L’essentiel : Un fichier de données personnelles non déclaré à la CNIL est considéré hors du commerce, rendant tout contrat lié à son utilisation illicite. Dans le cas de l’INSTITUTION SEVIGNE, un partenariat avec une société publicitaire a été établi pour fournir des écrans plasma en échange d’une liste de parents d’élèves. Cependant, cette liste, destinée à la prospection commerciale, ne respectait pas les finalités autorisées par la CNIL. En conséquence, le contrat a été déclaré nul, et la société a été contrainte de récupérer les écrans fournis, rétablissant ainsi les parties dans leur état initial.

Un fichier informatique de données à caractère personnel devant faire l’objet d’une déclaration auprès de la CNIL et qui n’a pas été déclaré, n’est pas dans le commerce, de sorte que le contrat concernant l’utilisation ou le traitement de ce fichier a un objet illicite et doit donc être déclaré nul.

Fichiers de parents d’élèves contre téléviseurs Plasma

Une
société spécialisée dans la vente et l’achat d’espaces publicitaires a conclu
un contrat de partenariat avec l’INSTITUTION SEVIGNE en vue de l’installation
dans l’établissement scolaire d’écrans plasma destinés à diffuser des messages
pour les élèves, professeurs et parents d’élèves. En échange de la fourniture
de ces écrans, l’INSTITUTION SEVIGNE s’est engagée à fournir à la société une
liste détaillée des parents d’élèves occupant des postes à responsabilités dans
des entreprises industrielles et commerciales à des fins de prospection publicitaire.

Fichier non déclaré hors du commerce

Conformément
aux dispositions de l’article 1128 du code civil, il n’y a que les choses qui
sont dans le commerce qui puissent être l’objet de conventions. Par ailleurs,
en application des lois du 6 janvier 1978 et du 6 août 2009 relatives à l’informatique,
aux fichiers et aux libertés, tout traitement ou utilisation de données
personnelles, sauf dérogations, doit faire l’objet d’une déclaration préalable
auprès de la CNIL.

Concernant
les établissements d’éducation, la délibération de la CNIL n° 2012-184 du 7
juin 2012, prévoit que les établissements d’éducation, en matière de traitement
informatique ayant pour finalité l’édition de listes de parents d’élèves ou de
leurs responsables légaux sont dispensés de déclaration lorsque ces traitements
ont les finalités limitativement énumérées par la délibération en question, que
seules des personnes limitativement énumérées par cette même délibération
peuvent être destinataires des informations collectées par l’établissement
d’éducation et aucune autre donnée à caractère personnel ne peut être
communiquée à des tiers qu’avec l’accord écrit de l’un des responsables légaux
de l’élève ou de l’élève lui-même.

En
application de l’ensemble de ces dispositions, il est considéré, qu’un fichier
informatique de données à caractère personnel devant faire l’objet d’une
déclaration auprès de la CNIL et qui n’a pas été déclaré, n’est pas dans le
commerce, de sorte que le contrat concernant l’utilisation ou le traitement de
ce fichier a un objet illicite.

En
l’espèce, il ressortait des éléments de la cause :

— que
la société n’avait pas de lien direct avec l’éducation ;

— qu’il
s’agissait d’une société commerciale dont l’activité et la vente et l’achat
d’espaces publicitaires, la création de brochures et de prospectus pour
diverses clientèles ;

— que
le contrat litigieux prévoit, la fourniture par l’institution d’une liste
détaillée des parents d’élèves occupant des postes à responsabilités dans des
entreprises industrielles et commerciales;

— que
l’obtention du nom des parents d’élèves occupant des postes à responsabilités
dans des entreprises industrielles et commerciales n’entre pas dans les
finalités reprises sur la délibération CNIL précitée ;

— que
les sociétés commerciales exerçant dans le domaine de la publicité ne sont pas
non plus reprises dans la liste des personnes pouvant être destinataires des
informations collectées reprises sur la délibération précitée ;

— que
le contrat signé avec la société ne faisait donc pas partie des contrats non
soumis à déclaration auprès de la CNIL selon la même délibération ;

— que
l’utilisation de données personnelles dans le cadre du contrat litigieux
supposait donc une déclaration à la CNIL ;

— qu’en
outre, la communication à des tiers tels que la société des données
personnelles concernant les parents d’élèves ne pouvait être effectuée selon la
délibération en cause qu’avec l’accord écrit de l’un des responsables légaux de
l’élève ou de l’élève lui-même ;

