Fichier clients non déclaré à la CNIL

Notez ce point juridique

Si le fait de détenir un fichier informatique sans le déclarer constitue une infraction pénale, il s’agit d’une infraction non intentionnelle constituée même en cas de négligence. Cette infraction est toutefois soumise à prescription.

Sommaire

L’article 226-16 du code pénal

L’article 226-16 du code pénal (rédaction en vigueur du 7 août 2004 au 5 juin 2016) dispose que le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.

Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l’objet de l’une des mesures prévues au 2° du I de l’article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Position de la Cour de cassation

Par arrêt du 25 juin 2013 la Cour de cassation (Com. 25 juin 2013 n° 12-17.037 Publié au Bulletin) a jugé que tout fichier informatisé contenant des données à caractère personnel doit faire l’objet d’une déclaration auprès de la CNIL et que la vente d’un tel fichier qui, n ‘ayant pas été déclaré, n ‘était pas dans le commerce, avait un objet illicite.

En matière de responsabilité de la gérance, la déclaration à la CNIL est un fait continu qui prend fin à la date de la cession du fichier, les gérants n’ayant plus ensuite été en charge des fichiers litigieux.

Prescription des actions en responsabilité

La prescription des actions en responsabilité dirigées contre les gérants est régie par des règles qui lui sont propres. Ces actions se prescrivent par trois ans à compter du fait dommageable ou, s’il a été dissimulé, de sa révélation.

Selon l’article L.223-22 du code de commerce : Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion.

Si plusieurs gérants ont coopéré aux mêmes faits, le tribunal détermine la part contributive de chacun dans la réparation du dommage.

Outre l’action en réparation du préjudice subi personnellement, les associés peuvent, soit individuellement, soit en se groupant, intenter l’action sociale en responsabilité contre les gérants. Les demandeurs sont habilités à poursuivre la réparation de l’entier préjudice subi par la société à laquelle, le cas échéant, les dommages-intérêts sont alloués.

Est réputée non écrite toute clause des statuts ayant pour effet de subordonner l’exercice de l’action sociale à l’avis préalable ou à l’autorisation de l’assemblée, ou qui comporterait par avance renonciation à l’exercice de cette action.

Aucune décision de l’assemblée ne peut avoir pour effet d’éteindre une action en responsabilité contre les gérants pour faute commise dans l’accomplissement de leur mandat.

Les actions en responsabilité prévues aux articles L. 223-19 et L. 223-22 se prescrivent par trois ans à compter du fait dommageable ou, s’il a été dissimulé, de sa révélation. Toutefois, lorsque le fait est qualifié crime, l’action se prescrit par dix ans

Le principe est donc que la prescription de l’action en responsabilité formée contre le dirigeant commence à courir à compter du fait dommageable. Il n’en est autrement qu’en cas de dissimulation. La dissimulation implique un comportement intentionnel. Elle ne saurait donc être déduite du seul défaut d’information du tiers qui agit en responsabilité.

_________________________________________________________________________________________________

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE RENNES

3ème Chambre Commerciale

ARRÊT DU 11 JANVIER 2022

N° RG 19/01304 – N° Portalis DBVL-V-B7D-PSCL

M. B Z

M. D X

M. F Y

COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ :

Président : Monsieur Alexis CONTAMINE, Président de chambre, rapporteur

Assesseur : Madame Olivia JEORGER-LE GAC, Conseillère,

Assesseur : Monsieur Dominique GARET, Conseiller,

GREFFIER :

Mme H I, lors des débats, et Mme Frédérique HABARE, lors du prononcé,

DÉBATS :

A l’audience publique du 23 Novembre 2021

ARRÊT :

Contradictoire, prononcé publiquement le 11 Janvier 2022 par mise à disposition au greffe comme indiqué à l’issue des débats

****

APPELANT : Monsieur B Z

né le […] à […]

Porh Milliero

[…]

Représenté par Me Patrick EVENO de la SELARL P & A, Plaidant/Postulant, avocat au barreau de VANNES

INTIMÉS :

Monsieur D X

né le […] à […]

La Borderie

[…]

Représenté par Me Bruno DENIS de la SCP CADORET TOUSSAINT DENIS & ASSOCIES, Plaidant/Postulant, avocat au barreau de SAINT-NAZAIRE

Monsieur F Y

né le […] à […]

[…]

Représenté par Me Bruno DENIS de la SCP CADORET TOUSSAINT DENIS & ASSOCIES, Plaidant/Postulant, avocat au barreau de SAINT-NAZAIRE

FAITS ET PROCÉDURE :

Le 10 décembre 2008, la société à responsabilité limitée Bout-Chard représentée par ses gérants, MM. X et Y, a cédé à M. Z, un portefeuille de la clientèle de vente de vins aux particuliers exploité sous l’enseigne Bout-Chard.

