Par Richard Bulenzi, avocat, STC Partners.

La chambre commerciale de la Cour de cassation dans un arrêt du 25 juin 20131 a jugé, pour la première fois, semble-t-il, que la cession par une société d’un fichier de clients informatisé qui n’a pas été déclaré à la CNIL a un objet illicite. La conséquence est que la cession se trouve affectée d’une nullité absolue sans possibilité de régularisation par l’acquéreur.

Applicable à une cession de fonds de commerce en l’espèce, la décision doit trouver à s’appliquer en cas de fusion ou d’acquisition de branche d’activité2.

Après une brève analyse de l’arrêt de la chambre commerciale de la Cour de cassation (1), nous rappellerons les principales obligations légales relatives à la collecte et au traitement des données clients (2).

1. L’arrêt du 25 juin 2013

En l’espèce, une société qui exploitait un fonds de commerce de vente de vin aux particuliers a cédé son portefeuille de clientèle composé entre autres d’un fichier informatisé.

Le cessionnaire souhaitant se voir rembourser les sommes versées lors de cette cession a contesté la validité de la vente du fichier client en se fondant notamment sur le défaut de déclaration dudit fichier à la CNIL. Il soutenait que la cession du fichier clients encourait la nullité dès lors que l’objet de la vente était illicite en raison du défaut de déclaration du fichier auprès de la CNIL.

Débouté devant les juges du fonds, le cessionnaire a obtenu gain de cause devant la Cour de cassation.

La Cour de cassation, après avoir constaté que tout fichier contenant des données à caractère personnel doit être déclaré à la CNIL et que le défaut de déclaration constitue une infraction pénale, en a tiré comme conséquence qu’un tel fichier non déclaré est hors commerce et donc insusceptible d’être vendu. Elle a cassé l’arrêt au visa de l’article 1128 du Code civil qui pose le principe que seules les choses dans le commerce peuvent faire l’objet de convention et de l’article 22 de la loi n° 78-17 du 6 janvier 1978 relatif à l’obligation de déclaration des traitements de données à caractère personnel.