires non conformes au RGPD et à la loi « informatique et libertés », notamment l’absence de consentement préalable et la difficulté de retrait du consentement, constitue une cause d’annulation du contrat pour erreur sur une qualité essentielle de la prestation. La responsabilité du prestataire est engagée dès lors qu’il ne fournit pas un site conforme à la réglementation applicable, ce qui est déterminant pour le consentement du client.

En la cause, la société Axecibles a livré un site à la société Auffray, porteur d’au moins un cookie publicitaire « google analytics » s’installant sans autorisation des internautes, et prévoyant une collecte non protégée de données de ces derniers.

En sollicitant un professionnel pour la conception d’un site web, la société Auffray s’attendait légitimement à ce que ce site soit conforme à la législation sur le traitement des données personnelles, compte tenu de la responsabilité qui est la sienne de protéger les utilisateurs de son site, et des risques financiers importants existant en cas de manquement à cette législation.

Contrairement à ce que prévoit la réglementation instaurée par la loi « informatique et libertés » et par le RGPD, l’huissier de justice ne s’est pas trouvé en capacité de refuser la présence de cookies, lesquels se sont installés automatiquement sur l’ordinateur, par une simple navigation, l’un d’entre eux au moins étant un cookie à visée publicitaire dont la présence nécessitait impérativement au consentement de l’internaute.

L’huissier de justice n’a pas non plus été en mesure, après avoir accepté la présence de cookies, de retirer son consentement, comme prévu à l’article 7.3 du RGPD, c’est-à-dire aussi facilement que pour donner son consentement, l’information sur le refus des cookies n’étant donnée que dans la rubrique « mentions légales » et imposant à l’utilisateur de paramétrer ces derniers.

Les qualités essentielles de la prestation sont celles qui ont été expressément ou tacitement convenues et en considération desquelles les parties ont contracté.

Sont en cause, notamment, la collecte illégale de données personnelles des visiteurs du site par l’installation sur le site créé de cookies publicitaires d’une part, ainsi que par un formulaire de contact et un bouton de rappel gratuit, d’autre part.

Sur ces points, l’article 82 de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (la loi CNIL), qui a transposé en droit français la directive 2002/58/CE du 12 juillet 2002 « vie privée et communications » ou « e-privacy », dans sa version en vigueur depuis le 1er juin 2019, dispose que :

Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° des moyens dont il dispose pour s’y opposer.

Cette accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.Enfin, aucune information sur la collecte et le traitement des données personnelles, telle que prévue à l’article 13 du RGPD, n’est donnée aux internautes lors de la collecte de leurs données par les formulaires de contact ou boutons de rappel.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données à caractère personnel et à la libre circulation de ces données (RGPD), a notamment précisé :

– dans son article 4.7 : que le responsable du traitement est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres détermine les finalités et les moyens du traitement ;[’]

– dans son article 4.8 : que le « sous-traitant » est la personne physique ou morale, l’autorité publique, le service ou autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement ;

– dans son article 6 : que le traitement n’est licite que si la personne concernée a consenti au traitement de ses données à caractère personnel ;

– dans son article 7.1 (conditions applicables au consentement) : dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de/ démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel le concernant ;

– dans son article 7.3 : La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement ;

– dans son article 13 l’ensemble des informations à fournir par le responsable du traitement à la personne concernée lorsque ses données à caractère personnel sont collectées (identité du responsable du traitement, finalité du traitement et base juridique, durée de conservation des données, existence du droit de demander l’accès aux données, la rectification ou l’effacement de celles-ci, droit d’introduire une réclamation auprès d’une autorité de contrôle’) ;

– dans son article 28, qui encadre la relation entre le responsable du traitement des données personnelles et le sous-traitant :

Lorsqu’un traitement doit être effectué pour le compte du responsable de traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en oeuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du règlement et garantisse la protection des droits de la personne ;

Le traitement est régi par un contrat entre le traitant et le sous-traitant qui définit l’objet, la durée, la nature et la finalité du traitement, et ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement.

Par une délibération (n°2020-091) du 17 septembre 2020, la Commission nationale de l’informatique et des libertés (la Cnil), autorité administrative indépendante créée par la loi de 1978 susvisée pour veiller à la protection des données personnelles, a adopté des lignes directrices relatives à l’application de l’article 82 susvisé, accompagnées de recommandations afin d’accompagner les professionnels concernés (délibération n° 2020-092).