M. Z a estimé que la cession en question avait en fait porté sur un bien inexistant. Deux procédures distinctes ont été engagées, l’une en restitution du prix de vente, dirigée contre la société société Bout-Chard et MM. X et Y, l’autre en paiement de dommages-intérêts dirigée contre MM. X et Y.

Dans le cadre de la première procédure, le 21 septembre 2009, M. Z a assigné la société Bout-Chard et MM. X et Y devant le tribunal de commerce de Saint-Nazaire.

Par jugement 15 septembre 2010, le tribunal de commerce de Saint-Nazaire a débouté M. Z de ses demandes.

M. Z ayant interjeté appel de ce jugement, par arrêt du 17 janvier 2012, la Cour d’appel de Rennes l’a confirmé.

Par arrêt du 25 juin 2013 la Cour de cassation (Com. 25 juin 2013 n° 12-17.037 Publié au Bulletin) a cassé l’arrêt en retenant que tout fichier informatisé contenant des données à caractère personnel doit faire l’objet d’une déclaration auprès de la CNIL et que la vente par la société Bout-Chard d’un tel fichier qui, n ‘ayant pas été déclaré, n ‘était pas dans le commerce, avait un objet illicite.

Par arrêt du 19 mai 2015, la cour d’appel de Rennes a notamment :

– Infirmé le jugement du tribunal de commerce de Saint- Nazaire en toutes ses dispositions, Statuant à nouveau :

– Annulé la vente du 10 décembre 2008,

– Condamné la société Bout-Chard, la personne de son liquidateur amiable, à verser à M. Z la somme de 46.000 euros, avec intérêts au taux légal à compter du 21 septembre 2009,

– Condamné M. Z à restituer à la société Bout-Chard, prise en la personne de son liquidateur amiable une liste d’environ 6.000 clients référencés dans un fichier complet, manuscrit et classé, des classeurs ordonnés sur les différentes tournées ainsi que les cartes mentionnant ces dernières, un fichier de clients informatisé sous logiciel Windows.

Le 10 octobre 2013, dans le cadre d’une seconde procédure, dont la cour est aujourd’hui saisie, estimant que MM. X et Y avaient commis des fautes détachables de leurs fonctions de gérants, M. Z les a assignés devant le tribunal de grande instance de Saint-Nazaire en paiement de dommages-intérêts.

Par ordonnance du 25 septembre 2017, le juge de la mise en état du tribunal de grande instance de Saint-Nazaire a déclaré cette juridiction incompétente au profit du tribunal de commerce de Saint-Nazaire.

Par jugement en date du 16 janvier 2019, le tribunal de commerce de Saint-Nazaire a :

– Dit M. Z irrecevable en sa demande et l’en a débouté,

– Débouté M. Z de ses autres demandes, fins et conclusions,

– Condamné M. Z à payer à MM. X et Y la somme de 2.000 euros chacun au titre de l’article 700 du code de procédure civile, déboutant ces derniers du surplus de leur demande,

– Débouté MM. X et Y de leurs autres demandes, fins et conclusions,

– Ordonné l’exécution provisoire du jugement,

– Condamné M. Z aux dépens de l’instance.

M. Z a interjeté appel le 25 février 2019.

Les dernières conclusions de M. Z sont en date du 10 septembre 2020. Les dernières conclusions de MM. X et Y sont en date du 1er août 2019.

L’ordonnance de clôture a été rendue le 21 octobre 2021.

