Décision de référence : cc • N° 12-17.037 • 2013-06-25 • Consulter la décision →
Imaginez : vous êtes propriétaire d'un commerce à Sélestat, et vous décidez de vendre votre fonds. Le repreneur examine les comptes, le stock, le bail. Mais qu'en est-il de votre fichier clients ? Ce carnet d'adresses, ces emails, ces numéros de téléphone patiemment collectés au fil des ans. Vous pensez peut-être que ce fichier fait partie des actifs vendables, comme un meuble ou un stock de marchandises. Pourtant, la Cour de cassation a tranché en 2013 : un fichier de clientèle informatisé non déclaré à la CNIL n'est pas dans le commerce, et sa vente a un objet illicite. Autrement dit, si vous n'avez pas respecté la réglementation sur les données personnelles, vous ne pouvez pas tirer profit de la vente de ce fichier. Une leçon qui peut coûter cher à un vendeur négligent, et qui offre une protection inattendue à l'acquéreur.
Cette décision, passée relativement inaperçue en dehors des cercles juridiques, mérite pourtant toute votre attention. Que vous soyez commerçant à Illkirch-Graffenstaden ou dans toute la France, elle vous concerne directement. Car derrière une question technique se cache un principe simple : nul ne peut vendre ce qui est illicite. Et un fichier clients non déclaré, c'est comme une marchandise volée : sa vente est nulle.
Alors, comment éviter de se retrouver dans cette situation ? Que faire si vous avez déjà acheté un fonds avec un tel fichier ? Et surtout, comment sécuriser votre transmission ? C'est ce que nous allons voir ensemble, pas à pas, à travers l'analyse de cet arrêt et de ses conséquences pratiques.
Les faits : une histoire comme il en arrive chaque jour
M. X, propriétaire d'un fonds de commerce à Rennes, décide de le vendre à M. Y. Le contrat inclut les éléments incorporels : la clientèle, le droit au bail, et… un fichier de clientèle informatisé. Oui, ce fameux fichier contenant les noms, adresses, emails et habitudes d'achat des clients. Le vendeur n'a jamais déclaré ce fichier à la CNIL (Commission nationale de l'informatique et des libertés), comme l'exige pourtant la loi Informatique et Libertés de 1978, modifiée en 2004. L'acquéreur, après la vente, découvre le pot aux roses : le fichier n'est pas en règle. Il refuse alors de payer le solde du prix, arguant que la vente est nulle car son objet est illicite.
Le vendeur, lui, s'estime lésé : le fichier était un élément du fonds, il faisait partie de la négociation. Il assigne l'acquéreur en paiement du prix. La cour d'appel de Rennes, dans un premier temps, lui donne raison : elle condamne l'acquéreur à payer le solde. Mais l'acquéreur se pourvoit en cassation. La Cour de cassation, dans son arrêt du 25 juin 2013, casse l'arrêt d'appel. Elle rappelle que « la vente d'un fichier de clientèle informatisé non déclaré à la CNIL a un objet illicite » et, par conséquent, la vente est nulle. L'affaire est renvoyée devant la cour d'appel de Rennes, autrement composée, pour qu'elle tire les conséquences de cette nullité.
Ce qui est frappant dans cette histoire, c'est que le vendeur a peut-être cru bien faire en incluant un fichier clients « clé en main ». Mais il a oublié l'essentiel : la déclaration CNIL. Et cela a suffi à tout faire capoter. Pour l'acquéreur, c'est une aubaine : il peut obtenir la nullité de la vente, ou à tout le moins une réduction du prix. Pour le vendeur, c'est une catastrophe : il perd une partie du prix, et doit en plus se mettre en conformité.
Le raisonnement de la juridiction — décortiqué
La Cour de cassation s'appuie sur deux piliers : le droit des contrats et la protection des données personnelles. D'un côté, l'article 1128 du Code civil (dans sa version antérieure à 2016) dispose que « le commerce des choses qui ne sont point dans le commerce » est interdit. Un fichier non déclaré, selon la Cour, n'est pas « dans le commerce » car sa détention même est illicite. De l'autre côté, la loi Informatique et Libertés impose une déclaration préalable à la CNIL pour tout traitement automatisé de données personnelles (article 22 de la loi de 1978, repris à l'article 31 de la loi de 2004). Or, un fichier clients contenant des noms, adresses, etc., est un traitement automatisé de données personnelles. Ne pas le déclarer rend le fichier illicite, et donc sa vente impossible.
Le raisonnement est implacable : si l'objet du contrat est illicite, le contrat est nul. Peu importe que le vendeur ait cru de bonne foi que son fichier était vendable. La nullité est absolue, et peut être invoquée par l'acquéreur. Les juges ne se sont pas arrêtés à l'argument du vendeur selon lequel le fichier faisait partie du fonds de commerce : ils ont estimé que la protection des données personnelles prime sur la liberté contractuelle.
Cet arrêt est une confirmation de la jurisprudence antérieure, mais il la précise sur un point important : il ne s'agit pas seulement de données sensibles, mais de tout fichier clientèle informatisé, même s'il ne contient que des informations banales (nom, adresse, téléphone). La CNIL elle-même considère que ces données sont personnelles et que leur traitement doit être déclaré, sauf dans certains cas simplifiés (norme simplifiée n° 48).
Les arguments de l'acquéreur : « Ce fichier n'est pas en règle, donc je ne dois pas le payer. » Ceux du vendeur : « J'ai vendu mon fonds, le fichier en fait partie, vous devez payer. » La Cour a tranché en faveur de l'acquéreur, mais attention : cela ne signifie pas que l'acquéreur peut garder le fichier gratuitement. La nullité entraîne une remise en état : l'acquéreur doit restituer le fichier (et donc le supprimer), et le vendeur doit restituer le prix. Mais en pratique, l'acquéreur peut négocier un prix réduit en échange de