La Cnil a donné aux responsables jusqu’au 31 mars 2021 pour mettre les sites concernés en conformité.

Par ailleurs, la Cnil a défini le « cookie » informatique comme « un petit fichier informatique, un traceur, déposé et lu par exemple lors de la consultation d’un site internet, de la lecture d’un courrier électronique, de l’installation ou de l’utilisation d’un logiciel ou d’une application mobile et ce, quel que soit le type de terminal autorisé. »

Dans l’article 2 de sa délibération n° 2020-092, elle a considéré que « continuer à naviguer sur un site web, à utiliser une application mobile ou bien faire défiler la page d’un site web ou d’une application mobile ne constituent pas des actions positives claires et assimilables à un consentement valable. »

Dans une délibération du 18 novembre 2020 (n°SAN-2020-008 du 18 novembre 2020) prononçant une amende administrative de 2 250 000 euros à l’encontre de la société [Adresse 4], la Cnil a indiqué, concernant trois cookies appartenant à la solution Google Analytics (cookies -gid, -ga et gat-gtag) qu’ « il ne fait pas débat que les données collectées par ces cookies peuvent être recoupées avec des données issues d’autres traitements pour poursuivre des finalités autres que celles limitativement prévues par l’article 82 de la loi informatique et libertés, notamment pour mener à bien se la publicité personnalisée. »

Par ailleurs, la mission de sanction de la Cnil et la lourdeur de certaines amendes infligées démontrent que les exigences en matière de consentement ne sont pas de simples recommandations.

De même, en matière pénale, l’article 226-16, alinéa 1, du code pénal, dans sa rédaction applicable au litige, prévoit que « le fait, y compris par négligence de procéder ou faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »

L’article 226-18 du même code prévoit également que « le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et 300 000 euros d’amende. »

L’application du code de la consommation aux contrats hors établissement suppose un effectif de cinq salariés au plus, preuve à la charge du demandeur. Une déclaration d’effectif de six salariés exclut cette application. La simple référence au code ne suffit pas à le soumettre. Le manquement au devoir d’information sur les cookies publicitaires non conformes au RGPD constitue une cause d’annulation du contrat pour erreur sur une qualité essentielle. La responsabilité du prestataire est engagée.

Une société paysagiste a souscrit un contrat d’abonnement et de location de solution internet auprès d’une société spécialisée. Suite à la résiliation anticipée du contrat par la société paysagiste, la société prestataire a demandé une indemnité de résiliation. Le tribunal de commerce a condamné la société paysagiste à payer cette indemnité. La société paysagiste a interjeté appel en demandant l’annulation du contrat pour diverses raisons, notamment la violation des obligations d’information et la non-conformité du site internet aux règles de protection des données personnelles. La société prestataire a contesté ces demandes, soutenant notamment que le contrat ne relevait pas du droit de la consommation et que le site était conforme à la réglementation. La cour a examiné les preuves, notamment un constat d’huissier démontrant l’installation de cookies publicitaires sans consentement des internautes, et a jugé que le contrat était nul pour erreur sur une qualité essentielle du site internet. Elle a infirmé la décision de première instance, annulé le contrat, rejeté la demande d’indemnité de résiliation, condamné la société prestataire aux dépens et à verser une indemnité pour frais irrépétibles.

• Non-applicabilité du code de la consommation en raison du nombre de salariés déclaré par la société Auffray
• Absence de preuve suffisante de dol par la société Auffray
• Violation du devoir d’information sur la conformité du site internet aux règles relatives à la protection des données personnelles
• Installation non autorisée de cookies publicitaires sans consentement préalable des internautes
• Non-conformité du bandeau de cookies aux exigences de la CNIL et du RGPD
• Responsabilité de la société Axecibles en tant que prestataire spécialisé dans la création du site
• Nullité du contrat pour erreur sur une qualité essentielle du site internet

• Contrat d’abonnement et de location de solution internet du 2 mars 2021
• Jugement du 4 octobre 2022 du tribunal de commerce de Lille Métropole
• Conclusions notifiées le 13 juin 2025 et 11 juin 2025
• Constat d’huissier du 21 mai 2021
• Délibérations et recommandations de la CNIL de 2020
• Règlement général sur la protection des données personnelles (RGPD)

Le contrat d’abonnement conclu entre la société Auffray et la société Axecibles est annulé pour erreur sur une qualité essentielle liée à la conformité du site internet au RGPD. La société Axecibles est condamnée à verser des indemnités et supporte les dépens, tandis que la société Auffray est déchargée de ses obligations contractuelles.