— que
les manquements de l’institution à des obligations légales ne sauraient
permettre à la société de s’affranchir du respect des lois ;

— que
la société qui en sa qualité de professionnel des sites informatiques ne
pouvait ignorer qu’un accord écrit des parents était nécessaire et qu’une
déclaration aurait dû être effectuée auprès de la CNIL, se devait de s’assurer
que l’INSTITUTION SEVIGNE avait respecté ses obligations de déclaration et
d’obtention des accords écrit des parents, avant d’utiliser les données
personnelles qu’elle avait obtenues ;

— que
l’utilisation de données personnelles dans le contrat litigieux n’a pas été
déclarée à la CNIL ;

— que
la liste des données personnelles concernant les parents d’élèves non déclarée
et n’ayant pas fait l’objet d’une communication avec l’accord des intéressés
doit être réputée comme étant demeurée hors commerce ;

— que
l’un des éléments essentiels du contrat étant hors commerce, le contrat doit
être considéré en son entier comme hors commerce et comme ayant en son entier
un objet illicite ;

Nullité du contrat

La nullité du contrat impliquait que les parties soient remises dans le même état que si le contrat n’avait jamais existé, la société a été condamnée à reprendre possession des 3 écrans dans le mois suivant la signification de la décision. Télécharger la décision

Q/R juridiques soulevées :

Quelles sont les obligations concernant la déclaration des fichiers de données personnelles ?

La déclaration des fichiers de données personnelles est régie par les lois du 6 janvier 1978 et du 6 août 2009, qui stipulent que tout traitement ou utilisation de données personnelles doit faire l’objet d’une déclaration préalable auprès de la CNIL, sauf dérogations spécifiques.

Cette obligation vise à protéger la vie privée des individus en assurant que leurs données ne soient pas utilisées sans leur consentement. En particulier, pour les établissements d’éducation, la délibération de la CNIL n° 2012-184 du 7 juin 2012 précise que certains traitements peuvent être dispensés de déclaration, mais uniquement si les finalités sont strictement énumérées.

Il est donc crucial que les établissements respectent ces règles pour éviter des conséquences juridiques, notamment la nullité des contrats liés à des fichiers non déclarés.

Pourquoi le contrat entre l’INSTITUTION SEVIGNE et la société est-il considéré comme nul ?

Le contrat entre l’INSTITUTION SEVIGNE et la société est considéré comme nul car il repose sur un fichier de données personnelles qui n’a pas été déclaré à la CNIL. Selon l’article 1128 du code civil, seuls les objets dans le commerce peuvent faire l’objet de conventions.

Étant donné que le fichier en question n’était pas dans le commerce, le contrat a un objet illicite. De plus, la société n’avait pas de lien direct avec l’éducation et son activité était commerciale, ce qui ne correspondait pas aux finalités autorisées par la délibération de la CNIL.

Ainsi, l’absence de déclaration et le non-respect des conditions de communication des données personnelles ont conduit à la nullité du contrat.

Quelles sont les conséquences de la nullité du contrat ?

La nullité du contrat entraîne des conséquences juridiques significatives. En vertu du principe de restitution, les parties doivent être remises dans l’état où elles se trouvaient avant la conclusion du contrat. Dans ce cas précis, la société a été condamnée à reprendre possession des trois écrans plasma fournis à l’INSTITUTION SEVIGNE.

Cela signifie que la société doit récupérer les écrans dans un délai d’un mois suivant la signification de la décision. Cette restitution vise à annuler les effets du contrat et à rétablir l’équilibre entre les parties, en évitant qu’une partie ne bénéficie indûment d’un contrat déclaré nul.

Quels éléments ont été pris en compte pour juger de la nullité du contrat ?

Plusieurs éléments ont été pris en compte pour juger de la nullité du contrat. Tout d’abord, il a été établi que la société n’avait pas de lien direct avec l’éducation, ce qui remet en question la légitimité de son intérêt à obtenir les données des parents d’élèves.

Ensuite, le contrat stipulait la fourniture d’une liste détaillée des parents d’élèves occupant des postes à responsabilités, ce qui ne correspondait pas aux finalités autorisées par la délibération de la CNIL.

De plus, la société, en tant que professionnelle des sites informatiques, aurait dû être consciente de la nécessité d’obtenir un accord écrit des parents avant d’utiliser leurs données personnelles. L’ensemble de ces éléments a conduit à la conclusion que le contrat avait un objet illicite et devait être déclaré nul.