Un litige opposant une société d’optique à une société de création de site internet.
En l’espèce, une société d’optique a passé commande avec une société de création et maintenance de site [1] (ci-après, « le prestataire ») pour créer, installer et maintenir un site web vitrine. Un bon de commande, cahier des charges et un contrat de licence de l’exploitation de ce site ont été signés.
La société d’optique s’est aussi engagée à payer des loyers à la société Leasecom, société de location de financement des équipements des entreprises.
La société d’optique ne paye pas les loyers qu’elle doit à la société Leasecom et résilie son contrat avec le prestataire.
La société Leasecom assigne alors la société d’optique devant le Tribunal de commerce de Grenoble. Cette dernière a appelé en intervention forcée le prestataire.
Le Tribunal de commerce de Grenoble a condamné la société d’optique, qui décide alors d’interjeter appel de cette décision.
L’étude de l’arrêt de la Cour d’appel de Grenoble se fera uniquement au regard du prisme du droit des données personnelles, l’annulation du contrat au regard des dispositions concernant les contrats conclus hors établissement et la cession du contrat et l’action de la société Leasecom ne seront pas abordés.
Il est pertinent ici de s’intéresser à la question de la responsabilité, en cas de non-conformité d’un site internet [2], aux exigences de la loi Informatique et Libertés et au RGPD.
Dans ses moyens, la société d’optique reproche notamment au prestataire d’avoir violé des dispositions concernant la collecte et l’utilisation des données personnelles de ses utilisateurs.
Le non-respect des dispositions concernant la collecte et l’utilisation des données personnelles.
La société d’optique estime que le contrat viole l’article 32 (dans son ancienne rédaction) de la loi Informatique et Libertés car il collecte des données personnelles de manière illégale.
La Cour d’appel de Grenoble condamne le prestataire, en se fondant sur le constat d’huissier de justice relevant une violation de l’article 32 (dans son ancienne rédaction) de la loi Informatique et Libertés.
Elle rappelle qu’il est imposé au
« responsable du service de communications électroniques d’informer tout abonné ou utilisateur, de manière claire et complète, de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement, ainsi que des moyens dont il dispose pour s’y opposer ».
En l’espèce, la société d’optique pouvait accéder aux informations personnelles des visiteurs du site sans leur information ni leur consentement.
En effet, l’huissier a constaté en naviguant sur le site que des cookies [3] ont été installés sans son accord, dont un cookie provenant de Google Analytics.
L’huissier constate également que le formulaire de contact du site ne prévoit pas de dispositions concernant la collecte, le traitement ou la protection des données personnelles.
La Cour relève que le RGPD a été mentionné par la politique de confidentialité du site litigieux qui « a certifié qu’aucune donnée personnelle ne serait collectée sans un accord préalable, avec un transfert limité au prestataire informatique et à l’hébergeur ».
Toutefois, l’huissier a constaté l’usage par le site des services de Google Analytics. Or l’utilisation de Google Analytics [4] est illégal car les données collectées étaient transférées en dehors de l’Union européenne.
L’omission d’information essentielle par le prestataire informatique.
La Cour d’appel de Grenoble considère que le prestataire informatique n’a pas informé la société d’optique d’un élément essentiel concernant le site crée et installé.
En l’espèce, la société d’optique n’est pas une société spécialisée en données personnelles mais en optique. Lors de la livraison du site, elle n’avait pas les connaissances requises afin de constater une violation des données personnelles collectées et utilisées dans le dépôt de cookies du site.
La cour décide de ne pas retenir la responsabilité de la société d’optique, considérée comme responsable de la collecte et de l’utilisation des données personnelles des utilisateurs dans le contrat, donc responsable du traitement au sens du RGPD, mais celle du prestataire informatique qui avait une obligation d’information la société d’optique quant à l’installation illégale de cookies. Elle ne rapporte pas la preuve d’avoir communiqué cette information essentielle.
La Cour d’appel de Grenoble annule le contrat pour erreur sur une qualité essentielle du contrat portant sur le site internet, sur le fondement des anciens articles 1109 et 1110 du Code civil, 1132 et suivants du Code civil.
Elle fait droit aux demandes de la société d’optique et infirme le jugement du Tribunal de commerce de Grenoble.
Le prestataire est condamné à restituer à la société d’optique le prix de la prestation et lui payer la somme de 5 000 euros sur le fondement de l’article 700 du Code de procédure civile ainsi que les dépens.