• Annulation du contrat pour non-conformité au RGPD
• Rejet de la demande d’annulation pour dol
• Rejet de la demande d’indemnisation de la société Axecibles
• Condamnation de la société Axecibles aux dépens
• Condamnation au paiement de frais irrépétibles à la société Auffray
• Confirmation de l’absence d’application du code de la consommation

À faire

• Vérifier l’effectif salarié pour l’application du code de la consommation.
• Examiner les obligations d’information précontractuelle.
• Contrôler la conformité du site internet au RGPD et à la loi informatique.
• Documenter les constatations d’huissier concernant les cookies et données.
• Respecter les délais de rétractation et les conditions contractuelles.

À éviter

• Ne pas présumer l’application du code de la consommation sans preuve.
• Éviter la collecte illégale de données personnelles sans consentement.
• Ne pas ignorer les recommandations et sanctions de la CNIL.
• Ne pas omettre la preuve de conformité lors de la livraison du site.
• Ne pas limiter les obligations d’information au seul droit de rétractation.

Dans quelles conditions un professionnel peut-il bénéficier des dispositions protectrices du code de la consommation en vertu de l’article L. 221-3 ?

L’article L. 221-3 du code de la consommation, dans sa version applicable, prévoit qu’un professionnel employant cinq salariés au plus, qui souscrit hors établissement un contrat dont l’objet n’entre pas dans le champ de son activité principale, bénéficie des dispositions protectrices du consommateur relatives à l’information précontractuelle, aux contrats conclus hors établissement et au droit de rétractation.

La cour rappelle qu’il appartient au professionnel qui invoque ce régime de démontrer que les conditions sont réunies, notamment le nombre de salariés (cinq au plus) au moment de la conclusion du contrat. Elle juge que cette preuve ne constitue pas la preuve d’un fait négatif mais d’un fait positif (effectif réel de l’entreprise).

Comment la déclaration de l’effectif dans le contrat influence-t-elle l’applicabilité du code de la consommation ?

Le contrat d’abonnement signé par la société appelante mentionne un effectif de 6 personnes. La cour considère que cette seule déclaration, faite au moment de la conclusion du contrat, a pour effet d’exclure l’application des dispositions du droit de la consommation fondées sur la condition d’un effectif de cinq salariés au plus.

L’appelante soutenait que ce chiffre incluait le dirigeant non salarié, mais la cour relève qu’elle ne justifie pas en quoi ce dernier devrait être exclu du décompte. Elle constate en outre que les pièces produites (captures d’écran de DSN) ne permettent ni d’identifier la société ni d’établir de manière fiable l’effectif réel.

La référence ponctuelle au code de la consommation dans les conditions générales suffit-elle à soumettre volontairement le contrat à ce code ?

L’appelante soutenait que la référence, dans les conditions générales, à des notions et articles du code de la consommation traduisait une soumission volontaire de l’ensemble du contrat à ce code.

La cour constate que le contrat signé ne mentionne pas le code de la consommation et que seules les conditions générales y font référence, dans deux articles relatifs au droit de rétractation (articles 7 et 15), en visant spécifiquement l’article L. 121-18 du code de la consommation et en précisant que ce droit ne concerne que les professionnels employant cinq salariés au plus.

Elle en déduit que ces références limitées ne traduisent pas une volonté dénuée d’équivoque de soumettre l’entier contrat au droit de la consommation, mais seulement d’accorder contractuellement un droit de rétractation à certaines catégories de clients. La soumission volontaire globale au code de la consommation est donc écartée.

Pourquoi la cour rejette-t-elle la demande de nullité pour dol faute de démonstration des éléments constitutifs ?

L’appelante demandait, à titre subsidiaire, l’annulation du contrat pour dol en cas de non-application du code de la consommation.

La cour relève que, si cette demande figure dans le dispositif des conclusions, l’appelante ne développe aucune argumentation précise sur les manœuvres dolosives, les réticences ou les mensonges imputés à l’intimée, ni sur leur caractère déterminant pour son consentement.

