Par un arrêt du 12 janvier 2023, la Cour d’appel de Grenoble prononce la nullité d’un contrat de création d’un site web pour non-conformité à la Loi Informatique et Libertés (LIL).

En l’espèce, une société d’optique a conclu un contrat avec une société de création de site web pour la création d’un site web vitrine, ainsi que pour son installation et sa maintenance. En parallèle la société d’optique s’engage à payer des loyers à la société Leasecom (société de location de financement des équipements des entreprises).

Lorsque la société d’optique a arrêté de payer ses loyers, la société Leasecom l’a assignée devant le Tribunal de commerce qui condamne la société d’optique. Cette dernière interjette appel de cette décision et la Cour d’appel de Grenoble se prononce uniquement au regard du prisme du droit des données personnelles en ce qui concerne le contrat conclu avec le prestataire créateur du site web vitrine.

En effet, la société d’optique reproche au prestataire d’avoir violé les dispositions concernant la collecte et l’utilisation des données personnelles de ses utilisateurs.

Les constats (par huissier) et pris en compte par la Cour d’appel sont les suivants :

• des informations personnelles sur les utilisateurs sont accessibles sans leur information ni consentement,
• des cookies sont déposés sur le terminal de l’utilisateur sans son accord (dont un provenant de Google Analytics),
• le formulaire de contact ne prévoit aucune disposition d’information pour la protection des données personnelles,
• un décalage avec ce qu’affirme la politique de confidentialité qui mentionne qu’aucune données personnelles n’est collectée ni transférée sans un accord préalable,
• un usage par le site des services de Google Analytics considéré comme illégal.

Ainsi, la Cour d’appel considère que le prestataire n’a pas informé la société d’optique d’un élément essentiel concernant le site et la réalisation de la prestation.

De plus, concernant la question de la responsabilité, la Cour estime que la société d’optique, bien que responsable des traitements au sens de la LIL et du RGPD, n’est pas spécialisée en protection des données personnelles et n’a pas les connaissances requises pour constater ces violations lors de la prestation.

La cour retient donc la responsabilité du prestataire informatique qui avait, lui, l’obligation d’informer la société d’optique quant à l’installation illégal de cookies. Elle annule donc le contrat pour erreur sur une qualité essentielle du contrat portant sur le site internet, avant d’infirmer par la même occasion, le jugement du Tribunal de commerce de Grenoble.

Le prestataire informatique est condamné à restituer à la société d’optique le prix de la prestation et lui payer la somme de 5 000 euros sur le fondement de l’article 700 du Code de procédure civile ainsi que les dépens.

Consultez l’intégralité de la décision : 12 janvier 2023 Cour d’appel de Grenoble RG n° 21/03701