PRÉTENTIONS ET MOYENS :

M. Z demande à la cour de :

– Déclarer M. Z recevable et bien fondé en son appel,

– Infirmer le jugement en ce qu’il a :

– Dit M. Z irrecevable en sa demande et l’en a débouté,

– Débouté M. Z de ses autres demandes, fins et conclusions,

– Condamné M. Z à payer à MM. X et Y la somme de 2.000 euros chacun au titre de l’article 700 du code de procédure civile, déboutant ces derniers du surplus de leur demande,

– Ordonné l’exécution provisoire du présent jugement,

– Condamné M. Z aux dépens de l’instance,

– Liquidé les frais de greffe à la somme de quatre-vingt-huit euros et quatre-vingt-treize centimes dont TVA quatorze euros et quatre-vingt-deux centimes.

En conséquence :

– Dire et juger que MM. D X et F Y ont commis une faute détachable de leurs fonctions de co-gérants de la SARL Bout-Chard en lien avec le préjudice subi par M. Z,

– Condamner in solidum M. D X et M. F Y à lui payer la somme de 46.000 en principal, assortie des intérêts au taux légal à compter du jour de la demande,

– Condamner in solidum M. D X et M. F Y à lui payer la somme de 17.318,59 euros (14.808,85 + 2.009, 74 + 500), au titre des frais de justice engagés par M. Z, assortie des intérêts au taux légal à compter du jour de la demande,

– Condamner in solidum M. D X et M. F Y à payer la somme de 8.000 euros, en application de l’article 700 du code de procédure civile,

– Condamner in solidum M. D X et M. F Y aux entiers dépens.

MM. X et Y demandent à la cour de :

– Confirmer le jugement en ce qu’il a :

– Dit M. Z irrecevable en sa demande et l’en a débouté,

– Débouté M. Z de ses autres demandes, fins et conclusions,

– Condamné M. Z à payer à MM. X et Y la somme de 2.000 euros chacun au titre de l’article 700 du code de procédure civile,

– Ordonné l’exécution provisoire du jugement,

– Condamné M. Z aux dépens de l’instance,

– Réformer le jugement en ce qu’il a :

– Débouté MM. X et Y de leurs autres demandes, fins et conclusions,

Statuant à nouveau :

– Condamner M. Z à verser à MM. X et Y chacun la somme de 5.000 euros à titre de dommages et intérêts pour les raisons évoquées,

– Condamner M. Z à verser à MM. X et Y chacun la somme de 10.000 euros à titre de l’article 32-1 du code de procédure civile,

En tout état de cause :

– Débouter M. Z de l’ensemble de ses demandes, y compris reconventionnelles, fins et conclusions,

– Condamner M. Z à verser à MM. X et Y chacun la somme de 5.000 euros au titre des frais de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Pour un plus ample exposé des prétentions et moyens des parties il est renvoyé à leurs dernières conclusions visées supra.

DISCUSSION :

Sur la prescription :

M. Z invoque des fautes commises par MM. X et Y dans l’exercice de leurs fonctions de gérants et fait valoir que ces fautes, détachables de leurs fonctions, engageraient leur responsabilité personnelle.

Les gérants de Sarl sont responsables envers les tiers des fautes commises dans leur gestion :

Article L.223-22 du code de commerce :

Les gérants sont responsables, individuellement ou solidairement, selon le cas, envers la société ou envers les tiers, soit des infractions aux dispositions législatives ou réglementaires applicables aux sociétés à responsabilité limitée, soit des violations des statuts, soit des fautes commises dans leur gestion.

Si plusieurs gérants ont coopéré aux mêmes faits, le tribunal détermine la part contributive de chacun dans la réparation du dommage.

Outre l’action en réparation du préjudice subi personnellement, les associés peuvent, soit individuellement, soit en se groupant dans les conditions fixées par décret en Conseil d’Etat, intenter l’action sociale en responsabilité contre les gérants. Les demandeurs sont habilités à poursuivre la réparation de l’entier préjudice subi par la société à laquelle, le cas échéant, les dommages-intérêts sont alloués.

Est réputée non écrite toute clause des statuts ayant pour effet de subordonner l’exercice de l’action sociale à

l’avis préalable ou à l’autorisation de l’assemblée, ou qui comporterait par avance renonciation à l’exercice de cette action.

Aucune décision de l’assemblée ne peut avoir pour effet d’éteindre une action en responsabilité contre les gérants pour faute commise dans l’accomplissement de leur mandat.