Faute de démonstration des éléments constitutifs du dol (manœuvres ou réticence intentionnelle, erreur provoquée, caractère déterminant), la cour rejette la demande de nullité pour dol.

Dans quelles conditions une erreur sur les qualités essentielles de la prestation peut-elle entraîner la nullité du contrat au regard des articles 1112-1, 1130, 1132 et 1133 du code civil ?

L’article 1112-1 impose à la partie qui connaît une information déterminante pour le consentement de l’autre de l’en informer, lorsque celle-ci l’ignore légitimement ou lui fait confiance. Le manquement à ce devoir peut entraîner l’annulation du contrat dans les conditions des articles 1130 et suivants.

L’article 1130 prévoit que l’erreur, le dol et la violence vicient le consentement lorsqu’ils sont de telle nature que, sans eux, l’une des parties n’aurait pas contracté ou l’aurait fait à des conditions substantiellement différentes. L’article 1132 admet l’erreur de droit ou de fait comme cause de nullité lorsqu’elle porte sur les qualités essentielles de la prestation, sauf si elle est inexcusable. L’article 1133 définit les qualités essentielles comme celles expressément ou tacitement convenues et en considération desquelles les parties ont contracté.

En l’espèce, la cour juge que la conformité du site internet à la réglementation sur la protection des données personnelles (loi « informatique et libertés » et RGPD) constituait une qualité essentielle tacitement convenue de la prestation, compte tenu de la responsabilité du client en tant que responsable de traitement et des risques financiers encourus. L’absence de conformité, révélée par un constat d’huissier, caractérise une erreur sur une qualité essentielle, déterminante du consentement de l’appelante, justifiant la nullité du contrat.

Comment la cour applique-t-elle l’article 82 de la loi Informatique et Libertés et les dispositions du RGPD aux cookies installés sur le site ?

L’article 82 de la loi n° 78-17 du 6 janvier 1978 impose que tout utilisateur soit informé de manière claire et complète de la finalité des actions d’accès ou d’inscription d’informations dans son terminal et des moyens de s’y opposer, et que ces opérations ne puissent avoir lieu qu’avec son consentement, sauf exceptions limitées (communication électronique ou service strictement nécessaire).

Le RGPD, notamment ses articles 4, 6, 7, 13 et 28, définit le responsable de traitement, le sous-traitant, les conditions de licéité du traitement, les exigences relatives au consentement et les informations à fournir aux personnes concernées.

La cour constate, sur la base du constat d’huissier, que des cookies, dont un cookie « ga » de Google Analytics, s’installent automatiquement sans action positive de l’internaute, que le bandeau ne permet pas de refuser les cookies au premier niveau, que le retrait du consentement n’est pas aussi simple que son octroi, et qu’aucune information conforme à l’article 13 du RGPD n’est fournie lors de la collecte de données via les formulaires et le bouton de rappel.

Elle en déduit que le site livré ne respecte pas les exigences de l’article 82 de la loi de 1978 ni celles du RGPD en matière de consentement et d’information des internautes.

Quel rôle jouent les lignes directrices de la CNIL et le délai de mise en conformité dans l’appréciation de la conformité du site ?

La CNIL, par ses délibérations n° 2020-091 et 2020-092 du 17 septembre 2020, a précisé les modalités de recueil du consentement pour les cookies, en indiquant notamment que la simple poursuite de la navigation ne constitue pas un consentement valable. Elle a accordé aux responsables de traitement un délai de mise en conformité jusqu’au 31 mars 2021.

La cour relève que le site a été livré le 6 avril 2021, soit après l’expiration de ce délai, et qu’il a encore été modifié par le prestataire avant le lancement d’une campagne publicitaire. Elle juge que le prestataire devait, à cette date, respecter les nouvelles exigences de la CNIL et que le délai de mise en conformité ne l’autorisait pas à poursuivre des pratiques non conformes lors de la création ou modification du site.

Comment la cour apprécie-t-elle la preuve de la non-conformité du site et la charge de la preuve pesant sur le prestataire ?

La cour accorde une valeur probante particulière au constat d’huissier du 21 mai 2021, réalisé après purge de l’historique de navigation et comportant des captures d’écran détaillées. Elle note que le prestataire détenait seul les codes d’accès au site et n’a produit aucun élément (captures d’écran, paramétrages) pour contredire ces constatations ou démontrer la conformité du site.

