Nullité du contrat de vente de données personnelles

Un fichier informatique de données à caractère personnel devant faire l’objet d’une déclaration auprès de la CNIL et qui n’a pas été déclaré, n’est pas dans le commerce, de sorte que le contrat concernant l’utilisation ou le traitement de ce fichier a un objet illicite et doit donc être déclaré nul.

Fichiers de parents d’élèves contre téléviseurs Plasma  

Une société spécialisée dans la vente et l’achat d’espaces publicitaires a conclu un contrat de partenariat avec l’INSTITUTION SEVIGNE en vue de l’installation dans l’établissement scolaire d’écrans plasma destinés à diffuser des messages pour les élèves, professeurs et parents d’élèves. En échange de la fourniture de ces écrans, l’INSTITUTION SEVIGNE s’est engagée à fournir à la société une liste détaillée des parents d’élèves occupant des postes à responsabilités dans des entreprises industrielles et commerciales à des fins de prospection publicitaire.

Fichier non déclaré hors du commerce  

Conformément aux dispositions de l’article 1128 du code civil, il n’y a que les choses qui sont dans le commerce qui puissent être l’objet de conventions. Par ailleurs, en application des lois du 6 janvier 1978 et du 6 août 2009 relatives à l’informatique, aux fichiers et aux libertés, tout traitement ou utilisation de données personnelles, sauf dérogations, doit faire l’objet d’une déclaration préalable auprès de la CNIL.

Concernant les établissements d’éducation, la délibération de la CNIL n° 2012-184 du 7 juin 2012, prévoit que les établissements d’éducation, en matière de traitement informatique ayant pour finalité l’édition de listes de parents d’élèves ou de leurs responsables légaux sont dispensés de déclaration lorsque ces traitements ont les finalités limitativement énumérées par la délibération en question, que seules des personnes limitativement énumérées par cette même délibération peuvent être destinataires des informations collectées par l’établissement d’éducation et aucune autre donnée à caractère personnel ne peut être communiquée à des tiers qu’avec l’accord écrit de l’un des responsables légaux de l’élève ou de l’élève lui-même.

En application de l’ensemble de ces dispositions, il est considéré, qu’un fichier informatique de données à caractère personnel devant faire l’objet d’une déclaration auprès de la CNIL et qui n’a pas été déclaré, n’est pas dans le commerce, de sorte que le contrat concernant l’utilisation ou le traitement de ce fichier a un objet illicite.

En l’espèce, il ressortait des éléments de la cause :

— que la société n’avait pas de lien direct avec l’éducation ;

— qu’il s’agissait d’une société commerciale dont l’activité et la vente et l’achat d’espaces publicitaires, la création de brochures et de prospectus pour diverses clientèles ;

— que le contrat litigieux prévoit, la fourniture par l’institution d’une liste détaillée des parents d’élèves occupant des postes à responsabilités dans des entreprises industrielles et commerciales;

— que l’obtention du nom des parents d’élèves occupant des postes à responsabilités dans des entreprises industrielles et commerciales n’entre pas dans les finalités reprises sur la délibération CNIL précitée ;

— que les sociétés commerciales exerçant dans le domaine de la publicité ne sont pas non plus reprises dans la liste des personnes pouvant être destinataires des informations collectées reprises sur la délibération précitée ;

— que le contrat signé avec la société ne faisait donc pas partie des contrats non soumis à déclaration auprès de la CNIL selon la même délibération ;

— que l’utilisation de données personnelles dans le cadre du contrat litigieux supposait donc une déclaration à la CNIL ;

— qu’en outre, la communication à des tiers tels que la société des données personnelles concernant les parents d’élèves ne pouvait être effectuée selon la délibération en cause qu’avec l’accord écrit de l’un des responsables légaux de l’élève ou de l’élève lui-même ;

— que les manquements de l’institution à des obligations légales ne sauraient permettre à la société de s’affranchir du respect des lois ;

— que la société qui en sa qualité de professionnel des sites informatiques ne pouvait ignorer qu’un accord écrit des parents était nécessaire et qu’une déclaration aurait dû être effectuée auprès de la CNIL, se devait de s’assurer que l’INSTITUTION SEVIGNE avait respecté ses obligations de déclaration et d’obtention des accords écrit des parents, avant d’utiliser les données personnelles qu’elle avait obtenues ;

— que l’utilisation de données personnelles dans le contrat litigieux n’a pas été déclarée à la CNIL ;

— que la liste des données personnelles concernant les parents d’élèves non déclarée et n’ayant pas fait l’objet d’une communication avec l’accord des intéressés doit être réputée comme étant demeurée hors commerce ;

— que l’un des éléments essentiels du contrat étant hors commerce, le contrat doit être considéré en son entier comme hors commerce et comme ayant en son entier un objet illicite ;

Nullité du contrat

La nullité du contrat impliquait que les parties soient remises dans le même état que si le contrat n’avait jamais existé, la société a été condamnée à reprendre possession des 3 écrans dans le mois suivant la signification de la décision. Télécharger la décision