Article L.223-23 du code de commerce :

l’action se prescrit par dix ans

M. Z fait valoir que MM. X et Y auraient commis une première faute en ne l’avisant pas que les fichiers manuscrits et informatiques n’étaient pas à jour et une seconde faute en ne déclarant pas l’existence d’un fichier client à la CNIL ou en tout cas en ne les informant pas de cette absence de déclaration.

L’absence de déclaration à la CNIL est un fait continu qui a pris fin à la date de cette même cession, les gérants n’ayant plus ensuite été en charge des fichiers litigieux. L’absence d’information de M. Z de cette absence de déclaration est un fait concomitant à la cession.

L’acte de cession du 30 octobre 2008 prévoit un transfert de propriété au jour de la signature de l’acte définitif, l’entrée en jouissance étant fixée au 10 décembre 2008. L’acte de cession du 10 décembre 2008 prévoit que le transfert de propriété a lieu ce jour de signature de l’acte définitif, l ‘entrée en jouissance étant fixée ce jour, le 10 décembre 2008.

C’est cette dernière date qu’il convient de retenir.

Pour ce qui concerne la situation des fichiers vis à vis de la CNIL, M. Z fait valoir dans ses écritures que la volonté de dissimulation de MM. X et Y ne fait pas de doute et qu’ils ont volontairement caché à M. Z le fait de n’avoir jamais déclaré le fichier à la CNIL.

Il n’est cependant pas établi que MM. A et Y savaient que le fichier client qu’ils détenaient était soumis à l’obligation de déclaration auprès de la CNIL. Si le fait de détenir un fichier informatique sans le déclarer constitue une infraction pénale, il s’agit d’une infraction non intentionnelle constituée même en cas de négligence :

Article 226-16 du code pénal, rédaction en vigueur du 7 août 2004 au 5 juin 2016 :

Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en ‘uvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.

Si MM. X et Y ont été négligents, il n’est pas établi qu’ils savaient que les fichiers étaient soumis à déclaration. Il n’est pas établi qu’ils ont intentionnellement dissimulé cette information ni qu’ils ont dissimulé le fait qu’ils n ‘avaient pas déclaré ces fichiers.

En outre, à supposer que MM. X et Y aient été tenus de ne pas ignorer la loi sur ce point, cette présomption de connaissance de la loi pesait également sur M. Z qui ne pouvait pas plus ignorer que les fichiers cédés devaient faire l’objet d’une déclaration.

Il n’y a pas eu de dissimulation par MM. X et Y d’informations relatives à l’absence de déclaration à la CNIL des fichiers.

L’action en responsabilité diligentée par M. Z au titre de la situation des fichiers vis à vis de la CNIL a donc commencé à courir au 10 décembre 2008. N’ayant assigné MM. X et Y que le 10 octobre 2013, son action en responsabilité fondée sur ce grief est prescrite.

M. Z reproche par ailleurs à MM. X et Y de lui avoir dissimulé que sur les 6.000 à 9.000 clients répertoriés, soit de nombreux étaient décédés, soit ne devaient plus être démarchés.

M. Z indique lui même que très rapidement après le début de l’exploitation, le 1er avril 2009, il s’est aperçu qu’en fait sur 6.000 clients référencées, le fichier clientèle ne comportait en réalité qu’au plus 1.950 clients réels et que dès le 26 avril 2009 il s’en était étonné auprès de MM. X et Y.

A supposer que l’information sur le nombre de clients réels ait été dissimulée par MM. X et Y, M. Z en a eu la révélation dès le mois d’avril 2009. N’ayant assigné MM. X et Y que le 10 octobre 2013, son action en responsabilité fondée sur ce grief est prescrite.

Le jugement sera confirmé et les demandes de M. Z rejetées.

Sur les demandes d’indemnisation au titre du caractère abusif de la procédure :

Il n’est pas établi que M. Z ait agi en justice dans un but autre que celui de faire valoir ses droits. Les demandes d’indemnisation formées par MM. X et Y au titre des préjudices qu’ils allèguent seront rejetées.

Sur les frais et dépens :

Il y a lieu de condamner M. Z aux dépens d’appel et de rejeter les demandes formées en appel au titre des dispositions de l’article 700 du code de procédure civile.

PAR CES MOTIFS :

La cour :

– Confirme le jugement,

Y ajoutant :

– Rejette les autres demandes des parties,

– Condamne M. Z aux dépens d’appel.

Le Greffier, Le Président,