Compte tenu des exigences du RGPD (article 7.1) imposant au responsable de traitement de démontrer l’existence d’un consentement valable, et du rôle technique du prestataire dans la mise en place des cookies et formulaires, la cour considère que l’intimée ne rapporte pas la preuve de la conformité du site livré.

Pourquoi la cour considère-t-elle que la conformité au RGPD constituait une qualité essentielle tacitement convenue de la prestation ?

La cour souligne que la société cliente, en tant que responsable de traitement au sens de l’article 4.7 du RGPD, supporte la responsabilité de la collecte et du traitement des données des visiteurs de son site. Elle a précisément recouru à un prestataire spécialisé pour concevoir un site conforme à la réglementation.

Elle relève que le prestataire se prévaut lui-même, dans ses contrats et mentions légales, de la conformité de ses sites à la loi « Informatique et Libertés ». Dans ce contexte, la conformité du site à cette réglementation apparaît comme une qualité essentielle tacitement convenue, en considération de laquelle le client a contracté.

La cour estime que, si l’appelante avait su que le site collecterait illégalement des données personnelles via des cookies publicitaires et des formulaires non conformes, elle n’aurait pas contracté ou l’aurait fait à des conditions substantiellement différentes. Cette erreur sur une qualité essentielle justifie la nullité du contrat.

Comment la cour articule-t-elle le manquement au devoir d’information précontractuelle (article 1112-1) avec l’erreur sur les qualités essentielles ?

La cour considère que le prestataire, en tant que professionnel de la création de sites web, connaissait l’importance déterminante, pour son client, de la conformité du site à la réglementation sur les données personnelles. Il devait, en application de l’article 1112-1, informer sa cocontractante de l’installation de cookies publicitaires et des modalités de collecte des données.

En ne fournissant pas cette information et en livrant un site non conforme, le prestataire a manqué à son devoir d’information. Ce manquement a conduit le client à contracter dans l’ignorance d’une caractéristique essentielle de la prestation, ce qui constitue une erreur sur les qualités essentielles au sens des articles 1130 à 1133, justifiant l’annulation du contrat.

Quelles sont les conséquences de la nullité du contrat sur la demande d’indemnité de résiliation formulée par le prestataire ?

La cour, après avoir annulé le contrat conclu le 2 mars 2021 pour erreur sur une qualité essentielle, infirme la décision de première instance qui avait condamné la cliente au paiement d’une indemnité de résiliation de 23 443,20 euros.

Elle rejette la demande de l’intimée tendant à la condamnation de l’appelante au paiement de cette somme, la nullité du contrat faisant obstacle à l’exécution des clauses relatives à la résiliation et à l’indemnité correspondante.

Comment la cour statue sur les dépens et les demandes au titre de l’article 700 du code de procédure civile ?

La cour condamne la société prestataire, partie succombante, aux entiers dépens de première instance et d’appel, à l’exclusion des frais du constat d’huissier, qui ne figurent pas dans la liste limitative des dépens de l’article 695 du code de procédure civile.

Elle infirme la condamnation de première instance prononcée au profit du prestataire au titre de l’article 700 et rejette sa demande d’indemnité procédurale en appel. Inversement, elle condamne le prestataire à verser à la cliente une somme de 4 000 euros au titre de l’article 700, en considération des frais irrépétibles exposés par cette dernière.

Article 700 du Code de procédure civile, Article L.221-1, Article L.242-1 du Code de la consommation, Article 1130, Article 1178 du Code civil, Article 1128 du Code civil, Article 1163 du Code civil, Article 1216 du Code civil, Article 1225 du Code civil, Article 1302 du Code civil, Article 1353 du Code civil, Article 1359 du Code civil, Article 226-26, Article L.221-3, Article 82, Article 9 du Code civil, Article 700 du Code civil, Article L.221-3 du Code de la consommation, Article 7, Article L.121-18 du Code de la consommation, Article 6, Article 1112-1 du Code civil, Article 2, Article 4, Article 28, Article 226-16 du Code pénal, Article 226-17 du Code pénal, Article 226-18 du Code pénal, Article 1132, Article 1133, Article 13, Article 226-16, Article 226-18, Article 695 du Code de procédure civile

⬇️Télécharger